機能ハードウェア拡張RISC命令

Capability Hardware Enhanced RISC Instructions（CHERI ）は、縮小命令セットコンピュータ（RISC）プロセッサのセキュリティを向上させるために設計された技術です。CHERIは、 CやC++などのプログラミング言語の一般的な実装におけるメモリ安全性の欠如によって引き起こされる問題の根本原因に対処することを目指しています。これらの問題は、現代のシステムにおけるセキュリティ脆弱性の約70%を占めています。[ 1 ] [ 2 ]

ハードウェアは、データやシステムリソースへの参照ごとに独自のアクセスルールを付与することで機能します。これにより、プログラムがアクセスすべきでないオブジェクトにアクセスしたり変更したりすることを防ぎます。また、プログラムの一部を騙して、本来アクセスすべきオブジェクトにアクセスしたり変更したりすることを、別のタイミングで行うことも困難になります。同じメカニズムは、プロセスをコンパートメントに分割することで、バグ（セキュリティ上の問題など）による被害を制限する特権分離の実装にも使用されています。

CHERI は、 MIPS、AArch64、RISC-Vなど、さまざまな命令セットアーキテクチャに追加できるため、幅広いプラットフォームで使用できます。

CHERIによるきめ細かなメモリ安全性の恩恵を受けるにはソフトウェアを再コンパイルする必要があるが、ほとんどのソフトウェアではソースコードの変更はほとんど（あるいは全く）必要ない。[ 3 ] CHERIの重要性は、サイバーセキュリティを向上させ、重要なシステムを保護する方法として政府に認識されている。[ 4 ]現在、様々な企業や学術機関によって活発に開発が進められている。[ 5 ]

背景

CHERIはケイパビリティアーキテクチャです。[ 6 ] CAPコンピュータやIntel iAPX 432などの初期のケイパビリティアーキテクチャは、安全なメモリ管理を実現していましたが、パフォーマンスのオーバーヘッドと複雑さがネックとなっていました。[ 7 ]システムが高速化・複雑化するにつれて、バッファオーバーフローやメモリ使用後エラーといった脆弱性が蔓延しました。CHERIは、現代のコンピューティング環境を想定した設計でこれらの課題に対処します。メモリの安全性を強化し、セキュアな共有と分離を提供することで、ソフトウェアの複雑化に対応し、サイバー攻撃に対抗します。

1970年代から1980年代にかけて、CAPコンピュータ（ケンブリッジ大学で開発）やIntel iAPX 432といった初期のケイパビリティアーキテクチャは、強力なセキュリティ特性を示しました。これらのシステムはケイパビリティの管理に間接テーブルに依存しており、メモリアクセスに複数の参照が必要だったため、パフォーマンスのボトルネックが発生しました。このアプローチは、プロセッサが低速でメモリが高速だった時代には有効でしたが、1980年代半ばにはプロセッサの高速化に伴いメモリアクセス速度が遅くなり、実用的ではなくなりました。[ 7 ]

2010年、DARPAはCRASH（Resilient, Adaptive, Secure Hosts）プログラム[ 8 ] [ 9 ]を開始し、参加者にコンピュータシステムのセキュリティ向上を目的とした再設計を課しました。SRIインターナショナルとケンブリッジ大学のチームは、従来の設計に内在するメモリ安全性の課題に対処するため、機能アーキテクチャを再検討しました。

機構

CHERI の機能またはアドレスへのポインターが低下しました。
CHERI ありとなしのメモリ アクセス。

CHERIシステムは、ハードウェアレベルで動作し、メモリへのアクセスを許可するハードウェア強制型（CHERI機能）を提供します。この型には、アドレスと、境界や権限などのメタデータが含まれます。ロード、ストア、ジャンプなどのメモリにアクセスする命令は、これらの型のいずれかを使用してアクセスを許可しますが、従来のアーキテクチャではアドレスのみを使用します。

このメタデータは、アドレスとともにコンピュータのメモリ内にインラインで保存され、タグ ビットによって保護されています。タグ ビットは、機能が改ざんされるとクリアされます。これにより、特定の操作でメモリのどの領域にアクセスできるか、プログラムがその操作でメモリを変更または読み取る方法をコンピュータに通知します。これにより、CHERI システムは、プログラムが読み取りまたは書き込みを行うことになっている境界外のメモリが操作されたケースを検出できます。メタデータを、アクセスされているメモリではなく、メモリにアクセスするために使用する値に関連付ける (メモリ管理ユニットとは対照的) ということは、プログラムがメモリの別の部分にアクセスしようとしているときに、アクセスする必要があるメモリの一部にアクセスしようとするケースをハードウェアが検出できることを意味します。

