[论文解读] REORDER: Securing Dynamic-Priority Real-Time Systems Using Schedule Obfuscation

Chien-Ying Chen, Monowar Hasan+3 more|arXiv (Cornell University)|Jun 4, 2018

Real-Time Systems Scheduling参考文献 41被引用 12

一句话总结

本文提出 REORDER，一种运行时调度混淆协议，通过引入有界优先级倒置来随机化任务执行模式，从而增强动态优先级实时系统（特别是采用 EDF 调度的系统）的安全性。该方法在保持可调度性的同时提高了对侧信道攻击的抵抗力，作者引入了‘调度熵’作为量化衡量混淆效果的指标，并通过在 Raspberry Pi 上集成 Linux 内核及运行 MiBench 汽车工作负载进行了验证。

ABSTRACT

The deterministic (timing) behavior of real-time systems (RTS) can be used by adversaries - say, to launch side channel attacks or even destabilize the system by denying access to critical resources. We propose a protocol (named REORDER) to obfuscate this predictable timing behavior of RTS, especially ones designed using dynamic-priority scheduling algorithms (e.g., EDF). We also present a metric (named "schedule entropy") that measures the levels of obfuscation introduced into a given real-time system. The REORDER protocol was integrated into the standard Linux real-time scheduler and evaluated on a realistic embedded platform (Raspberry Pi) running the MiBench automotive benchmark workloads. We also demonstrate how designers of RTS can increase the security of their systems and also quantitatively measure the impact (both in terms of security and performance) of using this protocol.

研究动机与目标

• 应对实时系统（RTS）中因可预测的时序行为而日益增长的侧信道攻击和拒绝服务攻击威胁。
• 克服现有安全机制在动态优先级调度器上效果不佳或缺乏对混淆程度的定量评估的局限性。
• 开发一种实用的、保持可调度性的方法，以随机化实时系统中的任务执行模式，同时不损害时序保证。
• 引入一种新指标——调度熵，以定量衡量实时调度中混淆的程度，便于对比评估。
• 使系统设计者能够通过在真实硬件上进行实证评估，评估并调整实时系统中的安全-性能权衡。

提出的方法

• 提出 REORDER，一种运行时协议，通过在基于 EDF 的系统中引入有界优先级倒置来随机化任务调度，确保可调度性得以保持。
• 使用基于定时器的机制（reorder_pi_timer）控制优先级倒置的持续时间，支持可配置模式：REORDER_NORMAL、REORDER_IDLE_TIME、REORDER_FINE_GRAINED 和 REORDER_RECLAMATION。
• 通过修改核心调度文件（包括 sched.h、core.c 和 deadline.c）将协议实现在 Linux 内核中，以支持任务特定和调度器特定的变量。
• 基于近似熵（使用区间长度 m 和阈值 π）定义调度熵指标，以量化执行序列中的随机性，解决朴素熵近似方法的局限性。
• 使用离散傅里叶变换（DFT）分析表明，经混淆的调度可隐藏任务频率，降低侧信道重构的可行性。
• 在 Raspberry Pi 平台上使用 MiBench 汽车基准测试对协议进行评估，以测量实际性能和安全影响。

实验结果

研究问题

• RQ1 有界优先级倒置是否可用于在不违反时序保证的前提下混淆基于 EDF 的实时调度？
• RQ2 如何对实时调度中的混淆程度进行定量测量？何种指标最能捕捉此类混淆引入的随机性？
• RQ3 当应用于真实世界嵌入式工作负载时，REORDER 的性能开销和可调度性影响如何？
• RQ4 所提出的调度熵指标与理论熵相比，在捕捉周期性任务调度中真实随机性方面的表现如何？
• RQ5 通过 REORDER 实现的调度混淆在多大程度上降低了基于频率分析的侧信道攻击的可行性？

主要发现

• REORDER 有效保持了可调度性：任何在原生 EDF 下可调度的任务集，在 REORDER 的混淆调度下依然可调度。
• 所提出的调度熵指标能有效捕捉执行模式的随机性，在评估的任务集中，近似熵与真实熵之间的相关性约为 0.82。
• DFT 分析表明，经 REORDER 混淆的调度可隐藏任务频率，特别是对非谐波周期的任务，显著增加了侧信道重构的难度。
• 在 Linux 内核中实现 REORDER 表明其可行性与低运行时开销，并在真实硬件（Raspberry Pi）上通过 MiBench 汽车基准测试展示了可测量的安全性提升。
• 四种调度模式（REORDER_NORMAL、REORDER_IDLE_TIME、REORDER_FINE_GRAINED、REORDER_RECLAMATION）使设计者可根据系统需求调节安全与性能之间的权衡。
• 使用基于区间的熵近似方法（其中 m = ⌈0.35L⌉ 且 π = 0.1L）提供了实用且可扩展的方式，用于在不同调度方案之间比较混淆程度。