G.O.S.S.I.P 阅读推荐 2024-09-20 BULKHEAD

主要观点总结

本文介绍了由南京大学曾庆凯老师研究组和明尼苏达大学卢康杰老师研究组合作完成的关于Linux内核分隔化的工作BULKHEAD，该工作旨在通过利用Intel PKS机制实现安全、高效、可扩展的Linux内核分隔化。文章详细阐述了现有内核隔离工作的不足和理想内核分隔化的目标，包括安全性、可扩展性、性能和兼容性。文章还介绍了BULKHEAD的设计原理、实验评估、安全分析和性能测试结果。该论文已被NDSS 2025录用。

关键观点总结

关键观点1: 合作完成的工作和背景介绍

南京大学和明尼苏达大学的研究组合作完成了关于Linux内核分隔化的工作BULKHEAD。Linux内核漏洞问题严重，需要一种通用的、原则性的防御方案来限制潜在漏洞的影响范围。

关键观点2: 内核分隔化的挑战和创新点

基于PKS的内存访问控制存在挑战，包括不限制执行权限、忽略控制流保护，以及支持的安全域数量有限。BULKHEAD提出了创新的解决方案，包括双向隔离、局部性感知的两级分隔化等。

关键观点3: BULKHEAD的设计原理

BULKHEAD通过基于PKS的内存隔离和二进制改写的特权指令消除，在内核内构建轻量级的monitor，保障互不可信的内核模块间的双向隔离。

关键观点4: 实验评估和结果

实验表明，BULKHEAD可以有效防止攻击者通过各类型漏洞攻陷内核，自动化分隔160个内核模块仅产生了平均2.44%的性能开销。

关键观点5: 论文作者介绍

论文的投稿作者为郭迎港，南京大学计算机软件新技术全国重点实验室的final-year PhD，曾赴美国明尼苏达大学访问交流。主要研究方向为操作系统内核安全。

文章预览

由南京大学曾庆凯老师研究组和明尼苏达大学卢康杰老师研究组合作完成的关于Linux内核分隔化的工作 BULKHEAD: Secure, Scalable, and Efficient Kernel Compartmentalization with PKS ，该论文目前已被NDSS 2025录用。 背景 Linux内核漏洞 庞大的Linux宏内核在同一地址空间共享特权。在缺少隔离的现状下，攻击者只需利用薄弱组件中的一个漏洞就可以攻陷内核，进一步控制整个系统。尽管安全研究人员付出了巨大的努力，内核漏洞仍然层出不穷。过去十年间已经报告了近三千个Linux内核CVE，其中2023年的CVE数量较2013年增长了179%。面对这一严峻问题，亟需一种通用的、原则性的防御方案来限制潜在漏洞的影响范围。借鉴古人造船的智慧，通过增加隔板（ bulkhead ）构筑水密隔舱（ compartment ），可以有效防止漏洞威胁蔓延，避免整个系统倾覆。 Intel PKS PKS即Intel Memory Protection Keys ………………………………