[論文レビュー] SROS: Securing ROS over the wire, in the graph, and through the kernel

Ruffin White, Henrik I. Christensen+1 more|arXiv (Cornell University)|Nov 21, 2016

Distributed systems and fault tolerance被引用数 9

ひとこと要約

SROS は ROS1 に包括的なセキュリティ拡張を提供し、信頼できる CA が署名した X.509 証明書を用いた TLS を通じたエンド・ツー・エンド暗号化、ポリシーを埋め込んだ証明書拡張を用いたネームスペースベースのアクセス制御、およびプロセスレベルのハードニングのための Linux AppArmor プロファイルを実現する。このフレームワークは、既存の ROS ワークフローにシームレスに統合され、最小限の混乱で暗号化セキュリティ、細かく制御されたアクセス制御、実行時ポリシーの強制を提供する。

ABSTRACT

SROS is a proposed addition to the ROS API and ecosystem to support modern cryptography and security measures. An overview of current progress will be presented, rationalizing each major advancement, including: over-the-wire cryptography for all data transport, namespaced access control enforcing graph policies/restrictions, and finally process profiles using Linux Security Modules to harden a node's resource access. By making the community aware of the vulnerabilities in ROS, as well as the proposed solutions provided by SROS, we intend to improve the state of security for future robotics subsystems.

研究の動機と目的

• ROS1 における深刻なセキュリティ脆弱性、特に通信の暗号化がなく、アクセス制御が欠如していることによる、現実のサイバー脅威への暴露を是正すること。
• TLS と PKI を用いて、すべての ROS ネットワークトラフィックをエンド・ツー・エンドで暗号化することで、機密性とデータ整合性を保証すること。
• X.509 証明書拡張を用いて、名前空間スコープのアクセス制御を実装し、ROS グラフ操作におけるロールベースの権限を強制すること。
• Linux セキュリティモジュール（LSM）、特に AppArmor を活用して、ROS ノードごとにシステムリソースへのアクセスを制限し、特権昇格を防ぐプロセスレベルのハードニングを実現すること。
• プラグイン可能な拡張機能としてセキュリティ機能を統合し、鍵管理およびポリシー生成の自動化ツールを提供することで、後方互換性と使いやすさを維持すること。

提案手法

• 信頼できる証明書機関（CA）が署名した X.509 証明書を用いて、ROS ライブラリレベルで TLS 暗号化を実装し、すべてのノード間通信を保護すること。
• オブジェクト識別子（OID）と正規表現風のネームスペースパターンを用いて、X.509 証明書拡張にアクセス制御ポリシーを埋め込むこと。
• AppArmor の必須アクセス制御（MAC）フレームワークを活用し、ROS ノード用のプロセスレベルセキュリティプロファイルを定義および強制すること。
• ノードまたはネームスペースごとにカスタマイズ可能な設定を備えた、鍵サーバーを提供して、証明書の自動生成と配布を可能にすること。
• AppArmor のワークフローを模倣した、実行時モード（監査、警告、強制）を導入し、ポリシーの学習と検証を可能にすること。
• SROS が既存の ROS 通信およびセキュリティスタックと衝突せずに共存できるように、プラグインアーキテクチャを設計すること。

実験結果

リサーチクエスチョン

• RQ1 既存のアプリケーションを破壊せずに、ROS1 通信スタックに安全かつ透明にエンド・ツー・エンド暗号化を統合する方法は何か？
• RQ2 ROS グラフの文脈において、X.509 証明書拡張を用いて、どの程度まで細かく制御されたアクセス制御を表現し、強制できるか？
• RQ3 AppArmor のような Linux セキュリティモジュール（LSM）は、ROS ノードのプロセスレベルで効果的に適用可能であり、特権昇格や不正なシステムアクセスを防げるか？
• RQ4 複雑な ROS システムにおいて、使いやすさと正確性のバランスを取った形で、セキュリティポリシーを自動的に生成および検証する方法は何か？
• RQ5 ROS1 に暗号化およびアクセス制御メカニズムを拡張する際、セキュリティカバレッジ、パフォーマンスオーバーヘッド、後方互換性の間で生じるトレードオフは何か？

主な発見

• SROS は X.509 証明書を用いて、すべての ROS ノード間で TLS 保護通信を実現し、平文送信や中間者攻撃のリスクを排除した。
• X.509 拡張に埋め込まれたアクセス制御ポリシーは、TLS ハンドシェイク時に暗号的に強制され、不正な変更や特権昇格を防止する。
• AppArmor プロファイルテンプレートの使用により、開発者は最小限の、アプリケーション固有のセキュリティプロファイルを定義でき、ROS ノードの攻撃表面を縮小できる。
• 監査や警告などの実行時モードにより、アクセス試行をログ記録することで、自動的なポリシー学習が可能となり、手動設定の負荷を大幅に軽減できる。
• フレームワークのプラグインアーキテクチャにより、コア API の変更なしに既存の ROS システムに統合可能であり、既存のデプロイメントを破壊しない。
• 鍵サーバーや Docker 化された例を含むツールキットにより、迅速なデプロイと実験が可能になり、採用の障壁が低下した。