A UEFI System with SPDM to Protect Against Unauthorized Device Connections

기술 요약: 무단 장치 연결로부터 보호하기 위한 SPDM 을 탑재한 UEFI 시스템

문제 제기
현대 컴퓨팅 시스템은 하드웨어 및 펌웨어 무결성을 훼손할 수 있는 악성 주변기기로부터 심각한 위협에 직면해 있습니다. 물리적 접근 권한 (PA-3 또는 PA-4) 을 가진 공격자는 악성 USB 드라이브나 변조된 PCIe 구성 요소와 같은 무단 장치를 도입하거나, 공급망 구성 요소를 손상된 하드웨어로 교체할 수 있습니다. 보안 부팅 (Secure Boot) 을 갖춘 UEFI 펌웨어는 운영체제에 대한 신뢰 체인을 확립할 수 있지만, 전통적으로 운영체제가 로드되기 전에 PCIe 및 USB 버스를 통해 연결되는 외부 장치를 인증하는 메커니즘이 부족합니다. 보안 프로토콜 및 데이터 모델 (SPDM) 의 기존 구현은 종종 OS 계층에서 이루어지므로, 펌웨어 초기화 단계 (Pre-EFI 초기화 및 드라이버 실행) 는 취약한 상태로 남습니다. 또한, 현재 연구들은 특정 장치 드라이버를 수정하는 데 의존하거나 다양한 전송 유형에 대한 상호 인증 및 측정을 지원하지 않는 경우가 많습니다.

방법론
저자들은 부팅 과정에서 PCIe 및 USB 장치를 인증하고 측정하기 위해 SPDM 을 통합한 UEFI 기반 시스템 설계를 제안합니다. 방법론은 다음과 같은 주요 구성 요소를 포함합니다.

• 시스템 아키텍처: 시스템은 EDK II 기반의 Open Virtual Machine Firmware (OVMF) 와 QEMU 에뮬레이터를 활용합니다. 에뮬레이터는 libspdm 라이브러리를 포함하도록 수정되어, 초기에는 네이티브 하드웨어 지원 없이도 SPDM 통신을 가능하게 합니다.
• 신뢰 체인 및 인증:
  • 펌웨어 무결성: 부팅 시, 시스템은 펌웨어의 하드웨어 코어 신뢰 측정 (H-CRTM) 을 계산하여 에뮬레이션된 신뢰 플랫폼 모듈 (TPM) 의 플랫폼 구성 레지스터 (PCR0) 로 확장합니다. H-CRTM 은 변조 방지를 위해 플랫폼 키 (PK) 로 서명되어 검증 변수를 보호합니다.
  • 상호 인증: 펌웨어와 연결된 장치 (TPM, PCIe, USB) 는 SPDM 을 사용하여 상호 인증을 수행합니다. 여기에는 버전 협상, 기능 교환, 알고리즘 협상, 인증서 교환, 그리고 챌린지 - 응답 메커니즘이 포함됩니다.
  • 제로 트러스트 접근: 펌웨어는 장치를 기본적으로 신뢰하지 않습니다. 모든 장치는 펌웨어를 인증해야 하며, 펌웨어는 드라이버 로딩을 허용하기 전에 장치를 인증해야 합니다.
• 구현 세부 사항:
  • PCIe: SPDM 메시지는 PCI 데이터 객체 교환 (DOE) 프로토콜을 사용하여 캡슐화됩니다.
  • USB: SPDM 메시지는 관리 구성 요소 전송 프로토콜 (MCTP) 을 통해 전송됩니다. 저자들은 QEMU USB 제어 전송 핸들러를 수정하여 SPDM 교환을 관리하도록 하여, 장치의 I/O 기능이 완전히 초기화되기 전에 장치가 인증되도록 보장했습니다.
  • 측정: SPDM 측정 (다이제스트) 은 검증 (attestation) 목적으로 TPM PCR 을 확장하는 데 사용됩니다.
• 개념 증명 (PoC): 저자들은 QEMU, OVMF, libspdm 을 사용하여 오픈 소스 PoC 를 개발했습니다. Secure Boot 환경에서 사용할 수 없는 UEFI 셸의 필요성을 우회하기 위해 Python 도구 (ovmfvartool) 를 사용하여 사용자 정의 인증서 (PK, KEK) 와 H-CRTM 값을 생성하고 EFI 변수를 사전에 채웠습니다.

