Best Poster Award,The Ninth ACM/IEEE Symposium on Edge Computing (SEC)
In edge computing, flexibly offloading or handing over computing workloads among devices, edge, and cloud, achieved by live migration, is crucial because of its hierarchical and heterogeneous structure. Implementing the process migration requires the runtime system to capture and restore the state of a running application at any arbitrary time. WebAssembly (Wasm) has attracted attention as a common platform for edge computing since it provides not only architecture neutrality and secure sandboxing as a lightweight VM but also performs at a native-level performance with AOT/JIT code optimization. Unfortunately, the different code optimizations in various Wasm runtimes make it harder to insert instrumentation code into application binary at runtime. We are currently developing a self-hosted Wasm runtime, i.e., a runtime that can be executed on another runtime as a Wasm application instrumentation mechanism while handling the runtime heterogeneity, including AOT/JIT code transformation. One of the major concerns in our proposal is the overhead caused by the intervention of another runtime for instrumentation. This study discusses the feasibility of a self-hosted runtime with instrumentation for obtaining the application’s running state by comparing it with existing methods and evaluating it through preliminary experiments.
@inproceedings{sec2024,author={Nakata, Yuki and Matsubara, Katsuya},title={Feasibility of Runtime-Neutral Wasm Instrumentation for Edge-Cloud Workload Handover},year={2024},month=dec,booktitle={The Ninth ACM/IEEE Symposium on Edge Computing (SEC)},location={<city>Rome</city>, <country>Italy</country>},pages={528-530},doi={10.1109/SEC62691.2024.00068},url={https://doi.ieeecomputersociety.org/10.1109/SEC62691.2024.00068},publisher={IEEE Computer Society},abbr2={Poster},}
@inproceedings{weko_240811_1,author={進太郎, 鈴木 and 裕貴, 中田 and 克弥, 松原},title={FreeBSDの透過的適用によるLinuxコンテナの隔離強化手法},booktitle={コンピュータセキュリティシンポジウム2024論文集},year={2024},volume={},number={},pages={476--481},month=oct,}
WebAssembly (Wasm) has been attracting attention as a common platform for edge computing thanks to its architecture neutrality, sandboxing for security, and lightweight characteristics that fit the requirements for distributed and cooperated processing with heterogeneous compute nodes, which consist of edge devices and clouds. Virtual machine (VM) migration technology enables seamless and flexible workload offloading on edge-cloud collaboration, but unfortunately, VM migration among different Wasm runtimes is complicated since the Wasm standardization does not specify the implementation design of internal runtime very well. Nevertheless, many implementations of Wasm runtime already exist, and each has different characteristics. We therefore aim to implement a stateful VM migration among most of the major Wasm runtimes. In this work, we prototyped a VM migration mechanism between WasmEdge and WAMR to investigate the technical challenges and determine the feasibility of implementing the runtime-neutral VM migration. Our experimental results on heterogenous VM migration demonstrate the value of coexisting multiple runtimes well-suited for each edge and cloud and seamlessly offloading the workloads among them.
