WarpGuard: Protected-Site Control-Flow Integrity for CUDA SASS Binaries

技术摘要：WARPGUARD

问题陈述
近期的漏洞利用研究表明，GPU 内存漏洞（例如缓冲区溢出）可以将攻击升级为设备侧的控制流破坏。攻击者可以破坏返回连续性（return continuations）、函数指针、调度表条目或分支目标，这些内容随后会被 GPU 指令消费，从而重定向执行流。虽然控制流完整性（CFI）是 CPU 的标准防御手段，但将其应用于已部署的 CUDA 二进制文件却极具挑战。生产环境中的内核通常以 fatbinary 或 cubin 形式分发，其相关的安全边界是正在执行的 NVIDIA SASS（Streaming ASSembly）代码，而非源代码或 PTX（Parallel Thread Execution）中间表示。

SASS 层引入了 CPU CFI 所不存在的复杂性：

• 降低转换（Lowering Transformations）： 源层级的调用可能会被内联，返回状态可能会保存在寄存器中而非溢出到内存，或者间接目标可能会被优化掉。
• SIMT 执行： 单个静态指令在不同的线程束（warp）车道上执行方式可能不同（warp-uniform 与 lane-local），这需要更细粒度的检查。
• 证据差距（Evidence Gaps）： 二进制文件中的并非所有控制流站点都有足够的证据来推导出可靠的策略。将不支持的站点视为“允许”会产生安全漏洞，而将没有证据的站点视为“受保护”则是不可靠的。

现有的 GPU 安全工具侧重于内存安全或代码注入，但并未在执行的 SASS 边界处实施 CFI，也未对无法保护的站点进行明确的计数。

方法论：WARPGUARD
WARPGUARD 是首个专门为运行在执行 SASS 上的 CUDA 设备二进制文件设计的 CFI 系统。它执行一种“受保护站点”策略，即仅检查存在足够二进制证据以推导出可靠策略的控制流传输。

1. 站点恢复与分类：
   WARPGUARD 分析 SASS 二进制文件以识别控制流消费站点（返回、间接调用、间接分支）。它将每个站点分类为以下六种结果之一：

   • 受保护（Protected）： 存在充足证据；插入检查逻辑。
   • 固定边（Fixed-edge）： 目标是静态的（例如直接调用）；无需动态检查。
   • 不支持（Unsupported）： 证据缺失或模糊；该站点被排除在保护之外。
   • 无表面（No-surface）： 不存在动态传输（例如完全内联的代码）。
   • 回退/配置文件排除（Fallback/Profile-excluded）： 分析失败或模式被禁用。
     至关重要的一点是，WARPGUARD 不会默认为不支持的站点提供静默允许；它们被明确地计入受保护分母之外。

2. 后向边 CFI（返回）：
   对于受保护的返回，WARPGUARD 在 RET 指令释放控制权之前验证连续性状态。

   • 机制： 在受保护的调用期间，系统会在一个受信任的后端私有状态中记录预期的返回连续性、调用点 ID、深度和加键令牌（MAC）。
   • 验证： 在返回站点，系统读取观察到的连续性，验证令牌是否与受信任状态匹配，并将其与预期值进行比较。
   • 安全性： 可写的影子元数据不具有权威性；只有来自受信任主机/运行时的加键令牌才授权传输。如果验证失败，系统会在无效传输发生前执行“失败关闭”（trap/陷阱）。

3. 前向边 CFI（间接调用/分支）：
   对于受保护的间接传输，WARPGUARD 将观察到的动态目标与恢复的每站点目标集进行校验。

   • 恢复： 目标集通过二进制元数据、常量重定位以及对调度表或取地址函数的分析得出。
   • 验证： 在间接传输释放之前，观察到的目标会针对特定站点的允许集合进行检查。
   • 粒度： 检查是保守的且默认是车道局部（lane-local）的，以处理 SIMT 分歧，确保被破坏的车道不会隐藏在 warp-uniform 的聚合体中。

4. 实现后端：
   WARPGUARD 通过三个不同的后端实现，以实现关注点分离：

   • WG-NVBit： 一个广泛的参考后端，使用 NVBit 进行动态插桩和攻击评估。
   • WG-ST： 一个静态跳板时间车道（static-trampoline timing lane），用于在特定的 sm_89 表面上进行无回调执行，用于在没有 NVBit 回调底层的条件下比较开销。
   • WG-PC： 一个补丁缓存后端，通过应用的经过审查且有清单支持的 SASS 补丁，在 sm_89 表面上实现无回调预防。

核心贡献

• 受保护站点 CFI 公式化： 本文将 CUDA 二进制 CFI 公式化为在恢复的 SASS 消费站点进行的“检查后再释放”强制执行。它明确地统计了固定边、不支持的站点和配置文件排除项，并将它们与受保护覆盖范围区分开来。
• 机制与实现： WARPGUARD 将策略绑定到恢复的 SASS，使用加键令牌验证后向边状态，逐站点验证前向目标，并将遥测数据与授权逻辑分离。
• 带有分离分母的评估： 系统在 77 个 CUDA 工件上进行了评估，分类了 51,621 个 SASS 控制流站点，并记录了 5220 万次动态检查。评估区分了恢复的表面、受保护的强制执行以及剩余的不支持表面。

结果

• 覆盖率： WARPGUARD 成功分类了 51,621 个站点，包括 1,343 个返回点和 154 个受支持的前向目标条目。它识别出 15 个不支持的前向条目和 10 个回退条目，确保这些站点不会被错误地视为受保护。
• 攻击阻断： 在代表性的后向边和前向边破坏攻击中，原生执行达到了攻击者选择的行为，而 WARPGUARD 的强制模式在释放无效传输前执行了失败关闭。这在以下情况均成立：
  • 返回劫持和 gadget 链。
  • SIMT 分歧攻击（分歧车道返回）。
  • 前向边目标破坏（调度表、函数指针）。
  • 元数据篡改（令牌、遥测）。
• 现实世界证据： 公开代码案例（如 PPL-CUDA-SMC、PNNL SV-Sim、cuFFT 回调、GooFit）证实，相同的 SASS 消费模式存在于真实的 CUDA 系统中。WARPGUARD 成功恢复并保护了这些站点。
• 性能：
  • WG-NVBit： 正如预期，作为动态插桩工具，其开销很高（对于时长 >50ms 的工作负载，开销为 799–927%），主要受辅助调度和回调成本驱动。
  • WG-ST/WG-PC： 在匹配的 sm_89 表面上，无回调后端消除了 NVBit 的定时底座。WG-PC 表明，对于经过审查的清单，无回调预防是可行的，尽管这需要严格的清单验证。

意义与主张
本文声称，据作者所知，WARPGUARD 是第一个直接在执行的 SASS 上运行的 CUDA 设备二进制文件 CFI 系统。其意义在于：

1. 转移边界： 将 CFI 强制执行从源/PTX 转移到实际执行的 SASS，捕捉真实的控制流事实（内联、溢出、SIMT 掩码）。
2. 显式计数： 拒绝将未知或不支持的站点视为安全，从而防止破坏安全性的“允许任何”策略。
3. 可审计的强制执行： 提供了一种将动态插桩开销与核心 CFI 逻辑分离，并区分受保护站点与剩余攻击表面的机制。

作者谦虚地指出，WARPGUARD 不提供内存安全性、代码完整性或针对主机侧破坏的保护。它是内存安全工具的补充，专注于被破坏的状态如何被消费为控制流的具体点。该系统依赖于一个受信任的主机/运行时进行密钥管理；如果后端私有状态暴露给 GPU，其安全保证将会下降。