주요 기여

1. UEFI 레벨 SPDM 통합: 이 작업은 펌웨어 초기화가 일반적으로 보호되지 않는 간극을 해결하기 위해 UEFI 펌웨어 내에서 직접 PCIe 및 USB 장치를 인증하는 참조 설계를 제안하고 구현합니다.
2. 다양한 전송 유형 지원: 이 아키텍처는 장치 구성에 필요한 제어 전송을 특히 중점적으로 다루면서, 다양한 전송 유형 (제어, 벌크, 동기, 인터럽트) 에 대한 USB 장치 인증을 지원합니다.
3. 상호 인증 구현: 장치만 시스템에 인증하는 일부 관련 작업과 달리, 이 제안은 펌웨어와 장치 간의 완전한 상호 인증을 구현하여 어느 한쪽도 다른 쪽을 맹목적으로 신뢰하지 않도록 보장합니다.
4. 오픈 소스 PoC: 저자들은 SPDM 메시지 전송 및 인증서 관리를 처리하기 위해 QEMU 와 OVMF 를 수정한 것을 포함하여, 에뮬레이션 환경에서 SPDM 의 실현 가능성을 보여주는 기능적인 오픈 소스 개념 증명을 제공합니다.
5. 관련 작업과의 비교: 이 논문은 펌웨어 바이너리에 SPDM 을 컴파일 시 통합하고, USB 인증을 지원하며, EFI 환경뿐만 아니라 전체 OS 기능이 가능한 에뮬레이터 (QEMU) 를 활용함으로써 기존 작업들 (예: [7], [6], [1], [2], [25]) 과 구별됩니다.

실험 결과
저자들은 AMD Ryzen 7 2700 과 KVM 활성화 Linux 가 탑재된 호스트 머신을 사용하여 제안된 시스템의 성능 오버헤드를 평가했습니다. SPDM 인증 유무에 따른 에뮬레이션 시스템의 부팅 과정을 비교하여, 사용자가 로그인할 준비가 될 때까지 (BusyBox Init) 의 명령어 수와 CPU 사이클 수를 측정했습니다.

• 성능 오버헤드: SPDM 인증 포함으로 인해 펌웨어 실행 중 명령어 수가 평균 13% 증가하고 CPU 사이클이 8% 증가했습니다.
• 시간 영향: CPU 주파수 분석에 기반할 때, 부팅 시간은 약 8% 증가했습니다 (예: 최소 주파수에서 약 3.9 초에서 약 4.2 초로).
• 보안 효과성: 시스템은 무단 장치를 성공적으로 차단했습니다. 장치 인증서가 변조되거나 누락된 테스트 시나리오에서 펌웨어는 장치 (예: NVMe 저장소) 의 초기화를 중단시켜 운영체제가 부팅되는 것을 방지했습니다. 또한, 펌웨어 무결성이나 진위성이 훼손되었을 때 시스템은 이를 성공적으로 감지하고 실행을 중단했습니다.

의의 및 주장
이 논문은 제안된 시스템이 공급망 공격과 무단 주변기기 연결로부터 정부 기관 및 금융 기관과 같은 고보안 환경을 보호할 수 있는 실현 가능한 방법을 제공한다고 주장합니다. 저자들은 처리 오버헤드가 측정 가능하지만, 펌웨어 실행 단계에서만 발생하며 보안 태세가 강화되었기 때문에 수용 가능하다고 강조합니다.

이 작업은 특정 요구 사항에 맞게 보안 부팅 시스템을 맞춤화하기 위한 참조 역할을 합니다. 저자들은 겸손하게도 그들의 PoC 가 에뮬레이션에 의존하며 개인 키 보호가 중요하다고 지적합니다. 서명 키가 침해되면 인증 메커니즘이 실패하기 때문입니다. 그들은 실제 세계 SPDM 평가를 위한 맞춤형 FPGA 하드웨어 개발, 부팅 단계 간 SPDM 컨텍스트 영구화 등의 성능 최적화, OS 초기화 이후의 보안 보호 확장 등을 향후 연구 방향으로 제시합니다.