System-Level Isolation for Mixed-Criticality RISC-V SoCs: A "World" Reality Check

In de moderne wereld van de elektronica fungeert een enkele chip vaak als het brein voor alles, van de auto waarin je rijdt tot de fabrieksrobot die deze bouwt. Deze chips, bekend als systems-on-chip, zijn volgepropt met veel verschillende onderdelen die samenwerken: sommige handelen eenvoudige taken af, terwijl andere levenskritische veiligheidsfuncties beheren. Om deze systemen veilig te houden, moeten ingenieurs ervoor zorgen dat een fout of een kwaadwillige aanval op een onderdeel met een lage prioriteit niet kan overslaan naar de onderdelen met een hoge prioriteit. Stel je een druk kantoorgebouw voor waar de brievenkamer, de directieverdiepingen en de serverruimte allemaal dezelfde gang delen; als de brievenkamer wordt binnengedrongen, moet het beveiligingssysteem de indringer tegenhouden om de serverruimte te bereiken. Decennialang hebben computerchips vertrouwd op specifieke, vaak propriëtaire methoden om deze onzichtbare muren te creëren, maar nu de open-source RISC-V-architectuur steeds populairder wordt voor deze kritieke rollen, vragen ingenieurs zich af of de huidige instrumenten voor het bouwen van deze muren sterk genoeg, snel genoeg en flexibel genoeg zijn voor de toekomst.

Een team van onderzoekers van universiteiten en industriële partners in Portugal en Duitsland heeft zich gericht op het onderzoeken van de nieuwste voorstellen voor deze beveiligingsmuren binnen het RIS de RISC-V-ecosysteem. Ze concentreerden zich op drie specifieke methoden die ontworpen zijn om ongeautoriseerde toegang tussen verschillende delen van een chip te stoppen. De eerste methode, genaamd IOPMP, werkt als een gedetailleerde lijst met regels die elke aanvraag controleert tegen een database om te zien of deze is toegestaan. De tweede methode, bekend als de World Checker, gebruikt een eenvoudigere, snellere aanpak waarbij elke aanvraag een "world"-label krijgt, en het systeem controleert of dat label is toegestaan in een specifiek gebied. De derde, SmMTT, is een nieuwer voorstel dat softwaredomeinen isoleert, maar vertrouwt op een andere beheerstijl. De onderzoekers bouwden werkende hardwareversies van deze drie systemen en testten deze binnen een gesimuleerde computerchip om te zien hoe ze presteerden onder de strikte eisen van real-time systemen, waarbij zelfs een minimale vertraging een veiligheidsfout kan veroorzaken.

Het team ontdekte dat de snelheid en voorspelbaarheid van deze beveiligingscontroles aanzienlijk variëren. De World Checker bleek in zijn standaardvorm de meest consistente presteerder te zijn. Het voegde een vaste, minuscule vertraging toe aan elke transactie, wat betekende dat het systeem altijd precies kon voorspellen hoe lang een beveiligingscontrole zou duren, ongeacht hoeveel regels er in het spel waren. Deze voorspelbaarheid is essentieel voor veiligheidskritische toepassingen zoals automatische remsystemen in auto's, waarbij de timing exact moet zijn. In contrast hiermee introduceerde de IOPMP-methode, hoewel flexibel, een variabele vertraging. De snelheid ervan hing af van waar de juiste regel in de lijst stond; als de regel diep in de lijst stond, moest het systeem langer wachten om deze te vinden. Deze onvoorspelbaarheid maakt het moeilijker om te garanderen dat een veiligheidssysteem tijdens een noodsituatie op tijd reageert. De onderzoekers ontdekten ook dat de World Checker minder fysieke middelen op de chip gebruikte wanneer het aantal beveiligingsregels klein was, wat het een efficiënte keuze maakte voor eenvoudigere ontwerpen.

De onderzoekers realiseerden zich echter dat de standaard World Checker een beperking had bij het werken met complexe, moderne chips die veel verschillende beveiligingszones hebben. Het oorspronkelijke ontwerp worstelde met het efficiënt schalen wanneer het aantal verschillende beveiligingsidentiteiten groot werd, waardoor er meer ruimte op de chip nodig was dan noodzakelijk. Om dit op te lossen, hebben de onderzoekers de World Checker herontworpen. Ze creëerden een nieuwe versie die een groter aantal beveiligingsidentiteiten kon afhandelen zonder de omvang van de chip onnodig te vergroten. Deze aangepaste checker introduceerde een flexibelere manier om geheugengebieden te definiëren, waardoor ingenieurs verspreide of onregelmatig gevormde geheugenregio's konden beschermen zonder ruimte te verspillen. Ze veranderden ook de manier waarop machtigingen worden opgeslagen, door een enkele grote blok met gegevens te vervangen door kleinere, specifieke vermeldingen. Deze verandering betekende dat naarmate het aantal beveiligingsidentiteiten toenam, de aangepaste checker efficiënt bleef, terwijl de standaardversie te groot zou zijn geworden om praktisch te zijn.

Toen de onderzoekers deze nieuwe ontwerpen testten, lieten de resultaten een duidelijk pad zien voor toekomstige chipontwikkeling. De aangepaste World Checker behield dezelfde snelle, voorspelbare snelheid als de originele, maar schaalde veel beter naarmate het systeem complexer werd. In simulaties van een volledige computerchip schatten de onderzoekers dat het gebruik van hun verbeterde ontwerp de totale fysieke ruimte die vereist is voor het beveiligingssysteem met wel vijf procent kan verminderen ten opzichte van een basisontwerp. Hoewel vijf procent klein lijkt, vertaalt een dergelijke besparing in de wereld van chipproductie, waar ruimte kostbaar is en miljoenen chips worden geproduceerd, zich in aanzienlijke kostenbesparingen en de mogelijkheid om meer functies in dezelfde grootte te passen. De IOPMP-methode, hoewel in staat om een enorm aantal identiteiten te ondersteunen, vereiste consequent meer ruimte en introduceerde meer variabele vertragingen, waardoor deze minder geschikt is voor de strikte timingbehoeften van veiligheidskritische systemen.

De studie concludeert dat voor de volgende generatie RISC-V-chips, met name die gebruikt worden in auto's en industriële machines, de World Checker-aanpak het meest betrouwbare fundament biedt. De aanpassingen van de onderzoekers pakken de specifieke zwakheden van het oorspronkelijke ontwerp aan, waardoor ze ervoor zorgen dat naarmate deze chips krachtiger worden en complexere taken afhandelen, hun beveiligingssystemen met hen mee kunnen groeien zonder in te boeten op snelheid of veiligheid. Door hun hardwareontwerpen en testresultaten publiekelijk beschikbaar te maken, hopen de onderzoekers de officiële standaarden voor RISC-V te beïnvloeden, om er zeker van te zijn dat de uiteindelijke specificaties deze efficiënte, voorspelbare en schaalbare beveiligingsmechanismen ondersteunen. Hun werk suggereert dat de toekomst van veilige, open-source computing ligt in systemen die verschillende taken kunnen isoleren met zowel snelheid als zekerheid, om te voorkomen dat de chaos van een gecompromitteerd onderdeel de hele machine platlegt.