ORAM en almacenamiento en la nube y procesadores seguros

Intel SGX (Software Guard Extensions) proporciona enclaves aislados por hardware en los que el código y los datos están cifrados y autenticados. Sin embargo, el sistema operativo todavía puede observar a qué páginas de memoria accede el enclave mediante la supervisión de las entradas de la tabla de páginas. Este patrón de acceso a nivel de página puede aprovecharse en ataques de canal lateral. Un ataque clásico es el «controlled channel attack» de Xu, Cui y Peinado (2015), que reconstruyó claves RSA a partir de los patrones de acceso a la memoria de SGX.

Además de los patrones de acceso a nivel de página, SGX es vulnerable a canales laterales de temporización de caché. Un atacante que comparte el procesador puede observar los aciertos y fallos de caché causados por el enclave e inferir patrones de acceso detallados (a nivel de línea de caché). Estos ataques son posibles porque la caché de la CPU se comparte entre el enclave y el código no confiable. Entre las medidas de mitigación se incluyen la programación en tiempo constante y ORAM para aleatorizar los patrones de acceso a la memoria.

ZeroTrace (Sasy, Jha, Kerschbaum, 2018) implementa Path ORAM dentro de un enclave Intel SGX para proporcionar acceso a memoria con ocultación de patrones. El sistema operativo anfitrión no confiable proporciona el servidor ORAM (el árbol binario de buckets), mientras que el enclave SGX actúa como cliente ORAM. ZeroTrace añade una optimización específica para SGX: el mapa de posiciones se mantiene dentro del enclave (memoria confiable), lo que elimina la necesidad de utilizar ORAM recursivo para dicho mapa.

Graphene-SGX (ahora Gramine) y SCONE son frameworks de contenedores SGX que permiten ejecutar aplicaciones Linux sin modificar dentro de enclaves. Ambos frameworks se han ampliado con compatibilidad con ORAM para ocultar los patrones de acceso al sistema operativo. La integración de ORAM con SCONE permite la ejecución con ocultación de patrones de programas de Python, Go y Java en SGX sin modificar el código, lo que hace que ORAM esté disponible para aplicaciones sin integración manual.

Shroud (Volos, Jaleel, Emer, Burtscher, Forlin, 2018) implementa versiones con acceso oculto de estructuras de datos fundamentales (matrices, pilas, colas y mapas) para su uso dentro de enclaves SGX. Shroud combina ORAM con algoritmos independientes de los datos para garantizar que los patrones de acceso a la memoria del enclave no dependan de los valores de los datos. Esto es más eficiente que aplicar ORAM a toda la memoria de la aplicación, ya que se centra únicamente en las estructuras de datos confidenciales.

AWS Nitro Enclaves proporciona entornos de cómputo aislados para procesar datos altamente confidenciales (números de tarjetas de pago y registros sanitarios). A diferencia de SGX, Nitro Enclaves aísla a nivel de máquina virtual en lugar de a nivel de proceso. AWS no proporciona ORAM de forma predeterminada en Nitro Enclaves, pero las garantías de confidencialidad cubren el contenido de la memoria. Para proteger la privacidad de los patrones de acceso, las aplicaciones que se ejecuten en Nitro Enclaves deben implementar su propio ORAM si lo necesitan.

ARM TrustZone proporciona un entorno de ejecución confiable (Secure World) aislado del sistema operativo normal. Al igual que SGX, TrustZone no oculta inherentemente los patrones de acceso a la memoria. Sistemas de investigación como TrustORAM (Brasser, Dmitrienko, Sadeghi, Crane, Larsen, Franz) implementan ORAM dentro de TrustZone para proteger el acceso a datos confidenciales en dispositivos móviles y de IoT. TrustZone está presente en todos los procesadores ARM modernos, lo que permite implementar ampliamente TrustZone con ORAM.

ObliDB (Eskandarian y Boneh, 2017) es una base de datos con ocultación de patrones de acceso que oculta los patrones de acceso de las consultas SQL estándar. Utiliza ORAM para las consultas puntuales y ordenación con ocultación de patrones para las consultas por rango. Opaque (Zheng, Dave, Beekman, Popa, Hellerstein, Stoica, 2017) ejecuta consultas SQL de forma que no revele los patrones de acceso sobre Apache Spark mediante Intel SGX y ORAM. Opaque demuestra que el análisis de datos a escala de producción (millones de registros) es viable con la sobrecarga de ORAM.

La recuperación privada de información (PIR) es una primitiva relacionada para ocultar los patrones de acceso de solo lectura. PIR permite que un cliente recupere un elemento de una base de datos sin que el servidor sepa qué elemento se ha recuperado. La PIR computacional (cPIR) logra esto con una sobrecarga de almacenamiento del servidor de O(1) y una comunicación de O(sqrt(n)) u O(polylog n). PIR es más eficiente que ORAM para cargas de trabajo de solo lectura, pero no puede admitir escrituras con ocultación de patrones de acceso.

Para accesos de solo lectura, PIR es más eficiente en cuanto a comunicación que ORAM: la cPIR de un solo servidor requiere una comunicación de O(n^epsilon), mientras que ORAM requiere O(log n) bloques por acceso. Sin embargo, PIR requiere computación en el lado del servidor (lineal respecto al tamaño de la base de datos en la PIR de un solo servidor), mientras que ORAM deja toda la computación en el cliente. La PIR multiservidor (segura desde el punto de vista teórico de la información con 2 servidores que no coluden) es muy eficiente y adecuada para implementaciones en CDN.

Entre las líneas de investigación en ORAM se incluyen reducir la sobrecarga de comunicación hasta acercarse a la cota inferior teórica de O(log n) (OptORAMa la alcanza asintóticamente), aplicar ORAM a la RAM cuántica (QRAM), desarrollar ORAM diferencialmente privado (ocultando si se accede dos veces al mismo bloque) y utilizar ORAM en el cifrado homomórfico (FHE-ORAM para computación externalizada). La integración de ORAM con entornos de ejecución confiables basados en hardware sigue siendo la línea de investigación con mayor impacto práctico.

¿Por qué Intel SGX por sí solo no protege completamente frente a la filtración de patrones de acceso?

Intel SGX filtra los patrones de acceso a nivel de página y de caché, lo que permite ataques de canal controlado y de temporización de caché. ZeroTrace implementa Path ORAM dentro de SGX para eliminar estas filtraciones. Graphene-SGX y SCONE proporcionan integración de ORAM a nivel de contenedor. ObliDB y Opaque demuestran SQL con ocultación de patrones de acceso sobre ORAM a escala de producción. PIR es una alternativa eficiente para accesos de solo lectura. La investigación sobre ORAM continúa orientándose hacia la cota inferior de comunicación de log n y su integración con el cifrado homomórfico.