@inproceedings{10.1145/3642968.3654816,author={Fujii, Daigo and Matsubara, Katsuya and Nakata, Yuki},title={Stateful VM Migration Among Heterogeneous WebAssembly Runtimes for Efficient Edge-cloud Collaborations},year={2024},isbn={9798400705397},publisher={Association for Computing Machinery},address={New York, NY, USA},url={https://doi.org/10.1145/3642968.3654816},doi={10.1145/3642968.3654816},booktitle={Proceedings of the 7th International Workshop on Edge Systems, Analytics and Networking(EdgeSys '24)},pages={19–24},numpages={6},keywords={Application checkpointing, Wasm, live migration},location={<city>Athens</city>, <country>Greece</country>},}
Peer-reviewed
Penetration Testing for Linux Jail as Exploit-resistant Linux Container
Shintaro Suzuki, Yuki Nakata, and Katsuya Matsubara
Container virtualization technologies such as Docker [1] are now widely used as lightweight application execution environments in cloud services. They are based on OS pro- cesses, which are lightweight compared with traditional VMs, resulting in faster startup and a lower memory footprint. Many cloud services [2], [3] take advantage of the characteristics of containers for rapid scale-out, scale-in, and more efficient resource usage. We aim to achieve a container sandbox with Container Transplantation in which Linux containers run compatibly in another OS and apply another OS-specific security mechanism to resolve the trade-off between robust container isolation and container characteristics and application performance. Since many cloud services utilize Linux as the environment for hosting containers, vulnerabilities in the Linux kernel and its functions are directly linked to container vulnerabilities. Unfortunately, attacks that exploit those vulnerabilities often have fatal adverse effects that make it impossible for cloud services to run correctly, such as unauthorized access to hosts and other containers through privilege escalation and the theft of sensitive information. We have proposed that executing Linux containers in another OS can avoid these various attacks that exploit vulnerabilities related to the Linux kernel and its functionality. Moreover, it is possible to apply unique security models and functions implemented in various OSes to Linux containers to achieve more finely-grained access control and isolation between containers resilient to attacks targeting specific OSes. This paper investigates the possibility of resisting attacks using Linux kernel vulnerabilities through the Linux jails. Among the vulnerabilities in Linux Kernel 4.4, emulated by Linux jails on FreeBSD13.2, we have chosen those that the Linuxulator can emulate. Then, we categorized the Linux kernel vulnerabilities that the secure container must be able to avoid, tried the attacks on both Linux and the Linuxulator, and summarized the success or failure of the attacks. Linux- ulator, and summarized the success or failure of the attacks. Our experimental results illustrate that the Linuxulator can efficiently repel exploits against Linux kernel vulnerabilities.
@article{published_papers/46105696,title={Penetration Testing for Linux Jail as Exploit-resistant Linux Container},author={Suzuki, Shintaro and Nakata, Yuki and Matsubara, Katsuya},journal={AsiaBSDCon 2024 Proceedings},month=mar,pages={51--56},year={2024},}
クラウドコンピューティング基盤における軽量なアプリケーション実行環境として，コンテナ型仮想化が広く活用されている．コンテナをマルチテナント・クラウドで利用する場合，OS カーネル共有に起因する脆弱性回避のために，追加で堅牢なコンテナ間隔離が必要となる．著者らは，FreeBSD 上で Linux コンテナ実行環境を実現することで，追加の隔離にかかるオーバヘッドを最小化しつつ，OS カーネルの脆弱性に対する攻撃の回避を行う手法を提案している．本提案手法では，コンテナ内のアプリケーションやユーザから異種 OS 上で動作していることを隠蔽できることが，攻撃回避成功の要となっている．しかし，本手法が異種 OS として採用する FreeBSD では，コンテナのネットワーク分離を実現できる vnet 機能が，Linux コンテナでネットワーク分離に用いられている Network Namespace 機能と互換性がないことが課題となっている．特に，Kubernates の Pod などで必要となる，複数のコンテナ間で共有されたネットワーク空間を実現することが難しい．本研究では，jail の入れ子構造の仕組みを活用して，FreeBSD 上で Linux Network Namespace 互換機能を実装し，コンテナランタイムから CNI 仕様に準拠したコンテナネットワーキング制御を可能にすることで，異種 OS 上での動作を隠蔽できる Linux 互換コンテナネットワーキングを実現する．
@inproceedings{weko_233036_1,author={颯麻, 坂口 and 進太郎, 鈴木 and 裕貴, 中田 and 克弥, 松原},title={異種OS機能連携によるセキュアコンテナ実現に向けたFreeBSD上でのCNI準拠コンテナネットワーキングの実現},year={2024},institution={公立はこだて未来大学, 公立はこだて未来大学, さくらインターネット株式会社, 公立はこだて未来大学},booktitle={研究報告インターネットと運用技術（IOT）},number={16},month=mar,}
2023
Poster
異種OS機能連携によるセキュアコンテナ実現に向けた予備評価
鈴木 進太郎, 中田 裕貴, and 松原 克弥
