CCX: Enabling Unmodified Intel SGX Applications on Arm CCA

기술 요약: CCX – Arm CCA 에서 수정되지 않은 Intel SGX 애플리케이션 활성화

문제 제기
기밀 컴퓨팅은 전체 가상 머신 (cVM) 을 보호하는 Intel TDX, AMD SEV, Arm Confidential Compute Architecture(CCA) 와 같은 기술을 포함하도록 진화해 왔습니다. 그러나 이러한 cVM 솔루션은 세분성이 낮아 신뢰할 수 있는 컴퓨팅 기반 (TCB) 이 커지고 세분화된 프로세스 내 격리 (intra-process isolation) 를 지원하지 못합니다. 따라서 최소한의 신뢰 경계와 정밀한 실행 모델을 갖춘 Intel Software Guard Extensions(SGX) 가 많은 클라우드 애플리케이션 (예: 기밀 서비스, 안전한 결제, 개인정보 보호 광고) 에 여전히 선호됩니다.

Arm CPU 가 클라우드 환경에서 주목을 받으면서 중요한 이식성 문제가 대두되었습니다. 기존 SGX 애플리케이션은 SGX 전용 API, 실행 의미론, 마이크로코드 명령어에 밀접하게 결합되어 있어 Arm 아키텍처와 호환되지 않습니다. 이전의 노력들이 가상화를 통해 SGX 를 AMD 플랫폼으로 이식했으나, 이러한 접근 방식은 공유된 x86-64 아키텍처에 의존하며 SGX 와 동등한 하드웨어 강제 보안 보장을 제공할 수 없습니다. 또한, 기존 Arm 엔클레이브 프레임워크 (예: SHELTER, NanoZone, HiveTEE) 는 프로세스 내 격리를 제공하지만 개발자가 새롭고 미성숙한 프로그래밍 모델과 SDK 를 채택해야 하므로 비용이 많이 드는 소스 코드 수정이 필요하며 기존 SGX 생태계의 가치를 훼손합니다.

방법론
저자들은 소스 코드 수정 없이 기존 SGX 애플리케이션을 Arm CCA 시스템으로 투명하게 마이그레이션할 수 있도록 설계된 CCX 프레임워크를 제시합니다. CCX 는 Arm CCA 펌웨어 (특히 예외 수준 3, EL3) 내에서 SGX 명령어 인터페이스를 재구현하고 SGX 소프트웨어 스택 (SDK, 커널 모듈, 컴파일러) 을 Arm 아키텍처에 적응시킴으로써 이를 달성합니다.

주요 설계 원칙 및 구현 세부 사항은 다음과 같습니다:

• EL3 구현 (CCX-Core): 이전 작업들이 엔클레이브 논리를 하이퍼바이저나 Realm 관리 모니터 (RMM) 에 배치한 것과 달리, CCX 는 EL3 에서 핵심 SGX 마이크로코드 에뮬레이션을 구현합니다. 이는 RMM 을 신뢰할 수 없는 것으로 간주하고 TCB 를 모니터만으로 최소화하면서 EL3 펌웨어의 특권적 위치를 활용하여 격리를 강제합니다.
• 명령어 트래핑: 소스 코드 변경 없이 SGX 명령어를 가로채기 위해 CCX 는 특정 하드웨어 메커니즘을 활용합니다:
  • ENCLS 호출: OS 의 SMC(Secure Monitor Call) 명령어를 통해 가로챕니다.
  • ENCLU 호출: 성능 모니터링 유닛 (PMU) 레지스터 액세스를 재사용하여 사용자 공간 (EL0) 에서 가로챕니다. 저자들은 특정 PMU 레지스터에 대한 EL0 액세스를 EL3 로 트랩하도록 시스템을 구성하여 이를 CCX 핸들러를 트리거하는 가젯으로 사용합니다.
  • CPUID 호출: EL3 핸들러 내에서 직접 에뮬레이션됩니다.
• 메모리 관리 (Multi-GPT): CCX 는 SGX 의 엔클레이브 페이지 캐시 (EPC) 를 Arm 의 Granule Protection Table(GPT) 에 적응시킵니다. 고정된 EPC 영역 대신 CCX 는 페이지를 Realm 세계에 동적으로 매핑합니다. 엔클레이브 간 공격을 방지하기 위해 CCX 는 각 엔클레이브에 전용 GPT 를 할당하는 Multi-GPT 방식을 사용합니다. 페이지는 엔클레이브의 특정 GPT 에서만 접근 가능하고 RMM 이 사용하는 시스템 전체 GPT 에서는 접근 불가능하도록 표시됩니다. 이는 EPC 가 가득 찼을 때 SGX 가 필요로 하는 비싼 페이지 스와핑 (EWB/ELDB) 을 제거합니다.
• 툴체인 적응: 저자들은 Intel SGX SDK, 커널 모듈, 컴파일러를 Arm 으로 이식했습니다. 이는 API 호환성을 유지하면서 x86 전용 어셈블리와 컨텍스트 관리를 Arm 에 해당하는 것으로 교체하기 위해 SDK 코드 약 6,000 줄과 커널 코드 650 줄을 수정하는 작업이 포함되었습니다.
• 인증: CCX 는 로컬 인증을 완전히 구현합니다. 원격 인증은 현재 CCA 하드웨어와 이에 상응하는 프로비저닝 생태계의 부재로 제한적이지만, 저자들은 하드웨어가 구비되면 CCA 의 플랫폼 인증 키 (CPAK) 를 사용하여 이를 구현하기 위한 이론적 프레임워크를 제공합니다.

