[论文解读] Interface-Based Side Channel Attack Against Intel SGX

Jinwen Wang, Yueqiang Cheng+2 more|arXiv (Cornell University)|Oct 8, 2018

Security and Verification in Computing参考文献 15被引用 10

一句话总结

本文提出了一种针对Intel SGX的基于接口的侧信道攻击，通过分析暴露给不受信任的操作系统软件的可观察接口调用模式（例如，ECALL/OCALL参数、延迟）来推断可信执行环境中的 enclave 输入数据。该攻击在识别SGX增强型NFV平台是否处理了特定网页方面实现了87.6%的准确率和76.6%的召回率，揭示了可信执行环境中一个关键的隐私泄露向量。

ABSTRACT

Intel has introduced a trusted computing technology, Intel Software Guard Extension (SGX), which provides an isolated and secure execution environment called enclave for a user program without trusting any privilege software (e.g., an operating system or a hypervisor) or firmware. Nevertheless, SGX is vulnerable to several side channel attacks (e.g. page-fault-based attack and cache-based attack). In this paper, we explore a new, yet critical side channel attack in SGX, interface-based side channel attack, which can infer the information of the enclave input data. The root cause of the interface-based side channel attack is the input dependent interface invocation information (e.g., interface information and invocation patterns) which can be observed by the untrusted privilege software can reveal the control flow in the enclave. We study the methodology which can be used to conduct the interface-based side channel attack. To illustrate the effectiveness of the interface-based side-channel attacks, we use our methodology to infer whether tracked web pages have been processed by the SGX-assisted NFV platforms and achieve the accuracy of 87.6% and recall of 76.6%. We also identify the packets which belong to the tracked web pages, with the accuracy of 67.9%and recall of 71.1%. We finally propose some countermeasures to defense the interface-based side channel attack in SGX-assisted applications.

研究动机与目标

• 识别并利用Intel SGX中一种新型侧信道，通过可观察的接口调用模式泄露enclave输入数据的信息。
• 在真实场景中（特别是SGX增强型网络功能虚拟化（NFV）平台）证明该攻击的可行性和有效性。
• 分析不受信任的操作系统级软件如何通过监控接口行为（如参数大小和调用时间）推断敏感数据。
• 提出并评估减轻或消除基于接口的侧信道信息暴露的对策。

提出的方法

• 从不受信任的操作系统在enclave执行期间收集接口调用模式（例如，ECALL/OCALL调用频率、参数大小、延迟时间）。
• 使用统计和机器学习技术分析收集到的接口模式，将其与特定输入数据或处理状态相关联。
• 将攻击方法应用于SGX增强型NFV平台，通过分析数据包级别的接口行为推断特定网页是否被处理。
• 实现两种对策：(1) 将所有接口数据填充至固定大小，以掩盖与输入相关的模式；(2) 批量处理接口调用，以隐藏调用时间和频率。
• 通过测量不同规则数量和数据包大小下SGX增强型IDS的带宽和吞吐量影响，评估对策的性能开销。

实验结果

研究问题

• RQ1 Intel SGX中可观察的接口调用模式（如ECALL/OCALL参数和时间）是否可被利用以推断敏感输入数据？
• RQ2 在实际部署场景（如SGX增强型NFV平台）中，基于接口的侧信道在多大程度上会泄露enclave输入信息？
• RQ3 所提出的对策在不产生禁止性性能开销的前提下，多大程度上能消除基于接口的侧信道？
• RQ4 在真实SGX工作负载中应用填充和批处理机制以缓解基于接口的侧信道，其性能成本如何？

主要发现

• 基于接口的侧信道攻击在识别SGX增强型NFV平台是否处理了特定网页方面，实现了87.6%的准确率和76.6%的召回率。
• 该攻击在多网页流量场景中，以67.9%的准确率和71.1%的召回率正确识别出属于目标网页的数据包，证明了其在实际场景中的可行性。
• 采用固定大小数据包填充的对策将攻击精度降低至接近零，有效中和了侧信道。
• 批处理对策引入的性能开销可忽略不计，当处理5000条IDS规则时，吞吐量仅下降0.1 Gbps。
• 结合两种对策（填充和批处理）在保持高吞吐量的同时消除了侧信道泄露，带宽开销为4.6%至20%，具体取决于数据包大小。
• 性能评估证实，这些对策具有实际可行性，即使在重负载下，总吞吐量下降也保持在1 Gbps以内。