CHERIシステムの実装には、デフォルトのメモリアロケータへの変更も含まれます。これは、プログラムがアドレス範囲をオブジェクトとして扱うことを定義するコンポーネントです。CHERIシステムでは、返されるポインタ（CHERI機能によって表される）の境界を設定することで、この情報をハードウェアに伝える必要があります。[ 10 ]また、解放後使用や再利用後使用のバグを防ぐために、メモリの有効期間も伝える場合があります。 [ 11 ] [ 12 ] [ 13 ]

状況に応じて、CHERIシステムはコンパイラレベルのチェックを強化したり、セキュアエンクレーブを構築したりするために使用したりすることができ、[ 14 ]、さらには既存の命令アーキテクチャを拡張するために使用することもできます。 2019年のMicrosoftのレポートによると、CHERIの保護機能を使用することで、同社で2019年に発見されたメモリ安全性の問題の70%以上を軽減できることがわかりました。[ 15 ] CHERIアーキテクチャは、 CやC++などの既存のプログラミング言語との下位互換性も考慮して設計されています。ケンブリッジ大学の研究者による調査では、600万行のCおよびC++ソースコードをCHERIに移植するには、ソースコード行数（LoC）の0.026%を変更するだけで済むことがわかりました。[ 3 ]

制限

このアーキテクチャは、メモリの安全性を確保するために必要なタグビット機構と機能チェックのために、ハードウェアの複雑さをもたらします。これらの影響を最小限に抑えるための最適化が実装されていますが、[ 16 ]パフォーマンスのトレードオフは特定のワークロードと実装によって異なる場合があります。さらに、CHERIはソフトウェアとハ​​ードウェアの両方のエコシステムに変更を加える必要があります。Morelloなどの実装では、変更されていないバイナリの実行が可能ですが、セキュリティ上の利点は追加されません。ソフトウェアはCHERIの機能ベースモデルを使用するように再コンパイルまたは適応させる必要があり、ハードウェアメーカーはCHERIの拡張機能を設計に組み込む必要があります。

標準化は継続的な取り組みです。CHERIアライアンス[ 17 ]やRISC-V標準化[ 18 ]などの取り組みは、より広範なサポートの確立を目指していますが、CHERI機能に関する広く受け入れられた業界標準が不足しているため、採用が遅れています。レガシーソフトウェアをCHERIに対応させるように適応させたり、既存のシステムを改造したりすることは、特に大規模で異種混合のコードベースの場合、困難な場合があります。この困難は、ソフトウェアの開発当初に使用されたプログラミング手法、例えばカスタムメモリ管理の実装に起因していることが多く、ポインタと整数の識別が特に問題となる場合があります。[ 19 ]

実装

CHERI アーキテクチャは、複数のプラットフォームとプロジェクトに実装されています。

主流のオペレーティングシステムを対象としたCHERIの実装は、レガシーソフトウェアと純粋機能ソフトウェアの両方に対応できるように設計されており、既存のアプリケーションへの段階的な適応を可能にしています。CHERIは、研究環境において、MIPS、[ 6 ] AArch64（Morelloプラットフォーム経由）、RISC-Vなど、様々なハードウェアアーキテクチャに実装されています。[ 27 ]

歴史

2012年までに、初期のCHERIプロトタイプが発表されました[ 28 ]。これらのプロトタイプは、手書きアセンブリ言語を用いてマイクロカーネルを実行し、ケイパビリティ操作を行いました。CHERIは、現代のスーパースカラパイプラインアーキテクチャに容易に実装できるように設計されました。以前のケイパビリティシステムとは異なり、CHERIは間接テーブルを必要としないため[ 6 ] 、関連するパフォーマンスの問題を回避し、現代のケイパビリティアーキテクチャが効率的に実装可能であることを証明しました。

