Resolving Conflicts Between RTOS Timekeeping and Uninterruptable Trusted Computing

1. Declaração do Problema

O artigo aborda um conflito crítico entre Ambientes de Execução Confiáveis (TEEs) em microcontroladores de baixo consumo (especificamente ARM TrustZone-M) e Sistemas Operacionais em Tempo Real (RTOS).

• O Conflito: TEEs (Mundo Seguro) exigem que certos serviços de segurança (por exemplo, operações criptográficas, atestação remota, hot-patching) sejam executados atomicamente para prevenir adulteração. Para garantir a atomicidade, o Mundo Seguro desabilita todas as interrupções Não-Seguras durante a execução.
• A Consequência: O Mundo Não-Seguro (onde reside o RTOS) depende de interrupções SysTick periódicas para manter sua noção interna de tempo, conduzir o agendamento de tarefas e gerenciar timeouts. Quando o Mundo Seguro desabilita as interrupções, os eventos SysTick são bloqueados.
• O Mecanismo de Falha: O Controlador de Interrupções Vetorialmente Aninhado (NVIC) pode bufferizar apenas uma interrupção pendente. Se um serviço seguro durar mais de um período SysTick ($T_{tick}$), o primeiro tick perdido é bufferizado, mas todos os ticks subsequentes durante esse intervalo são silenciosamente descartados.
• Impacto: Isso resulta em deriva temporal onde o RTOS subconta o tempo. Isso não é meramente um erro de relógio; causa:
  • Falhas na liberação de tarefas e execução atrasada.
  • Expirações incorretas de timeouts em primitivas de sincronização.
  • Falha de temporizadores de software.
  • Degradação de sistemas de controle (por exemplo, controle de motores) devido a discrepâncias temporais silenciosas entre a lógica do controlador e a realidade física.

Trabalhos anteriores ignoraram amplamente essa questão, assumindo que operações atômicas rápidas não impactariam significativamente a contagem de tempo, ou falhando em modelar o efeito cumulativo da perda de ticks em um ambiente multi-domínio.

2. Metodologia: Sincronização de Tempo Orientada pelo Seguro

Os autores propõem um mecanismo leve onde o Mundo Seguro assume a responsabilidade de rastrear e compensar os ticks SysTick perdidos, garantindo que o RTOS Não-Seguro retome com um estado consistente.

Princípios Centrais de Design

1. Sem Modificações no RTOS: A solução não requer alterações no kernel do RTOS subjacente ou na lógica da aplicação.
2. Execução no Mundo Seguro: O Mundo Seguro intercepta eventos SysTick enquanto serviços atômicos estão em execução.
3. Reconstrução de Estado: Em vez de apenas corrigir um contador, o Mundo Seguro reconstrói os efeitos semânticos dos ticks perdidos no kernel do RTOS.

Implementação Técnica

• Redirecionamento de Interrupção: Quando um serviço seguro inicia, o Mundo Seguro reconfigura o NVIC para rotear a interrupção SysTick Não-Segura para um manipulador do Mundo Seguro (o "Manipulador Seguro NS SysTick").
• Interceptação de Ticks:
  • O manipulador seguro é executado a cada expiração SysTick que ocorre durante o serviço atômico.
  • Ele incrementa um contador interno ($n$) representando o número de ticks perdidos.
  • Ele atualiza diretamente a variável do contador de ticks Não-Segura usando endereços pré-extraídos.
• Varredura de Reconstrução (Pós-Serviço): Uma vez que o serviço seguro é concluído e as interrupções são reabilitadas, o Mundo Seguro realiza uma única "varredura" para aplicar os efeitos cumulativos dos $n$ ticks perdidos ao kernel Não-Seguro:
  • Tarefas Atrasadas: Promove tarefas bloqueadas para a lista de prontas se seu tempo de despertar $\le$ (tick atual + $n$).
  • Temporizadores de Software: Publica um comando na fila de tarefas de temporizadores Não-Segura para disparar todos os temporizadores expirados que teriam sido acionados durante o intervalo perdido.
  • Agendamento Round-Robin: Calcula quantas rotações de fatia de tempo deveriam ter ocorrido e avança o ponteiro da lista de prontas de acordo.
  • Reagendamento: Se uma tarefa de maior prioridade ficar pronta, ela aciona um PendSV para forçar uma troca de contexto imediata ao retornar.
• Segurança: O manipulador valida todos os ponteiros antes de desreferenciar memória Não-Segura para evitar que um Mundo Não-Seguro comprometido redirecione ponteiros para memória Segura.

