[論文レビュー] Program Actions as Actual Causes: A Building Block for Accountability

Anupam Datta, Deepak Garg+3 more|arXiv (Cornell University)|May 5, 2015

Security and Verification in Computing参考文献 25被引用数 5

ひとこと要約

本論文は、プログラムの動的挙動における反事後的推論を用いて、分散型マルチエージェントシステムにおけるセキュリティ違反の原因行動を形式的に同定するフレームワークを提案する。特定のクラスの安全特性の違反は、常に実際の原因を有することを確立しており、認証やセキュアコンピュテーションなどのプロトコルにおける責任追及の基盤を提供する。

ABSTRACT

Protocols for tasks such as authentication, electronic voting, and secure multiparty computation ensure desirable security properties if agents follow their prescribed programs. However, if some agents deviate from their prescribed programs and a security property is violated, it is important to hold agents accountable by determining which deviations actually caused the violation. Motivated by these applications, we initiate a formal study of program actions as actual causes. Specifically, we define in an interacting program model what it means for a set of program actions to be an actual cause of a violation. We present a sound technique for establishing program actions as actual causes. We demonstrate the value of this formalism in two ways. First, we prove that violations of a specific class of safety properties always have an actual cause. Thus, our definition applies to relevant security properties. Second, we provide a cause analysis of a representative protocol designed to address weaknesses in the current public key certification infrastructure.

研究の動機と目的

• 規則されたプログラムから逸脱する可能性があるエージェントを含む分散型マルチエージェントシステムにおける実際の因果関係を形式化すること。
• 独立した出来事象ではなく、プログラム行動に焦点を当てることで、既存の因果関係フレームワークにおけるギャップを埋めること。
• セキュリティ違反の原因となるプログラム行動を特定するための妥当で形式的な手法を提供すること。
• 本フレームワークが、公開鍵証明書などの実世界のセキュリティプロトコルに適用可能であることを示すこと。
• 特定のクラスの安全特性の違反は、常に実際の原因を有することを確立し、フレームワークが重要なセキュリティ特性に適していることを保証すること。

提案手法

• エージェントがプログラム行動のシーケンスを実行する相互作用的プログラムモデルにおける因果関係を形式化する。
• 反事後的推論を適用する：行動の集合が実際の原因であるとは、それが発生しなかった場合に違反が発生しなかったことを意味する。
• 二段階の手法を導入する：第一に、反事後的推論により候補原因を特定する。第二に、最小性および進行促進要因のフィルタリングを適用して原因集合を精錬する。
• プログラム論理と不変条件を用いて、逸脱したプログラム行動を正しいものに置き換えることで、有効な反事後的状況を構築する。
• 違反の発生に不可欠な行動のみを原因として保持し、進行を促進するに過ぎない行動を除外する。
• 原因同一定義と非難割り当てを分離し、因果関係を責任追及の基礎的ステップとして扱う。

実験結果

リサーチクエスチョン

• RQ1 分散型マルチエージェントシステムにおけるセキュリティ違反の原因となるプログラム行動の集合とは、どのような意味を持つのか？
• RQ2 反事後的推論は、独立した出来事象ではなく、プログラムの動的挙動にどのように適応できるか？
• RQ3 提案されたフレームワークは、安全特性の違反が常に実際の原因を有することを保証できるか？
• RQ4 本フレームワークは、プログラム実行における因果行動と単なる進行促進要因をどのように区別するか？
• RQ5 プログラムベースのアプローチは、トレースベースまたはコンponentレベルの因果関係モデルに比べて、どのような点で優れているか？

主な発見

• 本フレームワークは、プログラム意味論に基づいた反事後的推論を用いて、プログラム行動を実際の原因として成功裏に同定した。
• 論文は、特定のクラスの安全特性の違反が、常に実際の原因を有することを証明しており、フレームワークが関連するセキュリティ特性に適していることを検証した。
• 因果的貢献と単なる進行促進要因の区別により、非本質的行動が除外され、最小かつ正確な原因集合が得られた。
• トレース再構築や依存性グラフのマイニングを必要とせず、従来のログや観察トレースに依存する手法とは異なり、プログラムベースのアプローチが優位である。
• トレースベースの手法が不完全な影響モデル化により失敗する状況でも、Gösslerらの手法など従来のアプローチに比べ、本フレームワークはすべての原因を正しく同定できた。
• 因果関係と非難割り当ての分離により、将来的に意図や選択肢といった追加基準を統合できるようになり、セキュリティシステムにおける実用的責任追及の強化が可能になった。