Sécurisation des accès aux périphériques et depuis les périphériques dans une architecture multicœur RISC-V utilisée pour la virtualisation

Securing access to and from devices in a RISC-V multicore architecture used for virtualization

• Auteur / Autrice : Rieul Ducousso
• Direction : Emmanuelle Encrenaz
• Type : Thèse de doctorat
• Discipline(s) : Informatique
• Date : Soutenance le 15/03/2023
• Etablissement(s) : Sorbonne université
• Ecole(s) doctorale(s) : École doctorale Informatique, télécommunications et électronique de Paris (1992-....)
• Partenaire(s) de recherche : Laboratoire : LIP6 (1997-....)
• Jury : Président / Présidente : Alix Munier-Kordon
• Jury : Examinateurs / Examinatrices : Jean-Luc Danger, Daniel Garcia Pérez, Quentin Meunier
• Jury : Rapporteurs / Rapporteuses : Guy Gogniat, Sébastien Pillement
• DOI : 10.70675/6c564653z0f13z40cezbe6fze5cb91fcc8aa

Mots clés

Mots clés contrôlés

Systèmes informatiques -- Mesures de sûreté

Microprocesseurs multi-coeurs

Systèmes virtuels (informatique)

Gestion mémoire (informatique)

Mots clés libres

IOMMU

Canal caché

RISC-V

Contremesure

TLB

DMA

IOMMU

Covert channel

RISC-V

Résumé

La sécurité informatique est un enjeu majeur dans des domaines variés tels que la santé, les transports, l'industrie ou encore la défense. Ces systèmes intègrent de plus en plus de composants développés par des sous traitants ne pouvant être considérés comme de confiance pour la garantie de la sécurité du système. Les attaques par canaux cachés contournent les mécanismes classiques d'isolation mis en place dans les systèmes et permettent l'échange de données entre deux processus ou machines virtuelles isolés. Différentes attaques et contremesures existent principalement dans les processeurs. Nous proposons une attaque par canal caché exploitant les variations temporelles dues au parcours de la hiérarchie mémoire. Elle brise l'isolation entre les périphériques d'un système virtualisé ouvrant un canal de communication entre deux périphériques malicieux. Nous montrons par l'adaptation, aux spécificités des périphériques, des principes exploités par les canaux cachés sur les processeurs qu'il est possible d'échanger des données entre deux périphériques isolés par une IOMMU. Dans un second temps nous modifions la microarchitecture de l'IOMMU pour réduire l'impact de ce type d'attaques. La stratégie mise en place est de décorréler les opérations effectuées par les périphériques et l'état interne de ses composants. Nous montrons, en simulation et sur un système intégrant un processeur exécutant Linux implémenté sur une carte FPGA, les effets de cette contremesure sur l’isolation et sur les performances. Le débit du canal caché est réduit sans toutefois l'interdire totalement. L'impact sur les performances des accès mémoires des périphériques est limité.

Today, computer security is a major topic in various fields such as healthcare, transport, industry or defense. Systems integrated an ever increasing number of components developed by untrusted sources. Covert channel attacks subvert system mechanism to create a communication channel between entities that otherwise shouldn't be able to communicate thus breaching data confidentiality. These attacks circumvent classical isolation mechanisms by allowing processes or virtual machines to exchange and exfiltrate data. Most attacks target the processor and its neighbouring components. We propose a new side-channel attack exploiting the temporal variations due to the memory hierarchy to implement a communication channel. This attack breaks the isolation between peripherals of a virtualized system opening a communication channel between two malicious devices. This attack relies on the adaptation of principles exploited by covert channels on processors with specificities of peripherals. We show that it is possible to exchange data between two devices isolated by an IOMMU. Secondly, we modify the microarchitecture of the IOMMU to reduce the impact of such attacks. The defense strategy is to decorrelate the operations performed by the peripherals and the internal state of its components. We show in simulation and on a system incorporating a processor running Linux implemented on a board FPGA the effects of this countermeasure on the isolation as well as on the device performance. This countermeasure reduces the throughput covert channel without however negating it fully. The impact on performance of peripheral memory accesses is limited.