[論文レビュー] Secure Component Deployment in the OSGi(tm) Release 4 Platform

Pierre Parrend, Stéphane Frénot|arXiv (Cornell University)|Jul 11, 2006

Security and Verification in Computing被引用数 6

ひとこと要約

本論文は、OSSi R4プラットフォームにおけるセキュアなコンponentデプロイメントメカニズムを提案し、OSSiバンドルの暗号的署名を用いて完全性と真正性を保証する。OSSi R4セキュリティレイヤー仕様に準拠したデジタル署名および証明書検証を実装する、Apache Felixフレームワークのセキュアな拡張版であるSFelixと、バンドルの署名および検証を実行するツールであるSFelix JarSignerを導入する。

ABSTRACT

Last years have seen a dramatic increase in the use of component platforms, not only in classical application servers, but also more and more in the domain of Embedded Systems. The OSGi(tm) platform is one of these platforms dedicated to lightweight execution environments, and one of the most prominent. However, new platforms also imply new security flaws, and a lack of both knowledge and tools for protecting the exposed systems. This technical report aims at fostering the understanding of security mechanisms in component deployment. It focuses on securing the deployment of components. It presents the cryptographic mechanisms necessary for signing OSGi(tm) bundles, as well as the detailed process of bundle signature and validation. We also present the SFelix platform, which is a secure extension to Felix OSGi(tm) framework implementation. It includes our implementation of the bundle signature process, as specified by OSGi(tm) Release 4 Security Layer. Moreover, a tool for signing and publishing bundles, SFelix JarSigner, has been developed to conveniently integrate bundle signature in the bundle deployment process.

研究の動機と目的

• OSSiプラットフォームを用いた組み込み環境において顕著になる、コンポonentベースのシステムにおけるセキュリティリスクの増大に対処する。
• OSGiのランタイム制約および仕様要件を満たさない、Sun Jarsignerのような既存ツールの脆弱性を特定する。
• OSGi R4セキュリティレイヤー仕様に準拠した、統合的でセキュアなバンドル署名および検証ソリューションを構築する。
• 実運用環境で使用可能な、拡張性のあるフレームワーク（SFelix）およびツール（SFelix JarSigner）を提供し、実世界のOSGi環境におけるセキュアなデプロイメントを可能にする。
• OSGiバンドルを保護するためのツールの不足を埋めるために、完全で標準準拠の署名および検証パイプラインを実装する。

提案手法

• 非対称暗号を用いたデジタル署名に基づく、OSGi R4セキュリティレイヤー仕様に準拠したセキュアなバンドル署名プロセスを設計および実装する。
• ハッシュ関数（例：SHA-256）、デジタル署名（例：RSA）、X.509証明書検証などの暗号メカニズムをOSGiバンドルライフサイクルに統合する。
• Apache Felix OSGiフレームワークを拡張し、ランタイムでのバンドル検証を実装することで、署名済みかつ信頼できるバンドルのみをロードするようにする。
• SFelix JarSignerをGUIおよびコマンドラインツールとして開発し、秘密鍵を用いたOSGiバンドルの自動署名およびマニフェスト、署名、ブロックファイルの生成を可能にする。
• 署名済みバンドルを3つのコンponentに構成する：マニフェストファイル（メタデータ）、署名ファイル（デジタル署名）、署名ブロックファイル（証明書チェーン）。
• 暗号的に強固で標準準拠の動作を保証するため、Bouncy CastleおよびFIPS適合暗号ライブラリを活用する。

実験結果

リサーチクエスチョン

• RQ1 OSGiバンドルをどのように暗号的に保護すれば、デプロイ時に完全性と真正性を確保できるか？
• RQ2 OSGi R4プラットフォームにセキュアな署名および検証メカニズムを統合する際のアーキテクチャ的および実装上の課題は何か？
• RQ3 Sun Jarsignerのような既存ツールが、OSGiのランタイムおよびセキュリティモデルと不適合である理由は何か？
• RQ4 標準準拠の方法でOSGiバンドルを安全に署名および検証するための主要コンponentおよびワークフローは何か？
• RQ5 セキュアで拡張性があり、実運用環境で使用可能なOSGiフレームワーク拡張（SFelix）をどのように設計およびデプロイできるか？

主な発見

• SFelixプラットフォームは、Apache Felixを拡張し、ランタイムで署名済みOSGiバンドルをネイティブに検証可能にし、署名なしまたは改ざんされたバンドルを拒否する。
• SFelix JarSignerツールは、開発者が秘密鍵を用いてバンドルを署名し、マニフェスト、署名、ブロックファイルを一括で生成する、使いやすいプロセスを提供する。
• 実装はOSGi R4セキュリティレイヤー仕様に正確に従っており、SHA-256やRSAといった標準的な暗号プリミティブを用いたデジタル署名を採用している。
• Bouncy CastleおよびFIPS適合暗号ライブラリの使用により、強固な暗号セキュリティと連邦基準への準拠が保証される。
• 外部ツール（例：Sun Jarsigner）に依存するのを避けるために、署名および検証をOSGiフレームワークに組み込むことで、それらの制限を是正する。
• SFelixにおけるランタイム検証により、署名なしまたは悪意あるバンドルのデプロイが防止され、SFelixシェルで署名なしバンドルが拒否されるテストケースにより確認されている。