[论文解读] BULKHEAD: Secure, Scalable, and Efficient Kernel Compartmentalization with PKS

Yinggang Guo, Zicheng Wang+3 more|arXiv (Cornell University)|Sep 15, 2024

Brain Tumor Detection and Classification被引用 1

一句话总结

BULKHEAD 是一种安全、可扩展且高效的内核分段系统，利用英特尔保护键（PKS）实现无限数量内核分段之间的双向隔离。它使用轻量级内核监控器强制执行关键安全不变量，在 160 个分段化的可加载内核模块下，跨真实工作负载仅产生 2.44% 的平均性能开销。

ABSTRACT

The endless stream of vulnerabilities urgently calls for principled mitigation to confine the effect of exploitation. However, the monolithic architecture of commodity OS kernels, like the Linux kernel, allows an attacker to compromise the entire system by exploiting a vulnerability in any kernel component. Kernel compartmentalization is a promising approach that follows the least-privilege principle. However, existing mechanisms struggle with the trade-off on security, scalability, and performance, given the challenges stemming from mutual untrustworthiness among numerous and complex components. In this paper, we present BULKHEAD, a secure, scalable, and efficient kernel compartmentalization technique that offers bi-directional isolation for unlimited compartments. It leverages Intel's new hardware feature PKS to isolate data and code into mutually untrusted compartments and benefits from its fast compartment switching. With untrust in mind, BULKHEAD introduces a lightweight in-kernel monitor that enforces multiple important security invariants, including data integrity, execute-only memory, and compartment interface integrity. In addition, it provides a locality-aware two-level scheme that scales to unlimited compartments. We implement a prototype system on Linux v6.1 to compartmentalize loadable kernel modules (LKMs). Extensive evaluation confirms the effectiveness of our approach. As the system-wide impacts, BULKHEAD incurs an average performance overhead of 2.44% for real-world applications with 160 compartmentalized LKMs. While focusing on a specific compartment, ApacheBench tests on ipv6 show an overhead of less than 2%. Moreover, the performance is almost unaffected by the number of compartments, which makes it highly scalable.

研究动机与目标

• 解决单体操作系统内核（如 Linux）中内核漏洞的系统性缓解需求。
• 克服现有内核分段技术在安全性、可扩展性和性能之间难以平衡的局限性。
• 实现内核分段之间的双向隔离，防止未信任到可信以及可信到未信任的攻击。
• 在不牺牲性能的前提下，支持对内核组件（尤其是可加载内核模块）进行细粒度、可扩展的分段。
• 提供一种实用的基于硬件的解决方案，利用通用 CPU 特性（PKS），避免虚拟化或微内核重构带来的复杂性和开销。

提出的方法

• 利用英特尔的保护键（PKS）将代码和数据隔离为相互不可信的分段，并实现快速的分段切换。
• 采用轻量级内核监控器强制执行安全不变量，包括数据完整性、仅执行内存和分段接口完整性。
• 提出一种基于局部性的两级分段管理机制，可扩展至无限数量的分段。
• 通过在 Linux v6.1 上的原型实现，自动在运行时隔离可加载内核模块（LKMs）。
• 使用基于 PKS 的权限验证消除昂贵的软件检查，与 SFI 或 PT 切换方法相比显著降低开销。
• 通过将安全强制直接嵌入内核，避免依赖虚拟机监视器或扩展的可信计算基（TCB），从而最小化信任面。

实验结果

研究问题

• RQ1 硬件辅助的内核分段机制是否能在不依赖可信核心内核的前提下实现强大的双向隔离？
• RQ2 如何使内核分段可扩展，以支持大量分段，同时避免高昂的性能开销？
• RQ3 基于 PKS 的隔离是否能高效地在单体内核中强制执行关键安全不变量（如分段接口完整性）？
• RQ4 在保持强隔离保证的前提下，对数百个内核模块进行分段化的真实世界性能影响如何？
• RQ5 与虚拟化、SFI 或微内核等现有解决方案相比，该方法在安全性、性能和实用性方面表现如何？

主要发现

• 当 160 个可加载内核模块被分段化时，BULKHEAD 在真实世界应用中仅产生 2.44% 的平均性能开销。
• 对于聚焦工作负载（如 IPv6 子系统上的 ApacheBench 测试），性能开销低于 2%，表现出高效率。
• 无论分段数量如何，性能开销几乎保持不变，证实了极佳的横向可扩展性。
• 通过内核监控器强制执行分段接口完整性，系统有效防止了混淆代理攻击。
• BULKHEAD 通过使用 PKS 实现快速、硬件加速的权限检查，避免了 SFI 方法中常见的显著性能惩罚（例如，BGI 的吞吐量损失达 30%）。
• 在 Linux v6.1 上的原型实现仅对内核进行极少修改，成功隔离了 LKMs，证明了其实际可行性。