Resumo Técnico: PoisonCap: Segurança Temporal Hierárquica Eficiente para CHERI

Declaração do Problema

A segurança da memória permanece um desafio crítico na segurança de software, com vulnerabilidades temporais, como uso-após-liberação (UAF) e acesso a memória não inicializada, representando riscos significativos. Embora a arquitetura CHERI forneça segurança espacial robusta, as soluções existentes de segurança temporal para CHERI, especificamente a Cornucopia Reloaded, sofrem com várias limitações:

1. Garantias de Mitigação Fracas: A Cornucopia fornece segurança de uso-após-realocação (UAR) em vez de segurança estrita de uso-após-liberação (UAF). Ela adia a realocação até uma varredura de memória, deixando uma janela onde ponteiros pendentes ainda podem acessar memória liberada antes que seja colocada em quarentena ou realocada.
2. Falta de Segurança de Inicialização: As soluções existentes dependem do preenchimento de memória com zeros, o que a análise do MSRC indica ser insuficiente para prevenir comportamento indefinido causado por acesso não inicializado. O preenchimento com zeros também falha em comunicar a "vitalidade" dos dados à hierarquia de cache, levando à poluição de cache com dados "mortos".
3. Escalabilidade em Alocadores Aninhados: Pilhas de software modernas frequentemente empregam alocadores aninhados ou personalizados (por exemplo, em SQLite, OpenSSL, Apache) que sub-alocam memória a partir do alocador do sistema. Os mecanismos atuais de segurança temporal do CHERI dependem de um único mapa de bits sombra e permissões definidas por software, que não escalam elegantemente para múltiplas camadas de alocação sem incorrer em sobrecarga significativa de memória ou exigir hierarquias complexas de permissões.
4. Sobrecarga de Desempenho: A realocação adiada e o gerenciamento de mapas de bits sombra introduzem penalidades de desempenho e ineficiências de cache.

Metodologia

Os autores propõem o PoisonCap, um projeto conjunto hardware-software que introduz uma nova extensão arquitetural ao CHERI: capacidades de veneno. Esta abordagem impõe mitigação determinística e estrita de UAF e segurança de inicialização, enquanto comunica o estado da memória à microarquitetura.

Extensões Arquiteturais Principais

• Capacidades de Veneno: Um novo tipo de capacidade armazenado diretamente na memória liberada. Diferentemente das capacidades padrão, as capacidades de veneno restringem o acesso ao local de memória onde são armazenadas. Elas contêm um bit de veneno, um campo de versão de veneno e preservam os limites da alocação original.
• Aplicação por Hardware:
  • Verificações de Leitura/Escrita: O hardware verifica o conteúdo da memória antes de permitir o acesso. Uma leitura em memória envenenada gera uma exceção (ou retorna zero no modo silencioso), prevenindo UAF. Uma escrita em memória envenenada é cancelada para preservar a segurança sem estagnar o pipeline.
  • Versionamento: Um bit de versão de memória rastreia gerações de alocação. É imposta uma política de leitura antes de escrita: se a versão de um ponteiro diferir da versão de veneno na memória, o acesso gera uma exceção, prevenindo acesso não inicializado.
  • Consciência de Cache: A microarquitetura é estendida para detectar linhas de cache envenenadas (através do bit de veneno e da tag CHERI) e priorizar sua substituição, reduzindo a poluição de cache proveniente de memória em quarentena.
• Revogação Hierárquica: As capacidades de veneno utilizam metadados de limites para representar a camada de alocação.
  • Quando a memória é liberada, o alocador escreve uma capacidade de veneno preservando os limites daquela alocação específica.
  • Durante uma varredura de revogação, o sistema verifica se os limites de uma capacidade são um subconjunto dos limites de veneno. Se sim, a capacidade é revogada.
  • Crucialmente, capacidades de alocadores a montante (com limites mais amplos) não são revogadas, permitindo que alocadores aninhados imponham segurança aos seus consumidores sem perturbar os alocadores pai. Isso elimina a necessidade de múltiplos mapas de bits sombra.
• Integração com Software: A implementação estende o conjunto de instruções CHERI RISC-V com novas instruções (por exemplo, CGetPoison, CGetCapPoison e instruções de armazenamento especiais) e integra-se ao sistema operacional CheriBSD, ao compilador LLVM/Clang e ao alocador Jemalloc.

