Resumo Técnico: CHERI-D: ID de Objeto Inline Seguro e Eficiente para Segurança de Memória Temporal CHERI

Declaração do Problema

O CHERI (Capability Hardware Enhanced RISC Instructions) fornece uma robusta segurança de memória espacial ao restringir os intervalos de acesso de ponteiros, mas carece de suporte arquitetural intrínseco para segurança de memória temporal (detecção de vulnerabilidades de uso após liberação [use-after-free] e uso após realocação [use-after-reallocation]). A solução de software de última geração, o Cornucopia Reloaded, baseia-se em uma abordagem semelhante à de um coletor de lixo (garbage collector) que retarda a realocação de memória. Ele coloca em quarentena a memória liberada e realiza operações periódicas de "varredura" (sweep) para revogar capacidades pendentes. Esta abordagem sofre de sobrecarga de desempenho significativa devido a:

1. Realocação Retardada: Impedir a reutilização imediata da memória liberada interrompe as otimizações do alocador (ex: caches locais de thread no jemalloc), aumentando a pegada de memória e a pressão de cache.
2. Custos de Revogação: Varreduras frequentes do espaço de endereçamento para identificar e revogar capacidades consomem ciclos de CPU e aumentam o tráfego de DRAM.
3. Garantias Limitadas: O Cornucopia Reloaded mitiga primariamente o uso após realocação (UAR), em vez de fornecer proteção estrita contra uso após liberação (UAF), deixando uma janela temporal onde ponteiros pendentes permanecem exploráveis.
4. Problemas de Escalabilidade: Abordagens de metadados existentes (como o ARM MTE) frequentemente dependem de memória de sombra (shadow memory) ou tags de granularidade fixa, incorrendo em sobrecarga de memória e falhando em escalar eficientamente para cargas de trabalho com alta intensidade de alocação e alocações pequenas frequentes.

Metodologia: Arquitetura CHERI-D

Os autores propõem o CHERI-D, uma extensão arquitetural para o CHERI que introduz o rastreamento refinado de tempo de vida de ponteiros e memória (gerações) via IDs de Objeto.

Mecanismo Central

O CHERI-D associa um ID arquitetural a cada objeto alocado.

• Extensão de Capacidade: As capacidades CHERI são estendidas com um campo de ID de 8 bits que representa o tempo de vida autorizado, juntamente com campos (IDMODE, IDLOC) para localizar o ID de memória correspondente.
• Metadados Inline: Ao contrário das abordagens de memória de sombra, o CHERI-D armazena o ID do objeto inline com os dados da alocação.
  • Modo de ID Inline: Para alocações que cabem dentro de uma linha de cache (ex: <64 bytes), o ID é colocado na fragmentação interna não utilizada ou no preenchimento (padding) imediatamente após os dados. Isso garante localidade espacial e permite que a verificação do ID ocorra simultaneamente ao acesso aos dados, incorrendo em zero latência de memória adicional.
  • Modo de ID por Página (In-Page): Para alocações maiores, os IDs são armazenados em uma tabela densa no topo da página física que contém a alocação. Um pequeno buffer de hardware armazena esses IDs em cache para permitir a verificação precoce antes da tradução de endereço.
• Reutilização Imediata: Quando a memória é liberada, o alocador incrementa o ID da memória. Uma capacidade obsoleta que possua um ID antigo falhará na verificação de hardware ao ser desreferenciada, disparando um trap. Isso permite que o slot de memória seja imediatamente reutilizado para uma nova alocação com um novo ID, eliminando a necessidade de buffers de quarentena para alocações gerenciadas por ID.
• Revogação: O revogador do kernel pode detectar capacidades pendentes sondando o ID da memória (usando cgetmemID) em vez de depender de um bitmap de sombra gerenciado por software. Um valor de ID reservado (ex: 255) pode indicar memória em quarentena.

