기술 요약: REPOSE – 약한 하드 실시간 사이버 물리 시스템에서의 보안 비용 정량화

1. 문제 정의

현대의 IoT 엣지 장치와 실시간 사이버 물리 시스템(RT-CPS)은 보안 통합 측면에서 중대한 이분법적 문제에 직면해 있다. 현재의 접근 방식은 일반적으로 다음 두 가지 범주로 나뉘며, 두 방식 모두 상당한 한계를 지닌다:

1. 설계 시점/기회주의적 접근 방식: 보안이 설계 시점의 파라미터나 기회주의적 실행을 통해 강제된다. 고부하 시스템에서는 이로 인해 보안 태스크가 완전히 생략되는 경우가 빈번하며, 이는 시스템을 취약하게 만든다.
2. 하드 제약 조건 통합: 선행 연구들은 종종 모든 태스크에 보안 메커니즘을 추가하거나 지속적이고 비관적인 오버헤드를 부과한다. 이러한 접근 방식은 보안 통합을 고부하 시스템에서 불가능하게 만들거나 성능을 급격히 저하시킨다.

또한, 많은 RT-CPS는 물리적 안전을 해치지 않으면서 가끔 발생하는 유계된 데드라인 미스(deadline miss)를 처리할 수 있는 능력(약한 하드 시스템, weakly-hard systems)을 갖추고 있음에도 불구하고, 기존의 보안 문헌은 주로 하드 제약 조건(데드라인 미스 제로 허용)을 가정한다. 이러한 불일치는 보안이 너무 느슨하거나 혹은 너무 비용이 많이 드는 "전부 아니면 전무(all-or-nothing)"의 시나리오를 초래한다. 본 논문은 약한 하드 RT-CPS에서 안전과 보안 사이의 유계된 트레이드오프를 허용하는, "보안의 가격"을 정량화하는 프레임워크의 필요성을 식별한다.

2. 방법론: REPOSE 프레임워크

저자들은 $(m, k)$ 제약 조건(여기서 태스크는 매 $k$번의 호출 중 최대 $m$번의 데드라인 미스를 허용할 수 있음)을 특징으로 하는 약한 하드 RT-CPS를 위해 설계된 분석 프레임워크이자 온라인 스케줄링 메커니즘인 REPOSE(Real-time systems' Price Of SEcurity)를 소개한다.

핵심 구성 요소

• 반응형 보안 트리거: 지속적인 오버헤드를 부과하는 프로액티브(proactive) 메커니즘과 달리, REPOSE는 온라인 이상 탐지 시스템(예: 실행 시간 또는 메모리 사용량 이상에 기반한 "RedZone" 탐지)에 의해 트리거된다. 이는 지속적으로 작동하는 것이 아니라 특정 보안 이벤트에 반응한다.
• 약한 하드 제어 시스템 모델: 이 프레임워크는 선형-이차 가우시안(linear-quadratic Gaussian) 플랜트 모델과 약한 하드 태스크 모델을 통합한다. 이는 제어 지연($\Delta_i$)과 태스크 주기($T_i$)의 함수로서 제어 성능 손실($J_i$)을 계산한다.
• 3단계 보안 동작: 이상 징ient 탐지 시, REPOSE는 시스템의 실행 가능성을 평가하여 다음 세 가지 동작 중 하나를 결정하고 스케줄링한다:
  1. CLEANUP (정리): 후속 공격이나 핀서(pincer) 공격을 완화하기 위해 피해 태스크에 할당된 시스템 리소스(예: 캐시)를 플러시하거나 무효화한다. 이는 $\psi_i C_i$(최악 실행 시간의 일부)만큼의 오버헤드를 발생시킨다.
  2. RESTART (재시작): 현재의 태스크 실행을 폐기하고 상태를 재계산하기 위해 이를 재시작한다. 오버헤드는 전체 실행 시간 $C_i$이다.
  3. CLEANUP + RESTART (정리 + 재시작): 두 동작을 모두 수행한다. 오버헤드는 $C_i(1 + \psi_i)$이다.

실행 가능성 분석 및 스케줄링

REPOSE는 최적의 보안 스케줄을 결정하기 위해 온라인 태스크 선택 알고리즘(Algorithm 2)을 사용한다.

• 실행 가능성 검사: 스케줄링 전, 시스템은 현재 시간 $t$, 실행 윈도우, 그리고 상위 우선순위 태스크로부터의 간섭를 고려하여 남은 제어 지연($\hat{\Delta}_i(t)$)을 계산한다.
• 제약 조건 검증: 프레임워크는 보안 오버헤드($\kappa_i$)를 추가하는 것이 제어 성능 임계값($J^{TH}_i$)이나 $(m, k)$ 제약을 위반하는지 검증한다.
• 우선순위 기반 스케줄링: 알고리즘은 높은 우선순위의 태스크를 우선시한다. 보안 동작(특히 cleanup 단계)은 크리티컬한 태스크에 미치는 영향을 최소화하기 위해 최고 우선순위로 실행되며, 재시작된 태스크는 정상 우선순위로 재개된다.
• 알람 메커니즘: 만약 감지된 피해 태스크에 대해 안전 제약을 위반하지 않고 수행 가능한 보안 동작이 없다면, REPOSE는 강제로 실행 불가능한 스케줄을 생성하는 대신 관리자에게 알람을 발생시킨다.

