기술 요약: obliv-clang: C++에서의 실질적인 Oblivious 프로그래밍

문제 정의

사이드 채널 취약점, 특히 공유 캐시, 페이지 테이블 또는 분기 예측기를 통한 타이밍 및 액세스 패턴을 악용하는 취약점은 신뢰 실행 환경(TEE) 내에서도 기밀 데이터 처리에 지속적인 위협이 됩니다. 하드웨어 격리가 아키텍처 수준에서 데이터를 보호하더라도, 프로그램의 동작이 민감한 값에 의존하게 되면 실행 흔적(execution traces)을 통해 비밀이 유출될 수 있습니다.

기존의 Oblivious 프로그래밍(실행 흔적이 비밀 데이터와 독립적이도록 프로그래밍하는 것) 솔루션들은 다음과 같은 상당한 한계에 직면해 있습니다:

1. 도메인 특화 언어 (DSLs): Jasmin 및 FaCT와 같은 도구들은 코드를 새로운 언어로 다시 작성해야 하므로 통합 비용이 높고 표준 툴체인 지원(디버깅, 라이브 library 등)이 부족합니다.
2. 별도의 모델링: 별도의 모델을 통해 obliviousness를 확인하는 방식은 실제 구현과 모델 사이의 일관성을 유지하기 어렵습니다.
3. 컴파일러 변환: 기존 컴파일러의 자동 변환은 보수적인 가정에 의존하는 경우가 많아, 심각한 성능 저하를 초래하거나 복잡한 코드 패턴을 처리하지 못하는 경우가 발생합니다.
4. 언어 복잡성: 임의로 중첩된 포인터, 참조, 템플릿 및 객체 지향 다형성과 같은 C++ 기능들은 엄격하고 건전한 프레임워크 없이는 obliviousness를 모델링하기 매우 어렵습니다.

방법론

저자들은 C++ 소스 코드 상에서 직접 정적 컴파일 타임 oblivousness 체크를 수행하는 Clang/LLVM 인프라용 컴파일러 플러그인인 obliv-clang을 제시합니다. 이 시스템은 기존의 산업 수준 C++ 코드베이스와 원활하게 통합되도록 설계되었습니다.

핵심 설계: Obliviousness 레벨 (olevels)

C++의 복잡한 메모리 모델을 처리하기 위해, 저자들은 **obliviousness 레벨(olevels)**을 도입했습니다. olevel은 다양한 단계의 간접 참조(dereferencing) 단계에서 표현식의 비밀 상태를 나타내는 이진 문자열입니다.

• 표현 방식: olevel 문자열의 $i$번째 비트는 $i$번의 역참조 후의 obliviousness 상태를 나타냅니다. 표현식은 olevel이 1로 끝날 때 "oblivious"한 것으로 간주됩니다.
• 데이터 흐름 규칙: 시스템은 비밀 데이터가 공용 도메인으로 흐르거나 제어 흐름에 영향을 미치는 것을 방지하기 위해 일련의 규칙을 강제합니다:
  • 산술 및 논리 연산: oblivious한 객체에 의존하는 모든 표현식은 그 자체로 oblivious합니다.
  • 캐스팅 및 할당: 할당은 olevel 호환성에 따라 제한됩니다. 구체적으로, 에일리어싱 공격(예: 공용 포인터를 비밀 포인터의 타겟에 할당하는 것)을 방지하기 위해 C++의 const 의미론에서 유래한 "상수성(constantness)"에 관한 특정 조건을 충족하지 않는 한, oblivious한 값을 non-oblivious 타겟에 할당하는 것은 금지됩니다.
  • 제어 흐름: 조건문(if, while, switch)은 oblivious한 표현식에 의존할 수 없습니다.
  • 역참조: oblivious한 포인터를 역참조하는 것은 금지됩니다. 이는 비밀 주소에 의존하는 메모리 액세스 패턴을 드러낼 수 있기 때문입니다.

C++ 기능 처리

obliv-clang은 이러한 규칙을 다음과 같은 기능을 지원하도록 확장합니다:

• 포인터 및 참조: olevel을 사용하여 중첩된 포인터(예: char***)를 통한 비밀 유지를 추적합니다.
• 함수 호출: 매개변수와 반환 값에 olevel을 주석으로 지정합니다. 도구는 번역 단위(translation units)를 가로질러 호출 지점과 함수 정의 사이의 일관성을 확인합니다.
• 클래스 및 다형성: 클래스 멤버는 인스턴스에서 상속받은 olevel을 계승합니다(olevel 문자열의 x로 표시). oblivious한 다형성 포인터에 대한 가상 메서드 호출은 vtable 정보를 유출할 수 있으므로 금지됩니다.
• 템플릿: 각 템플릿 인스턴스화는 개별적으로 체크되어, 서로 다른 인스턴스화에 대해 서로 다른 olevel 요구 사항을 허용합니다.
• Unsafe 블록: Rust의 unsafe 키워드에서 영감을 받은 obliv_unsafe 속성은 개발자가 특정 블록(예: 외부 라이브러리와의 상호 작용 또는 복잡한 암호화 프리미티브 구현)에 대해 체크를 우회할 수 있도록 하여, 정확성에 대한 책임을 프로그래머에게 부여합니다.

