[論文レビュー] Sheaf Semantics of Termination-Insensitive Noninterference

Jonathan Sterling, Robert Harper|arXiv (Cornell University)|Jan 1, 2022

Security and Verification in Computing被引用数 2

ひとこと要約

この論文は、合成ドメイン理論およびトポス論的オープン／クローズドモダリティを用いて、終了に依存しない非干渉性のための新しいシーヴ構文的意味論を導入する。セキュリティレベルをアーティンのグリーディングを介したフェーズの区別としてモデル化することで、タイプをシーヴとして、赤色化（redaction）を閉じた部分空間へのシーヴの制限として自然に定義する非関係的で内在的な意味論を構築し、関係的推論を避けつつ、終了に依存しない非干渉性を自動的に保証する。

ABSTRACT

We propose a new sheaf semantics for secure information flow over a space of abstract behaviors, based on synthetic domain theory: security classes are open/closed partitions, types are sheaves, and redaction of sensitive information corresponds to restricting a sheaf to a closed subspace. Our security-aware computational model satisfies termination-insensitive noninterference automatically, and therefore constitutes an intrinsic alternative to state of the art extrinsic/relational models of noninterference. Our semantics is the latest application of Sterling and Harper’s recent re-interpretation of phase distinctions and noninterference in programming languages in terms of Artin gluing and topos-theoretic open/closed modalities. Prior applications include parametricity for ML modules, the proof of normalization for cubical type theory by Sterling and Angiuli, and the cost-aware logical framework of Niu et al. In this paper we employ the phase distinction perspective twice: first to reconstruct the syntax and semantics of secure information flow as a lattice of phase distinctions between "higher" and "lower" security, and second to verify the computational adequacy of our sheaf semantics with respect to a version of Abadi et al.’s dependency core calculus to which we have added a construct for declassifying termination channels.

研究の動機と目的

• 関係的モデルの複雑さを回避する、内在的で非関係的な安全な情報フローの意味論の構築を目的とする。
• 終了に依存しない非干渉性を、関係的証明義務ではなく、シーヴ論的構造の結果として形式化することを目的とする。
• プログラミング言語におけるフェーズの区別を、特にアーティンのグリーディングとオープン／クローズドモダリティを含むトポス論的構成と統合することを目的とする。
• 終了チャネルの脱機密化を許容する拡張された依存コア計算機械に対して、意味論の計算的適切性を検証することを目的とする。
• 帰属データが返り値を通じて漏洩することのないという直感を自然に捉える、非干渉性の圏論的基盤を提供することを目的とする。

提案手法

• タイプを抽象的行動のトポス上のシーヴとして解釈するために、合成ドメイン理論を用いる。
• 構文的（T）および計算的（C）フェーズを、不交和のオープン／クローズド分割によって結合する、グリーディングされたトポス G を構成する。
• セキュリティレベル P を部分順序集合（poset）としてモデル化し、オープン部分トポス T（構文的フェーズ）とクローズド部分トポス C（計算的フェーズ）を用い、特徴関数 b = t ∨ c を用いる。
• 構文的フェーズで T-代数 At を定義し、完全忠実性を保証することで、言語構成の正しい解釈を可能にする。
• 計算的適切性を保証するために、P-インデックス付き合成ドメイン理論の公理が計算的フェーズで成立することを検証する。
• ベースチェンジおよび随伴函手（j*, i*, [L]*）を用いて、構文的意味論と意味的意味論を関連づけ、鍵となる洞察は Ac.⟨l⟩ ≤ b • At.⟨l⟩ が成り立つことで、正しいフェーズ動作が保証されることである。

実験結果

リサーチクエスチョン

• RQ1 関係的モデルに依存せずに、シーヴ意味論によって非干渉性を内在的に特徴づけることは可能か？
• RQ2 アーティンのグリーディングやオープン／クローズドモダリティなどのトポス論的ツールを用いて、プログラミング言語におけるフェーズの区別をどのように形式化できるか？
• RQ3 終了に依存しない非干渉性は、シーヴ論的意味論の構造的結果として導けるのか？
• RQ4 シエルピンスキーのトポスおよびグリーディングされたトポスは、構文と意味の間の異種論理的関係をモデル化するために果たす役割は何か？
• RQ5 依存コア計算機械をどのように拡張すれば、終了チャネルの脱機密化を保ちつつ非干渉性を維持できるか？

主な発見

• グリーディングされたトポスの構造と構文的・計算的コンponents間のフェーズの区別のおかげで、シーヴ意味論は自動的に終了に依存しない非干渉性を満たす。
• グリーディングされたトポス G 内部の Kripke論理的関係を通じて、構文的型システムとその意味的意味論の間の正式な対応が確立される。
• 鍵となる不等式 Ac.⟨l⟩ ≤ b • At.⟨l⟩ が成立し、計算的フェーズが正しくセキュリティレベル構造を解釈し、意図された非干渉性性質を保持することが保証される。
• 計算的フェーズにおいて P-インデックス付き合成ドメイン理論の公理が満たされることを検証したため、意味論は拡張された依存コア計算機械に対して計算的適切性を有する。
• 本モデルは、類似のトポス論的技法を用いてパラメトリシティや正規化証明の既存の研究を一般化する、非干渉性の圏論的基盤を提供する。
• 機密情報の赤色化は、シーヴを閉じた部分空間に制限することとして自然にモデル化され、安全な情報フローにおける情報隠蔽の直感と整合する。