論文の概要: Pomegranate: A Lightweight Compartmentalization Architecture using Virtualization Extensions
- arxiv url: http://arxiv.org/abs/2605.07008v1
- Date: Thu, 07 May 2026 22:44:40 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-05-11 19:43:38.657924
- Title: Pomegranate: A Lightweight Compartmentalization Architecture using Virtualization Extensions
- Title（参考訳）: Pomegranate: 仮想化拡張を用いた軽量比較化アーキテクチャ
- Authors: Shriram Raja, Zhiyuan Ruan, Richard West,
- Abstract要約: Pomegranateは、ソースコードを最小限または全く変更することなく、既存のシステムを安全に構成するフレームワークである。
igc NICドライバを用いたLinuxネットワークスタックにおけるPomegranateの有効性を示す。
- 参考スコア（独自算出の注目度）: 0.0
- License: http://creativecommons.org/licenses/by-nc-sa/4.0/
- Abstract: The monolithic nature of widely used commodity operating systems means that vulnerabilities in one software component potentially compromise the entire kernel. Formally verifying these systems, or redesigning them altogether as microkernels, according to the principle of least privilege, requires significant effort. Researchers have therefore considered compartmentalization techniques that minimize or totally avoid changes to existing systems. However, current approaches use techniques such as Memory Protection Keys (MPKs), necessitating extensive code analysis to ensure security, or use virtualization by instrumenting the kernel with calls to the glue code that switches compartments. In this work, we present Pomegranate, a framework that uses hardware-assisted virtualization to securely compartmentalize an existing system with minimal to no modifications to its source code. Allowed interactions between compartments are defined using an access-control policy and strictly enforced using Extended Page Tables. Using special sentry functions, Pomegranate is able to check all cross-compartment transitions without trapping into the hypervisor. We demonstrate the efficacy of Pomegranate on a compartmentalized Linux network stack using the igc NIC driver. Experiments show the overheads of our approach are negligible at MTU-sized packets when compartment boundaries are carefully established to avoid excessive inter-compartment communication.
- Abstract（参考訳）: 広く使われているコモディティオペレーティングシステムのモノリシックな性質は、あるソフトウェアコンポーネントの脆弱性がカーネル全体に侵入する可能性があることを意味する。
これらのシステムを形式的に検証したり、マイクロカーネルとして再設計したりするには、最小特権の原則に従って、多大な努力が必要である。
そのため、研究者は既存のシステムの変更を最小限に抑え、あるいは完全に回避する区画化技術を検討した。
しかし、現在のアプローチでは、メモリ保護キー(MPK)のような技術を使用し、セキュリティを確保するために広範なコード解析を必要とする。
本研究では,ハードウェア支援仮想化を用いて,ソースコードの変更を最小限から最小限にすることなく,既存のシステムをセキュアに構成するフレームワークであるPomegranateを提案する。
コンパートメント間の相互作用はアクセス制御ポリシーを使用して定義され、拡張ページテーブルを使用して厳格に強制される。
Pomegranateは特別なセンタリー関数を使用して、ハイパーバイザにトラップすることなく、すべてのクロスコンパートメントトランジションをチェックすることができる。
igc NICドライバを用いたLinuxネットワークスタックにおけるPomegranateの有効性を示す。
実験により,MTUサイズのパケットでは,コンパートメント間通信の過度を回避するために,コンパートメント境界が慎重に確立されている場合,そのオーバーヘッドは無視可能であることが示された。
関連論文リスト
- Interferences within a certifiable design methodology for high-performance multi-core platforms [0.030549166519595692]