3. 주요 기여

본 논문은 다음과 같은 구체적인 기여를 한다:

1. 이단계 보안 메커니즘: REPOSE는 오버헤드를 제한하고 약한 하드 RT-CPS에 보안을 통합하는 "가격"을 규정함으로써, "전부 아니면 전무"의 패러다임에서 벗어난다.
2. 분석적 프레임워크: 임의의 시간 $t$에서 추가된 보안 오버헤드를 고려하도록 제어 지연 분석을 확장하여, 보안이 전체 시스템 성능에 미치는 영향에 대한 정확한 척도를 제공한다.
3. 온라인 태스크 선택 알고리즘: 약한 하드 제약 조건 하에서 동작의 실시간 실행 가능성을 기반으로 보안 정리를 스케줄링하는 새로운 알고리즘을 제시하여 하위 우선순위 태스크에 미치는 영향을 최소화한다.
4. 정량적 평가: 본 연구는 합성 태스크 세트(5,000개 세트, 각 10개 태스크)와 2-질량 스프링-댐퍼 제어 시스템의 케이스 스터디를 통해 REPOSE를 평가하였다.

4. 결과 및 평가

저자들은 합성 태스크 세트와 2-질량 스프링-댐퍼 제어 시스템의 케이스 스터디를 통해 REPOSE를 평가하였다.

• 오버헤드 비교: 시스템 이용률 80%에서, REPOSE는 하드 제약 조건을 가진 시스템에서 관찰된 29%의 오버헤드와 비교하여 **0.06%**의 실행 가능성 오버헤드를 달성했다.
• 미스 허용치(Miss Tolerance): 약한 하드 제약 조건(예: $m=2, k=20$)을 가진 시스템은 하드 제약 시스템($m=0, k=1$)보다 현저히 낮은 "보안의 가격(PoS)"을 보였다. PoS는 이용률이 높아짐에 따라 하드 제약 시스템에서 급격히 상승한 반면, 약한 하드 시스템은 더 낮은 오버헤드를 유지했다.
• 파라미터의 영향:
  • 데드라인 미스 허용치 ($m$): 미스 허용도가 높을수록 보안 실행 가능성이 크게 향상되었다.
  • 미스 확률: 미스 확률이 오버헤드에 영향을 미쳤으나, $(m, k)$ 경계가 실행 가능성을 결정하는 더 지배적인 요인이었다.
  • 스케줄링 정책: 임의 고정 우선순위 스케줄링이 RMS(Rate-Monotonic Scheduling)보다 보안 오버헤드 측면에서 약간 더 나은 성능을 보였다. 이는 RMS가 주기가 짧은(따라서 성능 임계치가 타이트한) 태스크에 높은 우선순위를 부여하여 보안 유발 지연에 더 민감하게 만들기 때문이다.
• 케이스 스터디: 스프링-댐퍼 시뮬레이션에서 "CLEANUP+RESTART" 동작은 시뮬레이션된 캐시 폴루션(cache pollution) 공격 이후 시스템을 안전한 상태로 성공적으로 복구시킨 반면, "CLEANUP"만 수행했을 경우 잔류 상태 오류로 인해 시스템이 장기간 불안정한 상태에 머물렀다.

5. 의의 및 주장

본 논문은 REPOSE가 RT-CPS의 안전-보안 트레이드오프를 분석하고 계산하기 위한 강건한 프레임워크를 제공한다고 주장한다. 주요 의의는 다음과 같다:

• 고이용률에서의 실행 가능성: RE포스는 약한 하드 시스템의 고유한 특성인 유계된 데드라인 미스 허용 능력을 활용함으로써, 고부하 엣지 장치에서도 보안을 통합할 수 있음을 입증했다. 이는 보안 문헌에서 이전에 탐구되지 않았던 부분이다.
• 동적 적응: 이상 탐지에 의해 트리거되고 "가격"을 동적으로 계산함으로써, REPOSE는 기존의 설계 시점 접근 방식이 가진 비관적이고 지속적인 오버헤드를 피한다.
• 실제 구현 가능성: 이 프레임워크는 하드웨어 수정 없이 캐시 플러싱 및 태스크 관리를 위한 표준 API를 사용하여 상용 COTS RTOS(예: RTEMS, FreeRTOS)에 구현할 수 있도록 설계되었다.

저자들은 결론적으로 REPOSE가 전통적인 하드 실시간 보안 통합이 불가능한 안전 필수(safety-critical) RT-CPS를 위한 실행 가능한 경로를 제공하며, 관리자에게 시스템 성능과 보안 무결성 사이의 균형을 동적으로 맞출 수 있는 메커니즘을 제공한다고 밝히고 있다.