[論文レビュー] A Proof Carrying Code Framework for Inlined Reference Monitors in Java Bytecode

Mads Dam, Andreas Lundblad|arXiv (Cornell University)|Dec 14, 2010

Logic, programming, and type systems参考文献 38被引用数 7

ひとこと要約

この論文は、Javaバイトコードにおけるインライン化されたリファレンスマネージャーの検証を可能にする証明付帯コード（PCC）フレームワークを提示する。これにより、信頼できるコンピューティングベース（TCB）を変更せずに、マネージャーのインライン化に対する信頼性を確保できる。JMLスタイルのアノテーションを用いて「ゴースト」マネージャーを表現し、検証条件を介してインライン化されたマネージャーと比較することで、ポリシー準拠を保証する。このアプローチは、効率的で多項式時間のチェックを実現し、ロード時の軽量な証明検証を可能にする。

ABSTRACT

We propose a light-weight approach for certification of monitor inlining for sequential Java bytecode using proof-carrying code. The goal is to enable the use of monitoring for quality assurance at development time, while minimizing the need for post-shipping code rewrites as well as changes to the end-host TCB. Standard automaton-based security policies express constraints on allowed API call/return sequences. Proofs are represented as JML-style program annotations. This is adequate in our case as all proofs generated in our framework are recognized in time polynomial in the size of the program. Policy adherence is proved by comparing the transitions of an inlined monitor with those of a trusted "ghost" monitor represented using JML-style annotations. At time of receiving a program with proof annotations, it is sufficient for the receiver to plug in its own trusted ghost monitor and check the resulting verification conditions, to verify that inlining has been performed correctly, of the correct policy. We have proved correctness of the approach at the Java bytecode level and formalized the proof of soundness in Coq. An implementation, including an application loader running on a mobile device, is available, and we conclude by giving benchmarks for two sample applications.

研究の動機と目的

• インライン化の信頼性を保証するため、第三者による検証を可能にし、インライン化ツールや信頼できるコンピューティングベース（TCB）を変更せずに、Javaアプリケーションにおけるマネージャーインライン化を可能にすること。
• 静的サンドボックスを超えて、J2MEのようなモバイルおよび組み込みJava環境における履歴依存アクセス制御ポリシーをサポートすること。
• マネージャーのインライン化と証明の埋め込みを通じて、ランタイムオーバーヘッドとコードの肥大化を最小限に抑えつつ、形式的検証により正しさを保証すること。
• 新しいJVMバージョンに対応するための軽量で拡張可能な証明機構を設計すること。

提案手法

• ConSpecに記述された意図されたセキュリティポリシーを、実行せずに状態遷移をシミュレートするJMLスタイルのアノテーションを用いて「ゴースト」マネージャーとして表現する。
• 制御フローやセキュリティ関連のメソッド呼び出しを保持したまま、マネージャーロジックをクライアントコードにインライン化されたバイトコードスニペットとして統合する。
• セキュリティ関連のメソッド呼び出しにおけるマネージャー不変条件をアサーションすることで証明オブジェクトを生成し、全プログラムではなくインライン化されたコードスニペットに対してのみ、最弱前置条件（WP）を適用する。
• 非インライン化命令に対して構文的チェックを実施する——具体的には、finalでstaticなセキュリティ状態クラスへのputstatic操作を確認することで、完全なWP計算を避けて不変条件の検証を行う。
• ロード時に、インライン化されたマネージャーの振る舞いとゴーストマネージャーの振るまいを検証条件（VC）を用いて比較し、軽量なVCチェッカーにより証明の正しさを検証する。
• Coqを用いてアプローチの健全性を形式的に定式化し、CUP/JFlexおよびASMを用いてバイトコード操作のプロトタイプを実装する。

実験結果

リサーチクエスチョン

• RQ1 証明付帯コード（PCC）は、Javaバイトコードにおけるマネージャーインライン化を効果的に検証可能であり、インライン化されたマネージャーが意図されたセキュリティポリシーを遵守していることを保証できるか？
• RQ2 特に複雑なポリシーを対象とした場合でも、モバイルおよび組み込み環境において、証明の生成と検証が十分に効率的に行えるか？
• RQ3 PCCフレームワークは後方互換性を備えており、PCC対応コードが変更なしにPCC非対応ホストでも実行可能か？
• RQ4 実世界のアプリケーションに適用した場合、パフォーマンスおよびコードサイズのオーバーヘッドを最小限に抑えつつ、スケーラビリティを達成できるか？
• RQ5 並列実行環境において、証明の有効性を保ちながら、マルチスレッド実行をサポートできるか？

主な発見

• フレームワークは多項式時間の検証条件を用いてマネージャーインライン化を効果的に検証し、ロード時の効率的な証明検証を可能にした。
• 証明は小さく、MobileJamでは20.6 KB、Snakeでは2.6 KBに留まり、モバイルデプロイに実用的である。
• モバイルデバイス上では、証明認識にそれぞれ98msおよび117msしかかからず、ランタイムコストが低いことが示された。
• Coqで証明された健全性により、受理された証明はすべてポリシー準拠を保証する。
• 静的フィールドの更新に対する構文的チェックにより、大多数の命令に対して高価な最弱前置条件計算を回避した。
• フレームワークは後方互換性を備えており、PCC対応コードは変更なしにPCC非対応ホストでも実行可能である。