[論文レビュー] A Covert Queueing Channel in Round Robin Schedulers

AmirEmad Ghassami, Ali Yekkehkhany+1 more|arXiv (Cornell University)|Jan 31, 2017

Internet Traffic Analysis and Secure E-voting参考文献 24被引用数 3

ひとこと要約

本稿は、2人のユーザーがジョブの到着パターンを変調させることで互いの遅延を推定する、ラウンドロビンスケジューラーにおける隠れキューイングチャネル（CQC）をモデル化・分析する情報理論的フレームワークを提案する。著者らは、ノイズなしの場合の容量を約0.6942ビット/タイムスロットとして導出し、理論的限界に漸近的に到達する有限長コード構成を提示する。

ABSTRACT

We study a covert queueing channel (CQC) between two users sharing a round robin scheduler. Such a covert channel can arise when users share a resource such as a computer processor or a router arbitrated by a round robin policy. We present an information-theoretic framework to model and derive the maximum reliable data transmission rate, i.e., the capacity of this channel, for both noiseless and noisy setups. Our results show that seemingly isolated users can communicate with a high rate over the covert channel and demonstrate the possibility of significant information leakage and privacy threats brought by CQCs in round robin schedulers. Moreover, we propose practical finite-length code constructions, which achieve the capacity limit.

研究の動機と目的

• ラウンドロビンスケジューラーにおけるユーザー間の相互依存するサービス遅延によって生じる隠れキューイングチャネル（CQC）をモデル化・分析すること。
• ノイズなしおよびノイズありの両条件において、そのようなCQCの最大信頼性のあるデータ伝送レート（容量）を特定すること。
• 理論的容量限界に近づく実用的な有限長符号化方式を設計すること。
• パケット損失がチャネル容量に与える影響を評価し、ドロップ確率の関数として容量式を導出すること。

提案手法

• アリスとボブがラウンドロビンスケジューラーを共有するシステムモデルを定式化し、ジョブ到着タイミングに情報を符号化することで観測可能な遅延を誘発する。
• 相互情報量とデータ処理不等式に基づく情報理論的フレームワークを用いて、チャネル容量の上界を導出する。
• スターリングの近似およびバイナリエントロピー関数 $ h(p) $ を用いて、コードブックサイズの漸近的挙動を分析し、容量式 $ C = \max_p \frac{h(p)}{1+p} $ を導出する。
• 二項コードブックを用いた有限長符号化方式を提案し、$ \binom{l}{\lfloor lp \rfloor} $ 個のコード語を持つ。ここで、$ l \to \infty $ のときレートは容量に漸近的に収束する。
• ノイズありCQCをパケット損失を伴うZチャネルとしてモデル化し、容量を $ \max_p \frac{h((1-\delta)p) - p h(\delta)}{(1-p) + \delta p + 2(1-\delta)p} $ として導出する。ここで $ \delta $ はパケットドロップ確率である。
• ファノの不等式および確率的符号化の議論を用いて、達成可能性および逆方向の証明を確立し、導出された容量を検証する。

実験結果

リサーチクエスチョン

• RQ1 ノイズなしのラウンドロビンスケジューラーにおける隠れキューイングチャネルの最大信頼性のあるデータ伝送レート（容量）は何か？
• RQ2 パケット損失の存在が隠れキューイングチャネルの容量にどのように影響するか？
• RQ3 理論的容量限界に漸近的に到達する実用的な有限長符号化方式を構築できるか？
• RQ4 FCFSやTDMAなどの他のスケジューリングポリシーと比較して、CQC容量は情報漏洩れとプライバシーリスクの観点からどのように異なるか？
• RQ5 アリスがジョブ到着パターンにメッセージを符号化し、ボブが観測された遅延からそれを復号できる最適なシグナリング戦略は何か？

主な発見

• ノイズなしのラウンドロビンスケジューラーにおける隠れキューイングチャネルの容量は、約0.6942ビット/タイムスロットであり、$ \max_p \frac{h(p)}{1+p} $ として導出される。
• 有限長符号化方式として二項コードブックを用い、$ \binom{l}{\lfloor lp \rfloor} $ 個のコード語を持つが、メッセージ数 $ l \to \infty $ のとき、そのレートは理論的容量に漸近的に収束する。
• パケット損失が存在する場合、チャネル容量は $ \max_p \frac{h((1-\delta)p) - p h(\delta)}{(1-p) + \delta p + 2(1-\delta)p} $ で与えられ、ここで $ \delta $ はパケットドロップ確率である。
• ブロック長が増加するにつれて、誤り確率を任意に小さくできる信頼性の高い通信が達成可能であり、導出された容量の達成可能性が確認される。
• 結果は、スループット最適化であるにもかかわらず、ラウンドロビンスケジューラーがCQCを介して顕著な情報漏洩れを引き起こす可能性があることを示しており、深刻なプライバシー脅威をもたらす。
• TDMA（プライバシー最適だがスループット最適でない）と比較して、ラウンドロビンスケジューリングにおけるCQC容量はより高いことが判明し、性能とセキュリティのトレードオフが浮き彫りになる。