💻 computer science

ENOLA: Linear-Space and Low-Overhead Control-Flow Attestation for Microcontroller-based Systems

本文介绍了 ENOLA，这是一种针对基于微控制器的系统所设计的线性空间且低开销的控制流验证方案，它利用硬件辅助测量和基于寄存器的存储技术，克服了现有方法在可扩展性、安全性及性能方面的局限性。

原作者： Md Armanuzzaman, Engin Kirda, Ziming Zhao

发布于 2026-08-12

📖 1 分钟阅读☕ 轻松阅读

原作者： Md Armanuzzaman, Engin Kirda, Ziming Zhao

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你是住在一个偏远森林里的小型电池驱动机器人的保安。这个机器人有一个非常重要的任务：它必须遵循一套特定的指令来给植物浇水。如果黑客潜入并诱骗机器人走错路，植物可能会枯死，或者更糟的是，机器人可能会被劫持去做一些危险的事情。为了确保机器人正在正确地执行任务，基地站的人类需要询问机器人：“向我展示你到底去了哪里。”这个过程被称为控制流验证（Control-Flow Attestation）。这就像是要求机器人交出一份关于它所走的每一步的详细日志。

然而，这里有一个难点：这个机器人非常小巧，内存和电池容量都极低。如果机器人试图把每一步都记录在一本巨大的、杂乱的笔记本上，它还没完成工作就会耗尽墨水（内存）和电池。此外，如果黑客能潜入机器人的内存并擦除或修改日志，基地站的人类也就无法知道机器人被欺骗了。现有的针对功能更强大的计算机的解决方案，就像是试图背着一个装满百科全书的背包；对于这些微型机器人来说太重也太慢了。大问题在于：我们如何让一个微小、弱小的机器人证明它走对了路，而又不耗尽资源，也不让黑客伪造证据？

于是有了 ENOLA，一个专门为这些微型微控制器系统设计的聪明且全新的解决方案。你可以把 ENOLA 想象成一个聪明的、神奇的指南针和一个高效的速记员在协同工作。它并没有让机器人记录下每一个步骤的长篇累牍的清单，而是使用了一个特殊的技巧：它只记录机器人停下来观察的位置（即“基本块”）以及它访问每个位置的次数。这把一份庞大、蔓延的日志变成了一份精简、整洁的清单，可以轻松装进机器人的口袋里。

但 ENOLA 不仅仅是缩小了清单；它还让这份清单变得不可伪造。它利用了现代微芯片中内置的一种特殊硬件功能（称为指针认证/Pointer Authentication），为清单盖上了一个数字印章，这个印章在数学上是无法在没有密钥的情况下伪造的。至关重要的是，ENOLA 并没有把这个印章写在一段黑客可以撕毁或涂改的纸上（内存），而是将印章锁在了机器人大脑内部一个特殊的、受保护的口袋里（硬件寄存器）。这意味着即使黑客试图破坏机器人的内存，他们也无法触碰这份证据。

研究人员在现实世界的应用中测试了 ENOLA，包括一个控制注射泵的程序和一个大型安全库 wolfSSL。结果令人印象深刻：与之前的方法相比，ENOLA 将机器人需要传回基地站的数据量平均减少了 52 倍。例如，对于一个标准的测试程序，旧方法可能会传回 21,009 字节的数据，而 ENOLA 只需要 397 字节。更重要的是，ENOLA 能够处理像 wolfSSL 这样拥有 5,480 个基本块的庞大且复杂的程序，而之前的方法在处理这类程序时要么会崩溃，要么会耗时过久。

这篇论文表明，ENOLA 不仅仅是一个理论上的想法，而是一个可运行的原型。它成功证明了你可以在不显著减慢速度且不使其容易受到内存攻击的情况下，验证一个微型、资源受限设备的程序路径。虽然它确实给机器人增加了一些额外的工作量（这种开销随程序不同而变化，有时约为 1.3%，有时根据任务的不同会更高），但这种权衡是值得的，因为这终于让微型设备也能实现安全的验证。作者指出，虽然这是一个重大进步，但未来仍有提升空间，例如通过使用不同的硬件特性或进一步简化流程。

技术摘要：ENOLA —— 面向微控制器系统的线性空间与低开销控制流认证

问题陈述

控制流认证（Control-Flow Attestation, CFA）旨在向远程验证者验证程序的执行路径。然而，现有的解决方案（如 C-FLAT、LO-FAT、OAT、Blast）由于以下三个主要局限性，在根本上无法兼容资源受限的微控制器（MCU）系统：

数据传输的可扩展性： 现有方案中传输的度量值和追踪数据的规模扩展性极差。由于路径枚举（在循环中）的存在，其规模往往随基本块数量呈指数级增长，或者随执行追踪长度呈线性增长。这使得它们对于大型程序而言即便是在高端微处理器上也不切实际，而在 MCU 上更是完全不可行。
内存脆弱性： 加密密钥和度量数据通常存储在未加密或未受完整性保护的内存中。这使其容易受到冷启动攻击和内存损坏攻击，而这对于部署在现场的设备是一个关键威胁。即使是像 ARM TrustZone 这样的可信执行环境（TEE），虽然隔离了内存，但本质上并不对内存进行加密。
性能开销： 依赖于基于软件的哈希函数，以及在处理前向（调用/跳转）和后向（返回）控制流事件时，频繁在富执行环境（REE）与可信执行环境（TEE）之间进行上下文切换，这给资源受限的 MCU 带来了显著的延迟。

方法论：ENOLA 方法

ENOLA 是一种专为 MCU 系统（针对 ARMv8.1-M 架构）设计的 CFA 解决方案，它通过结合算法设计、硬件利用和编译器插桩来解决上述挑战。

1. 线性空间认证器设计

ENOLA 引入了一种新型的认证器结构 $Auth = (T, M) $，其中$ T $是基本块出现追踪，$ M $是一对累积度量值（$ M_f $用于前向路径，$ M_b$ 用于后向路径）。

