[論文レビュー] Plugging Side-Channel Leaks with Timing Information Flow Control

Bryan Ford|arXiv (Cornell University)|Mar 9, 2012

Security and Verification in Computing参考文献 14被引用数 14

ひとこと要約

本論文は、タイミング側帯域を明示的に追跡・制限することで、クラウド環境におけるタイミング側帯域漏洩を制御する Timing Information Flow Control (TIFC) を提案する。TIFC は、システムオブジェクトにコンテンツとタイミングの両方の汚染ラベルを付与することで、分散型情報フロー制御の拡張を実現する。決定的実行とペーシングキューを組み合わせることで、統計的多重化を可能にしつつ、タイミング情報漏洩を事前に定義されたしきい値まで制限する。これにより、敏感なタイミングデータが合意された限度を超えて露呈することなく、安全で効率的なクラウドリソース共有が可能になる。

ABSTRACT

The cloud model's dependence on massive parallelism and resource sharing exacerbates the security challenge of timing side-channels. Timing Information Flow Control (TIFC) is a novel adaptation of IFC techniques that may offer a way to reason about, and ultimately control, the flow of sensitive information through systems via timing channels. With TIFC, objects such as files, messages, and processes carry not just content labels describing the ownership of the object's "bits," but also timing labels describing information contained in timing events affecting the object, such as process creation/termination or message reception. With two system design tools-deterministic execution and pacing queues-TIFC enables the construction of "timing-hardened" cloud infrastructure that permits statistical multiplexing, while aggregating and rate-limiting timing information leakage between hosted computations.

研究の動機と目的

• クラウドコンピューティングにおけるタイミング側帯域の脅威が増大する中、共有で並列に動作するインフラが、アクティブなマルウェアがなくても高帯域の情報漏洩を可能にするという問題に対処すること。
• 分散型情報フロー制御 (DIFC) を、タイミングイベント（例：プロセスの起動／停止）が機密情報を漏洩させる可能性を追跡するタイミングラベルで拡張すること。
• クラウドプロバイダーが、効率性に不可欠な統計的多重化を維持しつつ、共存するワークロード間のタイミング情報漏洩に対して厳密で解析可能な境界を課せること。
• ペーシングメカニズムを通じて、制御された、レート制限付きのタイミング漏洩を可能にするシステムモデルを設計すること。これにより、タイミングのデクラシフィケーションが境界内に保たれ、強制可能になる。

提案手法

• Flume風の DIFC を拡張し、{L_C / L_T} の形式の二重ラベルを導入する。ここで L_C はコンテンツ汚染を、L_T は周波数制限付きのタイミング汚染を表す。
• U_f の形式のタイミングタグを割り当てる。ここで U はユーザー、f は秒あたりの最大漏洩レート（ビット）を表す。これにより、タイミング情報フローに対する細かな制御が可能になる。
• 決定的実行を用いることで、ジョブの結果が入力コンテンツにのみ依存し、実行タイミングに依存しないように保証する。これにより、システムレベルでタイミング側帯域が隔離される。
• ゲートウェイノードにペーシングキューを設け、ジョブ結果のリリースレートを制限することで、タイミングチャネルを最大漏洩レート f まで洗練（スクラビング）する。
• デクラシフィケーション能力を用いて TIFC ポリシーを強制する。ゲートウェイは、合意されたレート f までしかタイミングラベルをデクラシフィケーションできないため、無制限の漏洩を防ぐ。
• 高ラベルを持つスケジューラを導入し、タイミング要件を観測可能だが、コンテンツに影響を与えることはできない。これにより、タイミングフィードバックが隔離され、ペーサーを通じてレート制限が保証される。

実験結果

リサーチクエスチョン

• RQ1 共有クラウドインフラにおけるタイミング側帯域を、情報フロー制御の拡張を用いて形式的にモデル化・制御することは可能か？
• RQ2 クラウドプロバイダーは、共存するワークロード間の無制限のタイミング情報漏洩を防ぎつつ、統計的多重化の効率を維持できるか？
• RQ3 信頼できるハードウェアを必要とせず、パフォーマンスを損なわずに、システムレベルのメカニズムで制限付きのタイミング漏洩を強制できるか？
• RQ4 タイミング汚染ラベルを付与し、デクラシフィケーションすることで、顧客間で安全でレート制限付きの情報フローを実現できるか？
• RQ5 決定的実行とペーシングキューを組み合わせることで、クラウド環境におけるセキュリティとスケーラビリティの両立は可能か？

主な発見

• TIFC は、ユーザー固有の漏洩レートでタイミングイベントを明示的にラベル付けすることで、タイミング側帯域が境界内に保たれ、解析可能であることを保証し、安全で統計的多重化されたクラウド実行を可能にする。
• ゲートウェイノードに設けたペーシングキューのおかげで、ジョブ結果のリリースが最大レート f まで制限され、高帯域のタイミング漏洩が事前に定義されたしきい値まで洗練された。
• 決定的実行により、ジョブの結果が入力コンテンツにのみ依存し、実行タイミングに依存しないため、アプリケーションレベルでのタイミングベースの側帯域漏洩が排除される。
• スケジューラは、ユーザーのタイミング要件を観測可能だが、コンテンツを学習することはできず、ユーザーにコンテンツやタイミング情報を逆に伝えることもできない。これにより機密性が保たれる。
• ゲートウェイに最大レート f までのデクラシフィケーション能力を付与することで、他のユーザーからのタイミングラベルを安全にデクラシフィケーションでき、ユーザー間の通信が可能になるが、漏洩境界は保たれる。
• 本モデルは、明示的なラベル付けとレート制限メカニズムを組み合わせることで、統計的多重化とタイミングチャネル制御が両立可能であることを示しており、安全なクラウドインfraへの実現可能性を示している。