Implementação

Os autores implementaram protótipos do CHERI-D em:

1. Hardware: O núcleo de software FPGA superscalar e fora de ordem CHERI-Toooba.
2. Software: A ferramenta LLVM/Clang, o sistema operacional CheriBSD e o alocador de sistema jemalloc (via o wrapper Malloc Revocation Shim).
3. Simulação: Um emulador CHERI baseado em QEMU parametrizável para estudos de escalabilidade arquitetural.

Principais Contribuições

1. Extensão Arquitetural: Uma nova extensão CHERI que suporta mitigação de uso após liberação estrita com reutilização imediata de memória, superando as limitações da revogação baseada apenas em software.
2. Design de Metadados Inline: Um método para armazenar IDs de objeto inline dentro dos dados de alocação (utilizando a fragmentação interna), evitando a sobrecarga de memória de memória de sombra e permitindo a busca eficiente por hardware.
3. Implementação de Protótipo: Implementações de sistema completo em FPGA e QEMU, integradas à stack de software CheriBSD e ao jemalloc.
4. Validação de Segurança: Detecção e mitigação bem-sucedidas de todos os 2.422 casos de teste NIST Juliet para Use-After-Free (CWE-416) e Double Free (CWE-415).
5. Avaliação de Desempenho: Benchmarks abrangentes (SPEC CPU2006 INT, gRPC, SQLite) demonstrando reduções significativas na sobrecarga de revogação e no tráfego de DRAM em comparação com o Cornucopia Reloaded e o PICASSO.

Resultados

Segurança

• Mitigação Estrita de UAF: O CHERI-D detecta e dispara traps com sucesso em todas as vulnerabilidades de use-after-free e double-free na suíte NIST Juliet, fornecendo garantias mais fortes do que a proteção de apenas UAR do Cornucopia Reloaded.
• Proteção Determinística: Diferente dos esquemas de tagging probabilísticos (ex: ARM MTE), o CHERI-D fornece detecção determinística de violações temporais.

Desempenho

• Redução de Revogação: O CHERI-D reduz drasticamente a frequência das varreduras de revogação. Para o benchmark omnetpp, as varreduras de revogação caíram de 2.792 (Cornucopia Reloaded) para 12.
• Sobrecarga (Overhead):
  • SPEC CPU2006 INT: O CHERI-D incorreu em uma sobrecarga média de tempo de execução de 1,6%, comparado a 13,3% para o Cornucopia Reloaded e 5,8% para o PICASSO.
  • Tráfego de DRAM: O CHERI-D aumentou o tráfego de DRAM em apenas 11,1% em média, enquanto o Cornucopia Reloaded aumentou em 176%.
  • Latência de gRPC: No percentil p90, o CHERI-D adicionou 8,3% de sobrecarga versus 89% para o Cornucopia Reloaded.
• Escalabilidade: O design escala efetivamente para cargas de trabalho com alta intensidade de alocação. Simulações sugerem que estender o suporte para alocações maiores (até 256 KiB) poderia reduzir ainda mais as contagens de revogação (ex: reduzindo as varreduras do SQLite speedtest1 de 267 para 9).

Significância e Alegações

O artigo afirma que o CHERI-D fornece uma base prática e escalável para a segurança de memória temporal em sistemas CHERI. Ao passar de um modelo baseado em software e pesado em quarentena para um modelo arquitetural de ID inline, o CHERI-D alcança:

• Segurança Mais Forte: Permite proteção estrita contra use-after-free, em vez de apenas use-after-reallocation.
• Maior Eficiência: Permite a reutilização imediata de memória, preservando as características de desempenho do alocador e reduzindo significativamente a sobrecarga do sistema associada às varreduras de revogação.
• Escalabilidade: O mecanismo de armazenamento inline evita a sobrecarga de memória da memória de sombra e escala melhor para cargas de trabalho com altas taxas de alocação em comparação com esquemas de tagging de tabela ou de granularidade fixa.

Os autores concluem que os princípios do CHERI-D provavelmente fundamentarão futuros padrões de segurança temporal para sistemas CHERI, oferecendo um caminho para sistemas seguros e de alto desempenho sem os custos proibitivos das soluções atuais baseadas apenas em software.