[論文レビュー] Verification of Information Flow Properties under Rational Observation

Béatrice Bérard, John Mullins|arXiv (Cornell University)|Sep 2, 2014

Security and Verification in Computing参考文献 26被引用数 5

ひとこと要約

本稿は、観測者としての有理的トランスダクタを用いてトレースベースのセキュリティ特性を検証するための形式的枠組みである有理的情報フロー特性（RIFP）を導入する。一般の決定可能性基準を確立し、正則言語上でのRIFPの検証問題がPSPACE完全であることを証明しており、これにより、透過性、非干渉性、漏洩制御、および条件付き匿名性といった既存の結果が統一的なモデルに統合される。

ABSTRACT

Information flow properties express the capability for an agent to infer information about secret behaviours of a partially observable system. In a language-theoretic setting, where the system behaviour is described by a language, we define the class of rational information flow properties (RIFP), where observers are modeled by finite transducers, acting on languages in a given family $\mathcal{L}$. This leads to a general decidability criterion for the verification problem of RIFPs on $\mathcal{L}$, implying PSPACE-completeness for this problem on regular languages. We show that most trace-based information flow properties studied up to now are RIFPs, including those related to selective declassification and conditional anonymity. As a consequence, we retrieve several existing decidability results that were obtained by ad-hoc proofs.

研究の動機と目的

• 観測者を有理的トランスダクタとしてモデル化するトレースベースの情報フロー特性の一般クラスを形式化すること。
• 言語族全体にわたるこれらの特性の検証のための一般の決定可能性基準を確立すること。
• 透明性、非干渉性、および漏洩制御といった主要なセキュリティ特性がRIFPの例であることを示すこと。
• トレースベースの設定において条件付き匿名性を初めて形式的に仕様化すること。
• 有限状態システムにおける情報フロー検証のための既存の決定可能性結果を統一的かつ一般化すること。

提案手法

• 有理的トランスダクタ、和集合、積集合によって変換された言語間の包含関係としてRational Information Flow Properties（RIFP）を定義する。
• 過去に観測不能だったイベントを将来の観測に基づいて再解釈できる有限状態トランスダクタとして観測者をモデル化し、静的または動的観測者を越えて拡張する。
• 「有理的オwellian観測者」を導入し、非推移的非干渉性や選択的漏洩制御をモデル化できる部分集合を提供する。
• 非推移的非干渉性といった複雑な特性の検証を、オWellian観測者下での透明性検証に還元する。
• Mantelの基本的セキュリティ述語（BSPs）が一般の有理的観測関係を用いてRIFPとして表現可能であることを証明する。
• トランスダクタの合成と閉包性質を用いて、正則言語上でのRIFP検証問題がPSPACE完全であることを確立する。

実験結果

リサーチクエスチョン

• RQ1 有理的トランスダクタを観測者として用いることで、多様なトレースベースの情報フロー特性を統一的に捉え、検証できる枠組みを開発できるか？
• RQ2 RIFPの検証問題は決定可能であるか？正則言語上での計算複雑性はいかなるものか？
• RQ3 透明性、非干渉性、漏洩制御といった既存のセキュリティ特性がRIFP枠組み内で形式的に表現可能か？
• RQ4 条件付き匿名性は有理的観測者を用いて形式的に仕様化され、検証可能か？
• RQ5 有理的オWellian観測者は、観測不能なイベントの動的再解釈をモデル化する点で、従来の観測者モデルをどの程度一般化するか？

主な発見

• 正則言語上でのRIFPの検証問題はPSPACE完全であり、広範な情報フロー特性のクラスに対してタイトな複雑性境界を提供する。
• 正則な秘密を伴う透明性はRIFPであり、有理的観測者下での標準的透明性チェックに還元可能である。
• 非推移的非干渉性（INI）および選択的非推移的非干渉性（INISD）はRIFPとして表現可能であり、有理的オWellian観測者下での透明性検証に還元可能である。
• Mantelの基本的セキュリティ述語（BSPs）はすべてRIFPの例であり、この枠組みの一般性を示している。
• 本稿は、不正な行動の発見時にのみ匿名性が解除されるという条件付き匿名性の初めての形式的仕様を提供する。
• この枠組みは、透明性、非干渉性、漏洩制御のための従来の特化された決定可能性証明を統合・一般化し、一様な検証アプローチを提供する。