論文の概要: CAPIO: Safe Kernel-Bypass of Commodity Devices using Capabilities
- arxiv url: http://arxiv.org/abs/2512.16957v1
- Date: Thu, 18 Dec 2025 01:54:00 GMT
- ステータス: 翻訳完了
- システム内更新日: 2025-12-22 19:25:54.122393
- Title: CAPIO: Safe Kernel-Bypass of Commodity Devices using Capabilities
- Title（参考訳）: CAPIO: 機能を利用したコモディティデバイスの安全なカーネルバイパス
- Authors: Friedrich Doku, Jonathan Laughton, Nick Wanninger, Peter Dinda,
- Abstract要約: CAPIOは、メモリマップされたI/Oにきめ細かいアクセス制御を強制するハードウェア機能を利用する最初のアーキテクチャである。
CAPIOは、特権リソースのバイトレベルアクセス制御を強制しながら、カーネルバイパスのレイテンシ改善を実現する。
- 参考スコア（独自算出の注目度）: 0.2624902795082451
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: Securing low-latency I/O in commodity systems forces a fundamental trade-off: rely on the kernel's high overhead mediated interface, or bypass it entirely, exposing sensitive hardware resources to userspace and creating new vulnerabilities. This dilemma stems from a hardware granularity mismatch: standard MMUs operate at page boundaries, making it impossible to selectively expose safe device registers without also exposing the sensitive control registers colocated on the same page. Existing solutions to driver isolation enforce an isolation model that cannot protect sub-page device resources. This paper presents CAPIO, the first architecture to leverage hardware capabilities to enforce fine-grained access control on memory-mapped I/O. Unlike prior page-based protections, CAPIO utilizes unforgeable capabilities to create precise, sub-page "slices" of device memory. This mechanism enables the kernel to delegate latency-critical hardware access to userspace applications while strictly preventing interaction with co-located privileged registers. We implement CAPIO based on CHERI on the ARM Morello platform and demonstrate a proof-of-concept safe-access driver for a commodity network card which was not originally designed for kernel bypass. We demonstrate that CAPIO achieves the latency improvements of kernel bypass while enforcing byte-level access control of privileged resources.
- Abstract（参考訳）: 低レイテンシI/Oをコモディティシステムに確保することは、カーネルの高オーバーヘッドに依存したインターフェースに依存する、あるいは完全にバイパスする、ユーザ空間にセンシティブなハードウェアリソースを公開し、新たな脆弱性を発生させるという、基本的なトレードオフを迫られる。
このジレンマはハードウェアの粒度ミスマッチに起因しており、標準的なMMUはページ境界で動作し、同じページ上に共有されている機密制御レジスタを公開せずに安全なデバイスレジスタを選択的に公開することは不可能である。
既存のドライバ分離ソリューションは、サブページデバイスリソースを保護できない分離モデルを強制する。
本稿では,メモリマップによるI/Oの詳細なアクセス制御を実現するため,ハードウェア機能を活用した最初のアーキテクチャであるCAPIOを提案する。
従来のページベースのプロテクションとは異なり、CAPIOは偽造不可能な機能を使用してデバイスメモリの正確なサブページスライスを生成する。
このメカニズムにより、カーネルはレイテンシクリティカルなハードウェアアクセスをユーザ空間アプリケーションに委譲し、同時にロケーションされた特権レジスタとの相互作用を厳格に防ぐことができる。
ARM Morelloプラットフォーム上でCHERIをベースとしたCAPIOを実装し,カーネルバイパス用に設計されていないコモディティネットワークカードに対して,概念実証セーフアクセスドライバを実証した。
CAPIOは、特権リソースのバイトレベルアクセス制御を強制しながら、カーネルバイパスのレイテンシ改善を実現する。
関連論文リスト
- Securing Operating Systems Through Fine-grained Kernel Access Limitation for IoT Systems [9.530140349882954]
Seccompは、未使用のsyscallへのアクセスをブロックしてカーネルを保護するために広く使用されている。
既存のSeccomp設定アプローチは粗い粒度であり、syscall引数の分析と制限はできない。
本稿では,組み込みアプリケーションのための新しい静的依存型サイスコール解析手法を提案する。
論文 参考訳（メタデータ） (2025-10-04T08:42:17Z) - CANDoSA: A Hardware Performance Counter-Based Intrusion Detection System for DoS Attacks on Automotive CAN bus [45.24207460381396]
本稿では,制御領域ネットワーク(CAN)環境向けに設計された新しい侵入検知システム(IDS)を提案する。
