WarpGuard: Protected-Site Control-Flow Integrity for CUDA SASS Binaries

技術要約: WARPGUARD

問題提起
近年のエクスプロイト研究は、GPUメモリのバグ（例：バッファオーバーフロー）がデバイス側の制御フローの破損へとエスカレートし得ることを示している。攻撃者は、リターン継続（return continuations）、関数ポインタ、ディスパッチテーブルのエントリ、または分岐ターゲットを破損させ、それらが後にGPU命令によって実行をリダイレクトするために消費される。制御フロー整合性（CFI）はCPUにおける標準的な防御策であるが、展開済みのCUDAバイナリに適用することは困難である。プロダクションカーネルは多くの場合、ソースコードやPTX（Parallel Thread Execution）中間表現ではなく、実行されるNVIDIA SASS（Streaming ASSembly）コードが関連するセキュリティ境界となるfatbinaryやcubinとして配布される。

SASSレベルは、CPUのCFIには存在しない複雑さをもたらす：

• ローカリング変換（Lowering Transformations）: ソースレベルのコールはインライン化されている可能性があり、リターン状態はメモリへの退避（spill）ではなくレジスタに保持されていたり、間接ターゲットが最適化によって消失していたりする場合がある。
• SIMT実行: 単一の静的命令が、ワープレーン間で異なる挙タクト（warp-uniform vs lane-local）で実行されることがあり、粒度の高いチェックを必要とする。
• エビデンスの欠如: バイナリ内のすべての制御フローサイトにおいて、健全なポリシーを導出するための十分なエビデンスが存在するわけではない。サポートされていないサイトを「許可」として扱うことはセキュリティホールを生み出し、エビデンスがないまま「保護対象」として扱うことは不健全となる。

既存のGPUセキュリティツールはメモリ安全性やコード注入に焦点を当てているが、明示的に保護不能なサイトを考慮した上で、実行されたSASS境界でのCFIを強制するものではない。

手法: WARPGUARD
WARPGUARDは、実行されたSASS上で動作するCUDAデバイスバイナリのために特別に設計された初のCFIシステムである。これは「保護サイト（protected-site）」ポリシーを強制する。つまり、健全なポリシーを導出するための十分なバイナリエビデンスが存在する制御フロー転送のみをチェックする。

1. サイトのリカバリと分類:
   WARPGUARDはSASSバイナリを分析し、制御フロー消費サイト（リターン、間接コール、間接ブランチ）を特定する。すべてのサイトを以下の6つの結果のいずれかに分類する：

   • Protected（保護対象）: 十分なエビデンスが存在する。チェックが挿入される。
   • Fixed-edge（固定エッジ）: ターゲットが静的である（例：直接コール）。動的なチェックは不要。
   • Unsupported（サポート対象外）: エビデンスが欠落しているか曖昧である。当該サイトは保護から除外される。
   • No-surface（表面なし）: 動的な転送が存在しない（例：完全にインライン化されたコード）。
   • Fallback/Profile-excluded（フォールバック/プロファイル除外）: 分析に失敗したか、モードが無効である。
     決定的なのは、WARPGUARDはサポート対象外のサイトを黙って許可するのではなく、それらを保護対象の分母の外側で明示的に計上することである。

2. 後方エッジCFI（Returns）:
   保護されたリターンに対して、WARPGUARDはRET命令が制御を解放する前に、継続状態を認証する。

   • メカニズム: 保護されたコールにおいて、システムは期待されるリターン継続、コールサイトID、深度、およびキー付きトークン（MAC）を、信頼されたバックエンドプライベート状態に記録する。
   • 検証: リターンサイトにおいて、システムは観測された継続を読み取り、トークンを信頼された状態と照合し、期待値と比較する。
   • セキュリティ: 書き込み可能なシャドウメタデータは権威を持たない。信頼されたホスト/ランタイムからのキー付きトークンのみが転送を許可する。検証に失敗した場合、無効な転送が発生する前に、システムはフェイルクローズ（トラップ）を行う。

3. 前方エッジCFI（Indirect Calls/Branches）:
   保護された間接転送に対して、WARPGUARDは、リカバリされたサイトごとのターゲットセットに対して動的ターゲットを検証する。

   • リカバリ: ターゲットセットは、バイナリメタデータ、定数リロケーション、およびディスパッチテーブルやアドレス取得関数の分析から導出される。
   • 検証: 間接転送が解放される前に、観測されたターゲットがその特定のサイトに対して許可されたセットに含まれているかチェックされる。
   • 粒度: チェックは保守的であり、SIMTの分岐を処理するためにデフォルトでレーンローカルで行われ、破損したレーンがワープユニフォームな集約の中に隠れることを防ぐ。

