[論文レビュー] Flexible Dynamic Information Flow Control in the Presence of Exceptions

Deian Stefan, Alejandro Russo+2 more|arXiv (Cornell University)|Jul 5, 2012

Security and Verification in Computing参考文献 13被引用数 4

ひとこと要約

この論文は、Haskellにおけるラベル付きI/Oモナド（LIO）を用いて、実行時ラベル追跡とクリアランス境界を用いて機密性と整合性を保証する動的で浮動ラベル型の情報フロー制御システムを提案する。機密性を損なう情報漏洩れを防ぐために、ラベル付き例外および可変参照の新しいサポートを導入し、非干渉性と閉じ込めの定理を証明した。また、安全な会議レビュー管理システム（λChair）を用いた実用性の検証も行った。

ABSTRACT

We describe a new, dynamic, floating-label approach to language-based information flow control. A labeled IO monad, LIO, keeps track of a current label and permits restricted access to IO functionality. The current label floats to exceed the labels of all data observed and restricts what can be modified. Unlike other language-based work, LIO also bounds the current label with a current clearance that provides a form of discretionary access control. Computations may encapsulate and pass around the results of computations with different labels. In addition, the LIO monad offers a simple form of labeled mutable references and exception handling. We give precise semantics and prove confidentiality and integrity properties of a call-by-name λ-calculus and provide an implementation in Haskell.

研究の動機と目的

• 実行時におけるユーザーおよびデータ型の動的追加が可能な動的環境において、静的情報フロー制御の限界を克服すること。
• 動的ラベル生成と強固なセキュリティを両立させつつ、柔軟で実用的な言語ベースのIFCシステムを提供すること。
• クリアランスをディスcretionアセス制御メカニズムとして導入し、現在のラベルを制限し、機密データへの露出を制限すること。
• 安全なラベル付き計算モデル内で例外処理と可変状態を安全に扱えるようにすること。
• 共同研究者間の利害対立やレビュアーの割り当てに基づく動的アクセス制御を備えた、実世界の応用例としての安全なオンライン会議レビュー管理システムを提示すること。

提案手法

• 現在のラベルを追跡し、すべての観察または変更対象のデータが現在のラベル以下のラベルを持つことを保証するラベル付きI/Oモナド（LIO）を設計する。
• 現在のラベルを文脈スコープ内で制限するクリアランスメカニズムを導入し、ディスcretionアセス制御を実現し、攻撃面を制限する。
• ラベル付き計算の結果を安全にラップし、高ラベルのデータをラベル境界を越えて渡すことを可能にする、toLabeledオペレータを実装する。
• ラベル付き可変参照および例外処理をサポートし、例外が現在のラベルにラベル付けされることで、情報漏洩れを防ぐ。
• ラベル付き型を備えた名前呼びのλ計算式でシステムを形式化し、非干渉性および閉じ込めの定理を証明する。
• Haskellの型安全性を活用し、言語拡張を一切使用せずに、LIOライブラリを完全に実装する。

実験結果

リサーチクエスチョン

• RQ1 ユーザー入力や文脈に基づいて実行時にラベルを動的に生成できる、動的で浮動ラベル型のIFCシステムは、どのように設計できるか？
• RQ2 ディスcretionアセス制御を提供し、隠れチャネルのリスクを低減するために、言語ベースのIFCシステムにクリアランスメカニズムを統合できるか？
• RQ3 例外ラベルを通じた情報漏洩れを防ぎつつ、動的IFCシステムにおける例外を安全に処理する方法は何か？
• RQ4 非干渉性を損なわずに、動的IFCモデルでラベル付き可変参照をどの程度安全にサポートできるか？
• RQ5 Haskellにおける完全なライブラリベースのIFCアプローチが、強固なセキュリティ保証を達成しつつ、実用的かつ合成可能であるか？

主な発見

• LIOシステムは非干渉性を保証しており、低レベルの結果が高レベルの入力に依存しないことを証明しており、情報漏洩れを防止する。
• クリアランスメカニズムは、スコープ内での計算のラベルを効果的に制限し、信頼されるコードの表面積を削減するディスcretionアセス制御の形として有効に機能する。
• 例外が現在のラベルにラベル付けされることで、例外チャネルを通じた情報漏洩れを防ぐことができ、安全な例外処理が実現される。
• toLabeledオペレータにより、高ラベル計算の結果を安全にラップし、ラベル伝搬に対する細かな制御が可能になる。
• 形式的モデルと実装の両方が、動的IFCが表現力と安全性の両方を備えており、静的アプローチと同等のセキュリティ保証を達成できることを示している。
• λChairシステムのプロトタイプは、利害対立やレビュアーの割り当てに基づく動的アクセス制御を安全に管理できることを示しており、実世界のシナリオへの適用可能性を裏付けている。