論文の概要: Cabin: Confining Untrusted Programs within Confidential VMs

• arxiv url: http://arxiv.org/abs/2407.12334v2
• Date: Thu, 18 Jul 2024 01:37:07 GMT
• ステータス: 処理完了
• システム内更新日: 2024-07-19 11:38:46.580181
• Title: Cabin: Confining Untrusted Programs within Confidential VMs
• Title（参考訳）: Cabin: 秘密のVM内で信頼できないプログラムを精査する
• Authors: Benshan Mei, Saisai Xia, Wenhao Wang, Dongdai Lin,
• Abstract要約: 機密コンピューティングは、信頼できないクラウドから機密性の高い計算を保護します。 CVMは大規模で脆弱なオペレーティングシステムカーネルを伴い、カーネルの弱点を悪用する攻撃を受けやすい。 本研究では、最新のAMD SEV-SNP技術を利用したゲストVM内での独立した実行フレームワークであるCabinを提案する。
• 参考スコア（独自算出の注目度）: 13.022056111810599
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Confidential computing safeguards sensitive computations from untrusted clouds, with Confidential Virtual Machines (CVMs) providing a secure environment for guest OS. However, CVMs often come with large and vulnerable operating system kernels, making them susceptible to attacks exploiting kernel weaknesses. The imprecise control over the read/write access in the page table has allowed attackers to exploit vulnerabilities. The lack of security hierarchy leads to insufficient separation between untrusted applications and guest OS, making the kernel susceptible to direct threats from untrusted programs. This study proposes Cabin, an isolated execution framework within guest VM utilizing the latest AMD SEV-SNP technology. Cabin shields untrusted processes to the user space of a lower virtual machine privilege level (VMPL) by introducing a proxy-kernel between the confined processes and the guest OS. Furthermore, we propose execution protection mechanisms based on fine-gained control of VMPL privilege for vulnerable programs and the proxy-kernel to minimize the attack surface. We introduce asynchronous forwarding mechanism and anonymous memory management to reduce the performance impact. The evaluation results show that the Cabin framework incurs a modest overhead (5% on average) on Nbench and WolfSSL benchmarks.
• Abstract（参考訳）: Confidential Virtual Machines (CVM)はゲストOSのセキュアな環境を提供する。 しかし、CVMは大規模で脆弱なオペレーティングシステムカーネルを伴い、カーネルの弱点を悪用する攻撃を受けやすい。 ページテーブルの読み取り/書き込みアクセスに対する不正確な制御により、攻撃者は脆弱性を悪用できるようになった。 セキュリティ階層の欠如により、信頼できないアプリケーションとゲストOSの分離が不十分になり、カーネルは信頼できないプログラムからの直接の脅威を受けにくくなった。 本研究では、最新のAMD SEV-SNP技術を利用したゲストVM内での独立した実行フレームワークであるCabinを提案する。 Cabinは、制限されたプロセスとゲストOSの間にプロキシカーネルを導入することにより、信頼できないプロセスを低い仮想マシン特権レベル(VMPL)のユーザ空間に保護する。 さらに、脆弱なプログラムに対するVMPL特権の細かい制御と、攻撃面を最小限に抑えるためのプロキシカーネルに基づく実行保護機構を提案する。 非同期転送機構と匿名メモリ管理を導入し、性能への影響を低減する。 評価結果から,CabinフレームワークはNbenchベンチマークとWolfSSLベンチマークにおいて,わずかにオーバーヘッド(平均5%)を発生していることがわかった。

