LightBox：极速的全栈受保护有状态中间盒
密码学与安全
2019-10-17 v3
摘要
在第三方服务提供商处运行场外软件中间盒一直是一种流行做法。然而，将可能携带敏感信息的大量原始流量路由到远程站点进行处理，引发了严重的安全问题。先前的解决方案通常忽略了与现实部署相关的重要因素。特别是，它们忽视了元数据保护和有状态处理的重要性。未受保护的流量元数据（如底层头部、大小和计数）可被利用来推断本应加密的应用内容。同时，在部署于真实网络的生产级中间盒中，并发追踪数十万条流的状态通常是不可或缺的。我们提出了 LightBox，这是首个能够以接近原生的速度驱动场外中间盒，并具备有状态处理和迄今最全面保护的系统。LightBox 基于商用可信硬件 Intel SGX，是我们系统性地研究如何利用领域知识和定制化来克服安全飞地固有局限性的产物。首先，我们引入了一种优雅的虚拟网络接口，允许在不离开飞地的情况下以线速方便地访问完全受保护的数据包，如同来自可信源网络。其次，我们通过定制一套针对高度受限的飞地空间优化的数据结构和算法，提供了完整的流状态管理以实现高效的有状态处理。广泛的评估表明，LightBox 在具备所有安全益处的同时，能够实现 10Gbps 的数据包 I/O；并且通过对三个有状态中间盒的案例研究，表明它可以接近原生的速度运行。
引用
@article{arxiv.1706.06261,
title = {LightBox: Full-stack Protected Stateful Middlebox at Lightning Speed},
author = {Huayi Duan and Cong Wang and Xingliang Yuan and Yajin Zhou and Qian Wang and Kui Ren},
journal= {arXiv preprint arXiv:1706.06261},
year = {2019}
}
备注
Accepted at ACM CCS 2019