G.O.S.S.I.P 阅读推荐 2024-09-20 BULKHEAD

主要观点总结

本文介绍了由南京大学曾庆凯老师研究组和明尼苏达大学卢康杰老师研究组合作完成的关于Linux内核分隔化的工作BULKHEAD，该工作旨在通过利用Intel PKS机制实现安全、高效、可扩展的Linux内核分隔化。文章详细阐述了现有内核隔离工作的不足和理想内核分隔化的目标，包括安全性、可扩展性、性能和兼容性。文章还介绍了BULKHEAD的设计原理、实验评估、安全分析和性能测试结果。该论文已被NDSS 2025录用。

关键观点总结

关键观点1: 合作完成的工作和背景介绍

南京大学和明尼苏达大学的研究组合作完成了关于Linux内核分隔化的工作BULKHEAD。Linux内核漏洞问题严重，需要一种通用的、原则性的防御方案来限制潜在漏洞的影响范围。

关键观点2: 内核分隔化的挑战和创新点

基于PKS的内存访问控制存在挑战，包括不限制执行权限、忽略控制流保护，以及支持的安全域数量有限。BULKHEAD提出了创新的解决方案，包括双向隔离、局部性感知的两级分隔化等。

关键观点3: BULKHEAD的设计原理

BULKHEAD通过基于PKS的内存隔离和二进制改写的特权指令消除，在内核内构建轻量级的monitor，保障互不可信的内核模块间的双向隔离。

关键观点4: 实验评估和结果

实验表明，BULKHEAD可以有效防止攻击者通过各类型漏洞攻陷内核，自动化分隔160个内核模块仅产生了平均2.44%的性能开销。

关键观点5: 论文作者介绍

论文的投稿作者为郭迎港，南京大学计算机软件新技术全国重点实验室的final-year PhD，曾赴美国明尼苏达大学访问交流。主要研究方向为操作系统内核安全。

免责声明