[ASPLOS 18] DAMN: Overhead-Free IOMMU Protection for Networking

來自專欄雲計算會議論文快報4 人贊了文章

文章概況：

這篇文章來自以色列理工，特拉維夫大學和vmware 研究組。

1. motivation

• 注意：這篇文章的討論是建立在攻擊者控制集群中的具有DMA功能的硬體，但是不能夠訪問操作系統的假設下的。而保護的目標是保證惡意的DMA不能夠訪問沒有被DMA API映射的目標緩衝中的內容。這種攻擊通常被叫做NIC DMA attack。
• 操作系統為了防止惡意DMA的攻擊，在每個DMA開始時進行映射，完成時去映射。但是這種方法在近期被發現比讓這些報文不做DMA，然後從持久映射的緩衝中進行拷貝的方式還要慢，並且更有風險。進一步，這種映射/去映射的方法還會對高速網路性能的發揮造成影響，因為這種映射/去映射造成的緩衝區使用權在內核與設備之間的轉換是沒必要的，同時銷毀IOMMU中的映射的開銷阻礙了每秒鐘實現百萬次DMA。
• 現有對這個問題的解決方案在性能和安全中選擇犧牲一個，這篇文章試圖在保證與無防護網路相似性能的情況下提供安全。

2. innovation

• 實現了一個DMA感知的分配器，從IOMMU中永久映射的內存池中分配網路包緩衝。當數據第一次被訪問時把數據從這些緩衝拷貝到網卡訪問不到的地方（只需要拷貝包頭）。

注意: 【no kernel bypassing】這篇文章討論的網路DMA是依賴於操作系統的DMA，不包括用戶直接操作設備的操作系統設計例如Arrakis或者最近大家關注的RDMA和DPDK。

推薦閱讀：