[论文解读] From MMU to MPU: adaptation of the Pip kernel to constrained devices

Nicolas Dejon, Chrystel Gaber+1 more|arXiv (Cornell University)|Jan 11, 2023

Security and Verification in Computing参考文献 15被引用 5

一句话总结

本文提出 Pip-MPU，一种针对资源受限嵌入式设备的安全、灵活的内存隔离内核，通过将基于 MMU 的形式化验证微内核 Pip 适配为基于 MPU 的内存保护机制。该方案实现了强大的安全保证——攻击面减少 98%，特权操作减少 99%——同时仅带来 16% 的性能与能耗开销，并在 nRF52840 平台上仅使用不到 10 kB 的 Flash 和 550 B 的 RAM。

ABSTRACT

This article presents a hardware-based memory isolation solution for constrained devices. Existing solutions target high-end embedded systems (typically ARM Cortex-A with a Memory Management Unit, MMU) such as seL4 or Pip (formally verified kernels) or target low-end devices such as ACES, MINION, TrustLite, EwoK but with limited flexibility by proposing a single level of isolation. Our approach consists in adapting Pip to inherit its flexibility (multiple levels of isolation) but using the Memory Protection Unit (MPU) instead of the MMU since the MPU is commonly available on constrained embedded systems (typically ARMv7 Cortex-M4 or ARMv8 Cortex-M33 and similar devices). This paper describes our design of Pip-MPU (Pip's variant based on the MPU) and the rationale behind our choices. We validate our proposal with an implementation on an nRF52840 development kit and we perform various evaluations such as memory footprint, CPU cycles and energy consumption. We demonstrate that although our prototyped Pip-MPU causes a 16% overhead on both performance and energy consumption, it can reduce the attack surface of the accessible application memory from 100% down to 2% and the privileged operations by 99%. Pip-MPU takes less than 10 kB of Flash (6 kB for its core components) and 550 B of RAM.

研究动机与目标

• 解决低功耗嵌入式系统中缺乏灵活、形式化验证的内存隔离机制的问题，采用 MPU 而非 MMU 实现保护。
• 在缺乏 MMU 的资源受限设备（如 ARM Cortex-M）上实现多级内存隔离。
• 在适配 MPU 硬件约束的同时，保留原始 Pip 内核的安全性与可组合性优势。
• 在真实嵌入式平台（nRF52840）上验证该方法的可行性与效率，并提供可量化的资源与性能指标。

提出的方法

• 将 Pip 微内核的形式化验证与隔离模型适配为在内存保护单元（MPU）而非内存管理单元（MMU）上运行。
• 设计一种新的内存管理抽象，将 Pip 的多级隔离级别映射到 MPU 有限的内存区域与权限配置上。
• 实现一种自定义的 MPU 配置机制，以支持运行时动态设置内存区域及其保护属性。
• 使用形式化方法验证新版本 Pip-MPU 中基于 MPU 的内存隔离逻辑的正确性。
• 将内核集成到实时嵌入式系统（nRF52840）中，评估其性能、内存占用与能耗表现。
• 通过标准工作负载对系统进行基准测试，测量 CPU 周期、能耗以及攻击面减少情况。

实验结果

研究问题

• RQ1 Pip 内核的形式化验证与多级隔离模型能否有效移植到基于 MPU 的资源受限设备上？
• RQ2 与基于 MMU 的系统相比，基于 MPU 的隔离机制会引入多大的性能与能耗开销？
• RQ3 基于 MPU 的隔离机制在多大程度上能减少应用程序内存与特权操作的攻击面？
• RQ4 在仅配备 MPU 的低端设备上部署形式化验证内核时，实际的内存与运行时资源约束是什么？
• RQ5 与现有轻量级内核相比，Pip-MPU 的安全模型在隔离粒度与可信度方面表现如何？

主要发现

• Pip-MPU 将可访问的应用程序内存攻击面从 100% 降低至 2%，实现 98% 的暴露面减少。
• 与非隔离系统相比，特权操作数量减少了 99%，显著降低了权限提升攻击的可能性。
• 该内核的 Flash 内存占用小于 10 kB（核心组件占 6 kB），RAM 占用仅 550 B，适用于超资源受限设备。
• 与非隔离基线相比，Pip-MPU 的性能与能耗开销仅为 16%，证明了其在安全性与效率之间具有可接受的权衡。
• 在 nRF52840 开发板上的实现验证了在仅支持 MPU 的平台上部署形式化验证的多级隔离内核的可行性。
• 该设计成功保留了原始 Pip 内核的可组合性与形式化验证优势，同时适应了硬件约束。