Flexible Hardware-based Security-aware Mechanisms and Architectures

For decades, software security has been the primary focus in securing our computing platforms. Hardware was always assumed trusted, and inherently served as the foundation, and thus the root of trust, of our systems. This has been further leveraged in developing hardware-based dedicated security extensions and architectures to protect software from attacks exploiting software vulnerabilities such as memory corruption. However, the recent outbreak of microarchitectural attacks has shaken these long-established trust assumptions in hardware entirely, thereby threatening the security of all of our computing platforms and bringing hardware and microarchitectural security under scrutiny. These attacks have undeniably revealed the grave consequences of hardware/microarchitecture security flaws to the entire platform security, and how they can even subvert the security guarantees promised by dedicated security architectures. Furthermore, they shed light on the sophisticated challenges particular to hardware/microarchitectural security; it is more critical (and more challenging) to extensively analyze the hardware for security flaws prior to production, since hardware, unlike software, cannot be patched/updated once fabricated.

Hardware cannot reliably serve as the root of trust anymore, unless we develop and adopt new design paradigms where security is proactively addressed and scrutinized across the full stack of our computing platforms, at all hardware design and implementation layers. Furthermore, novel flexible security-aware design mechanisms are required to be incorporated in processor microarchitecture and hardware-assisted security architectures, that can practically address the inherent conflict between performance and security by allowing that the trade-off is configured to adapt to the desired requirements.

In this thesis, we investigate the prospects and implications at the intersection of hardware and security that emerge across the full stack of our computing platforms and System-on-Chips (SoCs). On one front, we investigate how we can leverage hardware and its advantages, in contrast to software, to build more efficient and effective security extensions that serve security architectures, e.g., by providing execution attestation and enforcement, to protect the software from attacks exploiting software vulnerabilities. We further propose that they are microarchitecturally configured at runtime to provide different types of security services, thus adapting flexibly to different deployment requirements. On another front, we investigate how we can protect these hardware-assisted security architectures and extensions themselves from microarchitectural and software attacks that exploit design flaws that originate in the hardware, e.g., insecure resource sharing in SoCs. More particularly, we focus in this thesis on cache-based side-channel attacks, where we propose sophisticated cache designs, that fundamentally mitigate these attacks, while still preserving performance by enabling that the performance security trade-off is configured by design. We also investigate how these can be incorporated into flexible and customizable security architectures, thus complementing them to further support a wide spectrum of emerging applications with different performance/security requirements. Lastly, we inspect our computing platforms further beneath the design layer, by scrutinizing how the actual implementation of these mechanisms is yet another potential attack surface. We explore how the security of hardware designs and implementations is currently analyzed prior to fabrication, while shedding light on how state-of-the-art hardware security analysis techniques are fundamentally limited, and the potential for improved and scalable approaches.

Jahrzehntelang stand die Softwaresicherheit bei der Sicherung unserer Computerplattformen im Vordergrund. Die Hardware wurde immer als vertrauenswürdig angesehen und diente als Grundlage und somit als Vertrauensbasis für unsere Systeme. Dies wurde bei der Entwicklung von hardwarebasierten Sicherheitserweiterungen und -architekturen weiter genutzt, um Software vor Angriffen zu schützen, die Software-Schwachstellen, wie z.B. Speicher- und Programmierfehler, ausnutzen. Der aktuelle Ausbruch von Angriffen auf die Prozessor-Mikroarchitektur hat jedoch diese seit langem etablierten Annahmen über das Vertrauen in die Hardware völlig erschüttert, wodurch die Sicherheit aller unserer Computerplattformen bedroht ist und die Sicherheit von Hardware und Mikroarchitektur auf den Prüfstand gestellt wird. Diese Angriffe haben unbestreitbar die schwerwiegenden Folgen von Sicherheitsmängeln in der Hardware/Mikroarchitektur für die Sicherheit der gesamten Plattform aufgezeigt. Zudem zeigen sie, wie sogar die Sicherheitsgarantien untergraben werden können, die von speziellen Sicherheitsarchitekturen versprochen werden. Darüber hinaus werfen diese Angriffe ein Licht auf die besonderen Herausforderungen, die mit der Sicherung von Hardware/Mikroarchitekturen verbunden sind: Es ist wesentlicher (und schwieriger), die Hardware vor der Produktion umfassend auf Sicherheitsmängel zu untersuchen, da Hardware im Gegensatz zu Software nach der Herstellung nicht gepatcht/aktualisiert werden kann.

