[論文レビュー] Complexity and Unwinding for Intransitive Noninterference

Sebastian Eggert, Ron van der Meyden+2 more|arXiv (Cornell University)|Aug 6, 2013

Security and Verification in Computing参考文献 19被引用数 6

ひとこと要約

この論文は、有限状態システムにおける非推移的非干渉セキュリティポリシーの検証の計算複雑性を確立し、Pセキュリティ、IPセキュリティ、TAセキュリティが、新しい整合的かつ完全なアンワインディング技術を用いて多項式時間で決定可能であることを証明する。一方、TOセキュリティおよびITOセキュリティは決定不能である。本研究では、不正なシステムに対して効率的なアルゴリズムと反例生成を提供する。

ABSTRACT

The paper considers several definitions of information flow security for intransitive policies from the point of view of the complexity of verifying whether a finite-state system is secure. The results are as follows. Checking (i) P-security (Goguen and Meseguer), (ii) IP-security (Haigh and Young), and (iii) TA-security (van der Meyden) are all in PTIME, while checking TO-security (van der Meyden) is undecidable, as is checking ITO-security (van der Meyden). The most important ingredients in the proofs of the PTIME upper bounds are new characterizations of the respective security notions, which also lead to new unwinding proof techniques that are shown to be sound and complete for these notions of security, and enable the algorithms to return simple counter-examples demonstrating insecurity. Our results for IP-security improve a previous doubly exponential bound of Hadj-Alouane et al.

研究の動機と目的

• 有限状態システムにおける非推移的非干渉セキュリティポリシーの検証の計算複雑性を特定すること。
• 従来のアンワインディング技術が非推移的ポリシーに対して完全性に欠けるという限界を解決すること。
• IPセキュリティおよびTAセキュリティのための新しい特徴付けと整合的かつ完全なアンワインディング関係を提供すること。
• IPセキュリティ検証の従来の二重指数時間の複雑性上限を改善すること。
• TOセキュリティおよびITOセキュリティの決定可能性の状態を解明し、それらが有限状態システムにおいて決定不能であることを示すこと。

提案手法

• 最大許容情報フローの操作的モデルに基づく、IPセキュリティおよびTAセキュリティの新しい特徴付けを提案する。
• IPセキュリティおよびTAセキュリティに特化した整合的かつ完全なアンワインディング関係を導入し、自動検証を可能にする。
• これらのアンワインディングに基づくアルゴリズムを開発し、Pセキュリティ、IPセキュリティ、TAセキュリティにおいて多項式時間で実行可能であることを実現する。
• アンフォールディング技術を用いて、TAセキュリティにおける弱アンワインディングの完全性を証明するが、同値関係は保たない。
• 一階論理で表現可能なアンワインディング条件を適用し、安全なシステムの決定手続きを導出する。
• 不正なシステム動作を特定・デバッグするため、反例生成を用いる。

実験結果

リサーチクエスチョン

• RQ1 非推移的ポリシーを有する有限状態システムにおけるPセキュリティの検証の計算複雑性は何か？
• RQ2 IPセキュリティおよびTAセキュリティのための整合的かつ完全なアンワインディング技術を開発できるか？これにより効率的な検証が可能になるか？
• RQ3 有限状態システムにおけるTOセキュリティは決定可能か？その複雑性は何か？
• RQ4 アンワインディング手法を非推移的非干渉セキュリティポリシーに適合させ、整合性と完全性の両方を満たすことができるか？
• RQ5 新しい特徴付けとアンワインディング技術は、IPセキュリティの従来の複雑性上限をどのように改善するか？

主な発見

• Pセキュリティ、IPセキュリティ、TAセキュリティはすべて多項式時間で決定可能であり、IPセキュリティの従来の二重指数時間の上限を改善している。
• IPセキュリティおよびTAセキュリティのための新しい整合的かつ完全なアンワインディング技術が開発され、効率的な自動検証が可能になった。
• 本論文は、TOセキュリティおよびITOセキュリティが有限状態システムにおいて決定不能であることを証明している。
• アンフォールディングに基づく弱アンワインディングはTAセキュリティに対して完全であるが、同値関係を保たないため、元のシステムへの適用には制限がある。
• 不正なシステムに対して、単純で人間が読みやすい反例を返すアルゴリズムが提案され、システムの精練を支援する。
• 本研究の結果は、状態機械モデルと言語ベースのセキュリティポリシーを統合し、より洗練されたデクラシフィケーションメカニズムを実現する基盤を提供する。