Hardware-assisted trusted execution environments (TEEs) are critical building blocks of many modern applications. However, the one-way isolation model introduces a semantic gap between TEE and its outside world, including conventional OSs and applications. This causes the most practical and ever-increasing set of attacks on TEE-enabled applications by exploiting various insecure interactions with the host OS and applications. Complex applications rely on many mechanisms on the host OS and TEE system; their complex interactions open a large attack surface that threatens both the trusted and normal worlds. To address this fundamental issue, we introduce Sirius, the first OS and TEE system to achieve system-wide isolation in TEEs. It enables fine-grained compartmentalization, strong isolation, and secure interactions between enclaves and kernel objects (e.g., threads, address spaces, IPC, files, and sockets). Sirius replaces ad-hoc and inefficient forms of interactions in current TEE systems with a principled approach that adds strong inter- and intra-process isolation and efficiently eliminates a wide range of attacks. We evaluate Sirius on ARM platforms, and find that it is lightweight ($\approx 15K$ LoC) and only adds $\approx 10.8\%$ overhead to enable TEE support on applications such as httpd, and improves the performance of existing TEE-enabled applications such as the Darknet ML framework and ARM's LibDDSSec by $0.05\%-5.6\%$.

中文翻译：

---

Sirius：为可信执行环境启用系统范围的隔离

硬件辅助的可信执行环境 (TEE) 是许多现代应用程序的关键构建块。然而，单向隔离模型在 TEE 与其外部世界（包括传统操作系统和应用程序）之间引入了语义鸿沟。通过利用与主机操作系统和应用程序的各种不安全交互，这会导致对启用 TEE 的应用程序的最实际和不断增加的攻击。复杂的应用程序依赖于宿主 OS 和 TEE 系统上的许多机制；它们复杂的相互作用打开了一个巨大的攻击面，威胁着可信世界和正常世界。为了解决这个基本问题，我们引入了 Sirius，这是第一个在 TEE 中实现系统范围隔离的操作系统和 TEE 系统。它实现了细粒度的划分、强隔离、enclave 和内核对象（例如，线程、地址空间、IPC、文件和套接字）之间的安全交互。Sirius 用一种有原则的方法取代了当前 TEE 系统中临时和低效的交互形式，该方法增加了强大的进程间和进程内隔离并有效地消除了广泛的攻击。我们在 ARM 平台上对 Sirius 进行了评估，发现它是轻量级的（$\approx 15K$ LoC）并且只增加了 $\approx 10.8\%$ 的开销以在 httpd 等应用程序上启用 TEE 支持，并提高了现有 TEE 的性能-启用应用程序，例如 Darknet ML 框架和 ARM 的 LibDDSSec，$0.05\%-5.6\%$。Sirius 用一种有原则的方法取代了当前 TEE 系统中临时和低效的交互形式，该方法增加了强大的进程间和进程内隔离并有效地消除了广泛的攻击。我们在 ARM 平台上对 Sirius 进行了评估，发现它是轻量级的（$\approx 15K$ LoC）并且只增加了 $\approx 10.8\%$ 的开销以在 httpd 等应用程序上启用 TEE 支持，并提高了现有 TEE 的性能-启用应用程序，例如 Darknet ML 框架和 ARM 的 LibDDSSec，$0.05\%-5.6\%$。Sirius 用一种有原则的方法取代了当前 TEE 系统中临时和低效的交互形式，该方法增加了强大的进程间和进程内隔离并有效地消除了广泛的攻击。我们在 ARM 平台上对 Sirius 进行了评估，发现它是轻量级的（$\approx 15K$ LoC）并且只增加了 $\approx 10.8\%$ 的开销以在 httpd 等应用程序上启用 TEE 支持，并提高了现有 TEE 的性能-启用应用程序，例如 Darknet ML 框架和 ARM 的 LibDDSSec，$0.05\%-5.6\%$。