Hardware kann nicht mehr zuverlässig als Vertrauensbasis dienen, es sei denn, wir entwickeln und übernehmen neue Design-Paradigmen, bei denen die Sicherheit proaktiv angegangen und über die gesamten Schichten unserer Computerplattformen auf allen Hardware-Design- und Implementierungsebenen geprüft wird. Darüber hinaus müssen neuartige, flexible und sicherheitsbewusste Design-Mechanismen in die Mikroarchitektur von Prozessoren und in hardwaregestützte Sicherheitsarchitekturen integriert werden, die den Konflikt zwischen Leistung und Sicherheit praktisch lösen können, indem sie es ermöglichen, den Kompromiss an die gewünschten Anforderungen anzupassen.

In dieser Dissertation erforschen wir die Perspektiven und Auswirkungen an der Schnittstelle von Hardware und Sicherheit, die sich über die gesamten Schichten unserer Computerplattformen und System-on-Chips (SoCs) ergeben. Auf der einen Seite untersuchen wir, wie wir Hardware und ihre Vorteile im Vergleich zu Software nutzen können, um effizientere und effektivere Sicherheitserweiterungen zu entwickeln, die Sicherheitsarchitekturen dienen, z.B. um Attestierung und Integritätsschutz des Kontrolflusses anzubieten, mit dem Ziel, Software vor Angriffen zu schützen, die Software-Schwachstellen ausnutzen. Außerdem schlagen wir vor, dass die Sicherheitserweiterungen zur Laufzeit mikroarchitektonisch so konfiguriert werden, dass sie verschiedene Arten von Sicherheitsdiensten bereitstellen und sich so flexibel an unterschiedliche Einsatzanforderungen anpassen lassen. Außerdem untersuchen wir, wie wir diese hardwaregestützten Sicherheitsarchitekturen und -erweiterungen selbst vor mikroarchitektonischen und Software-Angriffen schützen können, welche Designfehler ausnutzen, die ihren Ursprung in der Hardware haben, z.B. eine unsichere geteilte Nutzung von SoC-Ressourcen. Insbesondere konzentrieren wir uns in dieser Arbeit auf Cache-basierte Seitenkanalangriffe, für die wir elegante Cache-Designs vorschlagen, die diese Angriffe grundlegend entschärfen und gleichzeitig die Leistung erhalten, indem sie ermöglichen, den Kompromiss zwischen Leistung und Sicherheit zu konfigurieren. Wir untersuchen auch, wie diese Cache-Designs in flexible und anpassbare Sicherheitsarchitekturen integriert werden können, um diese zu ergänzen und so ein breites Spektrum neuer Anwendungen mit unterschiedlichen Leistungs-/Sicherheitsanforderungen zu unterstützen. Schließlich nehmen wir unsere Computerplattformen auch unterhalb der Design-Ebene unter die Lupe, indem wir untersuchen, wie die tatsächliche Implementierung dieser Mechanismen eine weitere potenzielle Angriffsfläche darstellt. Wir untersuchen, wie die Sicherheit von Hardware-Designs und -Implementierungen derzeit vor der Fertigung analysiert wird, und beleuchten gleichzeitig die grundlegenden Grenzen der modernen Hardware-Sicherheitsanalyseverfahren sowie das Potenzial für verbesserte und skalierbare Ansätze.