論文の概要: Isolation Failure From Shared Storage: Characterizing and Exploiting Page-Cache SCA Leakage Across Containers and VMs
- arxiv url: http://arxiv.org/abs/2607.17518v1
- Date: Mon, 20 Jul 2026 03:47:34 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-07-21 18:48:37.491995
- Title: Isolation Failure From Shared Storage: Characterizing and Exploiting Page-Cache SCA Leakage Across Containers and VMs
- Title（参考訳）: 共有ストレージからの分離障害: コンテナとVMをまたいだページキャッシュSCAリークの特性とエクスプロイト
- Abstract要約: 分離境界を横断するページキャッシュの在り方を明らかにするために,未所有のタイミング測定が有効かどうかを検討する。
結果は、ページキャッシュ攻撃をOSを介するマイクロアーキテクチャのタイミングチャネルの幅広いクラスに配置する。
- 参考スコア（独自算出の注目度）: 30.297643848902776
- License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
- Abstract: Modern cloud platforms increasingly combine strong software isolation mechanisms with shared hardware resources to improve performance and resource efficiency. Conventional containers do this by sharing the host kernel directly, whereas sandboxed runtimes (e.g., gVisor) and VM-based runtimes (e.g., Kata, QEMU/KVM) provide progressively stronger isolation. In all cases, when tenants access host-backed filesystem state, the host page cache can remain shared and observable. Although OS-managed, this page-cache channel forms an OS-mediated microarchitectural timing side channel whose signal is shaped by the processor microarchitecture, memory and storage hierarchies, and virtualization mechanisms. We thus investigate whether unprivileged timing measurements can reveal page-cache residency across these isolation boundaries. Our evaluation covers Docker; gVisor with systrap and KVM; Kata Containers using QEMU and Cloud Hypervisor with shared host filesystems; Kata using QEMU, Cloud Hypervisor, and Firecracker with block-device-backed storage; and QEMU/KVM virtual machines under multiple host cache policies. Our results show that the timing signal persists whenever the I/O path exposes shared, host-cacheable file-backed objects, including under OverlayFS layers, virtio-fs exports, and loop-backed block devices. However, direct I/O and dedicated block devices substantially attenuate or eliminate the signal. Virtualization therefore reshapes leakage through added latency and algorithmic noise but does not remove the underlying dependence on shared hardware and cache state. We showcase this through a case study in which we recover coarse-grained activity from a WordPress deployment backed by MySQL. These results place page-cache attacks within the broader class of OS-mediated microarchitectural timing channels and motivate coordinated hardware, virtualization, and OS support for timing isolation.
- Abstract（参考訳）: 現代のクラウドプラットフォームは、パフォーマンスとリソース効率を改善するために、強力なソフトウェア分離メカニズムと共有ハードウェアリソースをますます組み合わせています。
一方、サンドボックス化されたランタイム(例:gVisor)とVMベースのランタイム(例:Kata、QEMU/KVM)は、徐々に強力な分離を提供します。
いずれの場合も、テナントがホストが支援するファイルシステムの状態にアクセスすると、ホストページキャッシュは共有され、監視可能である。
OSは管理されているが、このページキャッシュチャネルは、プロセッサマイクロアーキテクチャ、メモリとストレージ階層、仮想化機構によって信号が形成されるOSを介するマイクロアーキテクチャのタイミング側チャネルを形成する。
そこで本稿では,これらの分離境界を横断するページキャッシュの在りやすさを,未所有のタイミング測定によって明らかにできるかどうかを考察する。
評価対象はDocker,systrapとKVMを使用したgVisor,共有ホストファイルシステムを使用したQEMUとCloud Hypervisorを使用したKata Container,ブロックデバイスベースのストレージを備えたQEMU,Cloud Hypervisor,Firecracker,複数のホストキャッシュポリシによるQEMU/KVM仮想マシンなどです。
以上の結果から,OverlayFS層下,virtio-fsエクスポート,ループバックブロックデバイスなど,I/Oパスが共有され,ホストキャッシュ可能なファイルバックオブジェクトを公開すると,タイミング信号が持続することがわかった。
しかし、直接I/Oと専用ブロック装置は信号を大幅に減衰または除去する。
したがって、仮想化は、追加のレイテンシとアルゴリズムノイズを通じてリークを再開するが、共有ハードウェアとキャッシュ状態への基盤となる依存を取り除くことはない。
本稿では,MySQLが支援するWordPressデプロイメントから粗粒度アクティビティを回収するケーススタディを通じて,これを実証する。
