論文の概要: CVM-Store: A Secure Storage System for Confidential Virtual Machines
- arxiv url: http://arxiv.org/abs/2610.34560v1
- Date: Sun, 25 Oct 2026 20:56:04 GMT
- ステータス: 翻訳完了
- システム内更新日: 2026-10-27 22:27:13.635098
- Title: CVM-Store: A Secure Storage System for Confidential Virtual Machines
- Title（参考訳）: CVM-Store: 機密仮想マシンのセキュアストレージシステム
- Abstract要約: ステートフルなクラウドワークロードは、高性能な永続ストレージを必要とする。
永続ストレージは、Confidential Virtual Machinesの信頼境界外にあり、すべてのステートフルデータをクラウドプロバイダに公開する。
CIF(秘密性、完全性、新鮮性)データ保護を備えた高スループットユーザスペースI/Oエンジンを共同設計するストレージシステムであるCVM-Storeを提案する。
- 参考スコア（独自算出の注目度）: 2.3152475955101846
- License: http://creativecommons.org/licenses/by/4.0/
- Abstract: Stateful cloud workloads require high-performance persistent storage when running on untrusted cloud infrastructure. Confidential Virtual Machines (CVMs) promise to protect these workloads through hardware-enforced memory encryption and isolation without requiring application changes. However, they protect only data in use; persistent storage lies outside the CVM trust boundary, exposing all stateful data to the cloud provider. Extending the trust boundary to persistent storage presents inherent challenges. High-bandwidth workloads require near-raw NVMe throughput, yet the default kernel CVM I/O stacks are inadequate, and userspace I/O libraries are not designed with CVM use cases in mind. Access patterns and storage semantics vary between workloads, necessitating access-pattern-aware security abstractions rather than uniform block-level encryption. In order to mitigate against rollback, freshness is needed, but CVMs lack hardware primitives for this purpose, requiring alternative solutions. We present CVM-Store, a storage system that co-designs a high-throughput userspace I/O engine with CIF (confidentiality, integrity, freshness) data protection. The key insight is that neither authenticated encryption nor I/O is a bottleneck by itself, but their naive combination is. CVM-Store exploits this by interleaving them, eliminating redundant copies and OS/hypervisor mediation. CIF guarantees are provided as composable primitives that adapt protection to workload access patterns, from which we derive three concrete authenticated abstractions: a KVS, a log, and a filesystem. An asynchronous trusted counter service provides freshness guarantees with epoch-based batching, which enables rollback protection without dedicated hardware support. CVM-Store delivers full CIF guarantees within $\approx$1% (write) and 1-19% (read) of raw NVMe bandwidth for large objects.
- Abstract（参考訳）: ステートフルなクラウドワークロードは、信頼できないクラウドインフラストラクチャ上で実行する場合には、高性能な永続ストレージを必要とする。
Confidential Virtual Machines(CVM)は、ハードウェア強化されたメモリ暗号化とアイソレーションを通じて、アプリケーションの変更を必要とせずにこれらのワークロードを保護することを約束する。
永続的なストレージはCVMの信頼境界外にあり、すべてのステートフルデータをクラウドプロバイダに公開する。
信頼境界を永続ストレージに拡張することは、固有の課題である。
高帯域のワークロードはNVMeに近いスループットを必要とするが、デフォルトのカーネルCVM I/Oスタックは不十分であり、ユーザスペースI/OライブラリはCVMのユースケースを念頭に設計されていない。
アクセスパターンとストレージセマンティクスはワークロードによって異なり、均一なブロックレベルの暗号化ではなく、アクセスパターンを意識したセキュリティ抽象化を必要とする。
ロールバックを緩和するためには、フレッシュネスが必要であるが、CVMにはこの目的のためにハードウェアプリミティブが欠如しており、代替ソリューションが必要である。
我々は,CIF(秘密性,完全性,新鮮性)データ保護を備えた高スループットユーザ空間I/Oエンジンを共同設計するストレージシステムであるCVM-Storeを提案する。
鍵となる洞察は、認証された暗号化もI/Oも、それ自体はボトルネックではないということだ。
CVM-Storeはそれらをインターリーブし、重複コピーとOS/ハイパーバイザの仲介をなくす。
