[논문 리뷰] A Covert Queueing Channel in Round Robin Schedulers

AmirEmad Ghassami, Ali Yekkehkhany외 1명|arXiv (Cornell University)|2017. 01. 31.

Internet Traffic Analysis and Secure E-voting참고 문헌 24인용 수 3

한 줄 요약

이 논문은 라운드로빈 스케줄러에서 발생하는 도청 가능한 큐잉 채널(CQC)을 모델링하고 분석하기 위한 정보이론적 프레임워크를 제안한다. 두 사용자가 자신의 작업 도착 패턴을 조절하여 상대방의 지연을 유추함으로써 통신한다. 저자들은 노이즈가 없는 경우 약 0.6942비트/시간 슬롯의 용량을 유도하고, 이론적 한계에 점점 수렴하는 유한 길이 부호 구조를 제시한다.

ABSTRACT

We study a covert queueing channel (CQC) between two users sharing a round robin scheduler. Such a covert channel can arise when users share a resource such as a computer processor or a router arbitrated by a round robin policy. We present an information-theoretic framework to model and derive the maximum reliable data transmission rate, i.e., the capacity of this channel, for both noiseless and noisy setups. Our results show that seemingly isolated users can communicate with a high rate over the covert channel and demonstrate the possibility of significant information leakage and privacy threats brought by CQCs in round robin schedulers. Moreover, we propose practical finite-length code constructions, which achieve the capacity limit.

연구 동기 및 목표

• 라운드로빈 스케줄러에서 사용자 간 상호의존적인 서비스 지연으로 인해 발생하는 도청 가능한 큐잉 채널(CQC)을 모델링하고 분석하기.
• 노이즈가 없는 경우와 노이즈가 있는 조건에서 이러한 CQC의 최대 신뢰성 있는 데이터 전송 속도(용량)를 결정하기.
• 이론적 용량 한계에 점점 수렴하는 실용적인 유한 길이 부호 설계하기.
• 패킷 손실이 채널 용량에 미치는 영향을 평가하고, 손실 확률에 따라 용량 표현식 유도하기.

제안 방법

• 앨리스와 박브가 라운드로빈 스케줄러를 공유하며, 작업 도착 시간의 조절을 통해 정보를 인코딩하고, 이로 인해 관측 가능한 지연이 발생하는 시스템 모델을 수립한다.
• 상호정보량과 데이터 처리 부등식을 기반으로 한 정보이론적 프레임워크를 사용하여 채널 용량의 상한선을 유도한다.
• 스티르링의 근사법과 이진 엔트로피 함수 $ h(p) $ 를 적용하여 부호책 크기의 점근적 행동을 분석하고, 용량 표현식 $ C = \max_p \frac{h(p)}{1+p} $ 를 도출한다.
• 유한 길이 부호 설계로 이항 부호책을 사용하며, $ \binom{l}{\lfloor lp \rfloor} $ 개의 부호어를 사용한다. 이 경우 블록 길이 $ l \to \infty $ 일 때 속도는 용량으로 수렴한다.
• 패킷 손실을 고려한 노이즈 있는 CQC를 Z채널로 모델링하고, 용량을 $ \max_p \frac{h((1-\delta)p) - p h(\delta)}{(1-p) + \delta p + 2(1-\delta)p} $ 로 유도한다. 여기서 $ \delta $ 는 패킷 손실 확률이다.
• 판별 불등식과 랜덤 부호화 논증을 사용하여 도출된 용량의 달성 가능성과 반대 증명을 수립하여 검증한다.

실험 결과

연구 질문

• RQ1 노이즈가 없는 조건에서 라운드로빈 스케줄러 내 도청 가능한 큐잉 채널의 최대 신뢰성 있는 데이터 전송 속도(용량)는 얼마인가?
• RQ2 패킷 손실이 도청 가능한 큐잉 채널의 용량에 어떤 영향을 미치는가?
• RQ3 이론적 용량 한계에 점점 수렴하는 실용적인 유한 길이 부호 설계가 가능할 수 있는가?
• RQ4 FCFS나 TDMA와 같은 다른 스케줄링 정책과 비교할 때 정보 泄露와 프라이버시 위험 측면에서 CQC 용량은 어떻게 다른가?
• RQ5 앨리스가 자신의 작업 도착 패턴을 어떻게 신호화하여 박브가 관측된 지연을 통해 메시지를 복호화할 수 있도록 해야 하는가?

주요 결과

• 노이즈가 없는 라운드로빈 스케줄러 내 도청 가능한 큐잉 채널의 용량은 약 0.6942비트/시간 슬롯이며, 이는 $ \max_p \frac{h(p)}{1+p} $ 로 유도된다.
• 유한 길이 부호 설계는 $ \binom{l}{\lfloor lp \rfloor} $ 개의 부호어를 사용하는 이항 부호책을 기반으로 하며, 메시지 수 $ l \to \infty $ 일 때 이론적 용량으로 점점 수렴한다.
• 패킷 손실이 존재하는 경우 채널 용량은 $ \max_p \frac{h((1-\delta)p) - p h(\delta)}{(1-p) + \delta p + 2(1-\delta)p} $ 로 주어지며, 여기서 $ \delta $ 는 패킷 손실 확률이다.
• 블록 길이가 증가함에 따라 오류 확률이 임의로 낮아지는 방식으로 신뢰성 있는 통신이 가능함을 확인하여 도출된 용량의 달성 가능성을 입증한다.
• 결과적으로 라운드로빈 스케줄러는 스루풋 최적화를 달성하지만, CQC를 통한 심각한 정보 泄露 위험이 있음을 시사하며, 이는 심각한 프라이버시 위협을 초래한다.
• 라운드로빈 스케줄링에서의 CQC 용량은 TDMA보다 높으며, 이는 TDMA가 프라이버시 최적화이지만 스루풋 최적화가 아니기 때문이다. 이는 성능와 보안 사이의 상충 관계를 잘 드러낸다.