occlum

Notícias: Nosso artigo: multitarefa segura e eficiente dentro de um único enclave da Intel SGX foi aceito pelo ASPLOS'20. Este artigo de pesquisa destaca as vantagens da arquitetura de espaço único adotado pelo OCCLUM e descreve um novo mecanismo de isolamento em esclave que complementa essa abordagem. O artigo pode ser encontrado na Biblioteca Digital ACM e no ARXIV.

Occlum é um sistema operacional de biblioteca multipocess e seguro de memória (LIBOS) para Intel SGX. Como um LIBOS, ele permite que os aplicativos legados sejam executados no SGX com pouca ou mesmo nenhuma modificação do código -fonte, protegendo assim a confidencialidade e a integridade das cargas de trabalho do usuário de forma transparente.

Occlum tem os seguintes recursos salientes:

• Multitarefa eficiente. O OCCLUM oferece processos leves LIBOS: eles são leves no sentido de que todos os processos Libos compartilham o mesmo enclave SGX. Comparado aos processos Libos por peso pesado, os processos LIBOS leves de Occlum é de até 1.000x mais rapidamente na inicialização e 3x mais rápido no IPC. Além disso, o OCCLUM oferece um recurso opcional de PKU (teclas de proteção para o Usuário Space) para melhorar o isolamento de falhas entre os Processos Libos de Occlum e o Usuário, se necessário.
• Múltipla suporte do sistema de arquivos. O OCCLUM suporta vários tipos de sistemas de arquivos, por exemplo, FS (para proteção de integridade), somente leitura (para proteção de integridade), FS criptografado por gravidade (para proteção de confidencialidade), FS do host não confiável (para troca de dados conveniente entre o Libos e o sistema operacional host).
• Segurança da memória. Occlum é o primeiro SGX Libos escrito em uma linguagem de programação segura por memória (ferrugem). Assim, é muito menos provável que o OCCLUM contenha bugs de baixo nível de segurança de memória e é mais confiável para hospedar aplicativos críticos de segurança.
• Facilidade de uso. O OCCLUM fornece ferramentas de construção e linha de comando amigáveis. A execução de aplicativos no oclum dentro dos enclaves SGX pode ser tão simples quanto digitar vários comandos do shell (consulte a próxima seção).

Desde a versão 0.30.0, a OCCLUM introduziu o EDMM como um recurso opcional. Com o EDMM, as configurações occlum se tornam mais flexíveis e o tempo de carregamento do enclave é significativamente reduzido. Mais detalhes, consulte EDMM_CONFIG_GUIDE.

Documentação oclum

A documentação oficial da oclum pode ser encontrada em https://occlum.readthedocs.io .

Alguns links rápidos são os abaixo.

• Quick Start
• Build and Install
• Occlum Configuration
• Occlum Compatible Executable Binaries
• Demos
• Q & A

Qual é o status de implementação?

Occlum está sendo desenvolvido ativamente. Agora, focamos na implementação de mais chamadas do sistema e recursos adicionais necessários no ambiente de produção, incluindo o BAREMETAL Server e o público em nuvem (Aliyun, Azure, ...).

Além disso, uma ramificação dedicada 1.0.0 é usada para o desenvolvimento da próxima geração.

Que tal o trabalho interno?

A arquitetura de alto nível do oclum está resumida na figura abaixo:

Por que o nome?

O nome do projeto Occlum deriva da palavra oclumência cunhada na série Harry Potter, de JK Rowling. Em Harry Potter e a Ordem de Phoenix , a oclumência é descrita como:

A defesa mágica da mente contra a penetração externa. Um ramo obscuro da magia, mas altamente útil ... usado corretamente, o poder da oclumência ajudará a protegê -lo do acesso ou influência.

O mesmo pode ser dito para Occlum, não para a mente, mas para o programa:

A defesa mágica do programa contra a penetração externa. Um ramo obscuro da tecnologia, mas altamente útil ... usado corretamente, o poder de Occlum ajudará a proteger seu programa do acesso ou influência.

Obviamente, o oclum deve ser executado nas CPUs Intel X86 com suporte SGX para fazer sua mágica.

Colaboradores

As contribuições de qualquer tipo são bem -vindas! Publicaremos diretrizes contribuintes e aceitaremos solicitações de puxão depois que o projeto ficar mais estável.

Agradecemos a todos esses maravilhosos colaboradores deste projeto.

Licença

Occlum é liberado sob licença BSD. Veja as informações de direitos autorais aqui.