[논문 리뷰] A Taxonomy for Attack Patterns on Information Flows in Component-Based Operating Systems

Michael Hanspach, Jörg Keller|arXiv (Cornell University)|2014. 03. 05.

Security and Verification in Computing참고 문헌 39인용 수 3

한 줄 요약

이 논문은 구성 요소 기반 운영 체제에서 정보 흐름에 대한 공격 패tern을 체계적으로 분류하기 위한 종합적인 분류 체계와 대수적 프레임워크를 제시한다. 특히 강제 접근 제어 환경에서의 다수 레벨 보안 시나리오에 중점을 두며, 비합법적인 정보 흐름을 식별하고 형식화하며, 고립된 파티션 간의 물리적 신호를 악용하는 새로운 유형의 은밀한 물리 채널을 포함한다. 이는 안전한 시스템과 대응 조치를 설계하기 위한 체계적인 기반을 제공한다.

ABSTRACT

We present a taxonomy and an algebra for attack patterns on component-based operating systems. In a multilevel security scenario, where isolation of partitions containing data at different security classifications is the primary security goal and security breaches are mainly defined as undesired disclosure or modification of classified data, strict control of information flows is the ultimate goal. In order to prevent undesired information flows, we provide a classification of information flow types in a component-based operating system and, by this, possible patterns to attack the system. The systematic consideration of informations flows reveals a specific type of operating system covert channel, the covert physical channel, which connects two former isolated partitions by emitting physical signals into the computer's environment and receiving them at another interface.

연구 동기 및 목표

• 강제 접근 제어 하에서 구성 요소 기반 운영 체제의 비합법적인 정보 흐름을 체계적으로 분석하고 분류하기 위해.
• 순수 고립 히퍼바이저의 고립 메커니즘을 우회하는 공격 패턴을 식별하고 형식화하기 위해.
• 물리 신호 방출 및 수신을 기반으로 한 새로운 유형의 은밀한 채널—은밀한 물리 채널—을 도입하고 분석하기 위해.
• 고신뢰성 시스템 설계에 적용 가능한 재사용 가능한 대수적 모델을 제공하기 위해.
• 공격 패턴을 특정 정보 흐름 취약성과 연결함으로써, 안전한 구성 요소 기반 시스템의 설계 및 검증을 지원하기 위해.

제안 방법

• 모든 가능한 정보 흐름을 방향성 간선으로 표현하는 그래프 기반 모델을 구성하여, 파티션(P), 커널(K), 하드웨어(H), 공격자(A)를 포함한 구성 요소 기반 운영 체제를 모델링한다.
• 고립 정책을 위반하는 경로를 테스트함으로써, 고립 정책 위반을 기반으로 모든 비합법적인 정보 흐름을 체계적으로 식별하기 위해 재귀적 워크 알고리즘을 적용한다.
• 정보 흐름을 합법적(직접 커널 제어), 스토리지 채널, 타이밍 채널, 은밀한 채널으로 분류하며, 하위 유형으로는 물리적 채널과 정책 기반 채널을 포함한다.
• 정보 흐름을 모델링하기 위한 형식적 대수를 도입하며, 향후 모델링을 위해 환경(E), 네트워크(N), 사용자(U) 확장을 수용할 수 있도록 확장 가능하도록 설계한다.
• 식별된 비합법적 흐름을 사이드 채널 악용, 구현 결함, 내부자 공격, 물리 신호 기반 은밀한 채널 등 공격 패턴에 매핑한다.
• 기본형과 확장형을 구분하는 공격 패턴의 분류 체계를 제안하며, 특히 은밀한 물리 채널을 새로운 위협 벡터로 중점적으로 다룬다.

실험 결과

연구 질문

• RQ1 순수 고립 히퍼바이저를 갖춘 구성 요소 기반 운영 체제에서 합법적 및 비합법적 정보 흐름의 완전한 집합은 무엇인가?
• RQ2 이러한 시스템에서 정보 흐름 메커니즘을 기반으로 공격 패턴을 체계적으로 분류할 수 있는 방법은 무엇인가?
• RQ3 기존의 고립 메커니즘을 우회하는 새로운 유형의 은밀한 채널은 무엇이 있으며, 특히 물리적 신호를 기반으로 하는 것은 어떤가?
• RQ4 고신뢰성 시스템의 형식적 분석을 지원하기 위해 정보 흐름의 대수적 모델을 어떻게 구성하고 확장할 수 있는가?
• RQ5 물리적 신호 기반 통신(은밀한 물리 채널)은 구성 요소 기반 시스템의 다수 레벨 보안에 어떤 영향을 미치는가?

주요 결과

• 고립된 파티션 간에 빛이나 음향파와 같은 물리적 신호를 통해 정보를 교환할 수 있는 새로운 유형의 은밀한 채널—은밀한 물리 채널—가 식별되었다.
• 재귀적 워크 알고리즘이 특정 파티션에서의 가장 짧은 형태의 비합법적 정보 흐름을 성공적으로 식별하여 체계적인 위협 모델링을 가능하게 하였다.
• 분류 체계는 공격 패턴이 구현 결함, 정책 손상, 사이드 채널 공격, 물리적 공격에 이르기까지 다양함을 드러내며, 은밀한 물리 채널이 이전에 간과되었던 위협임을 확인하였다.
• 제안된 대수적 모델은 정보 흐름 분석을 위한 형식적 기반을 제공하며, 환경, 네트워크, 사용자 참가자를 향한 확장을 수용할 수 있다.
• 은밀한 물리 채널은 참조 모니터가 제어하지 않는 물리 계층 특성을 악용하므로, 구성 요소 기반 시스템에서 도메인 분리에 치명적인 위협임을 입증하였다.
• 형식적으로 검증된 커널을 갖춘 시스템에서도 물리적 및 사이드 채널 수단을 통해 의도하지 않은 정보 흐름이 발생할 수 있음을 입증하였으며, 이는 더 넓은 위협 모델링의 필요성을 시사한다.