[论文解读] bpftime: userspace eBPF Runtime for Uprobe, Syscall and Kernel-User Interactions

Yusheng Zheng, Tong Yu+4 more|arXiv (Cornell University)|Nov 14, 2023

Security and Verification in Computing被引用 4

一句话总结

bpftime 是一个高性能的用户空间 eBPF 运行时，通过二进制重写技术实现无需内核上下文切换的程序化 uprobe 和系统调用挂钩，相比内核 eBPF 实现了超过 10 倍的性能提升。它支持无缝注入现有进程，与 clang/libbpf 兼容，并支持跨进程通信的共享内存 eBPF 映射。

ABSTRACT

In kernel-centric operations, the uprobe component of eBPF frequently encounters performance bottlenecks, largely attributed to the overheads borne by context switches. Transitioning eBPF operations to user space bypasses these hindrances, thereby optimizing performance. This also enhances configurability and obviates the necessity for root access or privileges for kernel eBPF, subsequently minimizing the kernel attack surface. This paper introduces bpftime, a novel user-space eBPF runtime, which leverages binary rewriting to implement uprobe and syscall hook capabilities. Through bpftime, userspace uprobes achieve a 10x speed enhancement compared to their kernel counterparts without requiring dual context switches. Additionally, this runtime facilitates the programmatic hooking of syscalls within a process, both safely and efficiently. Bpftime can be seamlessly attached to any running process, limiting the need for either a restart or manual recompilation. Our implementation also extends to interprocess eBPF Maps within shared memory, catering to summary aggregation or control plane communication requirements. Compatibility with existing eBPF toolchains such as clang and libbpf is maintained, not only simplifying the development of user-space eBPF without necessitating any modifications but also supporting CO-RE through BTF. Through bpftime, we not only enhance uprobe performance but also extend the versatility and user-friendliness of eBPF runtime in user space, paving the way for more efficient and secure kernel operations.

研究动机与目标

• 解决因上下文切换导致的内核 eBPF uprobe 执行性能瓶颈。
• 通过将 eBPF 执行移至用户空间来减少内核攻击面，避免对 root 权限的需求。
• 实现在不重启或重新编译的情况下，对现有进程动态、运行时附加 eBPF 程序。
• 支持程序化系统调用跟踪以及通过共享内存 eBPF 映射实现进程间通信与数据聚合。
• 确保与现有 eBPF 工具链（clang、libbpf）及通过 BTF 实现的 CO-RE 完全兼容，支持从内核 eBPF 无修改迁移。

提出的方法

• 利用 LLVM 的 JIT/AOT 编译技术，在用户空间高效执行 eBPF 程序。
• 在运行时通过二进制重写技术对目标进程进行插桩，实现无需源代码或重新编译的 uprobe 和系统调用挂钩。
• 使用自研的二进制重写引擎在函数入口和出口处插入 eBPF 跳板代码，实现高效的用户空间 uprobe 语义。
• 引入共享内存 eBPF 映射，支持用户空间 eBPF 程序之间以及用户空间与内核 eBPF 程序之间的通信。
• 通过动态附加机制实现 eBPF 程序无缝注入运行中的进程，避免进程重启。
• 保持与内核 eBPF 映射及 BTF（BPF 类型格式）的兼容性，支持 CO-RE 和与内核 eBPF 程序的互操作性。

实验结果

研究问题

• RQ1 通过消除上下文切换，用户空间 eBPF 运行时是否能显著降低内核 eBPF uprobe 执行的开销？
• RQ2 是否能高效且安全地在用户空间 eBPF 中实现无需内核参与的程序化系统调用挂钩？
• RQ3 在不重新编译或重启的情况下，是否可行支持对现有进程运行时注入 eBPF 程序？
• RQ4 用户空间 eBPF 运行时在多大程度上能保持与 clang 和 libbpf 等现有 eBPF 工具链的兼容性？
• RQ5 共享内存 eBPF 映射是否能支持用户空间 eBPF 环境中高效的进程间通信与协调？

主要发现

• bpftime 相较于内核 eBPF，将 uprobe 执行性能提升了超过 10 倍，主要得益于消除了上下文切换的开销。
• 该运行时支持在用户空间中无须重启或重新编译即可实现程序化系统调用跟踪和 uprobe 附加。
• 来自 bcc 工具集的 eBPF 程序（包括 uprobe 和系统调用跟踪示例）可在 bpftime 上无修改运行，证明了其完全兼容性。
• 共享内存 eBPF 映射成功用于实现进程间通信与数据聚合，支持控制平面协调等用例。
• bpftime 通过共享映射支持与内核 eBPF 程序的无缝集成，且可从内核 eBPF 加载，支持混合执行模型。
• bpftime 的安全性优于内核 eBPF，因其减少了内核攻击面，并在沙盒化的用户空间环境中运行。