题目： Varys: Protecting SGX Enclaves from Practical Side-Channel Attacks

作者： Oleksii Oleksenko, Bohdan Trach, Robert Krahn, and André Martin, Mark Silberstein,Christof Fetzer

单位： Technion and TU Dresden

出版： USENIX ATC 2018

解决问题：

目前还没有直接攻击SGX的工作出现，但出现了诸多旁路思路。这些方法严重的可以直接抽取隐私信息。
本文认为，一个可行的方案应该保证引入的开销低，同时不需要修改源代码本身。已知的方案中，要么需要重写程序，要么结合TSX（需要修改程序）。DR.SGX引入开销太高（3X-20X）,DEJA VU的误报率高。
本文着重关注L1和L2级缓存的timing问题和基于页表的攻击。
本文工作基于的观察是：要完成L1/L2级Timing攻击的话，需要高频率的AEX退出，同时需要开启超标量，引入不可信的共享物理核心的硬件线程。否则根本不存在信息泄露的可能。
本文强调，尽管想法简单，但实现起来难度却很有挑战。本文需要创建线程对，对源代码进行编译期间的插桩，然后在运行时周期性判断OS的调度是否可靠。为了尽量减少噪声，使用异步机制减小AEX。同时要求OS把中断路由给其他核心。

贡献点：

对攻击成功的必要条件进行分析；
一系列有效的防御措施；
Varys，对OS是否正确服务的验证工具；
在两个benchmark上做测试，引入15%的开销；
对未来硬件扩展的改进建议。

威胁模型：

OS和HV可以任意生成和暂停任意进程；修改CPU的亲和性；
任意调整中断接收频率和触发缺页中断；
任意读写非EPC区域，将地址空间任意进行映射；
为旁路攻击准备最小化噪声环境。

攻击原因分类：

高频AEX：Time-sliced cache attacks，Page-fault page table attacks，Interrupt-driven page-bit attacks。
共享物理核：Concurrent cache attacks，Exit-less page-bit attacks。

设计：

由于OS不可信，同时无法在Enclave内部执行cpuid，因此无法确定超线程能力是否被关闭。
一个简单的思路就是生成偶数个enclave线程，保证物理核不被不可信线程分享。将co-location测试设计为一次handshake，即让一个线程往共享内存的位置写一个数据，另一个线程观察数据修改的时间。如果为10个周期，则说明共享数据在L1上；超过40个周期则在LLC上，即线程可能运行在不同物理核心上，此时假定正在被攻击，从而终止enclave线程的运行。
很有可能在启动时确实在同一个核心上，但在运行时被调度到不同核上，此时会触发一次AEX。每次AEX触发时，会将上下文保存到 State Save Area (SSA) 中，根据实现手册，SSA中的EXIT_TYPE只能是011b到110b中的值，在AEX触发时会被修改。本文将其修改为非法值，当AEX发生时，则会会自动修改为合法值，从而检测出AEX事件。（个人认为，OS可以不修改这个值，让退出原因无法检测到）
为了统计AEX的出现频率，需要一个可信的时钟源，但当前无法满足，因此使用LLVM IR中的指令统计每次AEX间隔执行的指令条数，进而推知AEX频率。尽管IR和x86指令不是一一对应，但IR通常会比x86机器指令数目少，因此IR统计也有其意义。本文认为，TSX方法的局限在于，handshake会导致abort，同时最大事物个数也被严格限制。
本文方法主要要保证Enclave退出事件尽小可能发生。发生理由如下：请求系统调用；时钟中断（1000 AEX/s）；其他中断；EPC缺页中断。减小方法如下：Eleos+SCONE，异步系统调用；将时钟频率降到100 Hz；将无关中断路由到非运行Enclave的核心上；利用MAP_POPULATE告知mmap最小化minor faults。
由于已有工作证明，就算在内核态运行CLFUSH指令也无法完全将cache清空，因此在每次退出时将某个dummy值写到L1大小的数据区域，保证eviction。

实现：

利用LLVM Pass对程序进行插桩。插入一个线程负责SSA polling。
软定时器：使用Schwarz的方法，引入时钟线程，缺点是对手可以利用现代CPU的节能特性以及变频来改变定时器的运行周期。为降低免误报率，测量范围变为寄存器加法的测量（常数时间）。
使用跳转指令快速清空32KB大小的L1级指令缓存。
使用SCONE作为运行时容器，主要原因是其实现了用户态调度，能轻松实现线程配对；同时提供异步系统调用。

硬件扩展：

Intel CAT：由于是OS完全控制该属性，因此很难甄别cache是否被正确配置。建议将CAT的状态嵌入到SGX的version number中，在每次AEX handler中进行检查。
Trusted HW timer：就算SGX v2引入tsc，OS也可以重置和修改，因此也不能使用。要么引入只读定时器，要么保证每次对timer的修改version number都会变成随机值，进而可以被Enclave程序感知。

不足：

无法抵御LLC旁路攻击。

体会:

本文和SP 18年的思路相近。SP文章利用TSX来判断线程调度是否违规，并不需要引入timer。
本文写作并不算上乘，或许是因为解决了有价值的问题，进而被收编。