In xSIG (cross-disciplinary workshop on computing Systems, Infrastructures, and programminG) 2023 , Aug 2023
@inproceedings{xsig,author={進太郎, 鈴木 and 裕貴, 中田 and 克弥, 松原},title={異種OS機能連携によるセキュアコンテナ実現に向けた予備評価},year={2023},url={https://xsig.ipsj.or.jp/2023/},month=aug,booktitle={xSIG (cross-disciplinary workshop on computing Systems, Infrastructures, and programminG) 2023},publisher={情報処理学会},abbr2={Poster}}
Peer-reviewed
Reducing Attack Surface with Container Transplantation for Lightweight Sandboxing
Yuki Nakata, Shintaro Suzuki, and Katsuya Matsubara
In Proceedings of the 14th ACM SIGOPS Asia-Pacific Workshop on Systems (APSys ’23) , Seoul, Republic of Korea, Aug 2023
Containers, which have evolved in Linux primarily, have become a significant trend in the cloud due to their lightweight virtualization and growing convenient ecosystem. However, the laxer isolation of containerization also introduces attack surfaces on the underlying Linux kernel. Unfortunately, combining other virtualizations, such as the traditional VM and interposition by application kernel, for sandboxing could spoil the lightweight and scalable nature of the containers. In this study, we propose another approach to lightweight sandboxing that focuses on the fact that such attackers have mostly assumed containers rely on Linux. It can avert major vulnerability exploits derived from Linux by transplanting Linux containers onto the FreeBSD kernel. Furthermore, it can fortify the isolation by transparently applying "Capsicum," a unique sandbox mechanism that is nonstandard in Linux, to the transplanted containers. This paper analyzes vulnerabilities faced by Linux containers, identifies technical issues in transplanting Linux containers onto FreeBSD, and designs a mechanism to transparently apply the Capsicum sandbox to Linux applications to explore the feasibility of our approach.
@inproceedings{10.1145/3609510.3609820,author={Nakata, Yuki and Suzuki, Shintaro and Matsubara, Katsuya},title={Reducing Attack Surface with Container Transplantation for Lightweight Sandboxing},year={2023},isbn={9798400703058},publisher={Association for Computing Machinery},address={New York, NY, USA},url={https://doi.org/10.1145/3609510.3609820},doi={10.1145/3609510.3609820},booktitle={Proceedings of the 14th ACM SIGOPS Asia-Pacific Workshop on Systems (APSys '23)},pages={58–64},numpages={7},keywords={capability-based security and system call emulation, container security},location={Seoul, Republic of Korea},}
@inproceedings{weko_231383_1,author={大悟, 藤井 and 克弥, 松原 and 裕貴, 中田},title={ランタイム中立なWebAssemblyライブマイグレーションの実現可能性検討},booktitle={コンピュータシステム・シンポジウム論文集},year={2023},volume={2023},number={},pages={14--20},month=nov,}
クラウドサービスにおけるアプリケーション実行環境として広く活用されているコンテナ型仮想化は，不特定多数のユーザが単一のホスト内に同居するため，コンテナ間の隔離を強固にする必要がある．しかし，追加の隔離環境は，堅牢なコンテナ間隔離を実現する代わりに，コンテナの高速な起動という特性やアプリケーション性能が損なわれる．このトレードオフを解消するために，我々は異種 OS 機能連携によって OS カーネルの脆弱性を悪用した攻撃を回避し，異種 OS 固有のセキュリティ機能を利用できるセキュアコンテナの実現を目指している．本稿では，FreeBSD の OS 機能を活用した Linux コンテナ互換実行と FreeBSD 固有のセキュリティ機能の適用について検討し，異種 OS 機能連携による特定 OS カーネルを対象にした攻撃回避の実現可能性について議論する．
@inproceedings{weko_222709_1,author={進太郎, 鈴木 and 裕貴, 中田 and 克弥, 松原},title={異種OS機能連携によるセキュアコンテナ実現に向けた検討},booktitle={コンピュータシステム・シンポジウム論文集},year={2022},volume={2022},number={},pages={22--29},month=nov,}
Containers provide a lightweight and fine-grained isolation for computational resources such as CPUs, memory, storage, and networks, but their weak isolation raises security concerns. As a result, research and development efforts have focused on redesigning truly sandboxed containers with system call intercept and hardware virtualization techniques such as gVisor and Kata Containers. However, such fully integrated sandboxing could overwhelm the lightweight and scalable nature of the containers. In this work, we propose a partially fortified sandboxing mechanism that concentratedly fortifies the network isolation, focusing on the fact that containerized clouds and the applications running on them require different isolation levels in accordance with their unique characteristics. We describe how to efficiently implement the mechanism to fortify network isolation for containers with a para-passthrough hypervisor and report evaluation results with benchmarks and real applications. Our findings demonstrate that this fortified network isolation has good potential to tailor sandboxes for containerized PaaS/FaaS clouds.
