[论文解读] ISA-Based Trusted Network Functions And Server Applications In The Untrusted Cloud

Spyridon Mastorakis, Tahrina Ahmed+1 more|arXiv (Cornell University)|Feb 20, 2018

Security and Verification in Computing参考文献 22被引用 3

一句话总结

本文提出基于英特尔SGX的可信执行环境（TEE）用于不受信任云环境中的网络功能（NFs）和服务器应用，结合SGX与DPDK实现安全、高性能处理。其在普通流量下达到接近原生性能（例如，约22 Mpps），在加密流量下表现具有竞争力（例如，约12 Mpps），证明了可信云网络与计算的可行性。

ABSTRACT

Nowadays, enterprises widely deploy Network Functions (NFs) and server applications in the cloud. However, processing of sensitive data and trusted execution cannot be securely deployed in the untrusted cloud. Cloud providers themselves could accidentally leak private information (e.g., due to misconfigurations) or rogue users could exploit vulnerabilities of the providers' systems to compromise execution integrity, posing a threat to the confidentiality of internal enterprise and customer data. In this paper, we identify (i) a number of NF and server application use-cases that trusted execution can be applied to, (ii) the assets and impact of compromising the private data and execution integrity of each use-case, and (iii) we leverage Intel's Software Guard Extensions (SGX) architecture to design Trusted Execution Environments (TEEs) for cloud-based NFs and server applications. We combine SGX with the Data Plane Development KIT (DPDK) to prototype and evaluate our TEEs for a number of application scenarios (Layer 2 frame and Layer 3 packet processing for plain and encrypted traffic, traffic load-balancing and back-end server processing). Our results indicate that NFs involving plain traffic can achieve almost native performance (e.g., ~22 Million Packets Per Second for Layer 3 forwarding for 64-byte frames), while NFs involving encrypted traffic and server processing can still achieve competitive performance (e.g., ~12 Million Packets Per Second for server processing for 64-byte frames).

研究动机与目标

• 为解决在不受信任的云环境中部署敏感网络功能和服务器应用时，数据机密性和执行完整性面临风险的关键安全挑战。
• 识别在NF和服务器应用中，通过英特尔SGX实现可信执行可提供实质性安全收益的具体用例。
• 设计并实现基于英特尔SGX和DPDK的高性能TEE，用于云环境中的NF和服务器工作负载。
• 评估SGX可信执行在真实网络处理场景中的性能开销与权衡。
• 为未来在安全、高性能云网络领域的系统设计权衡与开放问题提供洞见。

提出的方法

• 利用英特尔软件保护扩展（SGX）创建隔离的、硬件保护的飞地，以确保敏感数据和代码的机密性与完整性。
• 将SGX与数据平面开发套件（DPDK）结合，用于在云环境中原型化高性能数据路径应用。
• 为多种网络处理工作负载设计TEE：第2/3层数据包处理（明文与加密）、负载均衡以及后端服务器处理。
• 通过减少ECALL/OCALL调用次数并尽可能使用非受信任内存缓冲区来最小化性能开销，同时管理安全权衡。
• 采用基于CPU的远程和本地证明机制，验证飞地的完整性和真实性。
• 通过性能测量与性能剖析，评估不同帧大小和服务器数量下的吞吐量（Mpps）和线路吞吐量（Gbps）。

实验结果

研究问题

• RQ1 在不受信任的云环境中，哪些网络功能和服务器应用工作负载最能从可信执行中获益？
• RQ2 在这些工作负载中，若数据机密性和执行完整性遭到破坏，其关键资产和威胁影响是什么？
• RQ3 SGX与DPDK的集成如何影响可信网络功能和服务器应用的性能？
• RQ4 ECALL/OCALL调用转换以及SGX飞地中内存复制开销引入了哪些性能权衡与瓶颈？
• RQ5 不同的设计方法（基线、可扩展性、数据包处理流水线）对SGX-based TEE的性能与可扩展性有何影响？

主要发现

• 处理明文流量的NF可实现接近原生性能，第3层转发场景中64字节帧的吞吐量达到约2200万包每秒（Mpps）。
• 处理加密流量的NF和服务器处理任务可实现具有竞争力的性能，后端服务器处理中64字节帧的吞吐量约为12 Mpps。
• 随着帧大小增加，性能下降，在15台服务器的负载均衡场景中，512字节帧的吞吐量降至约9 Mpps。
• ECALL和OCALL调用引入了显著的性能开销，额外增加5%至10%的延迟，主要源于调用期间的内存复制检查。
• 通过减少ECALL/OCALL调用频率并使用非受信任内存缓冲区可提升平均性能，但会带来侧信道或数据泄露的潜在风险。
• 未来工作需支持通过无退出服务扩展更大工作负载，并集成受信任的标准C库以减少对OCALL的依赖。