2014年、CHERIハード​​ウェアは完全なUNIXライクなオペレーティングシステムであるFreeBSDを実行できることを実証しました。このデモンストレーションは、CHERIのケイパビリティモデルが既存のソフトウェアエコシステムと統合できることを示しました。CHERIはもともとMIPS-64の拡張としてプロトタイプ化されました。[ 6 ]実装では256ビットのケイパビリティが使用され、64ビットのベース、長さ、オブジェクトタイプ、および権限のフィールドが含まれており、一部のビットは実験目的で予約されていました。

2015年、CHERIはアドレス（カーソルと呼ばれる）を境界と権限から分離した新しい機能エンコーディングモデルを導入しました。この改良により、コンパイルされたCコード内で機能をポインターとして機能させることができるようになり、[ 13 ]使いやすさが向上しました。同年、Armがプロジェクトに加わり、ポインターのサイズを2倍にすることは許容できるかもしれないが、4倍にすることは許容できないという重要なフィードバックを提供しました。このフィードバックにより、ベース、アドレス、トップ間の冗長性を排除することで機能サイズを128ビットに削減した圧縮エンコーディングモデルであるCHERI Concentrate [ 16 ]の開発につながりました。

2019年にCheriABI [ 29 ]はPOSIXの完全なメモリセーフな実装を実証し、既存のデスクトップソフトウェアを1回の再コンパイルでメモリセーフにすることができるようになりました。

2020年までに、ソフトウェアベンダーはハードウェアベンダーのサポートなしにソフトウェアを移植することに消極的であり、ハードウェアベンダーは十分な顧客需要がなければチップを生産することに消極的であることが明らかになりました。英国研究イノベーション機構（UKRI）は、CHERIの導入障壁に対処するため、デジタルセキュリティ・バイ・デザイン（DSbD）プログラム[ 30 ]を開始しました。このプログラムは、CHERIソフトウェアエコシステムの構築に7,000万ポンドと、それと同額の1億ポンドの産業投資を割り当てました。[ 30 ]

このイニシアチブは、AArch64に基づくCHERIの実験的な機能を潜在的な製品利用のために評価するために設計されたスーパーセットアーキテクチャであるArmのMorelloチップに資金を提供しました。MorelloボードはCheriBSD、およびAndroidとLinuxのカスタムバージョンを実行するように設計されました。同時に、Cornucopia [ 31 ]プロジェクトは、CHERIが空間的および時間的なメモリ安全性の両方を強制し、ヒープオブジェクトの時間的エイリアシング（大まかに言えば、「解放後使用」）に対する決定論的な保護を提供できることを実証しました。後続のプロジェクトであるCornucopia Reloaded [ 11 ]は、Morelloのページテーブル機能を使用して効率的な時間的安全性、特に失効を利用するアプリケーションの一時停止時間がほぼ無視できることを示しています。

2023年にマイクロソフトはCHERIoT [ 12 ]を発表しました。これは、小型組み込みデバイス向けに最適化されたRISC-V CHERIの適応型です。CHERIoTはCornucopiaのアイデアと、SPARC ADIやArm MTEなどのメモリカラーリング技術を組み込んでセキュリティを強化しました。UKRIが資金提供するSunburstプロジェクトの一環として、lowRISCはRISC-VベースのCHERI開発を推進し、標準化の取り組みを支援するためにSonataプラットフォームを立ち上げました。CHERI RISC-V研究とCHERIoTはどちらも、公式のCHERI RISC-V拡張機能ファミリーの標準化プロセスに貢献しました。[ 18 ] Codasipは、CHERI拡張機能を備えたRISC-V IPコアのライセンス供与を開始したことを発表しました。[ 32 ]

CHERIアライアンスは2024年に発足しました。[ 33 ]この非営利団体は、CHERIの普及を促進するために、多くのハイテク企業によって設立されました。コラボレーションのためのプラットフォームを提供し、この技術の認知度と使いやすさの向上を支援します。その目標はエコシステムを集約することであり、商業企業から大学、研究センター、オープンソースコミュニティまで、CHERIに関心のあるメンバーを歓迎しています。特定のテーマ（オペレーティングシステムの移植、ツール、設計推奨事項など）に焦点を当てたワーキンググループ[ 34 ]で構成されています。また、CHERIに焦点を当てた会議[ 35 ]を開催し、この技術を促進するための多くのイベントに参加しています。

