[논문 리뷰] Beyond Full Abstraction: Formalizing the Security Guarantees of Low-Level Compartmentalization

Yannis Juglaret, Cătălin Hriţcu외 2명|arXiv (Cornell University)|2016. 02. 14.

Security and Verification in Computing참고 문헌 60인용 수 1

한 줄 요약

이 논문은 최소한의 권한과 명확하게 정의된 인터페이스를 가진 시스템에서 저수준의 컴partimentalization의 보안 보장을 특성화하는 형식적 보안 성질인 보안 컴partimentalization을 도입한다. 저자들은 표준 전순사상(compilation)의 세 가지 핵심 한계를 해결하기 위해 전순사상 기법을 확장하여, 안전하지 않은 명령형 언어와 그 컴파일러가 보안 컴파트먼트화된 추상 기계로의 컴파일에 대해 보안 컴파트먼트화를 증명한다. 이는 기존의 증명 기법을 사용하여 이루어진다.

ABSTRACT

Compartmentalization is widely regarded as good security-engineering practice: if we break up a large software system into mutually distrustful components that run with minimal privileges, restricting their interactions to conform to well-defined interfaces, we can limit the damage caused by lowlevel attacks such as control-flow hijacking. But the formal guarantees provided by such low-level compartmentalization have seen surprisingly little investigation. We propose a new property, secure compartmentalization, that formally characterizes the security guarantees provided by lowlevel compartmentalization and clarifies its attacker model. We rationally reconstruct the secure compartmentalization property starting from the well-established notion of fully abstract compilation, by identifying and lifting three important limitations that make standard full abstraction unsuitable for compartmentalization. The connection to full abstraction allows us to prove secure compartmentalization for language implementations by adapting established proof techniques; we illustrate this for a simple unsafe imperative language with procedures and a compiler from this language to a compartmentalized abstract machine.

연구 동기 및 목표

• 최소한의 권한과 고립된 구성 요소를 가진 시스템에서 저수준의 컴파트먼트화가 제공하는 보안 보장을 형식적으로 특성화하는 것.
• 표준 전순사상이 컴파트먼트화에 직접 적용되지 못하게 하는 세 가지 핵심 한계를 식별하고 해결하는 것.
• 기존의 전순사상 원칙에 기반하여 새로운 보안 성질인 보안 컴파트먼트화를 이성적으로 재구성하는 것.
• 실제 저수준 언어와 컴파일러 스택에서 보안 컴파트먼트화를 증명할 수 있음을 보여주는 것.
• 특히 제어 흐름 탈취와 권한 상승을 고려할 때 컴파트먼트화의 배경이 되는 공격자 모델을 명확히 하는 것.

제안 방법

• 표준 전순사상의 세 가지 한계를 식별하고 이를 제거하기 위해 보완하는 방식으로 보안 컴파트먼트화를 이성적으로 재구성: (1) 권한 분리에 대한 지원 부족, (2) 명시적인 공격자 모델 부재, (3) 저수준 사이드채널 상호작용에 대한 충분한 처리 부족.
• 절차를 가진 안전하지 않은 명령형 언어와 그 컴파일러에 대해 보안 컴파트먼트화를 증명하기 위해 기존의 전순사상 증명 기법을 응용하는 것.
• 각 구성 요소에 대해 고립성과 최소 권한을 강제하는 컴파트먼트화된 추상 기계 설계.
• 고수준 명령형 언어에서 추상 기계로의 컴파일러를 형식화하고, 보안 컴파트먼트화 성질을 유지하도록 보장하는 것.
• 논리적 관계와 단계 인덱스가 부여된 논리적 관계를 사용하여 컴파일레이어 간의 보안 보장을 모델링하고 검증하는 것.
• 제어 흐름 탈취 및 사이드채널 누출과 같은 저수준 위협을 포괄하는 정밀한 공격자 모델을 통합하는 것.

실험 결과

연구 질문

• RQ1 전순사상 개념을 어떻게 확장하여 저수준 컴파트먼트화의 보안 보장을 형식적으로 포괄할 수 있는가?
• RQ2 권한 분리된 구성 요소를 가진 시스템에 표준 전순사상이 적용될 때 나타나는 주요 한계는 무엇인가?
• RQ3 실제 저수준 언어와 그 컴파일러가 보안 컴파트먼트화된 기계로 컴파일될 경우, 보안 컴파트먼트화를 형식적으로 증명할 수 있는가?
• RQ4 컴파트먼트화된 시스템에서 제어 흐름 탈취와 같은 실제 위협을 포괄하기 위해 적절한 공격자 모델은 무엇인가?
• RQ5 기존의 전순사상 증명 기법은 보안 컴파트먼트화를 검증하기 위해 어떻게 적응시킬 수 있는가?

주요 결과

• 논문은 저수준 컴파트먼트화의 의도된 보안 보장을 포괄하는 형식적 성질로 보안 컴파트먼트화를 성공적으로 정의한다.
• 표준 전순사상의 세 가지 핵심 한계—권한 모델링 부재, 약한 공격자 모델링, 사이드채널 상호작용에 대한 부적절한 처리—가 형식적으로 식별되고 해결된다.
• 절차를 가진 단순한 안전하지 않은 명령형 언어와 그 컴파일러가 보안 컴파트먼트화된 추상 기계로 컴파일되는 데 대해 보안 컴파트먼트화 성질이 타당하게 증명된다.
• 증명 기법은 전순사상에서 유래된 기존 방법을 활용하여, 보안 컴파트먼트화가 기존 검증 프레임워크에 적합함을 보여준다.
• 공격자 모델이 제어 흐름 탈취와 같은 저수준 위협을 포함하도록 명확히 정의되어, 성질이 실제 위협 상황을 반영함을 보장한다.
• 결과적으로 보안 컴파트먼트화는 실무에서 컴파트먼트화된 시스템의 보안을 추론하기 위한 형식적 기반을 제공한다.