3. Contribuições Principais

1. Caracterização da Deriva Temporal entre Mundos:
   • Formalizou um modelo matemático para perda de ticks baseado na duração do serviço atômico ($A_i$), período SysTick ($T_{tick}$) e frequência de execução.
   • Demonstrou que a deriva acumula linearmente e pode ser significativa mesmo para operações atômicas curtas se ocorrerem frequentemente.
2. Mecanismo de Reconciliação de Tempo entre Mundos:
   • Propôs uma arquitetura inovadora onde o Mundo Seguro atua como um "cronometrista" para o Mundo Não-Seguro durante intervalos atômicos.
   • Alcança consistência total de estado (não apenas correção de contador) sem modificar o RTOS.
3. Validação Empírica e Estudo de Caso:
   • Validou o modelo no FreeRTOS e Zephyr executando em hardware ARM Cortex-M33 (Raspberry Pi Pico 2 e STM32L552).
   • Realizou um estudo de caso de sistema de controle em malha fechada (controle de velocidade e posição de motor DC) para demonstrar as implicações de segurança da deriva não corrigida.

4. Resultados

• Eliminação da Deriva: O mecanismo proposto eliminou completamente a deriva temporal. Nos experimentos, o contador de ticks Não-Seguro permaneceu alinhado com o tempo de referência do Mundo Seguro dentro de um único tick, mesmo após milhares de invocações de serviço atômico.
• Sobrecarga:
  • Ciclos de CPU: O manipulador seguro adiciona sobrecarga mínima (~120 ciclos no FreeRTOS, ~172 no Zephyr).
  • Tamanho do Código: A implementação adiciona apenas ~118 linhas de código (FreeRTOS) ou ~280 linhas (Zephyr) ao Mundo Seguro.
  • Latência: Em plataformas com SysTick compartilhado, não há aumento observável na latência de interrupção.
• Impacto no Sistema de Controle:
  • Não Compensado: Em um experimento de controle de velocidade de motor DC, a deriva não corrigida causou o aumento do Erro Quadrático Médio (RMSE) de 6,55 para 8,02 rad/s. Em um experimento de controle de posição, uma única falha na liberação causou um desvio de posição de pico de 56 mrad (3,21°).
  • Compensado: Com o mecanismo habilitado, o desempenho do sistema de controle correspondeu exatamente à linha de base (sem interferência), provando que o mecanismo preserva garantias de tempo real.

5. Significância

Este trabalho é significativo porque preenche uma lacuna crítica na implantação de TEEs em sistemas embarcados em tempo real e críticos para a segurança.

• Garantia de Segurança: Demonstra que TEEs podem coexistir com requisitos de tempo real rígidos sem comprometer a segurança do sistema ou a estabilidade do laço de controle.
• Praticidade: Ao não exigir modificações de hardware nem alterações em kernels de RTOS existentes, a solução é imediatamente implantável em dispositivos TrustZone-M atuais.
• Mudança de Paradigma: Desafia a suposição de que a execução atômica segura é "transparente" para o restante do sistema, destacando que a contagem de tempo é um recurso compartilhado que requer sincronização explícita entre domínios de segurança.

Em conclusão, o artigo fornece uma solução robusta e de baixa sobrecarga para uma vulnerabilidade anteriormente não abordada nas arquiteturas TrustZone-M, garantindo que serviços de segurança não degradem inadvertidamente a correção temporal de aplicações em tempo real.