System-Level Isolation for Mixed-Criticality RISC-V SoCs: A "World" Reality Check

In der modernen Welt der Elektronik fungiert ein einzelner Chip oft als Gehirn für alles – vom Auto, das man fährt, bis hin zum Fabrikroboter, der es baut. Diese Chips, bekannt als System-on-Chip, sind vollgestopft mit vielen verschiedenen Teilen, die zusammenarbeiten: Einige erledigen einfache Aufgaben, während andere lebenswichtige Sicherheitsfunktionen verwalten. Um diese Systeme sicher zu halten, müssen Ingenieure sicherstellen, dass ein Fehler oder ein böswilliger Angriff auf einen niederpriorisierten Teil nicht auf die hochpriorisierten Teile übergreift. Stellen Sie sich ein belebtes Bürogebäude vor, in dem das Postamt, die Chefetagen und der Serverraum denselben Flur teilen; wenn das Postamt durchbrochen wird, muss das Sicherheitssystem den Eindringling daran hindern, den Serverraum zu erreichen. Seit Jahrzehnten verlassen sich Computerchips auf spezifische, oft proprietäre Methoden, um diese unsichtbaren Wände zu errichten, aber da die Open-Source-Architektur RISC-V bei diesen kritischen Rollen immer beliebter wird, fragen sich Ingenieure, ob die aktuellen Werkzeuge zum Bau dieser Wände stark, schnell und flexibel genug für die Zukunft sind.

Ein Team von Forschern aus Universitäten und Industriepartnern in Portugal und Deutschland hat sich darauf konzentriert, die neuesten Vorschläge für diese Sicherheitswände innerhalb des RISC-V-Ökosystems zu untersuchen. Sie konzentrierten sich auf drei spezifische Methoden, die darauf ausgelegt sind, unbefugten Zugriff zwischen verschiedenen Teilen eines Chips zu verhindern. Die erste Methode, genannt IOPMP, fungt wie eine detaillierte Regelvorschrift, die jede Anfrage gegen eine Datenbank prüft, um zu sehen, ob sie zulässig ist. Die zweite Methode, bekannt als World Checker, nutzt einen einfacheren, schnelleren Ansatz, bei dem jeder Anfrage ein „World“-Label zugewiesen wird und das System prüft, ob dieses Label berechtigt ist, einen bestimmten Bereich zu betreten. Der dritte Ansatz, SmMTT, ist ein neuerer Vorschlag, der Software-Domänen isoliert, sich jedoch auf einen anderen Managementstil stützt. Die Forscher bauten funktionierende Hardware-Versionen dieser drei Systeme und testeten sie in einem simulierten Computerchip, um zu sehen, wie sie unter den strengen Anforderungen von Echtzeitsystemen abschneiden, bei denen selbst eine winzige Verzögerung zu einem Sicherheitsversagen führen kann.

Das Team stellte fest, dass die Geschwindigkeit und Vorhersehbarkeit dieser Sicherheitsprüfungen erheblich variieren. Der World Checker erwies sich in seiner Standardform als der konsistenteste Performer. Er fügte jeder Transaktion eine feste, winzige Verzögerung hinzu, was bedeutete, dass das System immer genau vorhersagen konnte, wie lange eine Sicherheitsprüfung dauern würde, unabhängig davon, wie viele Regeln vorhanden waren. Diese Vorhersehbarkeit ist entscheidend für sicherheitskritische Anwendungen wie Automatik-Bremssysteme, bei denen das Timing exakt sein muss. Im Gegensatz dazu führte die IOPMP-Methode, obwohl sie flexibel ist, eine variable Verzögerung ein. Ihre Geschwindigkeit hing davon ab, wo die korrekte Regel in ihrer Liste stand; wenn die Regel tief in der Liste lag, musste das System länger warten, um sie zu finden. Diese Unvorhersehbarkeit macht es schwieriger zu garantieren, dass ein Sicherheitssystem während eines Notfalls rechtzeitig reagiert. Die Forscher fanden auch heraus, dass der World Checker weniger physische Ressourcen auf dem Chip verbrauchte, wenn die Anzahl der Sicherheitsregeln gering war, was ihn zu einer effizienten Wahl für einfachere Designs machte.