これらの結果は、OSを介するマイクロアーキテクチャのタイミングチャネルの幅広いクラスにページキャッシュ攻撃を配置し、調整されたハードウェア、仮想化、タイミング分離のためのOSサポートを動機付ける。
関連論文リスト
- Docker Containers vs. Virtual Machines: A Comparative Study of Architecture, Performance, Configuration, and Security [0.0]
現代的なアプリケーションプラットフォームは、デプロイ速度、ポータビリティ、リソース効率、セキュリティを維持しながら、ワークロードを分離する必要があります。
VMとDockerコンテナは、異なる抽象化レイヤでこの要件に対処する。
本稿では、アーキテクチャ、構成とライフサイクル管理、パフォーマンス、スケーラビリティ、セキュリティの2つのアプローチの比較、文献に基づく分析について述べる。
論文 参考訳（メタデータ） (2026-09-14T18:00:30Z) - mzCache: On-Device LLM Memory Management under Multitasking [6.974241731162878]
我々は,専用メモリ管理を備えたデバイス上でのモバイル大言語モデル(LLM)推論システムであるmzCacheを提案する。
予測不能なメモリ圧力の下で、mzCacheはLSMメモリとモバイルSOCの統一メモリを弾性的に消去する。
mzCacheはストレージがバックアップする部分的なオフロードに比べて2.1-5.5$のタイム・ツー・ファースト・トークンの削減を実現している。
論文 参考訳（メタデータ） (2026-09-01T14:49:20Z) - CloakLM: Obfuscating GPU Memory Layout to Mitigate Model Ex-filtration for Serving [2.408411453763233]
サードパーティと共有アクセラレータインフラストラクチャにデプロイされた大規模な基盤モデルは、モデル流出の実用的なリスクに直面します。
コテナントワークロードは、物理的なコロケーションなしで、メモリマップされたインターフェースやRDMAリージョンにさらにアクセスすることができる。
ソフトウェアのみのメモリ難読化フレームワークであるClarkLMは、推論スタックのメモリ論理ビューを変更することなく、この規則性を除去する。
論文 参考訳（メタデータ） (2026-06-16T18:47:47Z) - ZipMoE: Efficient On-Device MoE Serving via Lossless Compression and Cache-Affinity Scheduling [56.88966608455977]
ZipMoEはエッジデバイスのハードウェア特性とMoEパラメータ固有の統計的冗長性との相乗効果を利用する。
ZipMoEは72.77%の推論遅延低減と6.76タイムのスループットを実現している。
論文 参考訳（メタデータ） (2026-01-29T02:51:59Z) - pokiSEC: A Multi-Architecture, Containerized Ephemeral Malware Detonation Sandbox [41.99844472131922]
pokiSECは、Dockerコンテナ内の一時的なマルウェア爆発サンドボックスである。
pokiSECはQEMUとハードウェアアクセラレーション(KVMが利用可能)を統合し、ブラウザベースのワークフローを公開する。
Apple Silicon and Ubuntu (AMD64) 上で pokiSEC を検証する
論文 参考訳（メタデータ） (2025-12-24T00:38:40Z) - Investigating the Impact of Isolation on Synchronized Benchmarks [0.0]
この研究は、cgroupsとCPUピンニング、Dockerコンテナ、Firecracker MicroVMの3つの戦略を評価する。
ノイズ発生器とデュエット設定を併用してベンチマークを実行することにより,全ての戦略を未分離のベースライン実験と比較する。
結果は、Dockerコンテナを使った実験を除いて、プロセス分離が一般的に偽陽性を下げたことを示している。
論文 参考訳（メタデータ） (2025-11-05T15:05:17Z) - Sparse-dLLM: Accelerating Diffusion LLMs with Dynamic Cache Eviction [72.27673320976933]
Diffusion Large Language Models (dLLMs) は推論と並列デコードにおけるブレークスルーを可能にする。
現在のキャッシュ技術は、フルレイヤ状態を保存することでデコーディングを加速するが、メモリ使用量を大幅に増加させる。
Sparse-dLLMは、動的キャッシュ消去とスパースアテンションを統合した最初のトレーニングフリーフレームワークである。
論文 参考訳（メタデータ） (2025-08-04T16:14:03Z) - QuantCache: Adaptive Importance-Guided Quantization with Hierarchical Latent and Layer Caching for Video Generation [84.91431271257437]
Diffusion Transformers (DiTs) はビデオ生成において支配的なアーキテクチャとして登場した。
DiTには、計算コストやメモリコストの増大など、大きな欠点がある。
我々は,新しいトレーニングフリー推論アクセラレーションフレームワークQuantCacheを提案する。
論文 参考訳（メタデータ） (2025-03-09T10:31:51Z) - Goldilocks Isolation: High Performance VMs with Edera [0.0]
コンテナ化では、複数のアプリケーションが同じカーネルを共有し、ランタイムのオーバーヘッドを低減する。
これによりコンテナエスケープ攻撃が急増し、カーネルエクスプロイトによって攻撃者がオペレーティングシステム仮想化の分離から逃れることが可能になった。
コンテナ化のランタイムを改善するために準仮想化を利用する,最適化されたタイプ1ハイパーバイザであるEderaを紹介する。
論文 参考訳（メタデータ） (2025-01-08T15:51:02Z) - vAttention: Dynamic Memory Management for Serving LLMs without PagedAttention [8.20523619534105]
PagedAttention は LLM サービスシステムにおける動的メモリ割り当ての一般的なアプローチである。
仮想メモリにおけるKVキャッシュの整合性を保ちながら、物理メモリのフラグメンテーションを軽減するアプローチとして、vAttentionを提案する。
全体として、vAttentionはPagedAttentionに代わるシンプルでポータブルでパフォーマンスの高いものだ。
論文 参考訳（メタデータ） (2024-05-07T16:00:32Z) - Recurrent Dynamic Embedding for Video Object Segmentation [54.52527157232795]
一定サイズのメモリバンクを構築するためにRDE(Recurrent Dynamic Embedding)を提案する。
本稿では, SAM を長時間の動画でより堅牢にするため, トレーニング段階での無バイアス誘導損失を提案する。
また、メモリバンクの異なる品質のマスクの埋め込みをネットワークが修復できるように、新たな自己補正戦略を設計する。
論文 参考訳（メタデータ） (2022-05-08T02:24:43Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。