SCIセミコンダクターズは2024年までに、セキュアな組み込みシステム向けに特別に設計されたCHERIoT互換チップであるICENI [ 26 ]を発表しました。CodasipはRISC-Vアーキテクチャ向けのLinuxカーネル実装を積極的に開発しています。 [ 36 ]英国ケンブリッジに拠点を置く非営利団体CHERIアライアンスは、CHERI技術の採用とセキュアなデジタル製品およびシステムへの統合を促進するために設立され、Googleも創設メンバーとして参加しています。[ 5 ]

2025年、ワイバーン・グローバルの半導体部門は、CHERIを念頭にゼロから構築された初の商用CHERI-BSDネイティブRISC-VチップセットであるWARP [ 37 ]を発表し、既存のメーカーがWARPチップセットを使用した既存のボードにこの技術を統合できるように、同じ名称のOEM採用プログラムを発表しました。また、今後は既存のすべての製品とサービスにCHERIをエンドツーエンドで採用することを約束し、CHERIアライアンスCIC [ 38 ]に加盟しました。

参考文献

  1. ^ Cimpanu, Catalin (2020年5月22日). 「Chrome：セキュリティバグの70%はメモリ安全性の問題」 . ZDNET . 2025年6月8日閲覧。
  2. ^ Cimpanu, Catalin (2019年2月11日). 「Microsoft：セキュリティバグの70%はメモリ安全性の問題」 . ZDNET . 2025年6月8日閲覧。
  3. ^ a b Robert NM Watson、Ben Laurie、Alex Richardson (2021年9月17日).オープンソースCHERIデスクトップソフトウェアエコシステムの実現可能性の評価(PDF) (技術レポート). Capabilities Ltd.
  4. ^ 「最終ONCD技術報告書」（PDF）ホワイトハウス、国家サイバーディレクター室、2024年2月。2025年1月21日時点のオリジナルよりアーカイブ（PDF） 。 2025年1月21日閲覧。
  5. ^ a b Manners, David (2024年11月13日). 「CHERI Allianceが発足」 . Electronics Weekly . 2025年1月20日閲覧。
  6. ^ a b c d Jonathan Woodruff、Robert NM Watson、David Chisnall、Simon W. Moore、Jonathan Anderson、Brooks Davis、Ben Laurie、Peter G. Neumann、Robert Norton、Michael Roe (2014). CHERI能力モデル：リスクの時代にRISCを再考する. 2014 ACM/IEEE 41st International Symposium on Computer Architecture (ISCA). ミネアポリス、ミネソタ州、米国. pp.  457– 468. doi : 10.1109/ISCA.2014.6853201 .
  7. ^ a b Levy, Henry M. (1984).ケイパビリティベースコンピュータシステム. マサチューセッツ州ベッドフォード: Digital Press. ISBN 978-1483107400. 2025年1月24日閲覧。
  8. ^ 「CRASH: 回復力、適応性、安全性に優れたホストのクリーンスレート設計」 DARPA、2010年。 2025年1月18日閲覧。
  9. ^ 「DARPAのCRASHプログラムがコンピューターのセキュリティを刷新」 Breaking Defence、2012年12月21日。 2025年1月18日閲覧。
  10. ^ Bramley, Jacob; Jacob, Dejice; Lascu, Andrei; Singer, Jeremy; Tratt, Laurence (2023年6月6日). 「CHERIアロケータの選択：セキュリティとパフォーマンスに関する考慮事項」(PDF) . 2023 ACM SIGPLAN国際メモリ管理シンポジウム議事録. ISMM 2023. ニューヨーク州ニューヨーク：Association for Computing Machinery. pp.  111– 123. doi : 10.1145/3591195.3595278 . ISBN 979-8-4007-0179-5。
  11. ^ a b Nathaniel Wesley Filardo; Brett F. Gutstein; Jonathan Woodruff; Jessica Clarke; Peter Rugg; Brooks Davis; Mark Johnston; Robert Norton; David Chisnall; Simon W. Moore; Peter G. Neumann; Robert NM Watson (2024). 「Cornucopia Reloaded: Load Barriers for CHERI Heap Temporal Safety」 . Proceedings of the 29th ACM International Conference on Architectural Support for Programming Languages and Operating Systems, Volume 2 (ASPLOS '24) . Vol. 2. New York, NY, USA: Association for Computing Machinery. pp.  251– 268. doi : 10.1145/3620665.3640416 .