건전성 및 백엔드 안전성

저자들은 프로그램이 정적 체크를 통과하면 비밀 및 데이터 흐름 속성을 만족하여 공격자가 비밀에 기반하여 실행 흔적을 구별할 수 없음을 입증하는 건전성 공식 증명(정리 1, 3, 4)을 제공합니다.

백엔드(LLVM 옵티마이저)가 이러한 보장을 깨뜨리지 않도록 하기 위해, 도구는 다음을 수행합니다:

1. 특정 최적화 비활성화: 제어 흐름이나 메모리 액세스 패턴을 재구성할 수 있는 것으로 알려진 최적화 패스(예: 루프 언롤링, 벡터화, cmov 변환)를 수동으로 억제합니다.
2. 이중 확인 메커방: 선택적으로 외부 도구(pitchfork)를 사용하여 생성된 어셈블리 코드를 검증합니다. 검증에 실패하면 컴파일러는 최적화를 비활성화한 상태(optnone)로 해당 유닛을 다시 컴파일합니다.

주요 기여

1. 구현: 전체 C++ 언어를 지원하며 성숙한 Clangle/LLVM 생태계와 통합되는 기능적인 컴파일러 플러그인(obliv-clang)을 구현했습니다.
2. 공식 규칙: 중첩된 포인터, 템플릿, 객체 지향 구조를 포함한 복잡한 C++ 기능을 처리하는 포괄적인 obliviousness 체크 규칙을 제공합니다.
3. 공식 증명: 프로그램을 통과한 프로그램이 타이밍 및 액세스 패턴 사이드 채널에 대해 안전하다는 것을 확립하는 건전성 증명을 제공합니다.
4. 평가: 비trivial한 사례 연구를 통해 표현력을 보여주고 기존 도구(Jasmin 및 FaCT) 대비 성능상의 이점을 입증했습니다.

결과 및 평가

저자들은 여러 벤치마크를 사용하여 obliv-clang을 평가하고 이를 최신 도구(Jasmin 및 FaCT)와 비교했습니다.

• 표현력: 이 도구는 다음과 같은 복잡한 oblivious 알고리즘을 성공적으로 컴파일했습니다:

  • PathORAM: 이진 트리 위치 맵을 처리하는 비재귀적 구현 (251행).
  • Oblivious BFS: 그래프 순회 알고리즘 (158행).
  • 취약점 탐지: 비밀 데이터가 non-oblivious 함수로 흐르는 OpenSSL의 ECDSA 구현 내 알려진 타이밍 취약점(CVE-2024-13176)을 자동으로 포착했습니다.
  • 주석 오버헤드: 코드베이스의 8%에서 17%만이 [[obliv]] 주석을 필요로 했으며, 주로 변수 선언 및 함수 시그니처에 사용되었습니다.

• 컴파일 오버헤드: 정적 체크는 최소한의 오버헤드만을 추가하며, 이중 확인 없이 약 11% 미만, 이중 확인 포함 시 18% 미만의 컴파일 시간 증가를 보였습니다.

• 런타임 성능:

  • 최적화 억제: 특정 LLVM 패스를 비활성화하는 것은 대부분의 벤치마크(예: Tiny JPEG, Oblivious BFS에서 <2%)에서 무시할 만한 속도 저하를 일으켰으나, 루프 최적화에 크게 의존하는 PathORAM의 경우 최대 **29.5%**의 저하를 보였습니다.
  • 비교: 평균적으로 obliv-clang으로 컴파일된 프로그램은 Jasmin보다 27.8%, FaCT보다 66.9% 더 빠르게 실행되었습니다. 저자들은 이를 고도로 최적화된 LLVM 백엔드를 활용한 덕분이라고 설명하며, DSL들은 종-종 커스텀 코드 생성이나 덜 효율적인 변환을 필요로 한다는 점과 대조했습니다.

의의 및 주장

본 논문은 obliv-clang이 실질적인 실세계 oblivious 프로그래밍을 향한 중요한 진전임을 주장합니다. DSL을 요구하는 대신 표준 C++를 지원함으로써, 개발자의 진입 장벽을 낮추고 최소한의 포팅 노력으로 기존의 복잡한 코드베이스에 oblivious 보안을 통합할 수 있게 합니다.

저자들은 이 접근 방식이 사용성(친숙한 언어, 낮은 주석 부담)과 보안(공식 건전성 증명, 백엔드 검증) 사이의 균고를 맞춘다는 점을 강조합니다. 일부 컴파일러 최적화를 비활성화함으로써 성능 비용이 발생한다는 점을 인정하면서도, 보안을 위한 적절한 트레이드오프이며 이 도구가 커스텀 DSL 컴파일러의 비효versity를 피함으로써 일반적으로 이전 솔루션들보다 뛰어난 성능을 보여준다고 주장합니다. 이 연구는 현대적이고 풍부한 기능을 갖춘 언어인 C++의 제약 조건 내에서 엄격한 obliviousness 체크가 가능하다는 것을 입증합니다.