Principais Contribuições

1. Formato de Capacidade de Veneno: Introdução de um formato de capacidade que impõe segurança estrita de UAF e inicialização no CHERI, substituindo a necessidade de mapas de bits sombra externos.
2. Proteção Hierárquica: Utilização de limites de capacidade para escalar a segurança temporal através de camadas de alocação aninhadas, permitindo uma delegação elegante de privilégios de envenenamento sem perturbar alocadores a montante.
3. Revogação sem Mapas de Bits Sombra: Demonstração de que capacidades de veneno podem identificar ponteiros pendentes no lugar do mapa de bits sombra da Cornucopia, reduzindo a sobrecarga de memória e permitindo revogação hierárquica.
4. Implementação de Sistema Completo: Implementação das extensões PoisonCap no emulador QEMU CHERI RISC-V e na CPU soft-core FPGA CHERI-Toooba, incluindo suporte no compilador Clang/LLVM e no sistema operacional CheriBSD.
5. Otimização Microarquitetural: Extensão do sistema de memória para gerenciar fluxos de memória envenenada, melhorando a eficiência de cache ao priorizar a substituição de linhas envenenadas.
6. Avaliação Abrangente: Validação usando o conjunto de testes Juliet do NIST (2.776 casos de teste) e benchmarks SPEC CPU2006/SQLite.

Resultados

• Segurança: O PoisonCap mitiga com sucesso todas as vulnerabilidades testadas de UAF (CWE-416), double-free (CWE-415) e acesso não inicializado (CWE-457) no conjunto de testes Juliet. Ele detecta vulnerabilidades que ocorrem entre liberação e realocação, que o modelo UAR da Cornucopia deixa passar.
• Desempenho:
  • Sobrecarga: Em relação a uma linha de base Cornucopia que preenche a memória com zeros antes da realocação, o PoisonCap incorre em nenhuma sobrecarga de desempenho fundamental. Nos benchmarks INT do SPEC CPU2006, mostrou uma leve melhoria (redução de 0,1% na sobrecarga de ciclos de CPU) em comparação com a Cornucopia com preenchimento de zeros.
  • Eficiência de Cache: Ao permitir que a microarquitetura detecte e substitua linhas de cache envenenadas, o PoisonCap reduziu a sobrecarga de tráfego de DRAM em uma média de 1,49% em comparação com a Cornucopia com preenchimento de zeros.
  • Custo de Hardware: No FPGA VCU118, a implementação adicionou apenas 1,1% ao uso de lógica e 2,2% ao uso de registradores, com um aumento negligenciável de 0,1% no uso de memória e uma redução de 2,3% no consumo de energia.
• Alocadores Aninhados: O protótipo estendeu com sucesso o alocador MEMSYS5 do SQLite para usar PoisonCap para segurança temporal, provando que a revogação hierárquica funciona sem exigir camadas de alocação estáticas ou mapas de bits sombra adicionais.

Significado e Alegações

O artigo afirma que o PoisonCap representa um avanço significativo na segurança temporal do CHERI ao:

• Fortalecer Garantias de Segurança: Avançar de mitigação UAR para mitigação estrita de UAF e impor segurança de inicialização sem depender apenas do preenchimento com zeros.
• Eliminar Sobrecarga: Alcançar essas garantias mais fortes sem a sobrecarga de desempenho ou memória tipicamente associada a mecanismos de segurança temporal (como mapas de bits sombra ou realocação adiada).
• Permitir Composição: Resolver o desafio de longa data de escalar a segurança temporal para alocadores aninhados, permitindo que pilhas de software complexas mantenham segurança em cada camada sem comprometer a segurança das camadas pai.
• Sinergia Microarquitetural: Aproveitar as propriedades únicas das capacidades CHERI para comunicar o estado da memória ao subsistema de cache, transformando um mecanismo de segurança em uma otimização de desempenho para gerenciamento de cache.

Os autores posicionam o PoisonCap como um caminho de adoção incremental, orientado por software, que não exige sobrecarga de base para software que não utiliza esses recursos, tornando-o adequado para implantação ampla em sistemas CHERI de classe de aplicação.