TME-Box：基于 Intel TME-MK 内存加密实现可扩展进程内隔离
密码学与安全
2025-08-05 v2
摘要
高效云计算依赖于进程内隔离以优化性能，通过在单个进程中运行工作负载来实现。缺乏重型进程隔离，内存安全错误将成为重大安全威胁，允许对手窃取或篡改其他共置租户的私有数据。现有的进程内隔离机制不适用于现代云需求，例如 MPK 的 16 个保护域不足以隔离每个进程中数千个云工作负载。因此，云服务提供商迫切需要在商品化 x86 机器上实现轻量级进程内隔离。本文提出TME-Box，一种新型隔离技术，使可在商品化 x86 CPU 上实现细粒度和可扩展的沙箱化。通过重新利用原本用于虚拟机加密的 Intel TME-MK，TME-Box 提供轻量级且高效的进程内隔离。TME-Box 通过编译器仪器化强制沙箱使用其指定的加密密钥进行内存交互。这种加密隔离实现细粒度访问控制，可从单个缓存行到完整页面，支持灵活的数据迁移。此外，TME-Box 的设计允许对最高多达 32K 个并发沙箱进行有效隔离。我们实现了一个经过性能优化的 TME-Box 原型，采用 x86 分段基地址，针对 SPEC CPU2017 基准套件评估显示，数据隔离的几何平均性能开销为 5.2%，代码和数据隔离的开销为 9.7%。
引用
@article{arxiv.2407.10740,
title = {TME-Box: Scalable In-Process Isolation through Intel TME-MK Memory Encryption},
author = {Martin Unterguggenberger and Lukas Lamster and David Schrammel and Martin Schwarzl and Stefan Mangard},
journal= {arXiv preprint arXiv:2407.10740},
year = {2025}
}
备注
To appear in the Network and Distributed System Security (NDSS) Symposium, February 2025