異なる抽象化レベルで運用するいくつかのツールをまとめる方法論を提案する。
提案手法の目的は,メモリ干渉を低減し,システムの予測可能性を向上させることにより,安全クリティカル領域におけるマルチコアシステムの認証プロセスを緩和することである。
論文 参考訳（メタデータ） (2026-02-11T10:59:37Z) - Rethinking Multi-Condition DiTs: Eliminating Redundant Attention via Position-Alignment and Keyword-Scoping [61.459927600301654]
マルチコンディション制御は従来のコンカデント・アンド・アットエンドの戦略によってボトルネックとなる。
分析の結果,これらの相互作用の多くは空間的にも意味的にも冗長であることがわかった。
本稿では,これらの冗長性を解消するための高効率なフレームワークであるPKAを提案する。
論文 参考訳（メタデータ） (2026-02-06T16:39:10Z) - Building a Robust Risk-Based Access Control System to Combat Ransomware's Capability to Encrypt: A Machine Learning Approach [0.510691253204425]
ランサムウェアの中核機能、無許可の暗号化は、正当な使用を妨害することなく悪意のある暗号化活動を識別しブロックする制御を要求する。
我々は、機械学習推論と必須アクセス制御を結合して、Linux上の暗号化をリアルタイムに規制する確率論的、リスクベースのアクセス制御アーキテクチャを提案する。
論文 参考訳（メタデータ） (2026-01-23T14:48:35Z) - Breaking Isolation: A New Perspective on Hypervisor Exploitation via Cross-Domain Attacks [36.844941042404315]
クロスドメインアタック(Cross-Domain Attacks)は、ゲストメモリの再利用を通じて能力のエスカレーションを可能にする、エクスプロイトテクニックのクラスである。
我々は、ドメイン横断ガジェットを特定し、それらを劣化したポインタとマッチングし、入力をトリガーするシステムを開発し、完全なエクスプロイトチェーンを組み立てる。
論文 参考訳（メタデータ） (2025-12-03T20:55:26Z) - ACRIC: Securing Legacy Communication Networks via Authenticated Cyclic Redundancy Integrity Check [98.34702864029796]
安全クリティカルな業界における最近のセキュリティインシデントは、適切なメッセージ認証の欠如により、攻撃者が悪意のあるコマンドを注入したり、システムの振る舞いを変更することができることを明らかにした。
これらの欠点は、サイバーセキュリティを強化するために圧力をかける必要性を強調する新しい規制を引き起こしている。
我々は,レガシ産業通信をセキュアにするためのメッセージ認証ソリューションであるACRICを紹介する。
論文 参考訳（メタデータ） (2024-11-21T18:26:05Z) - BULKHEAD: Secure, Scalable, and Efficient Kernel Compartmentalization with PKS [16.239598954752594]
カーネルの区画化は、最小特権原理に従う有望なアプローチである。
本稿では,セキュアでスケーラブルで効率的なカーネルコンパートナライズ技術であるBULKHEADを提案する。
ロード可能なカーネルモジュールを分割するプロトタイプシステムをLinux v6.1で実装する。
論文 参考訳（メタデータ） (2024-09-15T04:11:26Z) - Securing Monolithic Kernels using Compartmentalization [0.9236074230806581]
カーネルの非必須部分の単一欠陥により、オペレーティングシステム全体が攻撃者の制御下に入る可能性がある。
カーネル硬化技術は特定のタイプの脆弱性を防ぐかもしれないが、根本的な弱点に対処することができない。
我々は,コミュニティが今後の作業と比較し,議論することのできる分類法を提案する。
論文 参考訳（メタデータ） (2024-04-12T04:55:13Z) - Reusable Slotwise Mechanisms [45.48002329758044]
スロット間の通信を利用してオブジェクトのダイナミクスをモデル化するフレームワークであるReusable Slotwise Mechanisms(RCM)を紹介する。
RSMはCCI(Central Contextual Information)を活用し、選択したメカニズムが残りのスロットにアクセスできるようにする。
実験により, 最先端手法と比較してRCMの優れた性能が示された。
論文 参考訳（メタデータ） (2023-02-21T08:07:27Z) - Safe RAN control: A Symbolic Reinforcement Learning Approach [62.997667081978825]
本稿では,無線アクセスネットワーク(RAN)アプリケーションの安全管理のためのシンボル強化学習(SRL)アーキテクチャを提案する。
我々は、ユーザが所定のセルネットワークトポロジに対して高レベルの論理的安全性仕様を指定できる純粋に自動化された手順を提供する。
ユーザがシステムに意図仕様を設定するのを支援するために開発されたユーザインターフェース(UI)を導入し、提案するエージェントの動作の違いを検査する。
論文 参考訳（メタデータ） (2021-06-03T16:45:40Z) - Modular Interactive Video Object Segmentation: Interaction-to-Mask,
Propagation and Difference-Aware Fusion [68.45737688496654]
本稿では,マスク間相互作用とマスク伝搬を分離するモジュール型対話型VOSフレームワークを提案する。
提案手法は,フレーム間インタラクションを少なくしつつ,現在の最先端アルゴリズムよりも優れることを示す。
論文 参考訳（メタデータ） (2021-03-14T14:39:08Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。