  12. ^ a b c Saar Amar; David Chisnall; Tony Chen; Nathaniel Wesley Filardo; Ben Laurie; Kunyan Liu; Robert Norton; Simon W. Moore; Yucong Tao; Robert NM Watson; Hongyan Xia (2023). 「CHERIoT: 組み込みデバイスのための完全なメモリ安全性」. Proceedings of the 56th Annual IEEE/ACM International Symposium on Microarchitecture (MICRO '23) . New York, NY, USA: Association for Computing Machinery. pp.  641– 653. doi : 10.1145/3613424.3614266 .
  13. ^ a b David Chisnall; Colin Rothwell; Robert NM Watson; Jonathan Woodruff; Munraj Vadera; Simon W. Moore; Michael Roe; Brooks Davis; Peter G. Neumann (2015). 「PDP-11を超えて：メモリ安全なC抽象マシンのアーキテクチャサポート」 .第20回国際プログラミング言語およびオペレーティングシステムのアーキテクチャサポート会議 (ASPLOS '15) の議事録. ニューヨーク州ニューヨーク：Association for Computing Machinery. pp.  117– 130. doi : 10.1145/2694344.2694367 .
  14. ^ヴァン・ストライドンク、トーマス;ノーマン、ヨブ。ジャクソン、ジェニファー。アウベス・ディアス、レオナルド。ヴァンダーシュトレーテン、ロビン。オズワルド、デイヴィッド。ピーセンス、フランク。デブリーズ、ドミニク（2023年7月1日）。CHERI-Tree: 機能マシン上の柔軟なエンクレーブ。 2023 年 IEEE 第 8 回セキュリティとプライバシーに関する欧州シンポジウム (EuroS&P)。 IEEE。 pp.  1143–1159 . doi : 10.1109/EuroSP57164.2023.00070。ISBN 978-1-6654-6512-0。
  15. ^ 「CHERI ISAのセキュリティ分析」。Microsoft Security Response Centerブログ。2020年10月14日。 2025年1月21日閲覧。
  16. ^ a b Jonathan Woodruff; Alexandre Joannou; Hongyan Xia; Anthony Fox; Robert Norton; Thomas Bauereiss; David Chisnall; Brooks Davis; Khilan Gudka; Nathaniel W. Filardo; A. Theodore Markettos; Michael Roe; Peter G. Neumann; Robert NM Watson; Simon W. Moore (2019). 「CHERI Concentrate: Practical Compressed Capabilities」 . IEEE Transactions on Computers . 68 (10). IEEE: 1455– 1469. Bibcode : 2019ITCmp..68.1455W . doi : 10.1109/TC.2019.2914037 .
  17. ^ 「CHERI Alliance – 業界主導のセキュリティ技術」CHERI Alliance . 2025年1月27日閲覧。
  18. ^ a b「CHERI批准計画」 。 2025年1月10日閲覧。
  19. ^ Robert NM Watson; David Chisnall; Jessica Clarke; Brooks Davis; Nathaniel Wesley Filardo; Ben Laurie; Simon W. Moore; Peter G. Neumann; Alexander Richardson; Peter Sewell; Konrad Witaszczyk; Jonathan Woodruff (2024年7月～8月). "CHERI: ハードウェア対応のC/C++メモリ保護の大規模化" . IEEE Security & Privacy . 22 (4): 50– 61. Bibcode : 2024ISPri..22d..50W . doi : 10.1109/MSEC.2024.3396701 .
  20. ^ 「アーム・モレロ・プログラム」 。 2025年1月9日閲覧。
  21. ^ロビンソン、ダン. 「ArmがCHERIアーキテクチャをMorello Programハードウェアに取り入れた経緯」 . The Register . 2025年1月11日閲覧。
  22. ^ Saar Amar、Tony Chen、David Chisnall、Felix Domke、Nathaniel Filardo、Kunyan Liu、Robert Norton-Wright、Yucong Tao、Robert NM Watson、Hongyan Xia (2023年2月). CHERIoT: 低コスト組み込みシステムのセキュリティ再考（技術レポート）. Microsoft. MSR-TR-2023-6.
  23. ^ 「CHERIoTプロジェクトを統括するのは誰か？」 2024年11月。 2025年1月20日閲覧。
  24. ^ 「サンバーストプロジェクトへようこそ」 lowRISC . 2025年1月20日閲覧。
  25. ^ 「Codasip、Cheriでメモリを保護」 TechInsights.com 2025年1月27日閲覧。
