Hardware-based isolation technologies have been utilized within a cloud environment to satisfy the demands for secure and scalable security services. However, a naïve adoption of hardware-based isolation fails to protect on-cloud services against emerging security threats arising from the untrusted nature of a cloud environment. Also, it is challenging to apply hardware-based isolation to legacy on-cloud services while considering security, flexibility, scalability, and performance, as this requires expertise in multiple domains.
In this dissertation, we argue that providing high-level abstractions of hardware-based isolation encapsulating security-sensitive components helps in implementing secure and scalable on-cloud services. To substantiate our claim, we present the design and implementation of two security service systems. First, we show EVE, a secure middlebox framework that enables visibility on encrypted traffic over multiple encryption protocols. EVE securely processes encrypted traffic leveraging a combination of trusted execution environment (TEE) and software security technology, and provides high-level abstractions for the secure middlebox processing. EVE abstractions relieve engineering efforts while supporting diverse use cases with multiple encryption protocols. Next, we propose ScaleTrust, a scalable and secure key management system that virtualizes cloud-backed hardware security modules (HSMs) using a TEE. The virtual HSM partition abstracts away the details of secure key management such as secure channel establishment and the verification of isolated key usages. By supporting the isolation of each virtual HSM partition, ScaleTrust provides multi-tenancy scalability and security against insider threats in an untrusted cloud environment.
안전하고 확장 가능한 보안 서비스에 대한 요구를 충족하기 위하여 클라우드 환경 내에서 하드웨어 기반 격리 기술이 활용되고 있다. 하지만 하드웨어 기반 격리 기술을 단순하게 적용하면 신뢰할 수 없는 클라우드 환경으로 인하여 발생하는 새로운 보안 위협으로부터 온클라우드 서비스를 보호하지 못한다. 또한 보안성, 유연성, 확장성 및 성능을 고려하여 하드웨어 기반 격리 기술을 레거시 온클라우드 서비스에 적용하려면 여러 분야의 전문지식을 숙지해야 한다는 어려운 점도 있다.
본 학위 논문은 보안에 민감한 컴포넌트를 캡슐화하여 하드웨어 기반 격리의 추상화를 제공함으로써 안전하고 확장 가능한 온클라우드 서비스를 구현할 수 있음을 보인다. 본 주장을 뒷받침하기 위해 두 가지 보안 서비스 시스템에 대한 설계와 구현을 제안한다. 먼저 여러 암호화 프로토콜을 통해 암호화된 트래픽을 확인할 수 있는 보안 미들박스 프레임워크인 이브를 선보인다. 이브는 신뢰 실행 환경과 소프트웨어 보안 기술을 융합하여 암호화된 트래픽을 안전하게 처리하고 안전한 미들박스 처리를 위한 고수준 추상화를 제공한다. 이브의 추상화는 여러 암호화 프로토콜로 다양한 유스 케이스를 지원하면서 구현에 필요한 작업을 줄이는 데 도움을 준다. 다음으로 신뢰 실행 환경을 사용하여 클라우드 기반 하드웨어 보안 모듈을 가상화하는 확장 가능하고 안전한 키 관리 시스템인 스케일트러스트를 제안한다. 가상화된 하드웨어 보안 모듈 파티션은 보안 채널 연결 및 암호 키 사용의 고립성 검증을 포함하여 안전한 키 관리에 필요한 세부 요소를 추상화한다. 스케일트러스트는 각 가상 파티션을 고립시킴으로써 신뢰할 수 없는 클라우드 환경에서 내부자 위협으로부터 암호 키를 보호하고 멀티 테넌시 확장성을 제공한다.
