[论文解读] The Heisenberg Defense: Proactively Defending SGX Enclaves against Page-Table-Based Side-Channel Attacks

Raoul Strackx, Frank Piessens|arXiv (Cornell University)|Dec 22, 2017

Security and Verification in Computing参考文献 33被引用 11

一句话总结

该论文提出 Heisenberg，一种主动防御机制，通过在敏感代码执行前验证并预加载页表翻译，防止 Intel SGX 机密区中的基于页表的侧信道攻击。该机制消除了运行时检测的需要，确保无信息泄露，并支持在持续攻击下安全恢复机密区执行。

ABSTRACT

Protected-module architectures (PMAs) have been proposed to provide strong isolation guarantees, even on top of a compromised system. Unfortunately, Intel SGX -- the only publicly available high-end PMA -- has been shown to only provide limited isolation. An attacker controlling the untrusted page tables, can learn enclave secrets by observing its page access patterns. Fortifying existing protected-module architectures in a real-world setting against side-channel attacks is an extremely difficult task as system software (hypervisor, operating system, ...) needs to remain in full control over the underlying hardware. Most state-of-the-art solutions propose a reactive defense that monitors for signs of an attack. Such approaches unfortunately cannot detect the most novel attacks, suffer from false-positives, and place an extraordinary heavy burden on enclave-developers when an attack is detected. We present Heisenberg, a proactive defense that provides complete protection against page table based side channels. We guarantee that any attack will either be prevented or detected automatically before {\em any} sensitive information leaks. Consequently, Heisenberg can always securely resume enclave execution -- even when the attacker is still present in the system. We present two implementations. Heisenberg-HW relies on very limited hardware features to defend against page-table-based attacks. We use the x86/SGX platform as an example, but the same approach can be applied when protected-module architectures are ported to different platforms as well. Heisenberg-SW avoids these hardware modifications and can readily be applied. Unfortunately, it's reliance on Intel Transactional Synchronization Extensions (TSX) may lead to significant performance overhead under real-life conditions.

研究动机与目标

• 解决 Intel SGX 中的关键漏洞：攻击者可通过操纵不可信页表，利用页故障模式泄露机密区秘密。
• 克服反应式防御的局限性，包括误报、无法检测的新攻击，以及检测后无法安全恢复执行的问题。
• 提供一种主动防御机制，确保即使攻击者长期存在于系统中，也不会发生信息泄露。
• 设计一种与现有系统软件向后兼容的解决方案，无需对完整可信计算基（TCB）进行大规模重构，也无需修改应用程序代码。

提出的方法

• 在机密区执行保密性敏感代码前，预先验证并预加载所有必需的页表翻译，确保不会发生意外页故障。
• 在 Heisenberg-SW 中使用 Intel 事务同步扩展（TSX），原子性地验证和提交页表翻译状态，防止恢复期间发生侧信道泄露。
• 实现一种硬件辅助变体（Heisenberg-HW），通过最小化 CPU 修改，例如增加页表预加载机制和安全状态跟踪寄存器。
• 在启用超线程（HyperThreading）的平台上，利用 PCR 寄存器检测并防止恢复期间的推测执行侧信道攻击。
• 与现有 SGX 内存管理机制集成，确保所有页访问模式在执行开始前均可预测并预先验证。
• 设计防御机制对机密区应用透明，完全兼容现有虚拟机监控器和操作系统对内存管理的控制。

实验结果

研究问题

• RQ1 是否能够通过主动防御机制，在不依赖运行时检测的前提下，完全防止 SGX 机密区中基于页表的侧信道攻击？
• RQ2 如何在最小化硬件修改的前提下，高效实现页表翻译预加载，同时确保强隔离保证？
• RQ3 使用 Intel TSX 保护机密区恢复操作时，性能与可靠性之间的权衡如何？
• RQ4 该防御能否抵御已知及新型的基于页表的侧信道攻击，包括利用无页故障或访问位变化的攻击？
• RQ5 在检测到攻击后，系统如何在不泄露恢复阶段信息的前提下，安全地恢复机密区执行？

主要发现

• Heisenberg 通过在执行前预加载并验证页表翻译，完全防止了所有基于页表的侧信道攻击，彻底消除了通过页故障模式泄露信息的可能性。
• 使用 Intel TSX 的 Heisenberg-SW 实现带来了显著的性能开销，且在高负载系统下（尤其是启用超线程的平台）可能导致非终止。
• 仅需最小硬件修改的 Heisenberg-HW 变体避免了 TSX 的性能缺陷，提供了稳定高效的防御机制。
• 即使攻击者仍存在于系统中，该防御也能实现机密区的安全恢复，因为恢复过程中不会泄露任何敏感信息。
• 该方法与现有 SGX 平台向后兼容，可应用于未来受保护模块架构，且无需修改应用程序代码。
• 该方案有效缓解了那些利用无页故障或访问位变化的攻击，而这些攻击是反应式防御无法检测的。