Efficient request isolation in Function-as-a-Service

Abstract

As cloud applications become increasingly event-driven, Function-as-a-Service (FaaS) is emerging as an important abstraction. FaaS allows tenants to state their application logic as stateless functions without managing the underlying infrastructure that runs and scales their applications. FaaS providers ensure the confidentiality of tenants’ data, to a limited extent, by isolating function instances from one another. However, for performance considerations, the same degree of isolation does not apply to sequential requests activating the same function instance. This compromise can lead to confidentiality breaches since bugs in a function implementation or its dependencies may retain state and leak data across activations. Moreover, platform optimizations that assume function statelessness may introduce unexpected behavior if the function retains state, jeopardizing correctness. This dissertation presents two complementary systems: Groundhog and CtxTainter. Groundhog is a black-box and programming-language-agnostic solution that enforces confidentiality by efficiently rolling back changes to a function’s state after each function activation, effectively enforcing statelessness by breaking all data flows at the request boundary. CtxTainter is a development-phase dynamic data flow analysis tool that detects data flows that violate the statelessness assumption and reports them to the developer for reviewing and fixing.

Da Cloud-Anwendungen zunehmend ereignisgesteuert sind, entwickelt sich Function-as-a-Service (FaaS) zu einer wichtigen Abstraktion. FaaS ermöglicht es Cloud-Kunden, ihre Anwendungslogik als zustandslose Funktionen anzugeben, ohne die zugrunde liegende Infrastruktur verwalten zu müssen, die ihre Anwendungen ausführt und skaliert. FaaS-Anbieter gewährleisten in begrenztem Umfang die Vertraulichkeit der Daten von Kunden, indem sie Funktionsinstanzen voneinander isolieren. Aus Leistungserwägungen gilt diese Isolierung jedoch nicht für aufeinanderfolgende Anfragen, die dieselbe Funktionsinstanz aktivieren. Dieser Kompromiss kann zu Vertraulichkeitsverletzungen führen, da Fehler in einer Funktionsimplementierung oder ihren Abhängigkeiten den Zustand beibehalten und Daten über Aktivierungen hinweg offenlegen. Auch Plattformoptimierungen, die von der Zustandslosigkeit einer Funktion ausgehen, können die Korrektheit gefährden, wenn die Funktion Zustand beibehält. In dieser Dissertation werden zwei Systeme vorgestellt: Groundhog und Ctx- Tainter. Groundhog ist eine Blackbox- und programmiersprachenunabhängige Lösung, die Vertraulichkeit erzwingt, indem sie Änderungen am Zustand einer Funktion nach jeder Aktivierung effizient rückgängig macht und den Datenfluss an der Anfragegrenze unterbricht. CtxTainter ist ein Tool zur dynamischen Datenflussanalyse in der Entwicklungsphase das Datenflüsse erkennt, die die Zustandslosigkeit verletzen, und sie dem Entwickler zur Überprüfung und Korrektur meldet.