論文の概要: BULKHEAD: Secure, Scalable, and Efficient Kernel Compartmentalization with PKS
- arxiv url: http://arxiv.org/abs/2409.09606v1
- Date: Sun, 15 Sep 2024 04:11:26 GMT
- ステータス: 処理完了
- システム内更新日: 2024-09-17 14:28:32.039722
- Title: BULKHEAD: Secure, Scalable, and Efficient Kernel Compartmentalization with PKS
- Title（参考訳）: BULKHEAD: PKSによるセキュアでスケーラブルで効率的なカーネル比較
- Authors: Yinggang Guo, Zicheng Wang, Weiheng Bai, Qingkai Zeng, Kangjie Lu,
- Abstract要約: カーネルの区画化は、最小特権原理に従う有望なアプローチである。
本稿では,セキュアでスケーラブルで効率的なカーネルコンパートナライズ技術であるBULKHEADを提案する。
ロード可能なカーネルモジュールを分割するプロトタイプシステムをLinux v6.1で実装する。
- 参考スコア（独自算出の注目度）: 16.239598954752594
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: The endless stream of vulnerabilities urgently calls for principled mitigation to confine the effect of exploitation. However, the monolithic architecture of commodity OS kernels, like the Linux kernel, allows an attacker to compromise the entire system by exploiting a vulnerability in any kernel component. Kernel compartmentalization is a promising approach that follows the least-privilege principle. However, existing mechanisms struggle with the trade-off on security, scalability, and performance, given the challenges stemming from mutual untrustworthiness among numerous and complex components. In this paper, we present BULKHEAD, a secure, scalable, and efficient kernel compartmentalization technique that offers bi-directional isolation for unlimited compartments. It leverages Intel's new hardware feature PKS to isolate data and code into mutually untrusted compartments and benefits from its fast compartment switching. With untrust in mind, BULKHEAD introduces a lightweight in-kernel monitor that enforces multiple important security invariants, including data integrity, execute-only memory, and compartment interface integrity. In addition, it provides a locality-aware two-level scheme that scales to unlimited compartments. We implement a prototype system on Linux v6.1 to compartmentalize loadable kernel modules (LKMs). Extensive evaluation confirms the effectiveness of our approach. As the system-wide impacts, BULKHEAD incurs an average performance overhead of 2.44% for real-world applications with 160 compartmentalized LKMs. While focusing on a specific compartment, ApacheBench tests on ipv6 show an overhead of less than 2%. Moreover, the performance is almost unaffected by the number of compartments, which makes it highly scalable.
- Abstract（参考訳）: 無限の脆弱性の流れは、搾取の効果を抑えるための原則的な緩和を緊急に要求する。
しかし、LinuxカーネルのようなコモディティOSカーネルのモノリシックなアーキテクチャは、攻撃者がカーネルコンポーネントの脆弱性を悪用することによってシステム全体に侵入することを可能にする。
カーネルの区画化は、最小特権原理に従う有望なアプローチである。
しかし、多くの複雑なコンポーネント間の相互の不信から生じる課題を考えると、既存のメカニズムはセキュリティ、スケーラビリティ、パフォーマンスのトレードオフに苦慮している。
本稿では,セキュアでスケーラブルで効率的なカーネルコンパートナライズ技術であるBULKHEADについて述べる。
Intelの新しいハードウェア機能であるPKSを活用して、データとコードを相互に信頼できないコンパートメントに分離し、高速コンパートメントスイッチによるメリットを享受する。
不信を念頭に置いて、BULKHEADは、データ整合性、実行専用メモリ、コンパートメントインターフェース整合性を含む、複数の重要なセキュリティ不変性を強制する軽量なカーネル内モニタを導入している。
さらに、無制限のコンパートメントにスケールするローカリティ対応の2レベルスキームも提供する。
ロード可能なカーネルモジュール(LKM)を分割するプロトタイプシステムをLinux v6.1で実装する。
広範囲な評価により,本手法の有効性が確認された。
システム全体の影響により、BULKHEADは160の複合化LKMを持つ現実世界のアプリケーションに対して平均2.44%のパフォーマンスオーバーヘッドを発生させる。
特定のコンパートメントにフォーカスしながら、ipv6のApacheBenchテストでは、オーバーヘッドは2%未満である。
さらに、パフォーマンスはコンパートメントの数にほとんど影響を受けないため、高いスケーラビリティを実現しています。
関連論文リスト
- RISecure-PUF: Multipurpose PUF-Driven Security Extensions with Lookaside Buffer in RISC-V [12.294919757082608]
RISecure-PUFは、既存のPhysical Unclonable Functionを利用するセキュリティ拡張である。
モデリング攻撃に対する証明可能なセキュリティを確保するために、一方通行ハッシュ関数が統合されている。
