[论文解读] A Novel Scheduling Framework Leveraging Hardware Cache Partitioning for Cache-Side-Channel Elimination in Clouds
本文提出了一种新颖的调度框架，利用英特尔的缓存分配技术（CAT）对硬件缓存进行分区，从而在云环境中消除缓存侧信道攻击。通过将硬件缓存分区与动态调度及状态清除机制相结合，该系统在无需修改应用程序或禁用SMT的情况下，实现了对KVM管理的容器和虚拟机的无侧信道执行。
While there exist many isolation mechanisms that are available to cloud service providers, including virtual machines, containers, etc., the problem of side-channel increases in importance as a remaining security vulnerability, particularly in the presence of shared caches and multicore processors. In this paper we present a hardware-software mechanism that improves the isolation of cloud processes in the presence of shared caches on multicore chips. Combining the Intel CAT architecture that enables cache partitioning on the fly with novel scheduling techniques and state cleansing mechanisms, we enable cache-side-channel free computing for Linux-based containers and virtual machines, in particular, those managed by KVM. We do a preliminary evaluation of our system using a CPU bound workload. Our system allows Simultaneous Multithreading (SMT) to remain enabled and does not require application level changes.
研究动机与目标
- 解决在共享多核处理器的多租户云环境中缓存侧信道攻击日益增长的威胁。
- 提升运行在容器和虚拟机中的云工作负载的隔离保障。
- 在不禁用同时多线程（SMT）或修改应用程序的情况下实现安全执行。
- 将硬件缓存分区与动态调度集成，实现实时保护。
- 通过计算密集型工作负载评估，证明方法的可行性和有效性。
提出的方法
- 利用英特尔的缓存分配技术（CAT）在运行时对虚拟机和容器之间的L3缓存进行分区。
- 实现一种新颖的调度框架，根据工作负载的敏感性和隔离需求分配缓存分区。
- 应用状态清除机制，在释放资源前清除缓存中的敏感数据。
- 与基于KVM的虚拟化集成，透明地强制执行缓存隔离。
- 在执行过程中保持SMT启用，以维持性能优势。
- 采用运行时监控和动态分配，根据工作负载行为自适应调整缓存分区。
实验结果
研究问题
- RQ1硬件缓存分区与智能调度相结合，能否有效防止多租户云环境中缓存侧信道泄露？
- RQ2在不禁用SMT或修改应用程序的情况下，缓存隔离能达到何种程度？
- RQ3与基线配置相比，该框架在计算密集型工作负载下的表现如何？
- RQ4系统能否在支持动态工作负载调度的同时维持强隔离保障？
- RQ5状态清除对残留侧信道泄露的影响如何？
主要发现
- 该系统通过硬件缓存分区，在KVM管理的容器和虚拟机中成功消除了缓存侧信道攻击。
- 该框架保持了SMT功能，既维持了性能优势又未牺牲安全性。
- 无需应用程序级别的修改，可无缝部署于现有云架构中。
- 通过运行时缓存分区和状态清除，实现了有效的隔离。
- 初步评估证实了该框架在计算密集型工作负载下的可行性。
- 与英特尔CAT的集成实现了细粒度、实时的缓存分配，提升了安全性。
更好的研究，从现在开始
从阅读论文到最终审阅，大幅缩短您的研究时间。
无需绑定信用卡
本解读由 AI 生成，并经人工编辑审核。