[論文レビュー] Robust Hyperproperty Preservation for Secure Compilation (Extended Abstract)

Deepak Garg, Cătălin Hriţcu+3 more|arXiv (Cornell University)|Oct 19, 2017

Security and Verification in Computing参考文献 8被引用数 8

ひとこと要約

本稿は、攻撃的ターゲットレベルコンテキスト下でも、特に非干渉性などのハイパープロパティを含むセキュリティ特性が保たれるようにする、安全コンパイルのための新たな健全性基準として、頑健なハイパープロパティ保存を導入する。さまざまなハイパープロパティクラスについて、直接的なハイパープロパティ操作を回避する同等の「プロパティフリー」特徴付けを提案し、コンテキストのバックトランスレーション技術がこれらの基準を検証可能であることを示す。安全ハイパープロパティは有限のトレースプレフィックスのバックトランスレーションのみで十分であり、全ハイパープロパティ保存は論理的関係技術によって達成可能である。

ABSTRACT

We map the space of soundness criteria for secure compilation based on the preservation of hyperproperties in arbitrary adversarial contexts, which we call robust hyperproperty preservation. For this, we study the preservation of several classes of hyperproperties and for each class we propose an equivalent "property-free" characterization of secure compilation that is generally better tailored for proofs. Even the strongest of our soundness criteria, the robust preservation of all hyperproperties, seems achievable for simple transformations and provable using context back-translation techniques previously developed for showing fully abstract compilation. While proving the robust preservation of hyperproperties that are not safety requires such powerful context back-translation techniques, for preserving safety hyperproperties robustly, translating each finite trace prefix back to a source context seems to suffice.

研究の動機と目的

• 攻撃的ターゲットレベルコンテキストが存在する状況下でもセキュリティ保証を保持する包括的な安全コンパイルフレームワークを定義すること。
• 非干渉性などの複雑なセキュリティポリシーを捉えるハイパープロパティに注目し、既存の基準（例えば完全抽象性）をハイパープロパティに一般化すること。
• ハイパープロパティの直接的取り扱いを回避する、証明に適した同等の特徴付けを提供すること。
• 強力なバックトランスレーション技術を用いて、非安全ハイパープロパティの保存可能性を検討すること。
• 有限トレースプレフィックスのバックトランスレーションで十分なケース（例：安全）と、全コンテキスト再構築を要するケースを区別すること。

提案手法

• 攻撃的コンテキスト下でもハイパープロパティが保たれるよう、ソースプログラムが頑健に満たすことを保証する、新たな健全性基準として頑健なハイパープロパティ保存を提案する。
• ハイパープロパティ保存とプロパティフリー基準（例：ハイパーロバストコンパイル）との同等性を定義する。式：∀P.∀C_T.∃C_S.∀t. C_T[P↓]⇝t ↔ C_S[P]⇝t。
• 安全ハイパープロパティを保存するトレースベース特徴付けを導入する：ターゲットのトレースプレフィックス m が観測された場合、ソースコンテキストは m′ ≥ m を満たすトレースプレフィックスを生成しなければならない。
• 完全抽象コンパイルから適応したコンテキストバックトランスレーション技術を用い、特に非安全ハイパープロパティの頑健な保存を検証する。
• 正確なバックトランスレーションを可能にするために、ソースおよびターゲット言語に入出力トレースと再帰型を拡張する。
• 論理的関係技術を用いて、単純型付きλ計算を非型付きλ計算（トレース拡張付き）にコンパイルする際のハイパーロバストコンパイルを証明する。

実験結果

リサーチクエスチョン

• RQ1 実際には、すべてのハイパープロパティの頑健な保存が達成可能であり、形式的検証に適しているか？
• RQ2 安全、部分集合閉じ、ハイパーセーフティなどの異なるハイパープロパティクラスは、表現力および検証可能性の観点でどのように関係しているか？
• RQ3 異なるハイパープロパティクラスを保存するために必要な最小限のバックトランスレーション能力は何か？また、有限トレースプレフィックスのシミュレーションで十分な場合はいつか？
• RQ4 プロパティフリー特徴付けは、直接的なハイパープロパティ推論と比較して、安全コンパイルの証明をどのように簡素化するか？
• RQ5 頑健なハイパープロパティ保存と完全抽象性の関係は何か？また、片方がもう片方を含意するか？

主な発見

• すべてのハイパープロパティの頑健な保存（ハイパーロバストコンパイルと呼ばれる）は、ターゲットコンテキストからソースコンテキストへのバックトランスレーション関数を含む、プロパティフリー基準と正式に同等である。
• 安全ハイパープロパティの頑健な保存は、有限トレースプレフィックスのバックシミュレーションのみを要する基準と同等であり、これはトレースに基づく証明技法に適している。
• 非安全ハイパープロパティの保存には、全コンテキストバックトランスレーションが必要であり、論理的関係や近似バックトランスレーションなどの高度な技法を用いる必要がある。
• 最も強い基準であるハイパーロバストコンパイルは、再帰型をソース言語に追加することで、単純型付きλ計算を非型付きλ計算にコンパイルする際に達成可能である。
• すべてのプロパティフリー特徴付けは共通の量化子パターン：∀P.∀C_T.∃C_S.∀t… を有しており、C_S を P および C_T の関数として構成的に構築可能である。
• 本稿では、より強い基準（例：∀C_T.∃C_S.∀P…）が関係的プロパティの頑健な保存を含意すると推測している。完全抽象性はその特別な場合である。