@inproceedings{10.1145/3468737.3494092,author={Nakata, Yuki and Matsubara, Katsuya and Matsumoto, Ryosuke},title={Concentrated Isolation for Container Networks Toward Application-aware Sandbox Tailoring},year={2021},isbn={9781450385640},publisher={Association for Computing Machinery},address={New York, NY, USA},url={https://doi.org/10.1145/3468737.3494092},doi={10.1145/3468737.3494092},booktitle={Proceedings of the 14th IEEE/ACM International Conference on Utility and Cloud Computing (UCC '21)},articleno={15},numpages={10},keywords={traffic control, security, packet filtering and routing},location={Leicester, United Kingdom},}
システムの拡張性や可用性などを向上する設計手法のひとつとして，マイクロサービス・アーキテクチャが注目されている．一方，マイクロサービス型システムでは，負荷に応じたスケールアウトなどの対応により，コンポーネントの数やそれらの依存関係が動的に変化する．分散システムの障害が複数要因の組み合わせで起きる傾向とあいまって，これら依存関係の動的変化は，マイクロサービス型システムの監視における障害発生時の状態把握や障害原因の追究を難しくしている．著者らは，依存関係の動的変化をともなう分散システムを対象とした監視において，コンポーネント間の依存関係に着目しつつ，システムの状態を迅速に把握できる可視化手法を提案している．本研究は，マイクロサービス型システムの監視において収集されるメトリックを管理するデータベースとして，グラフ DB の採用を検討する．本稿では，依存関係に着目したシステム状態可視化にともなって発行されるメトリック問い合わせを分析することで，依存関係情報や各メトリックの保存と探索におけるグラフ DB の有用性を議論する．また，監視ツールの評価に用いるためのマイクロサービス型システムの監視テストベッドの構築についても紹介する．
@inproceedings{weko_209511_1,author={七菜, 宮越 and 友佳, 林 and 裕貴, 中田 and 克弥, 松原},title={マイクロサービス型システムの監視におけるグラフDB採用によるメトリック問い合わせ最適化の検討},booktitle={研究報告インターネットと運用技術（IOT）},year={2021},institution={公立はこだて未来大学, 公立はこだて未来大学, 公立はこだて未来大学, 公立はこだて未来大学},number={16},month=feb,}
Oral
SKBパケット選抜総選挙 〜 僕たちは誰について行けばいい？
中田 裕貴
In Open Source Conference 2021 Online Hokkaido , Jun 2021
Best Presentation Award for Young Scientists, the 32nd IPSJ Computer Systems Symposium (ComSys2020) and IPSJ Computer Science Research Award for Young Scientists, Information Processing Society of Japan (IPSJ)
@inproceedings{weko_208087_1,author={裕貴, 中田 and 克弥, 松原 and 亮介, 松本},title={コンテナ型クラウドサービス基盤におけるハードウェア仮想化技術の併用によるネットワーク制御の検討},booktitle={コンピュータシステム・シンポジウム論文集},year={2020},volume={2020},number={},pages={18--25},month=nov,}