Die Forscher erkannten jedoch, dass der Standard-World-Checker eine Einschränkung hatte, wenn es um komplexe, moderne Chips mit vielen verschiedenen Sicherheitszonen ging. Das ursprüngliche Design hatte Schwierigkeiten, effizient zu skalieren, wenn die Anzahl der unterschiedlichen Sicherheitsidentitäten groß wurde, was mehr Platz auf dem Chip beanspruchte als notwendig. Um dies zu lösen, gestalteten die Forscher den World Checker neu. Sie entwickelten eine neue Version, die eine größere Anzahl von Sicherheitsidentitäten handhaben konnte, ohne die Größe des Chips unnötig aufzublähen. Dieser modifizierte Checker führte eine flexiblere Art zur Definition von Speicherbereichen ein, die es Ingenieuren ermöglichte, verstreute oder unregelmäßig geformte Speicherregionen zu schützen, ohne Platz zu verschwenden. Sie änderten auch die Art und Weise, wie Berechtigungen gespeichert werden, indem sie einen einzelnen großen Datenblock durch kleinere, spezifische Einträge ersetzten. Diese Änderung bedeutete, dass der modifizierte Checker effizient blieb, wenn die Anzahl der Sicherheitsidentitäten zunahm, während die Standardversion zu groß geworden wäre, um praktikabel zu sein.

Als die Forscher diese neuen Designs testeten, zeigten die Ergebnisse einen klaren Weg für die zukünftige Chipentwicklung auf. Der modifizierte World Checker behielt die gleiche schnelle, vorhersehbare Geschwindigkeit wie das Original bei, skalierte jedoch wesentlich besser, wenn das System komplexer wurde. In Simulationen eines vollständigen Computerchips schätzten die Forscher, dass die Verwendung ihres verbesserten Designs den gesamten physischen Platzbedarf für das Sicherheitssystem im Vergleich zu einem Basisdesign um bis zu fünf Prozent reduzieren könnte. Während fünf Prozent klein erscheinen mögen, übersetzt sich diese Ersparnis in der Welt der Chipherstellung, in der Platz ein kostbares Gut ist und Millionen von Chips produziert werden, in signifikante Kostensenkungen und die Möglichkeit, mehr Funktionen in dieselbe Größe zu integrieren. Die IOPMP-Methode, obwohl sie in der Lage ist, eine riesige Anzahl von Identitäten zu unterstützen, erforderte konsistent mehr Platz und führte mehr variable Verzögerungen ein, was sie weniger geeignet für die strengen Timing-Anforderungen sicherheitskritischer Systeme machte.

Die Studie kommt zu dem Schluss, dass für die nächste Generation von RISC-V-Chips, insbesondere für solche, die in Autos und Industriemaschinen eingesetzt werden, der World-Checker-Ansatz das zuverlässigste Fundament bietet. Die Modifikationen der Forscher adressieren die spezifischen Schwächen des ursprünglichen Designs und stellen sicher, dass diese Chips mit zunehmender Leistung und Komplexität mitwachsen können, ohne an Geschwindigkeit oder Sicherheit einzubüßen. Durch die Veröffentlichung ihrer Hardware-Designs und Testergebnisse hofft das Team, die offiziellen Standards für RISC-V zu beeinflussen, um sicherzustellen, dass die endgültigen Spezifikationen diese effizienten, vorhersehbaren und skalierbaren Sicherheitsmechanismen unterstützen. Ihre Arbeit legt nahe, dass die Zukunft des sicheren Open-Source-Computings in Systemen liegt, die verschiedene Aufgaben mit sowohl Geschwindigkeit als auch Gewissheit isolieren können, um zu verhindern, dass das Chaos einer kompromittierten Komponente die gesamte Maschine lahmlegt.