追踪 ( $T$ )： ENOLA 不记录完整的执行追踪或路径枚举，而是记录每个基本块起始地址 ( $v_i.s$ ) 的出现次数以及无效间接分支目标的列表。这确保了追踪规模与基本块数量呈线性关系 ( $O(|V|)$ )，而不受循环迭代次数或执行长度的影响。
度量值 ( $M$ )： 前向和后向路径使用加密钥的消息认证码（MAC）链进行哈希处理。
- 前向 ( $M_f$ )： 在前向分支的目标基本块入口处进行计算。
- 后向 ( $M_b$ )： 在函数返回时进行计算。至关重要的是，ENOLA 不会将后向路径追踪报告给 TEE，从而消除了因返回事件导致的上下文切换。

2. 硬件辅助的安全与效率

指针认证 (PA)： ENOLA 利用 ARMv8.1-M 指针认证（PA）扩展（特别是 pacg 指令）进行度量计算。这提供了硬件加速的 MAC 生成，比软件哈希函数（如 BLAKE2）具有更高的速度。
寄存器预留： 为了防止内存损坏攻击，ENOLA 专门预留了两个通用寄存器（ $r10$ 和 $r11$ ）用于存储累积度量链（ $M_f$ 和 $M_b$ ）。这些寄存器永远不会被溢出到内存中。度量密钥被加载到 TEE 内的 PA 密钥寄存器中，且绝不会暴露给 REE 内存。
安全 ISR 分发器： 为了处理属于可信计算基（TCB）之外的中断服务程序（ISR），ENOLA 采用了一个安全分发器。它拦截中断，将程序上下文和度量状态保存到安全内存中，在 ISR 执行期间将程序栈标记为只读，并在返回时恢复状态。ISR 行为的偏差会在追踪中被标记出来。

3. 编译器与系统工作流

编译时： ENOLA 编译器（基于 LLVM）对源代码进行插桩，以：
- 插入用于报告基本块出现的安全报告接口（report_direct, report_indirect）。
- 插入 pacg 指令，在分支目标和函数返回处更新度量值。
- 生成间接目标列表（ITL），供验证者校验间接分支目的地。
- 扫描二进制文件，确保没有未经授权的指令（例如修改 PA 密钥的 msr 指令、ROP 漏洞利用片段）可以篡改预留寄存器。
运行时： 受认证程序在普通状态（REE）下运行，而认证引擎在安全状态（TEE）下运行。引擎配置 PA 密钥，强制执行内存保护单元（MPU）策略（W⊕X），并收集追踪和度量值。
验证： 远程验证者重建控制流图，在追踪的引导下进行抽象执行，并根据接收到的认证器验证度量值。

核心贡献

CFA 复杂性的形式化分析： 本文形式化了现有 CFA 方案的空间复杂度，指出它们对追踪或度量数据的依赖造成了基础的可扩展性瓶颈，从而限制了 MCU 的应用。
ENOLA 认证器： 一种新型认证器设计，实现了相对于基本块数量的线性空间复杂度 ( $O(|V|)$ )，从而实现了对大型程序的可扩展认证。
硬件集成安全： 首个利用 ARM PA 进行嵌入式系统控制流认证的实现，将度量密钥和度量链保留在寄存器/PA 硬件中，以阻断内存损坏攻击。
减少上下文切换： 通过使用 PA 指令直接在 REE 中计算后向边（返回）度量，消除了 TEE 的上下文切换。
实现与评估： 在 Cortex-M85 (ARMv8.1-M) 上使用 LLVM pass 完成了完整实现，并在包括 Embench 套件和 wolfSSL 在内的真实应用中进行了验证。

结果

评估在运行频率为 25 MHz 的 Cortex-M85 MCU 上进行，并将 ENOLA 与 Blast（此前最高效的工作）及其他方案进行了对比。

数据传输开销： ENOLA 大幅减小了认证报告的大小。在 Embench 套件上，ENOLA 比 Blast 减少了平均 52 倍 的传输数据量。例如，Blast 平均产生 21,009 字节的认证数据，而 ENOLA 仅需 397 字节。
可扩展性： ENOLA 成功扩展到了大型真实应用，如 wolfSSL（具体为拥有 5,480 个基本块的 RSA 模块），而此前的解决方案在处理此类任务时要么失败，要么仅限于小型代码片段。
性能开销：
- 执行时间： ENOLA 的开销随应用和优化水平而变化。对于注射泵应用，其 move-syringe 路径的开销仅为 1.3%。在 Embench 基准测试中，开销差异显著（例如，在特定情况下从 9.81% 到超过 1000% 不等），但考虑到认证粒度（基本块级 vs 函数级），其表现通常与 Blast 相当或更优。
- 上下文切换： 在 O2 优化下，上下文切换约占总运行开销的 26%。
代码大小： 在 O2 优化下，代码大小开销平均约为 30-40%，显著低于 Blast 在 Embench 上 64% 的开销。

重要性与主张

本文声称，ENOLA 代表了使控制流认证在微控制器系统上变得可行的重要进步。通过将认证规模与执行追踪长度解耦，并利用硬件原语（PA、TrustZone、MPU）在不存储于内存的情况下保护度量状态，ENOLA 首次实现了对大型、复杂嵌入式应用的可验证性。作者认为，ENOLA 不仅仅是一个性能改进，更是为了应对嵌入式领域现有 CFA 方法在基础可扩展性和安全性方面的局限性而进行的必要演进。该工作已开源，以促进进一步的研究与应用。