近年，コンテナ型仮想化技術を用いて，マルチテナント向けクラウドコンピューティング基盤を実現する事例が増えている．コンテナ型仮想化システムでは，OS カーネルを共有しつつ，プロセス単位で OS リソースを多重化することで，各コンテナ環境を隔離する．しかし，隔離空間から抜けて，他コンテナに対しての攻撃が可能な OS リソースや機能が存在する．これらの利用は実行権限によって制限されているが，粒度が不十分である．従来，これらの OS リソースの制限をおこなうために，コンテナのセキュリティ機能を用いた制御，仮想マシンを用いた OS 多重化による隔離，ユーザランドにおけるネットワークスタックの再構築などの手法が提案されている．しかし，これらの手法は，設定が柔軟でなかったり，ネットワークのオーバヘッドを増大させる課題があった．本研究では，ハードウェア仮想化技術を用いつつ，OS を多重化せずに軽量かつ柔軟なネットワーク隔離手法を提案する．
@inproceedings{weko_203344_1,author={裕貴, 中田 and 克弥, 松原 and 亮介, 松本},title={マルチテナント向けコンテナ環境における軽量かつ柔軟なARPスプーフィング対策の実現},year={2020},pages={1-8},booktitle={研究報告システムソフトウェアとオペレーティング・システム（OS）},institution={公立はこだて未来大学, 公立はこだて未来大学, さくらインターネット株式会社さくらインターネット研究所},number={12},month=feb,}
@article{1520853833389679360,author={裕貴, 中田 and 克弥, 松原},title={BLEビーコンを活用した地域課題解決型PBLの実践},journal={JSiSE研究会研究報告},publisher={教育システム情報学会},year={2019},month=mar,volume={33},number={7},pages={83-90},url={https://cir.nii.ac.jp/crid/1520853833389679360},}
スマートフォンや PC のモバイル化，SNS の爆発的普及に伴い，個人の Web サイトであってもコンテンツ次第でアクセスが集中する機会が増大してきている．我々は，サービス利用者に専門的な知識を要求せず，アクセス数や負荷に応じて反応的かつ高速にリソースをインスタンスに再割当てすることで，サービス利用者や事業者に手間を強いることなく突発的なアクセス集中に耐えうる FastContainer アーキテクチャを提案した．一方で，従来のホスティングサービスやクラウドサービスと同様に，インスタンスの収容サーバ障害時に，HTTP タイムアウトが生じない程度での可用性を担保しサービスを継続提供するためには，複数収容サーバに横断して，それぞれ複数インスタンスを立ち上げておく必要があった．そのため，利用者にとってはサービス利用コストの増加に繋がっていた．本研究では，HTTP リクエスト処理時において，単一のインスタンスであっても，収容サーバの状態に応じて自動的にインスタンスを別の収容サーバに再配置しサービスを継続させる，HTTP リクエスト単位での低コストで高速なインスタンススケジューリング手法を提案する．高速にインスタンスを再配置するために，Web サーバソフトウェア自体を拡張することなく，Web サーバプロセス起動時に実行されるシステムコールを監視して，起動完了する直前のシステムコール実行前の段階でプロセスイメージを作成しておくことにより，インスタンス再配置時には高速に Web サーバプロセスをそのイメージから起動させる．
@inproceedings{weko_190294_1,author={亮介, 松本 and 裕貴, 中田 and 健太郎, 栗林},title={HTTPリクエスト単位でインスタンスの再配置が可能な低コストで高速なスケジューリング手法},year={2018},institution={GMOペパボ株式会社ペパボ研究所, GMOペパボ株式会社ペパボ研究所, GMOペパボ株式会社ペパボ研究所},booktitle={研究報告インターネットと運用技術（IOT）},number={1},pages={1-8},month=jun,}