[논문 리뷰] Algebraic Foundations for Information Theoretical, Probabilistic and Guessability measures of Information Flow

Pasquale Malacaria|arXiv (Cornell University)|2011. 01. 18.

Security and Verification in Computing참고 문헌 16인용 수 20

한 줄 요약

이 논문은 양적 정보 유출(QIF) 측정법—정보 이론, 확률, 추측 가능성—을 통합하는 대수적 기초로 정보의 격자(LoI)를 설정한다. LoI에서의 정렬(refinement)이 세 가지 측정법 전반에 걸쳐 유출 감소와 대응됨을 보여주며, 한 프로그램의 관측 등가 관계가 다른 프로그램의 것보다 더 정밀한 경우, 그 프로그램의 엔트로피는 낮아지고, 추측 가능성은 높아지며, n번의 尝시도 내에 비밀을 추측할 확률도 더 높아진다는 것을 증명한다. 이는 세 가지 접근법을 하나의 대수적 프레임워크로 통합한다.

ABSTRACT

Several mathematical ideas have been investigated for Quantitative Information Flow. Information theory, probability, guessability are the main ideas in most proposals. They aim to quantify how much information is leaked, how likely is to guess the secret and how long does it take to guess the secret respectively. In this paper, we show how the Lattice of Information provides a valuable foundation for all these approaches; not only it provides an elegant algebraic framework for the ideas, but also to investigate their relationship. In particular we will use this lattice to prove some results establishing order relation correspondences between the different quantitative approaches. The implications of these results w.r.t. recent work in the community is also investigated. While this work concentrates on the foundational importance of the Lattice of Information its practical relevance has been recently proven, notably with the quantitative analysis of Linux kernel vulnerabilities. Overall we believe these works set the case for establishing the Lattice of Information as one of the main reference structure for Quantitative Information Flow.

연구 동기 및 목표

• 정보 이론적, 확률적, 추측 가능성 측도를 통합하는 공통의 대수적 프레임워크를 확립하기 위해.
• 정보의 격자(LoI)를 프로그램의 기밀성 위협을 분류하기 위한 기초적 구조로 설정하기 위해.
• LoI 정렬이 엔트로피, 추측 확률, 평균 추측 횟수 전반에 걸쳐 일관된 순서를 보임을 보여주기 위해.
• LoI 기반 분석이 실제 시스템의 취약성, 예를 들어 리눅스 커널에서의 사례를 포함해 실질적인 정량적 검증을 가능하게 함을 보여주기 위해.
• LoI 순서에 기반한 분석이 일견 정의되지 않은 상대적 취약성의 결정 요소가 되며, 이는 LoI 순서에 의해 결정됨을 보여줌으로써 QIF의 기초 논쟁, 예를 들어 한 번의 추측 모델과 정보 이론 모델 간의 괴리 문제를 해결하기 위해.

제안 방법

• 공격자 시각을 비밀 상태 집합 위의 등가 관계로 모델링하여 관측에 의한 구분 불가능성을 표현한다.
• 상태 공간 위의 모든 등가 관계의 집합으로서 정보의 격자(LoI)를 정의하며, 이는 정렬에 의해 완전 격자(complete lattice)를 이룬다.
• LoI를 사용해 QIF를 두 단계로 분해한다: (1) 등가 관계로서의 대수적 해석, (2) 엔트로피, 확률 또는 추측 가능성에 의한 수치적 평가.
• LoI 정렬(즉, 더 정밀한 등가 관계)이 엔트로피 감소, 추측 가능성 증가, n번 시도 내 추측 확률 증가를 암시함을 증명한다.
• 반복 기반 분할과 충돌 등가 관계의 교차를 통해 루프를 모델링한다.
• 가정-보장 추론과 기호적 모델 체킹(CBMC 등)을 사용해 채널 용량의 상한을 계산함으로써, 실제 C 코드에 대한 확장 가능한 분석을 가능하게 한다.

실험 결과

연구 질문

• RQ1 정보 이론적, 확률적, 추측 가능성 측도를 통합하는 데 있어 하나의 대수적 구조로 통합할 수 있는가?
• RQ2 정보의 격자(LoI)에서의 정렬이 엔트로피, 추측 확률, 평균 추측 횟수 전반에 걸쳐 일관된 순서를 보이는가?
• RQ3 LoI 프레임워크는 한 번의 추측 모델과 정보 이론 모델 간의 괴리 문제를 해결할 수 있는가?
• RQ4 LoI 프레임워크는 리눅스 커널과 같은 실제 시스템에 실제로 적용 가능한가?
• RQ5 LoI 기반 분석은 루프와 실제 C 프로그램과 같은 복잡한 구조에 대해 확장 가능한가?

주요 결과

• 정보의 격자(LoI)에서 등가 관계의 정렬은 정보 이론적 관점에서 엔트로피 유출가 엄격히 감소함을 의미한다. 즉, 시스템은 더 적은 취약성을 지닌다.
• LoI(P')가 LoI(P)를 정렬하는 한, 어떤 비밀 분포에 관계없이 n번의 尝시도 내에 비밀을 추측할 확률은 P'에서 P보다 엄격히 높다.
• P'를 해독하기 위해 필요한 평균 추측 횟수는 P보다 엄격히 적다. 즉, P'는 추측 가능성 측도에서 더 취약하다.
• 이 세 측도—엔트로피, n회 추측 확률, 평균 추측 횟수—는 LoI 정렬 하에서 일관된 계층을 형성하며, 서로 다른 모델 간에 모순이 없다.
• LoI 프레임워크는 반복 기반 분할과 충돌 등가 관계의 교차로 표현된 루프의 LoI를 통해 확장 가능한 분석을 가능하게 하며, 정보 유출의 공식적 계산을 가능하게 한다.
• 이 프레임워크는 리눅스 커널의 실제 CVE 취약성 수정 사례를 정량화하고 검증하는 데 성공적으로 적용되었으며, QIF가 산업 시스템에 실질적으로 적용 가능함을 보여준다.