【论文总结】针对操作系统级虚拟化的抽象资源攻击

介绍

这是一篇来自2021CCS的论文，作者有Nanzi Yang, Wenbo Shen, Jinku Li, Yutian Yang, Kangjie Lu, Jietao Xiao, Tianyu Zhou, Chenggang Qin, Wang Yu, Jianfeng Ma, Kui Ren。

概述

本文的贡献如下：

1. 新的攻击面：作者揭示了一个影响操作系统主要功能，影响多个操作系统，操作系统虚拟化共有的抽象资源攻击。

2. 攻击实用性评估：四大云计算厂商提供的self-deployed native container环境均受到抽象资源攻击影响。

3. 系统化分析：作者设计并实现了一个静态分析工具，并识别出501个可被容器重复触发的抽象资源。

4. 作者将工具源码以及结果开源在Github上了

   Github地址：https://github.com/ZJU-SEC/AbstractResourceAttack

概述

这篇论文揭示了一种操作系统级虚拟化的固有问题-共享内核变量和数据结构。和物理资源（CPU，内存）相比，这些内核变量和数据结构也被称为抽象资源。基于这些共享抽象资源，该论文提出一种新型攻击 - 抽象资源攻击。通过实验证明，抽象资源攻击可影响操作系统所有主要功能，包含进程管理、内存管理、存储管理、IO管理，造成系统崩溃或者性能大幅度下降；同时可攻击大多数主流操作系统，包含Linux，FreeBSD以及Fuchsia内核；同时该论文进一步在四大云厂商环境进行验证，证明抽象资源攻击在其上部署的共享内核容器环境中依然可行，揭示该攻击影响的广泛性和严重性。该论文实现并开源了一个静态分析工具，系统化分析出Linux中潜在的抽象资源攻击，找出了超过500个Linux内核中易受攻击的抽象资源。

背景

操作系统级虚拟化是云计算中的一项核心技