RISecure-PUFは、ハードウェアオーバーヘッドが無視できるバッチシナリオで、少なくとも$2.72times$を改善する。
論文 参考訳（メタデータ） (2024-11-21T11:26:23Z) - Securing Monolithic Kernels using Compartmentalization [0.9236074230806581]
カーネルの非必須部分の単一欠陥により、オペレーティングシステム全体が攻撃者の制御下に入る可能性がある。
カーネル硬化技術は特定のタイプの脆弱性を防ぐかもしれないが、根本的な弱点に対処することができない。
我々は,コミュニティが今後の作業と比較し,議論することのできる分類法を提案する。
論文 参考訳（メタデータ） (2024-04-12T04:55:13Z) - HasTEE+ : Confidential Cloud Computing and Analytics with Haskell [50.994023665559496]
信頼性コンピューティングは、Trusted Execution Environments(TEEs)と呼ばれる特別なハードウェア隔離ユニットを使用して、コテナントクラウドデプロイメントにおける機密コードとデータの保護を可能にする。
低レベルのC/C++ベースのツールチェーンを提供するTEEは、固有のメモリ安全性の脆弱性の影響を受けやすく、明示的で暗黙的な情報フローのリークを監視するための言語構造が欠如している。
私たちは、Haskellに埋め込まれたドメイン固有言語(cla)であるHasTEE+を使って、上記の問題に対処します。
論文 参考訳（メタデータ） (2024-01-17T00:56:23Z) - SOCI^+: An Enhanced Toolkit for Secure OutsourcedComputation on Integers [50.608828039206365]
本稿では,SOCIの性能を大幅に向上させるSOCI+を提案する。
SOCI+は、暗号プリミティブとして、高速な暗号化と復号化を備えた(2, 2)ホールドのPaillier暗号システムを採用している。
実験の結果,SOCI+は計算効率が最大5.4倍,通信オーバヘッドが40%少ないことがわかった。
論文 参考訳（メタデータ） (2023-09-27T05:19:32Z) - Capacity: Cryptographically-Enforced In-Process Capabilities for Modern ARM Architectures (Extended Version) [1.2687030176231846]
Capacityは、機能ベースのセキュリティ原則を取り入れた、ハードウェア支援のプロセス内アクセス制御設計である。
独自のPAキーで認証されたプロセス内ドメインにより、Capacityはファイル記述子とメモリポインタを暗号化された参照に変換する。
Capacity対応のNGINX Webサーバプロトタイプや他の、機密性の高いリソースをさまざまなドメインに分離する一般的なアプリケーションを評価します。
論文 参考訳（メタデータ） (2023-09-20T08:57:02Z) - SafeTI Traffic Injector Enhancement for Effective Interference Testing
in Critical Real-Time Systems [0.4751886527142778]
SafeTIトラフィックインジェクタがリリースされ、テスト用の同種RISC-Vマルチコアに統合された。
本稿では、高レートトラフィックインジェクションのための内部パイプライニングや、複数のインタフェースへの調整、さらにGaislerの宇宙領域技術に基づくより強力なヘテロジニアスRISC-Vマルチコアへの統合など、SafeTI上で実施されているいくつかの機能強化について紹介する。
論文 参考訳（メタデータ） (2023-07-28T09:26:50Z) - Citadel: Real-World Hardware-Software Contracts for Secure Enclaves Through Microarchitectural Isolation and Controlled Speculation [8.414722884952525]
セキュアなエンクレーブのようなハードウェアアイソレーションプリミティブは、プログラムを保護することを目的としているが、一時的な実行攻撃には弱いままである。
本稿では,マイクロアーキテクチャの分離プリミティブと制御された投機機構をプロセッサに組み込むことを提唱する。
命令外プロセッサにおいて、エンクレーブと信頼できないOS間でメモリを安全に共有する2つのメカニズムを導入する。
論文 参考訳（メタデータ） (2023-06-26T17:51:23Z) - Harnessing Deep Learning and HPC Kernels via High-Level Loop and Tensor Abstractions on CPU Architectures [67.47328776279204]
この研究は、効率的でポータブルなDeep LearningとHigh Performance Computingカーネルを開発するためのフレームワークを導入している。
1)プロセッシングプリミティブ(TPP)を用いた計算コアの表現と,2)高レベルな宣言的手法でTPPのまわりの論理ループの表現の2つのステップでカーネルの開発を分解する。
我々は、スタンドアロンカーネルと、さまざまなCPUプラットフォームにおける最先端実装よりも優れたエンドツーエンドワークロードを使用して、このアプローチの有効性を実証する。
論文 参考訳（メタデータ） (2023-04-25T05:04:44Z) - Multiple Kernel Clustering with Dual Noise Minimization [56.009011016367744]
マルチカーネルクラスタリング(MKC)は、ベースカーネルから補完的な情報を統合することでデータをグループ化する。
本稿では,双対雑音を厳密に定義し,パラメータフリーなMKCアルゴリズムを提案する。
二重ノイズはブロック対角構造を汚染し,クラスタリング性能の劣化を招き,CノイズはNノイズよりも強い破壊を示す。
論文 参考訳（メタデータ） (2022-07-13T08:37:42Z) - CARAFE++: Unified Content-Aware ReAssembly of FEatures [132.49582482421246]
この目標を達成するために、ユニバーサルで軽量で高効率なオペレータであるContent-Aware ReAssembly of FEatures(CARAFE++)を提案します。
CARAFE++は、インスタンス固有のコンテンツ認識処理を可能にするアダプティブカーネルをオンザフライで生成する。
計算のオーバーヘッドが無視できるすべてのタスクにおいて、一貫性と実質的な利益を示しています。
論文 参考訳（メタデータ） (2020-12-07T07:34:57Z) - FCOS: A simple and strong anchor-free object detector [111.87691210818194]
物体検出を画素ごとの予測方式で解くために, 完全畳み込み型一段物検出器 (FCOS) を提案する。
RetinaNet、SSD、YOLOv3、Faster R-CNNといった最先端のオブジェクト検出器のほとんどは、事前に定義されたアンカーボックスに依存している。
対照的に、提案した検出器FCOSはアンカーボックスフリーであり、提案はフリーである。
論文 参考訳（メタデータ） (2020-06-14T01:03:39Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。