ARM Realm·CCA와 Linux RSI 소스 분석

Realm은 host가 운영하지만 열어볼 수 없는 VM이다

일반 VM에서는 host hypervisor가 guest memory를 매핑해 읽을 수 있다. Realm에서는 memory granule의 World 소유권을 GPT가 기록하고 GPC가 모든 접근을 검사한다. host는 vCPU를 스케줄하고 외부 I/O를 제공하지만 protected memory와 Realm register state를 직접 읽거나 바꾸지 못하도록 설계된다.

RMI는 host용, RSI는 Realm guest용이다

두 interface를 한 호출표에 섞으면 “guest kernel이 Realm을 생성한다”는 잘못된 결론이 나온다. 생성은 host의 RMI 영역이고, 생성된 Realm 안의 Linux가 사용하는 것은 RSI다.

Linux v6.18.37에는 Realm guest RSI가 있고 host KVM RME는 없다

로컬 commit 0c503cf3dde2의 arch/arm64를 전수 검색하면 arch/arm64/kernel/rsi.c, asm/rsi*.h와 memory-encryption hook은 존재한다. 반면 arch/arm64/kvm에는 Realm descriptor를 RMI로 생성하는 host-side RME 구현이 없다.

문서 경계: 아래의 Linux 소스 분석은 Realm 안에서 실행되는 guest kernel 기준이다. RMI Realm 생성 수명주기는 Arm RMM Architecture의 규약으로 설명하며, 이 tree의 host KVM 구현이라고 표시하지 않는다.

Realm guest가 부팅할 때 RSI를 확인한다

arm64 boot
→ arm64_rsi_init()
→ rsi_version_matches()
→ SMC_RSI_ABI_VERSION
→ rsi_get_realm_config()
→ arm64_rsi_setup_memory()
→ I/O·memory encryption hook 등록

is_realm_world()는 kernel이 Realm 환경인지 판단하는 공통 조건으로 I/O와 memory-encryption helper에서 사용된다.

RIPAS는 Realm이 IPA 내용을 어떻게 취급할지 나타낸다

Linux의 arm64_rsi_is_protected()는 4KB granule 경계로 범위를 맞추고 rsi_ipa_state_get() 결과를 검사한다.

Protected와 shared memory 전환은 page-table bit 하나가 아니다

host와 통신하려면 일부 IPA를 unprotected/shared로 바꿔야 한다. guest PTE를 non-secure attribute로 바꾸는 것만으로는 부족하고 RMM에 RIPAS 전환을 요청해야 한다. 순서가 어긋나면 host와 guest가 서로 다른 소유 상태를 믿게 된다.

buffer 사용 중지와 CPU 동기화
→ 필요한 cache·mapping 정리
→ rsi_set_memory_range_shared()
→ shared PTE 설치
→ host에 buffer 위치 전달
→ 반환 시 shared mapping 제거
→ rsi_set_memory_range_protected_safe()
→ 내용 초기화 후 private 사용

Attestation token은 challenge와 측정값을 연결한다

1. 검증자가 replay 방지를 위한 challenge를 만든다.
2. Realm이 challenge를 넣어 SMC_RSI_ATTESTATION_TOKEN_INIT을 호출한다.
3. token 생성이 비동기라면 RSI_INCOMPLETE가 올 수 있다.
4. rsi_attestation_token_continue()를 반복해 한 granule씩 token data를 가져온다.
5. 외부 verifier가 platform token, Realm measurement, challenge와 key binding을 검증한다.

rsi_attestation_token_continue()의 반환 상태와 실제 길이를 반드시 검사한다. token을 받았다는 사실만으로 workload가 안전하다는 뜻은 아니다.

ioremap()도 Realm에서는 PAS를 고려한다

realm_ioremap_hook()은 Realm에서 I/O physical range를 매핑할 때 적절한 protection attribute를 더한다. device register와 일반 protected RAM을 같은 방식으로 매핑하면 GPC fault나 정보 노출이 생길 수 있다.

DMA는 더 어렵다. host가 device를 소유하면 device가 Realm private PA를 직접 읽어서는 안 된다. bounce/shared buffer 또는 RME device assignment와 SMMU 보안 구성이 필요하다.

Linux v6.18.37 실제 소스 지도

Realm guest에서 확인할 항목

dmesg | grep -Ei 'rsi|realm|cca|attest'
ls -l /sys/bus/platform/devices/ | grep cca
cat /proc/iomem
grep -R . /sys/firmware 2>/dev/null | grep -i realm

Realm이 막는 것과 막지 않는 것

근거 자료

• Local sourceLinux v6.18.37 commit 0c503cf3dde2
• RMMRealm Management Monitor Architecture
• CCAArm CCA architecture explanation
• OverviewRealm·CCA 개념 해설