4. 実装バックエンド:
   WARPGUARDは、関心の分離のために3つの異なるバックエンドを通じて実装されている：

   • WG-NVBit: 動的インストルメンテーションと攻撃評価のためのNVBitを用いた広範なリファレンスバックエンド。
   • WG-ST: 特定のsm_89サーフェスにおいて、NVBitのコールバックによるフロアを除いたコールバックフリー実行のための、静的トランポリン・タイミングレーン。
   • WG-PC: レビュー済みのマニフェストに基づいたSASSパッチをsm_89サーフェスに適用するパッチキャッシュバックエンドであり、コールバックフリーの防止を可能にする。

主な貢献

• 保護サイトCFIの定式化: WARPGUARDは、CUDAバイナリのCFIを、リカバリされたSASS消費サイトにおける「チェック・ビフォア・リリース（解放前の確認）」としての強制と定式化している。これは、固定エッジ、サポート対象外のサイト、およびプロファイル除外を明示的に計上し、それらを保護対象の範囲から分離している。
• メカニズムと実装: WARPGUARDは、リカバリされたSASSにポリシーを結合し、キー付きトークンを使用して後方エッジの状態を認証し、サイトごとに前方ターゲットを検証し、テレメトリを認可ロジックから分離する。
• 分離された分母による評価: 本システムは77のCUDAアーティファクトを用いて評価されており、51,621のSASS制御フローサイトを分類し、5,220万回の動的チェックを記録している。評価では、リカバリされたサーフェス、保護された強制、および残留するサポート対象外のサーフェスの区別を行っている。

結果

• カバレッジ: WARPGUARDは、1,343のリターンと154のサポート対象前方ターゲットエントリを含む51,621のサイトを正常に分類した。また、15のサポート対象外の前方エントリと10のフォールバックエントリを特定し、これらが誤って保護対象として扱われないようにした。
• 攻撃の阻止: 代表的な後方エッジおよび前方エッジの破損攻撃において、ネイティブ実行は攻撃者が選択した挙動に到達したが、WARPGUARDの強制モードは無効な転送を解放する前にフェイルクローズした。これは以下において成立した：
  • リターン・ハイジャックおよびガジェットチェーン。
  • SIMTダイバージェンス攻撃（ダイバージェント・レーンのリターン）。
  • 前方エッジのターゲット破損（ディスパッチテーブル、関数ポインタ）。
  • メタデータ改ざん（トークン、テレメトリ）。
• 実世界のエビデンス: 公開コードのケース（例：PPL-CUDA-SMC、PNNL SV-Sim、cuFFTコールバック、GooFit）により、同一のSASS消費パターンが実際のCUDAシステムに存在することが確認された。WARPGUARDはこれらのサイトを正常にリカバリし、保護した。
• パフォーマンス:
  • WG-NVBit: 動的インストルメンテーションの性質通り、ヘルパー・ディスパッチとコールバックのコストにより、オーバーヘッドは高かった（50msを超えるワークロードで799–927%）。
  • WG-ST/WG-PC: 一致するsm_89サーフェスにおいて、コールバックフリーのバックエンドはNVBitのタイミングフロアを除去した。WG-PCは、レビューされたマニフェストに対しては、コールバックフリーの防止が可能であることを示した。ただし、厳格なマニフェスト検証が必要である。

意義と主張
論文は、WARPGUARDが、著者らの知る限り、実行されたSASS上で直接動作するCUDAデバイスバイナリのための、評価された最初のCFIシステムであると主張している。その意義は以下の点にある：

1. 境界の移行: CFIの強制をソース/PTXから、実際の実行されたSASSへと移動させることで、真の制御フローの事実（インライン化、スピル、SIMTマスク）を捉える。
2. 明示的な計上: 未知またはサポートされていないサイトを安全であると見なすことを拒否し、これによりセキュリティを損なう「すべてを許可する」ポリシーを防止する。
3. 監査可能な強制: 動的インストルメンテーションのオーバーヘッドをコアとなるCFIロジックから分離し、保護されたサイトと残留する攻撃サーフェスを区別するメカニズムを提供する。

著者らは、WARPGUARDはメモリ安全性、コード完全性、またはホスト側の侵害に対する保護を提供するものではないと謙虚に述べている。これはメモリ安全性ツールを補完するものであり、特に、破損した状態が制御フローとして消費されるポイントに焦点を当てている。システムは、キー管理のために信頼されたホスト/ランタイムに依存しており、バックエンドプライベート状態がGPUに露出した場合、セキュリティ保証は低下する。