Resolving Conflicts Between RTOS Timekeeping and Uninterruptable Trusted Computing

A continuación se presenta un resumen técnico detallado del artículo "Resolución de conflictos entre la cronometría de los sistemas operativos en tiempo real y la computación confiable ininterrumpible".

1. Enunciado del Problema

El artículo aborda un conflicto crítico entre los Entornos de Ejecución Confiable (TEE) en microcontroladores de bajo consumo (específicamente ARM TrustZone-M) y los Sistemas Operativos en Tiempo Real (RTOS).

• El Conflicto: Los TEE (Mundo Seguro) requieren que ciertos servicios de seguridad (por ejemplo, operaciones criptográficas, atestación remota, parches en caliente) se ejecuten de forma atómica para prevenir manipulaciones. Para garantizar la atomicidad, el Mundo Seguro deshabilita todas las interrupciones No Seguras durante su ejecución.
• La Consecuencia: El Mundo No Seguro (donde reside el RTOS) depende de interrupciones SysTick periódicas para mantener su noción interna del tiempo, impulsar la programación de tareas y gestionar los tiempos de espera. Cuando el Mundo Seguro deshabilita las interrupciones, los eventos SysTick se bloquean.
• El Mecanismo de Fallo: El Controlador de Interrupciones Vectoreadas Anidadas (NVIC) solo puede almacenar en búfer una interrupción pendiente. Si un servicio seguro dura más de un período SysTick ($T_{tick}$), el primer tique perdido se almacena en búfer, pero todos los tiques subsiguientes durante ese intervalo se descartan silenciosamente.
• Impacto: Esto resulta en una deriva temporal donde el RTOS subestima el tiempo. Esto no es meramente un error de reloj; provoca:
  • Lanzamientos de tareas fallidos y ejecución retrasada.
  • Expiraciones incorrectas de tiempos de espera en primitivas de sincronización.
  • Fallo de los temporizadores de software.
  • Degradación de sistemas de control (por ejemplo, control de motores) debido a desajustes temporales silenciosos entre la lógica del controlador y la realidad física.

Trabajos anteriores pasaron mayormente por alto este problema, asumiendo que las operaciones atómicas rápidas no afectarían significativamente la cronometría, o no logrando modelar el efecto acumulativo de la pérdida de tiques en un entorno multi-dominio.

2. Metodología: Sincronización Temporal Impulsada por el Mundo Seguro

Los autores proponen un mecanismo ligero donde el Mundo Seguro asume la responsabilidad de rastrear y compensar los tiques SysTick perdidos, asegurando que el RTOS No Seguro reanude su funcionamiento con un estado consistente.

Principios de Diseño Central

1. Sin Modificaciones al RTOS: La solución no requiere cambios en el kernel subyacente del RTOS ni en la lógica de la aplicación.
2. Ejecución en el Mundo Seguro: El Mundo Seguro intercepta los eventos SysTick mientras se ejecutan los servicios atómicos.
3. Reconstrucción del Estado: En lugar de simplemente corregir un contador, el Mundo Seguro reconstruye los efectos semánticos de los tiques perdidos sobre el kernel del RTOS.

Implementación Técnica

• Redirección de Interrupciones: Cuando un servicio seguro comienza, el Mundo Seguro reconfigura el NVIC para enrutar la interrupción SysTick No Segura a un manejador del Mundo Seguro (el "Manejador Seguro NS SysTick").
• Intercepción de Tiques:
  • El manejador seguro se ejecuta en cada expiración de SysTick que ocurre durante el servicio atómico.
  • Incrementa un contador interno ($n$) que representa el número de tiques perdidos.
  • Actualiza directamente la variable del contador de tiques No Seguro utilizando direcciones preextraídas.
• Recorrido de Reconstrucción (Post-Servicio): Una vez que el servicio seguro se completa y se vuelven a habilitar las interrupciones, el Mundo Seguro realiza un único "recorrido" para aplicar los efectos acumulativos de los $n$ tiques perdidos al kernel No Seguro:
  • Tareas Retrasadas: Promueve las tareas bloqueadas a la lista de listas si su tiempo de despertar $\le$ (tique actual + $n$).
  • Temporizadores de Software: Publica un comando en la cola de tareas de temporizadores No Segura para activar todos los temporizadores expirados que se habrían disparado durante el intervalo perdido.
  • Programación Round-Robin: Calcula cuántas rotaciones de fragmento de tiempo deberían haber ocurrido y avanza el puntero de la lista de listas en consecuencia.
  • Reprogramación: Si una tarea de mayor prioridad se volvió lista, se activa un PendSV para forzar un cambio de contexto inmediato al regresar.
• Seguridad: El manejador valida todos los punteros antes de desreferenciar memoria No Segura para evitar que un Mundo No Seguro comprometido redirija punteros hacia memoria segura.

