[論文レビュー] Jif: Language-based Information-flow Security in Java

Kyle Pullicino|arXiv (Cornell University)|Dec 30, 2014

Security and Verification in Computing参考文献 1被引用数 5

ひとこと要約

この論文では、機密性および整合性ポリシーをセキュリティラベルを用いて拡張した型システムを通じて情報フロー・セキュリティを強制するJava拡張であるJifを提示する。ラベル付き型を用いた静的データフロー解析により、機密データの不正な漏洩を防ぎ、クレジットカード番号への不適切なアクセスをブロックする、予約システムの例でそれが実証されている。

ABSTRACT

In this report, we examine Jif, a Java extension which augments the language with features related to security. Jif adds support for security labels to Java's type system such that the developer can specify confidentiality and integrity policies to the various variables used in their program. We list the main features of Jif and discuss the information flow problem that Jif helps to solve. We see how the information flow problem occurs in real-world systems by looking at two examples: Civitas, a ballot/voting system where voters do not necessarily trust voting agents, and SIF, a web application container implemented using Jif. Finally, we implement a small program that simulates information flow in a booking system containing sensitive data and discuss the usefulness of Jif based on this program.

研究の動機と目的

• 機密データを処理するアプリケーションにおいて特に顕著な、意図しない情報フローのセキュリティ問題に対処すること。
• JifがJavaに統合されることで、開発者が型レベルで機密性および整合性ポリシーを形式的に指定・強制できることを示すこと。
• 複数の主体が異なるアクセス権を持つ実世界の予約システムの例を通じて、Jifの実用性と有効性を評価すること。
• Jifのラベルシステムや型制約に不慣れな開発者にとっての、使いやすさと採用の制限要因を特定すること。

提案手法

• 機密性および整合性ポリシーを表すラベルを用いて、主権者（principal）に基づくラティスモデルを用いて拡張されたJavaの型システムを拡張する。
• 主権者ベースのアクセス制御を採用し、各データ変数に、どの主権者が読み取り（機密性）または変更（整合性）可能かを指定するラベルを付与する。
• 実行中の最も制限の厳しいセキュリティポリシーを追跡するプログラムカウンタを用い、データフローがポリシー制約に違反しないことを保証する。
• メソッドレベルのbeginラベルを適用し、メソッド実行が正しいセキュリティポリシーのもとで開始され、書き込み中に整合性制約が維持されることを強制する。
• 情報フローが機密性または整合性ポリシーに違反するコードを拒否する静的型チェックを行う。
• ユーザー（アリス、ボブ）、オペレータ（チャック）、および機密データ（カード番号）を含む実装例としての予約システムを構築し、Jifが不正アクセスをどのようにブロックするかを検証する。

実験結果

リサーチクエスチョン

• RQ1 静的型付けされたオブジェクト指向言語（Java）において、情報フロー・セキュリティを効果的に強制する方法は何か？
• RQ2 Jifのラベルシステムは、投票システムやWebアプリケーションのような実世界のアプリケーションにおいて、意図しないデータ漏洩をどの程度防止できるか？
• RQ3 Jifの型システムを用いて正しいセキュリティポリシーを表現する際、開発者が直面する実用的課題は何か？
• RQ4 表現力と開発者の負担の観点から、Jifの静的解析は、動的またはランタイム強制メカニズムと比べてどの程度優れているか？
• RQ5 理論的基盤は強くても、Jifの有効性を制限する主な使いやすさと採用の障壁は何か？

主な発見

• Jifは、より敏感なソースからのデータに比べて制限が緩いラベルを割り当てる試みを拒否することで、予約システムの例で情報漏洩を成功裏に防止した。
• コンパイラは、ボブのラベル{Bob->*}がアリスの{Alice->*}よりも制限が緩いため、ボブがアリスの完全なカード番号にアクセスできないことを強制し、コンパイル時エラーを発生させる。
• チャックはアリスのカード番号の最初の6桁のみを安全にアクセス可能であり、Jifは両者のポリシーを反映する組み合わせ機密性ラベルを要求することでこれを強制する。
• 正しさを保証しているものの、Jifの複雑さが開発者にとって大きな課題を引き起こしており、特に適切なラベルの選択が困難で、試行錯誤や、ラベルを完全に削除する代替策に至るケースも存在する。
• 広範な採用やツール支援（例：IDE統合、コード提案）が不足しているため、特に新規開発者にとって効果的な利用が困難である。
• 適切に使用されれば、Jifは情報フロー・セキュリティに対して妥当かつ効果的なソリューションであるが、その成功は開発者の自己管理と適切なツール支援に強く依存する。