CIF保証は、ワークロードアクセスパターンに保護を適用するための構成可能なプリミティブとして提供され、そこから、KVS、ログ、ファイルシステムという3つの具体的な認証された抽象化を導出します。
非同期信頼できるカウンタサービスは、エポックベースのバッチ処理でフレッシュネスの保証を提供する。
CVM-Storeは、大規模なオブジェクトに対して$\approx$1%(書き込み)と生のNVMe帯域幅の1-19%(読み取り)で完全なCIF保証を提供する。
関連論文リスト
- ARM: Attention with Routed-Memory for Learnable Sparse Control [36.55955164910601]
我々は、新しいKVキャッシュ構造として、ARM(Routed Memory)を用いた注意法を提案する。
ARMは, 固定KVキャッシング方式と比較して, 性能と効率性が優れていることを示す。
論文 参考訳（メタデータ） (2026-09-21T11:11:17Z) - SeDeM: Selective Decompression of Hidden-State Memories for Long-Context Question Answering [44.06365338975172]
SeDeMは、デコーダコンディショニングからコンパクトメモリストレージを分離する選択的なデ圧縮フレームワークである。
4つの長文QAベンチマークにおいて、SeDeMは評価された圧縮ベースラインよりも高いQAスコアを達成する。
論文 参考訳（メタデータ） (2026-07-31T21:44:03Z) - Isolation Failure From Shared Storage: Characterizing and Exploiting Page-Cache SCA Leakage Across Containers and VMs [30.297643848902776]
分離境界を横断するページキャッシュの在り方を明らかにするために,未所有のタイミング測定が有効かどうかを検討する。
結果は、ページキャッシュ攻撃をOSを介するマイクロアーキテクチャのタイミングチャネルの幅広いクラスに配置する。
論文 参考訳（メタデータ） (2026-07-20T03:47:34Z) - Beyond Short-Horizon: VQ-Memory for Robust Long-Horizon Manipulation in Non-Markovian Simulation Benchmarks [96.60530830276281]
RuleSafeは、スケーラブルなLLM支援シミュレーションフレームワーク上に構築された、新しいオペレーティングベンチマークである。
VQ-Memoryはベクトル量子化変分オートエンコーダを用いたコンパクトで構造化された時間表現である。
論文 参考訳（メタデータ） (2026-03-10T11:13:54Z) - Your Inference Request Will Become a Black Box: Confidential Inference for Cloud-based Large Language Models [39.390624817461905]
Talariaは、クライアントデータを保護するためにLarge Language Modelsパイプラインを分割する機密推論フレームワークである。
Talariaは、クライアントが制御するConfidential Virtual Machine内で、機密で重量に依存しない操作を実行する。
タラリアは最先端のトークン推論攻撃に対して防御でき、トークン再構成の精度は97.5%以上から平均1.34%まで低下する。
論文 参考訳（メタデータ） (2026-02-27T06:37:07Z) - Confidential, Attestable, and Efficient Inter-CVM Communication with Arm CCA [5.737719088870378]
機密仮想マシン(CVM)は、機密性の高いワークロードを特権的な敵から保護するために、ますます採用されている。
既存のCVMアーキテクチャには、CVM間のデータ共有のための第一級メカニズムがない。
本稿では,CVM間で保護されたメモリ共有を可能にするCAECを紹介する。
論文 参考訳（メタデータ） (2025-12-01T12:10:43Z) - Proof of Cloud: Data Center Execution Assurance for Confidential VMs [3.3382699707745522]
Data Center Execution Assurance (DCEA)は、"Proofs of Cloud"を生成する設計である。
DCEAは、vTPMアンカレート測定を使用してCVMを基盤プラットフォームにバインドし、CVMの発射証拠とTPMの引用が同じ物理的シャーシを参照することを保証している。
当社のアプローチは、vTPMにアクセスし、クラウドプロバイダによって完全に制御されたソフトウェアスタック上で動作するCVMに適用されます。
論文 参考訳（メタデータ） (2025-10-14T13:01:48Z) - Lightweight, Secure and Stateful Serverless Computing with PSL [43.025002382616066]
信頼された実行環境(TEE)のためのF-as-a-Serivce(F)フレームワークを提案する。
このフレームワークは、静的にコンパイルされたバイナリおよび/またはWebAssembly(WASM)バイトコードのための異種TEEハードウェアでリッチなプログラミング言語をサポートする。
Intel SGX2の動的メモリマッピング機能を利用することで、ネイティブに近い実行速度を実現する。
論文 参考訳（メタデータ） (2024-10-25T23:17:56Z) - Ditto: Elastic Confidential VMs with Secure and Dynamic CPU Scaling [35.971391128345125]
Elastic CVM"とWorker vCPU設計は、より柔軟で費用対効果の高い機密計算環境を実現するための道を開いた。
Elastic CVM"とWorker vCPUの設計は、クラウドリソースの利用を最適化するだけでなく、より柔軟で費用対効果の高い機密計算環境の道を開く。
論文 参考訳（メタデータ） (2024-09-23T20:52:10Z) - SNPGuard: Remote Attestation of SEV-SNP VMs Using Open Source Tools [3.7752830020595796]
クラウドコンピューティングは、今日の複雑なコンピューティング要求に対処するための、ユビキタスなソリューションである。
VMベースのTrusted Execution Environments(TEEs)は、この問題を解決するための有望なソリューションです。
クラウドサービスプロバイダをロックアウトするための強力なアイソレーション保証を提供する。
論文 参考訳（メタデータ） (2024-06-03T10:48:30Z)
関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。
指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。