  26. ^ a b Flaherty, Nick (2024年10月23日). 「最初のCHERI RISC-V組み込みチップと早期アクセスプログラム」 . eeNews Europe . 2025年1月11日閲覧。
  27. ^ 「CHERI-Piccolo、CHERI-Flute、およびCHERI-Toooba CPUコア（FPGA上）」 。 2025年1月24日閲覧。
  28. ^ Robert NM Watson; Peter G. Neumann; Jonathan Woodruff; Jonathan Anderson; Ross Anderson; Nirav Dave; Ben Laurie; Simon W. Moore; Steven J. Murdoch; Philip Paeps; Michael Roe; Hassen Saidi (2012年3月2日). CHERI: ハードウェア仮想化と保護を分離する研究プラットフォーム(PDF) . ランタイム環境、システム、階層化、仮想化環境に関するワークショップ (RESoLVE 2012).
  29. ^ Brooks Davis; Robert NM Watson; Alexander Richardson; Peter G. Neumann; Simon W. Moore; John Baldwin; David Chisnall; Jessica Clarke; Nathaniel Wesley Filardo; Khilan Gudka; Alexandre Joannou; Ben Laurie; A. Theodore Markettos; J. Edward Maste; Alfredo Mazzinghi; Edward Tomasz Napierala; Robert M. Norton; Michael Roe; Peter Sewell; Stacey Son; Jonathan Woodruff (2019). "CheriABI: POSIX Cランタイム環境における有効なポインタの起源の強制とポインタ特権の最小化". Proceedings of the Twenty-F​​ourth International Conference on Architectural Support for Programming Languages and Operating Systems (ASPLOS '19) . New York, NY, USA: Association for Computing Machinery. pp.  379–393。土井：10.1145/3297858.3304042。
  30. ^ a b「デジタルセキュリティ・バイ・デザイン」英国研究イノベーション機構、2020年。 2025年1月18日閲覧。
  31. ^ Nathaniel Wesley Filardo; Brett F. Gutstein; Jonathan Woodruff; Sam Ainsworth; Lucian Paul-Trifu; Brooks Davis; Hongyan Xia; Edward Tomasz Napierala; Alexander Richardson; John Baldwin; David Chisnall; Jessica Clarke; Khilan Gudka; Alexandre Joannou; A. Theodore Markettos; Alfredo Mazzinghi; Robert M. Norton; Michael Roe; Peter Sewell; Stacey Son; Timothy M. Jones; Simon W. Moore; Peter G. Neumann; Robert NM Watson (2020年5月18日～20日). "Cornucopia: Temporal Safety for CHERI Heaps" (PDF) . Proceedings of the 41st IEEE Symposium on Security and Privacy (Oakland 2020) . San Jose, CA, USA.土井: 10.1109/SP40000.2020.00098。
  32. ^ 「Codasip、RISC-Vを使用した初の商用CHERIプロセッサを発表」 eeNews、2023年11月2日。 2025年1月20日閲覧。
  33. ^ Flaherty, Nick (2024年11月12日). 「CHERIがグローバルチップセキュリティアライアンスを構築」 . eeNews Europe . 2025年7月22日閲覧。
  34. ^ 「CHERI Alliance – Working Groups」 . CHERI Alliance . 2025年7月22日閲覧。
  35. ^ 「CHERI Alliance – イベント」 . CHERI Alliance . 2025年7月22日閲覧。
  36. ^ 「Codasip、CHERI AllianceにCHERI RISC-V SDKを寄贈し、安全なLinuxを実現」 Codasip、2024年10月21日。 2025年1月20日閲覧。
  37. ^ 「Wyvern Advanced RISC-V Processor」 . Wyvern Global. 2025年7月11日. 2025年7月11日閲覧。
  38. ^ 「Wyvern GlobalがCHERIアライアンスに加盟」 CHERIアライアンス、2025年7月11日。 2025年7月11日閲覧。
「 https://en.wikipedia.org/w/index.php?title=Capability_Hardware_Enhanced_RISC_Instructions&oldid=1334494773」から取得