TEE-based designs for network gateways, web authentication, and VM introspection

Abstract

Over the last decades, the complexity of client, server, and network devices has drastically increased---and so has the number of sophisticated attacks against them. New vulnerabilities are steadily being discovered, and attacks are becoming more sophisticated, including full system compromises that undermine software defenses. As a potential solution, CPU vendors and researchers have designed several architectural extensions for trusted execution environments (TEEs). TEEs enable new security schemes using hardware-based isolation of critical software components from a compromised system. However, the benefits of TEEs have still not been considered for many critical network and web authentication services. Therefore, this dissertation explores how security-critical network and web services can benefit from TEEs. In particular, we propose three TEE-based designs for network firewalls and web authentication. First, we show how client-side TEEs can enable gateway firewalls to enforce trusted per-application network policies. Second, we enhance the TEE protection to the gateway by designing a TEE-based router architecture with isolated network paths and policy enforcement. Third, we combine electronic IDs with TEE-protected cloud services to solve the recovery and cost issues of FIDO2 web authentication. Finally, we design secure remote forensics of services protected by TEE virtual machines while preserving their strong hardware protection.

Über die letzten Jahrzehnte hat sich die Komplexität von Client-, Server-, und Netzwerk-Geräten drastisch erhöht---und ebenso die Anzahl an Angriffen gegen sie. Ständig werden neue Schwachstellen entdeckt und immer komplexere Angriffe entwickelt, einschließlich vollständiger Systemübernahmen. Als Gegenmaßnahme haben Prozessorhersteller und Forscher etliche vertrauenswürdige Ausführungsumgebungen (kurz: TEEs) entworfen. TEEs ermöglichen neue Sicherheitslösungen durch eine hardware-basierte Isolation kritischer Softwarekomponenten vom kompromittierten Restsystem. Die Vorteile von TEEs wurden jedoch für viele kritische Web-Authentifizierungs- und Netzwerk-Dienste noch nicht untersucht. Diese Dissertation erforscht daher, wie sicherheitskritische Dienste von TEEs profitieren können. Insbesondere schlagen wir drei TEE-basierte Designs für Netzwerk-Firewalls und Web-Authentifizierung vor. Zuerst zeigen wir, wie clientseitige TEEs es Gateway-Firewalls ermöglichen können, vertrauenswürdige Netzwerkregeln je Anwendung durchzusetzen. Zweitens entwerfen wir eine TEE-basierte Router-Architektur mit isolierten Netzwerkpfaden und -regeln. Drittens kombinieren wir elektronische Ausweise mit TEE-geschützten Cloud-Diensten um die Wiederherstellungs- und Kostenprobleme von FIDO2-Web-Authentifizierung zu lösen. Schließlich entwerfen wir eine sichere forensische Fernanalyse von Diensten, die durch vertrauenswürdige virtuelle Maschinen (TEE VMs) geschützt werden.