주요 기여

1. 프레임워크 설계 및 구현: 소스 코드 변경 없이 기존 SGX 애플리케이션이 Arm CCA 에서 실행될 수 있도록 하는 CCX 의 설계 및 구현.
2. 소프트웨어 스택 이식: SGX 소프트웨어 스택 (SDK, 커널 모듈, 컴파일러) 을 Arm CCA 에 성공적으로 적응시켜 확장성과 실용성을 입증.
3. 프로토타입 및 평가: QEMU 에뮬레이터와 Nitrogen8M 개발 보드라는 두 가지 프로토타입을 구축하고 다양한 오픈 소스 SGX 애플리케이션 (예: 암호화 라이브러리, 데이터베이스, 연방 학습) 을 사용한 포괄적인 평가 수행.

결과

• 기능성: 저자들은 소스 코드 수정 없이 Arm 시스템에서 SampleEnclave, TaLoS, SGX SQLite, TrustFL 을 포함한 다양한 오픈 소스 SGX 애플리케이션을 성공적으로 실행했습니다. 애플리케이션은 네이티브 SGX 하드웨어에서 실행될 때와 동일한 동작을 보였습니다.
• 성능:
  • 마이크로벤치마크: CCX 는 대부분의 엔클레이브 작업에서 네이티브에 가까운 성능을 보여주었습니다. 엔클레이브 진입 및 종료 (EENTER/EEXIT) 의 오버헤드는 약 17.5 µs 였습니다.
  • 매크로벤치마크: NBench suites 를 사용하여 Arm 하드웨어에서 CCX 는 네이티브에 가까운 성능을 달성했습니다. 대부분의 경우 CCX 는 Intel 하드웨어의 네이티브 SGX 성능을 능가하거나 일치했습니다. 주목할 만한 예외는 BITFIELD 및 FOURIER 테스트로, SGX SDK 의 신뢰할 수 있는 표준 라이브러리에 최적화되지 않은 수학 함수로 인해 성능이 낮았습니다.
  • 비교: 관련 작업과 비교할 때 CCX 는 (최적화되지 않은 라이브러리 사례를 제외하고) 약 1% 의 오버헤드를 발생시켰으며, 이는 VSGX (>200%) 보다 훨씬 낮고 다른 Arm 엔클레이브 설계 (예: SHELTER 5.2–15%, NanoZone 20%) 와 경쟁력 있는 수준입니다.
• TCB 분석: CCX 는 EL3 모니터에 약 4,462 줄의 코드 (SLOC) 를 추가했습니다. 전체 TF-A 구현 대비 이는 TCB 증가분이 1% 미만임을 의미합니다. 이는 비교 가능한 SGX 재구현 중 가장 작은 TCB 증가분입니다.

의의 및 주장
이 논문은 CCX 가 SGX 의 프로세스 내 격리의 보안과 성숙도를 Arm 기반 클라우드 환경으로 효과적으로 가져온다고 주장합니다. SGX 실행 모델과 API 를 유지함으로써 CCX 는 새로운 엔클레이브 프레임워크로 애플리케이션을 이식하는 것과 관련된 엔지니어링 비용과 생태계 분열을 제거합니다.

저자들은 CCX 가 최소한의 TCB(EL3 모니터) 에 의존하고 GPT 를 통한 하드웨어 강제 메모리 격리를 활용함으로써 Intel SGX 와 비교 가능한 보안 보장을 제공한다고 강조합니다. 논문은 공개 CCA 하드웨어 부재로 인한 완전한 검증의 부재와 사이드 채널에 대한 일부 보안 분석의 이론적 성격과 같은 한계를 인정하면서도, 펌웨어 기반 설계가 하드웨어 마이크로코드 기반 솔루션에 비해 향후 업데이트 및 취약점 완화 측면에서 더 큰 유연성을 제공한다고 주장합니다. 이 작업은 Arm 아키텍처에서의 기밀 컴퓨팅에 대한 추가 연구 및 개발을 장려하기 위해 오픈 소스로 공개되었습니다.