関連論文リスト

• Preventing Rowhammer Exploits via Low-Cost Domain-Aware Memory Allocation [46.268703252557316]
  Rowhammerは、最新のDRAMベースのメモリを持つすべてのシステムの中心にあるハードウェアセキュリティの脆弱性である。 C Citadelは、Rowhammerの初期セキュリティエクスプロイトを防ぐ新しいメモリアロケータ設計である。 C Citadelは数千のセキュリティドメインを、平均7.4%のメモリオーバーヘッドでサポートし、パフォーマンスを損なわない。
  論文  参考訳（メタデータ） (2024-09-23T18:41:14Z)
• Devlore: Extending Arm CCA to Integrated Devices A Journey Beyond Memory to Interrupt Isolation [10.221747752230131]
  Arm Confidential Computing Architectureは、Realmと呼ばれる抽象化でセンシティブな計算を実行する。 CCAは、プラットフォーム上の統合デバイスがレルムにアクセスすることを許可していない。 本稿では,Devloreについて述べる。
  論文  参考訳（メタデータ） (2024-08-11T17:33:48Z)
• Securing the Open RAN Infrastructure: Exploring Vulnerabilities in Kubernetes Deployments [60.51751612363882]
  ソフトウェアベースのオープン無線アクセスネットワーク(RAN)システムのセキュリティへの影響について検討する。 我々は、Near Real-Time RAN Controller(RIC)クラスタをサポートするインフラストラクチャに潜在的な脆弱性と設定ミスがあることを強調します。
  論文  参考訳（メタデータ） (2024-05-03T07:18:45Z)
• WeSee: Using Malicious #VC Interrupts to Break AMD SEV-SNP [2.8436446946726557]
  AMD SEV-SNPは、機密性の高いクラウドワークロードを保護するために、VMレベルの信頼できる実行環境(TEE)を提供する。 WeSee攻撃は、悪意のある#VCを被害者VMのCPUに注入し、AMD SEV-SNPのセキュリティ保証を侵害する。 ケーススタディでは、WeSeeが機密VM情報(NGINX用のkTLSキー)を漏洩し、カーネルデータ(ファイアウォールルール)を破損させ、任意のコードを注入できることが示されている。
  論文  参考訳（メタデータ） (2024-04-04T15:30:13Z)
• Heckler: Breaking Confidential VMs with Malicious Interrupts [2.650561978417805]
  Hecklerは新しい攻撃で、ハイパーバイザは悪意のある非タイマー割り込みを注入し、CVMの機密性と整合性を壊す。 In AMD SEV-SNP and Intel TDX, we demonstrate Heckler on OpenSSH and bypass authentication。
  論文  参考訳（メタデータ） (2024-04-04T11:37:59Z)
• The Road to Trust: Building Enclaves within Confidential VMs [17.064775757967627]
  NestedSGXは仮想マシン特権レベル(VMPL)を活用するフレームワークである。 それは、悪質なコードのロードを信頼していないゲストOSだと考えている。 これは、エンクレーブ内で実行される信頼され測定されたコードだけがリモートで検証可能であることを保証します。
  論文  参考訳（メタデータ） (2024-02-18T03:15:02Z)
• HasTEE+ : Confidential Cloud Computing and Analytics with Haskell [50.994023665559496]
  信頼性コンピューティングは、Trusted Execution Environments(TEEs)と呼ばれる特別なハードウェア隔離ユニットを使用して、コテナントクラウドデプロイメントにおける機密コードとデータの保護を可能にする。 低レベルのC/C++ベースのツールチェーンを提供するTEEは、固有のメモリ安全性の脆弱性の影響を受けやすく、明示的で暗黙的な情報フローのリークを監視するための言語構造が欠如している。 私たちは、Haskellに埋め込まれたドメイン固有言語(cla)であるHasTEE+を使って、上記の問題に対処します。
  論文  参考訳（メタデータ） (2024-01-17T00:56:23Z)
• Putting a Padlock on Lambda -- Integrating vTPMs into AWS Firecracker [49.1574468325115]
  ソフトウェアサービスは、明確な信頼関係なしに、クラウドプロバイダに対して暗黙の信頼を置いている。 現在、Trusted Platform Module機能を公開するクラウドプロバイダは存在しない。 仮想TPMデバイスをAmazon Web Servicesによって開発されたFirecrackerに統合することで信頼性を向上させる。
  論文  参考訳（メタデータ） (2023-10-05T13:13:55Z)
• Citadel: Real-World Hardware-Software Contracts for Secure Enclaves Through Microarchitectural Isolation and Controlled Speculation [8.414722884952525]
  セキュアなエンクレーブのようなハードウェアアイソレーションプリミティブは、プログラムを保護することを目的としているが、一時的な実行攻撃には弱いままである。 本稿では,マイクロアーキテクチャの分離プリミティブと制御された投機機構をプロセッサに組み込むことを提唱する。 命令外プロセッサにおいて、エンクレーブと信頼できないOS間でメモリを安全に共有する2つのメカニズムを導入する。
  論文  参考訳（メタデータ） (2023-06-26T17:51:23Z)
• DRSM: De-Randomized Smoothing on Malware Classifier Providing Certified Robustness [58.23214712926585]
  我々は,マルウェア検出領域の非ランダム化スムース化技術を再設計し,DRSM(De-Randomized Smoothed MalConv)を開発した。 具体的には,実行可能ファイルの局所構造を最大に保ちながら,逆数バイトの影響を確実に抑制するウィンドウアブレーション方式を提案する。 私たちは、マルウェア実行ファイルの静的検出という領域で、認証された堅牢性を提供する最初の人です。
  論文  参考訳（メタデータ） (2023-03-20T17:25:22Z)
• Adversarial EXEmples: A Survey and Experimental Evaluation of Practical Attacks on Machine Learning for Windows Malware Detection [67.53296659361598]
  EXEmplesは、比較的少ない入力バイトを摂動することで、機械学習に基づく検出をバイパスすることができる。 我々は、機械学習モデルに対する過去の攻撃を包含し、一般化するだけでなく、3つの新たな攻撃を含む統一フレームワークを開発する。 これらの攻撃はFull DOS、Extended、Shiftと呼ばれ、DOSヘッダをそれぞれ操作し、拡張し、第1セクションの内容を変更することで、敵のペイロードを注入する。
  論文  参考訳（メタデータ） (2020-08-17T07:16:57Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。