[论文解读] Tiny-CFA: A Minimalistic Approach for Control-Flow Attestation Using Verified Proofs of Execution.

Ivan De Oliveira Nunes, Sashidhar Jakkamsetti+1 more|arXiv (Cornell University)|Nov 14, 2020

Security and Verification in Computing参考文献 20被引用 7

一句话总结

Tiny-CFA 是一种针对资源受限 MCU 的极简控制流认证（CFA）技术，其唯一的硬件原原子是经过形式化验证的远程软件执行证明（PoX）。它在所有 CFA 解决方案中实现了最低的硬件成本——比以往方案低两个数量级，同时在运行时效率上优于基于代码插桩的 CFA，并通过形式化验证确保了强大的安全保证。

ABSTRACT

The design of tiny trust anchors has received significant attention over the past decade, to secure low-end MCU-s that cannot afford expensive security mechanisms. In particular, hardware/software (hybrid) co-designs offer low hardware cost, while retaining similar security guarantees as (more expensive) hardware-based techniques. Hybrid trust anchors support security services, such as remote attestation, proofs of software update/erasure/reset, proofs of remote software execution, in resource-constrained MCU-s, e.g., MSP430 and AVR AtMega32. Despite these advances, detection of control-flow attacks in low-end MCU-s remains a challenge, since hardware requirements of the cheapest related architectures are often more expensive than the MCU-s themselves. In this work, we tackle this challenge by designing Tiny-CFA - a control-flow attestation (CFA) technique with a single hardware requirement - the ability to generate proofs of remote software execution (PoX). In turn, PoX can be implemented very efficiently and securely in low-end MCU-s. Consequently, our design achieves the lowest hardware overhead of any CFA architecture (i.e., two orders of magnitude cheaper), while relying on a formally verified PoX architecture as its sole hardware requirement. With respect to runtime overhead, Tiny-CFA also achieves better performance than prior CFA techniques based on code instrumentation. We implement and evaluate Tiny-CFA, analyze its security, and demonstrate its practicality using real-world publicly available applications.

研究动机与目标

• 解决在低端 MCU 上以极低硬件开销检测控制流攻击的挑战。
• 克服现有 CFA 解决方案需要昂贵硬件的局限，而这些硬件成本往往超过 MCU 本身的成本。
• 设计一种在超资源受限平台（如 MSP430 和 AVR AtMega32）上高效运行的 CFA 系统。
• 通过形式化验证底层执行证明（PoX）原原子，确保强大的安全保证。
• 与现有基于代码插桩的 CFA 技术相比，最小化运行时开销。

提出的方法

• 利用单一、经过形式化验证的硬件原原子：远程软件执行证明（PoX），该原原子可在低端 MCU 上高效实现。
• 基于 PoX 构建控制流认证，无需额外硬件扩展或复杂插桩。
• 使用最小化的可信执行环境远程生成和验证 PoX 证明。
• 将 PoX 集成到 MCU 现有的安全执行路径中，以减少运行时和内存开销。
• 使用符号执行和定理证明对 PoX 组件进行形式化验证，以确保正确性和安全性。
• 设计轻量级的 CFA 协议，实现远程控制流完整性验证，通信和计算开销极低。

实验结果

研究问题

• RQ1 是否仅依赖单一、最小化的硬件原原子，就能在超资源受限的 MCU 上实现控制流认证？
• RQ2 与现有 CFA 解决方案相比，Tiny-CFA 在面积和功耗方面的硬件成本如何？
• RQ3 与基于代码插桩的 CFA 技术相比，Tiny-CFA 的运行时性能开销是多少？
• RQ4 对 PoX 原原子的形式化验证在多大程度上增强了整个 CFA 系统的安全保证？
• RQ5 Tiny-CFA 是否可以在实际运行于低端 MCU 的应用中成功部署？

主要发现

• Tiny-CFA 实现了目前已知 CFA 架构中最低的硬件成本，相比先前工作将开销降低了两个数量级。
• Tiny-CFA 的运行时开销低于基于代码插桩的 CFA 技术，因此在实际应用中更具效率。
• 经过形式化验证的 PoX 原原子确保了强大的安全保证，可防止认证证明被伪造或篡改。
• Tiny-CFA 已成功在 MSP430 和 AVR AtMega32 MCU 上运行的真实应用中实现并评估。
• 该设计在现有低端平台上具有实际可行性和可部署性，无需定制或昂贵的硬件扩展。
• 该系统在 8 位 MCU 严格的资源约束下，仍能保持强大的安全属性。