클라우드 저장소와 보안 프로세서의 ORAM

Intel SGX(소프트웨어 보호 확장)는 코드와 데이터가 암호화되고 인증되는 하드웨어 격리 엔클레이브를 제공합니다. 그러나 운영 체제는 페이지 테이블 항목을 모니터링하여 엔클레이브가 어떤 메모리 페이지에 접근하는지 관찰할 수 있습니다. 이러한 페이지 수준 접근 패턴은 부채널 공격에 악용될 수 있습니다. 대표적인 공격으로 Xu, Cui, Peinado(2015)의 "제어 채널 공격"이 있으며, 이 공격은 SGX 메모리 접근 패턴에서 RSA 키를 재구성했습니다.

SGX는 페이지 수준 접근 패턴뿐 아니라 캐시 시간 측정 부채널에도 취약합니다. 프로세서를 공유하는 공격자는 엔클레이브로 인해 발생하는 캐시 적중과 캐시 실패를 관찰하여 세밀한 접근 패턴(캐시 줄 수준)을 추론할 수 있습니다. 이러한 공격이 가능한 이유는 CPU 캐시가 엔클레이브와 신뢰할 수 없는 코드 사이에서 공유되기 때문입니다. 대응 방법으로는 상수 시간 프로그래밍과 메모리 접근 패턴을 무작위화하는 ORAM이 있습니다.

ZeroTrace(Sasy, Jha, Kerschbaum, 2018)는 Intel SGX 엔클레이브 내부에 경로 ORAM을 구현하여 접근 패턴이 드러나지 않는 메모리 접근을 제공합니다. 신뢰할 수 없는 호스트 OS가 ORAM 서버(버킷의 이진 트리)를 제공하고, SGX 엔클레이브가 ORAM 클라이언트로 동작합니다. ZeroTrace는 SGX에 특화된 최적화도 적용합니다. 위치 맵을 엔클레이브 내부의 신뢰 메모리에 보관하여 위치 맵에 대한 재귀적 ORAM을 제거합니다.

Graphene-SGX(현재는 Gramine)와 SCONE은 수정하지 않은 Linux 애플리케이션을 엔클레이브 내부에서 실행할 수 있게 하는 SGX 컨테이너 프레임워크입니다. 두 프레임워크 모두 OS로부터 접근 패턴을 숨길 수 있도록 ORAM 지원 기능이 확장되었습니다. SCONE과 ORAM을 통합하면 코드를 수정하지 않고도 SGX에서 Python, Go, Java 프로그램을 접근 패턴이 드러나지 않게 실행할 수 있으므로, 수동으로 통합하지 않아도 애플리케이션에서 ORAM을 사용할 수 있습니다.

Shroud(Volos, Jaleel, Emer, Burtscher, Forlin, 2018)는 SGX 엔클레이브 내부에서 사용할 기본 데이터 구조(배열, 스택, 큐, 맵)의 접근 패턴 은닉 버전을 구현합니다. Shroud는 ORAM과 데이터 비의존적 알고리즘을 결합하여 엔클레이브의 메모리 접근 패턴이 데이터 값에 의존하지 않도록 합니다. 애플리케이션 메모리 전체에 ORAM을 적용하는 것보다 효율적이며, 민감한 데이터 구조만을 대상으로 하기 때문입니다.

AWS Nitro Enclaves는 결제 카드 번호와 의료 기록처럼 매우 민감한 데이터를 처리하기 위한 격리된 계산 환경을 제공합니다. SGX와 달리 Nitro Enclaves는 프로세스 수준이 아니라 가상 머신 수준에서 격리합니다. AWS는 Nitro Enclaves에 ORAM을 기본으로 제공하지 않지만, 기밀성 보장은 메모리 내용을 보호합니다. 접근 패턴의 비공개성을 보장하려면 Nitro Enclaves에서 실행되는 애플리케이션이 필요한 경우 자체적으로 ORAM을 구현해야 합니다.

