[论文解读] HybCache: Hybrid Side-Channel-Resilient Caches for Trusted Execution Environments

Ghada Dessouky, Tommaso Frassetto+1 more|arXiv (Cornell University)|Sep 20, 2019

Security and Verification in Computing参考文献 67被引用 30

一句话总结

HybCache 提出了一种混合缓存架构，仅在隔离执行域（如 Intel SGX 或 ARM TrustZone）中选择性地应用侧信道抗性缓存行为，同时为非隔离工作负载保留传统缓存性能。通过在隔离区域禁用组相联并使用随机替换策略，该方法仅以 3.5–5% 的性能开销即可有效抵御基于内容和基于访问的缓存侧信道攻击，适用于安全关键代码。

ABSTRACT

Modern multi-core processors share cache resources for maximum cache utilization and performance gains. However, this leaves the cache vulnerable to side-channel attacks, where timing differences in shared cache behavior are exploited to infer information on the victim's execution patterns, ultimately leaking private information. The root cause for these attacks is mutually distrusting processes sharing cache entries and accessing them in a deterministic manner. Various defenses against cache side-channel attacks have been proposed. However, they either degrade performance significantly, impose impractical restrictions, or can only defeat certain classes of these attacks. More importantly, they assume that side-channel-resilient caches are required for the entire execution workload and do not allow to selectively enable the mitigation only for the security-critical portion of the workload. We present a generic mechanism for a flexible and soft partitioning of set-associative caches and propose a hybrid cache architecture, called HybCache. HybCache can be configured to selectively apply side-channel-resilient cache behavior only for isolated execution domains, while providing the non-isolated execution with conventional cache behavior, capacity and performance. An isolation domain can include one or more processes, specific portions of code, or a Trusted Execution Environment. We show that, with minimal hardware modifications and kernel support, HybCache can provide side-channel-resilient cache only for isolated execution with a performance overhead of 3.5-5%, while incurring no performance overhead for the remaining execution workload. We provide a simulator-based and hardware implementation of HybCache to evaluate the performance and area overheads, and show how it mitigates typical access-based and contention-based cache attacks.

研究动机与目标

• 应对共享多核处理器中缓存侧信道攻击日益增长的威胁，特别是在 Intel SGX 和 ARM TrustZone 等可信执行环境（TEE）中。
• 克服现有防御措施的局限性，这些措施要么显著降低性能，要么施加不切实际的限制，或对整个工作负载进行保护，而不论其安全敏感程度如何。
• 通过仅隔离代码中安全关键的部分（如密码运算或敏感数据处理），实现细粒度、选择性保护，同时不影响其余工作负载。
• 提供一种硬件高效、与架构无关的解决方案，避免复杂的缓存一致性协议修改、缓存刷新操作，或依赖弱加密函数。
• 在不损害非安全关键工作负载性能的前提下实现实用的侧信道抗性，从而解决缓存设计中的性能-安全权衡问题。

提出的方法

• 提出一种混合缓存架构，对非隔离执行使用传统的组相联缓存，对隔离执行域则采用随机化、非相联的替换策略。
• 通过允许任意缓存行放置在子缓存的任意方式中，禁用隔离区域的组相联性，并使用随机替换以消除可预测的访问模式。
• 采用基于域的随机化方案，使内存地址到缓存集的映射不可预测且每次访问都不同，从而阻止攻击者构建有效的驱逐集合。
• 通过最小的硬件修改和内核支持实现该机制，确保与现有处理器微架构和 TEE 的兼容性。
• 利用现有的隔离边界（如 SGX 信封或 TrustZone）定义侧信道保护的范围，实现无需修改非隔离代码行为的软分区。
• 通过为非隔离工作负载保持标准缓存行为和完整容量，确保其不会遭受性能下降。

实验结果

研究问题

• RQ1 混合缓存架构能否仅对安全关键代码应用侧信道抗性缓存，同时为非关键工作负载保留完整性能？
• RQ2 如何在不依赖完整缓存分区或复杂加密索引的情况下有效缓解缓存侧信道攻击？
• RQ3 仅在隔离执行域中应用随机替换并禁用组相联性时，性能开销是多少？
• RQ4 所提出的机制能否同时防御基于访问的攻击（如 Prime+Probe）和基于竞争的攻击（如 Flush+Reload）？
• RQ5 是否可能通过极少的硬件改动实现侧信道抗性，且无需修改缓存一致性协议或 clflush 指令？

主要发现

• HybCache 通过在隔离执行域（如 SGX 信封或 TrustZone）中禁用组相联性并使用随机替换，有效防止攻击者构建可靠的驱逐集合，从而实现侧信道抗性。
• 在 SPEC CPU2006 基准测试套件上，隔离执行的性能开销仅为 3.5–5%，表明对安全关键工作负载的影响极小。
• 非隔离工作负载不产生性能开销，因为其继续使用标准的组相联缓存，享有完整的容量和性能。
• 通过仿真和硬件评估证明，该架构对基于访问的攻击（如 Prime+Probe）和基于竞争的攻击（如 Flush+Reload）均有效。
• HybCache 仅需极少的硬件修改，且无需更改缓存一致性协议或 clflush 指令，因此可实际集成到现有处理器设计中。
• 该解决方案与架构无关，不依赖弱加密函数或频繁密钥更新，与以往基于随机化的方案（如 Time-Secure Cache 或 CEASER）不同。