論文要約：Branch Landing (BRL)

Bloom Filterを用いたRISC-V向け前方エッジCFIのためのソース認可メカニズム

1. 背景と課題 (Problem)

メモリ破壊脆弱性を悪用したコード再利用攻撃、特にJOP (Jump-Oriented Programming) は、間接制御転送（jalrやjrなど）を連鎖させることで、シャドウスタックなどの後方エッジ（Backward-edge）防御を回避します。これに対抗する前方エッジ（Forward-edge）CFI（制御フロー完全性）技術には、以下の決定的な欠陥があります。

• 型ベースCFI (Type-based CFI): 関数シグネチャが一致すれば、どの呼び出し元（Source）からでも遷移を許可してしまうため、攻撃者が同じ型の関数を悪用した場合に防げません。
• タグベースのハードウェアCFI (Tag-based Hardware CFI): 各呼び出し元にタグを割り当てて検証しますが、レジスタの容量（スロット数）に制限があるため、一つのターゲットに対して同時に認可できる呼び出し元の数に物理的な限界があります。

結果として、既存技術には「どのソース（呼び出し元）がそのターゲットへの遷移を正当に許可されているか」という**ソースドメインの認可（Source-domain authorization）**における精度とスケーラビリティの欠如という課題がありました。

2. 提案手法 (Methodology)

本論文では、固定容量のレジスタによる一致確認ではなく、Bloom Filter（ブルームフィルタ）を用いた集合への所属確認へとパラダイムを転換する、RISC-V向けの新しいCFIフレームワーク**「Branch Landing (BRL)」**を提案しています。

核心となるメカニズム

BRLは、2つの軽量なISA拡張命令と、専用のアーキテクチャレジスタを用いて動作します。

1. bld (Branch Landing Descriptor) 命令: 間接分岐の直前に挿入されます。ソースの識別子（SID: Section Identifier）を専用の**BRStateレジスタ**に書き込み、有効フラグを立てます。
2. brl (Branch Landing Verification) 命令: 分岐先のランディングサイト（着地地点）に挿入されます。
   • BRStateの有効性を確認。
   • ターゲット固有のBloom Filter（.rodataに格納）を参照。
   • BRState内のSIDが、そのターゲットに対して許可された集合（AllowedSources）に含まれているかを、ハッシュ関数を用いて検証します。
3. BRStateレジスタ: 1ビットの有効フラグと31ビットのSIDを保持するCSR（制御状態レジスタ）です。セキュリティを担保するため、brl実行時に必ずクリアされる「単回使用（Single-use）」の特性を持ちます。

ポリシーの柔軟性

BRLはハードウェア実装を固定したまま、コンパイル時のSID割り当て方を変えるだけで異なるポリシーを実現できます。

• BRL-Func: 関数レベルのSID。型ベースの認可（FineIBT相当）を実現。
• BRL-CFG: 基本ブロック（Basic-block）レベルのSID。制御フローグラフ（CFG）に基づいた、より厳密な認可を実現。

3. 主な貢献 (Key Contributions)

• スケーラブルなソース認可: Bloom Filterの採用により、認可可能な呼び出し元の数に依存せず、固定のハッシュ試行回数で検証が可能です。これにより、レジスタ容量の制約を打破しました。
• ポリシー非依存の設計: 同一のハードウェア機構で、型ベースからCFGベースまで、粒度の異なるセキュリティポリシーを切り替え可能です。
• LLVM実装とシミュレータ: LLVM RISC-Vバックエンドへの実装、およびSpike ISAシミュレータを用いたプロトタイプ検証を完了しています。

4. 実験結果 (Results)

81個のBEEBSベンチマークを用いた評価により、以下の成果が得られました。

• 低オーバーヘッド:
  • 実行時間の増加は、最適（3サイクルモデル）で0.210%、保守的（10サイクルモデル）でも**1.228%**と極めて低いです。これは既存のタグベース手法（Bratter）よりも大幅に低減されています。
  • コードサイズの増加も、平均**0.46%〜0.52%**と最小限に抑えられています。
• 高い防御精度:
  • BRL-CFGポリシーでは、型ベースと比較して等価クラス（Equivalence Class）のサイズを32.5%削減することに成功しました。これは、攻撃者が利用可能な「攻撃用ガジェット」の選択肢を大幅に狭めることを意味します。
• 正確性: 全てのベンチマークにおいて、誤検知（False Positive）による実行失敗はゼロでした。

5. 意義 (Significance)

本研究は、ハードウェアの物理的な制約（レジスタ幅）と、高度なセキュリティ要件（精密なソース認可）の間のトレードオフを、確率的データ構造（Bloom Filter）を用いることで解決しました。RISC-Vのような拡張性の高いアーキテクチャにおいて、極めて低いコストで、JOP攻撃に対して強力かつスケーラブルな防御を提供できることを示した点に大きな意義があります。