ARM TrustZone은 일반 OS와 격리된 신뢰 실행 환경(보안 세계)을 제공합니다. SGX와 마찬가지로 TrustZone은 메모리 접근 패턴을 본질적으로 숨기지 않습니다. TrustORAM(Brasser, Dmitrienko, Sadeghi, Crane, Larsen, Franz)과 같은 연구 시스템은 TrustZone 내부에 ORAM을 구현하여 모바일 장치와 사물 인터넷에서 민감한 데이터 접근을 보호합니다. TrustZone은 최신 ARM 프로세서에 모두 탑재되어 있으므로, ORAM을 지원하는 TrustZone은 광범위하게 배포할 수 있습니다.

ObliDB(Eskandarian and Boneh, 2017)는 표준 SQL 질의의 접근 패턴을 숨기는 접근 패턴 은닉 데이터베이스입니다. 점 질의에는 ORAM을 사용하고 범위 질의에는 접근 패턴 은닉 정렬을 사용합니다. Opaque(Zheng, Dave, Beekman, Popa, Hellerstein, Stoica, 2017)는 Intel SGX와 ORAM을 사용하여 Apache Spark에서 SQL 질의를 접근 패턴이 드러나지 않게 실행합니다. Opaque는 ORAM 부담이 있더라도 운영 환경 규모의 데이터 분석(수백만 개의 레코드)이 가능하다는 것을 보여 줍니다.

비공개 정보 검색(PIR)은 읽기 전용 접근 패턴을 숨기기 위한 관련 기본 도구입니다. PIR을 사용하면 서버가 어떤 데이터 요소를 가져갔는지 알 수 없도록 클라이언트가 데이터베이스 요소를 검색할 수 있습니다. 계산적 PIR(cPIR)은 서버 저장 공간 부담 O(1)과 통신량 O(sqrt(n)) 또는 O(polylog n)으로 이를 달성합니다. PIR은 읽기 전용 작업에서는 ORAM보다 효율적이지만, 접근 패턴을 숨기는 쓰기 작업은 지원할 수 없습니다.

읽기 전용 접근에서는 PIR이 ORAM보다 통신 효율이 높습니다. 단일 서버 cPIR은 O(n^epsilon)의 통신량을 요구하는 반면, ORAM은 접근할 때마다 O(log n)개의 블록을 요구합니다. 그러나 PIR은 서버 측 계산을 필요로 하며, 단일 서버 PIR에서는 그 계산량이 데이터베이스 크기에 비례합니다. 반면 ORAM에서는 모든 계산을 클라이언트가 수행합니다. 다중 서버 PIR은 2개의 서로 공모하지 않는 서버를 사용하면 정보 이론적으로 안전하면서도 매우 효율적이므로 CDN 배포에 적합합니다.

ORAM의 연구 방향으로는 통신 부담을 이론적 하한인 O(log n)에 가깝게 줄이는 것(OptORAMa는 점근적으로 이를 달성합니다), 양자 RAM을 위한 ORAM(QRAM), 차등 개인정보 보호 ORAM(동일한 블록에 두 번 접근했는지 숨김), 동형 암호화에서의 ORAM(외부 위탁 계산을 위한 FHE-ORAM) 등이 있습니다. ORAM과 하드웨어 신뢰 실행 환경의 통합은 실제 영향력이 가장 큰 연구 방향으로 남아 있습니다.

Intel SGX는 페이지 수준과 캐시 수준의 접근 패턴을 노출하므로 제어 채널 공격과 캐시 시간 측정 공격이 가능합니다. ZeroTrace는 SGX 내부에 경로 ORAM을 구현하여 이러한 노출을 제거합니다. Graphene-SGX와 SCONE은 컨테이너 수준의 ORAM 통합을 제공합니다. ObliDB와 Opaque는 운영 환경 규모에서 ORAM을 사용한 접근 패턴 은닉 SQL이 가능하다는 것을 보여 줍니다. PIR은 읽기 전용 접근을 위한 효율적인 대안입니다. ORAM 연구는 로그 n 통신 하한과 동형 암호화와의 통합을 향해 계속 진행되고 있습니다.