3. Contribuciones Clave

1. Caracterización de la Deriva Temporal entre Mundos:
   • Formalizó un modelo matemático para la pérdida de tiques basado en la duración del servicio atómico ($A_i$), el período SysTick ($T_{tick}$) y la frecuencia de ejecución.
   • Demostró que la deriva se acumula linealmente y puede ser significativa incluso para operaciones atómicas cortas si ocurren con frecuencia.
2. Mecanismo de Reconciliación Temporal entre Mundos:
   • Propuso una arquitectura novedosa donde el Mundo Seguro actúa como "cronometrador" para el Mundo No Seguro durante los intervalos atómicos.
   • Logra una consistencia total del estado (no solo corrección de contadores) sin modificar el RTOS.
3. Validación Empírica y Estudio de Caso:
   • Validó el modelo en FreeRTOS y Zephyr ejecutándose en hardware ARM Cortex-M33 (Raspberry Pi Pico 2 y STM32L552).
   • Realizó un estudio de caso de sistema de control en bucle cerrado (control de velocidad y posición de motor de corriente continua) para demostrar las implicaciones de seguridad de una deriva no corregida.

4. Resultados

• Eliminación de la Deriva: El mecanismo propuesto eliminó completamente la deriva temporal. En los experimentos, el contador de tiques No Seguro permaneció alineado con el tiempo de referencia del Mundo Seguro dentro de un solo tique, incluso después de miles de invocaciones de servicios atómicos.
• Sobrecarga:
  • Ciclos de CPU: El manejador seguro añade una sobrecarga mínima (~120 ciclos en FreeRTOS, ~172 en Zephyr).
  • Tamaño del Código: La implementación añade solo ~118 líneas de código (FreeRTOS) o ~280 líneas (Zephyr) al Mundo Seguro.
  • Latencia: En plataformas con un SysTick compartido, no hay aumento observable en la latencia de interrupción.
• Impacto en el Sistema de Control:
  • Sin Compensación: En un experimento de control de velocidad de motor de corriente continua, la deriva no corregida hizo que el Error Cuadrático Medio (RMSE) aumentara de 6.55 a 8.02 rad/s. En un experimento de control de posición, un único lanzamiento fallido provocó una desviación de posición máxima de 56 mrad (3.21°).
  • Compensado: Con el mecanismo habilitado, el rendimiento del sistema de control coincidió exactamente con la línea base (sin interferencia), demostrando que el mecanismo preserva las garantías de tiempo real.

5. Significado

Este trabajo es significativo porque cierra una brecha crítica en la implementación de TEEs en sistemas embebidos de tiempo real y seguridad crítica.

• Garantía de Seguridad: Demuestra que los TEE pueden coexistir con requisitos de tiempo real estrictos sin comprometer la seguridad del sistema ni la estabilidad del bucle de control.
• Practicidad: Al no requerir modificaciones de hardware ni cambios en los kernels de RTOS existentes, la solución es inmediatamente desplegable en dispositivos TrustZone-M actuales.
• Cambio de Paradigma: Cuestiona la suposición de que la ejecución atómica segura es "transparente" para el resto del sistema, destacando que la cronometría es un recurso compartido que requiere sincronización explícita entre dominios de seguridad.

En conclusión, el artículo proporciona una solución robusta y de baja sobrecarga a una vulnerabilidad previamente no abordada en las arquitecturas TrustZone-M, asegurando que los servicios de seguridad no degraden inadvertidamente la corrección temporal de las aplicaciones en tiempo real.