RISC-VベースのCAN受信機はgem5シミュレータを用いてシミュレートされ、AES-128暗号化によるCANフレームペイロードをFreeRTOSタスクとして処理する。
結果は、このアプローチがCANセキュリティを大幅に改善し、自動車サイバーセキュリティにおける新たな課題に対処する可能性があることを示唆している。
論文 参考訳（メタデータ） (2025-07-19T20:09:52Z) - Enabling Security on the Edge: A CHERI Compartmentalized Network Stack [42.78181795494584]
CHERIは、きめ細かい区画化とメモリ保護を可能にすることにより、ハードウェアレベルでの強力なセキュリティを提供する。
ケーススタディでは,Arm Morelloプラットフォーム上にデプロイされたCheriBSDシステム上での分離アプリケーション,TCP/IPライブラリ,ネットワークドライバのトレードオフについて検討した。
論文 参考訳（メタデータ） (2025-07-07T09:37:59Z) - DRIFT: Dynamic Rule-Based Defense with Injection Isolation for Securing LLM Agents [52.92354372596197]
大規模言語モデル(LLM)は、強力な推論と計画能力のため、エージェントシステムの中心となってきています。
この相互作用は、外部ソースからの悪意のある入力がエージェントの振る舞いを誤解させる可能性がある、インジェクション攻撃のリスクも引き起こす。
本稿では,信頼に値するエージェントシステムのための動的ルールベースの分離フレームワークを提案する。
論文 参考訳（メタデータ） (2025-06-13T05:01:09Z) - Intelligent Detection of Non-Essential IoT Traffic on the Home Gateway [45.70482328441101]
本研究は,エッジにおけるネットワークの挙動を解析することにより,非必要IoTトラフィックを検出し緩和するシステムであるML-IoTrimを提案する。
当社のフレームワークは、IoTデバイスを5つのカテゴリから構成したコンシューマスマートホームセットアップでテストし、モデルが非本質的なトラフィックを正確に識別し、ブロックできることを実証した。
この研究は、スマートホームにおけるプライバシーに配慮したトラフィック制御を推進し、IoTデバイスプライバシの今後の発展への道を開く。
論文 参考訳（メタデータ） (2025-04-22T09:40:05Z) - Extending Lifetime of Embedded Systems by WebAssembly-based Functional Extensions Including Drivers [46.538276603099916]
WebAssembly(Wasm)コンテナ内の周辺I/O操作を容易にするために設計されたフレームワークであるWasm-IOを紹介する。
プラットフォームに依存しない周辺構成をWasmバイナリ内に埋め込むための同期I/Oと手法について詳述する。
論文 参考訳（メタデータ） (2025-03-10T17:22:00Z) - Secure Software/Hardware Hybrid In-Field Testing for System-on-Chip [0.0]
Modern Systems-on-Chips (SoCs) は組み込みセルフテスト (BIST) モジュールをデバイスの知的財産権 (IP) ブロックに深く組み込んでいる。
BISTの結果は、テスト中のデバイスの内部構造と状態を明らかにし、そのため攻撃ベクトルを開放する可能性がある。
いわゆる結果のコンパクト化は、BISTチェーン構造を隠すことでこの脆弱性を克服できるが、エイリアス化や無効なシグネチャの問題を提起する。
上述した制限を克服する、低オーバーヘッドのソフトウェア/ハードウェアハイブリッドアプローチを導入します。
論文 参考訳（メタデータ） (2024-10-07T15:04:37Z) - BULKHEAD: Secure, Scalable, and Efficient Kernel Compartmentalization with PKS [16.239598954752594]
カーネルの区画化は、最小特権原理に従う有望なアプローチである。
本稿では,セキュアでスケーラブルで効率的なカーネルコンパートナライズ技術であるBULKHEADを提案する。
ロード可能なカーネルモジュールを分割するプロトタイプシステムをLinux v6.1で実装する。
論文 参考訳（メタデータ） (2024-09-15T04:11:26Z) - HasTEE+ : Confidential Cloud Computing and Analytics with Haskell [50.994023665559496]
信頼性コンピューティングは、Trusted Execution Environments(TEEs)と呼ばれる特別なハードウェア隔離ユニットを使用して、コテナントクラウドデプロイメントにおける機密コードとデータの保護を可能にする。
低レベルのC/C++ベースのツールチェーンを提供するTEEは、固有のメモリ安全性の脆弱性の影響を受けやすく、明示的で暗黙的な情報フローのリークを監視するための言語構造が欠如している。
私たちは、Haskellに埋め込まれたドメイン固有言語(cla)であるHasTEE+を使って、上記の問題に対処します。
論文 参考訳（メタデータ） (2024-01-17T00:56:23Z) - Fortress: Securing IoT Peripherals with Trusted Execution Environments [2.2476099815732518]
IoT(Internet of Things)デバイスは、マイクロフォンやカメラなどの周辺入力を通じて、オーディオや視覚データなどの機密情報を収集することが多い。
信頼された実行環境(TEE)のセキュアなカーネル空間において、周辺I/Oメモリ領域を分離することにより、IoTベースのシステムのプライバシを高めるための汎用設計を提案する。
その後、センシティブな周辺データはユーザ空間TEEに安全に転送され、クラウドなど第三者に中継する前に難読化機構を適用することができる。
論文 参考訳（メタデータ） (2023-12-05T07:12:58Z) - Capacity: Cryptographically-Enforced In-Process Capabilities for Modern ARM Architectures (Extended Version) [1.2687030176231846]
Capacityは、機能ベースのセキュリティ原則を取り入れた、ハードウェア支援のプロセス内アクセス制御設計である。
独自のPAキーで認証されたプロセス内ドメインにより、Capacityはファイル記述子とメモリポインタを暗号化された参照に変換する。
Capacity対応のNGINX Webサーバプロトタイプや他の、機密性の高いリソースをさまざまなドメインに分離する一般的なアプリケーションを評価します。
論文 参考訳（メタデータ） (2023-09-20T08:57:02Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。