[논문 리뷰] Beyond Good and Evil: Formalizing the Security Guarantees of Compartmentalizing Compilation

Yannis Juglaret, Cătălin Hriţcu외 3명|arXiv (Cornell University)|2016. 02. 14.

Security and Verification in Computing참고 문헌 73인용 수 23

한 줄 요약

이 논문은 보안 격리 컴파일링(Secure Compartmentalizing Compilation, SCC)을 소개한다. SCC는 전체 추상화를 격리된 시스템으로 확장하여 공격자가 개별 컴포넌트를 손상시켜도 컴포넌트 격리가 유지됨을 보장하는 형식적 보안 성질이다. 저자들은 비안전한 명령형 언어에서 격리된 추상 기계로의 컴파일러에 대해 SCC를 증명함으로써, 현실적인 공격자 모델 하에서 안전한 컴포넌트 상호작용을 위한 형식적 보장을 확립한다.

ABSTRACT

Compartmentalization is good security-engineering practice. By breaking a large software system into mutually distrustful components that run with minimal privileges, restricting their interactions to conform to well-defined interfaces, we can limit the damage caused by low-level attacks such as control-flow hijacking. When used to defend against such attacks, compartmentalization is often implemented cooperatively by a compiler and a low-level compartmentalization mechanism. However, the formal guarantees provided by such compartmentalizing compilation have seen surprisingly little investigation. We propose a new security property, secure compartmentalizing compilation (SCC), that formally characterizes the guarantees provided by compartmentalizing compilation and clarifies its attacker model. We reconstruct our property by starting from the well-established notion of fully abstract compilation, then identifying and lifting three important limitations that make standard full abstraction unsuitable for compartmentalization. The connection to full abstraction allows us to prove SCC by adapting established proof techniques; we illustrate this with a compiler from a simple unsafe imperative language with procedures to a compartmentalized abstract machine.

연구 동기 및 목표

• 격리 컴파일링이 컴파일러 변환과 저수준 격리 메커니즘을 조합함으로써 제공하는 보안 보장을 형식화하는 것.
• 표준 전체 추상화가 격리 모델링에 미치는 한계를 식별하고, 이를 새로운 보안 성질로 보완하는 것.
• 메모리 안전성이 보장되지 않는 비안전 언어에서의 안전한 컴포넌트 상호작용에 대해 추론할 수 있는 형식적 프레임워크를 제공하는 것.
• 비안전한 명령형 언어에서 격리된 추상 기계로의 실제 컴파일러를 통해 SCC의 실현 가능성을 보여주는 것.
• 실제 시스템, 특히 C 컴파일러와 실제 하드웨어 기반 강제 메커니즘을 포함한 SCC의 확장 기반을 마련하는 것.

제안 방법

• 저자들은 상호 신뢰하지 않는 컴포넌트를 가진 격리된 시스템에 특화된 전체 추상화의 개선으로서 보안 격리 컴파일링(SCC)을 정의한다.
• 표준 전체 추상화가 격리 맥락에서 가지는 세 가지 핵심 한계를 규명한다: 컴포넌트 격리 부재, 권한 모델링 부재, 소스 언어의 정의되지 않은 동작 처리 실패.
• SCC는 표준 전체 추상화 성질을 컴포넌트 경계, 권한 분리, 소스 언어 내 공격자 능력 요소를 고려하여 확장함으로써 형식화된다.
• 증명 기법은 논리적 관계와 단계 인덱싱 모델을 포함한 기존 전체 추상화 기법을 변형하여, 컴포넌트가 손상된 상황에서의 컴포넌트 동작을 추론하는 데 사용된다.
• 간단한 비안전 명령형 언어(프로시저 포함)에서 격리된 추상 기계로의 프로토타입 컴파일러를 구현하고 Coq를 사용하여 SCC를 만족함을 증명하였다.
• 이 접근법은 C 컴파일러 및 태그 기반 참조 모니터나 프로세스 수준 샌드박싱과 같은 하드웨어 기반 강제 메커니즘을 대상으로 하는 실제 시스템으로의 확장이 가능하도록 설계되었다.

실험 결과

연구 질문

• RQ1 메모리 비안전 코드가 존재하는 환경에서 전체 추상화는 어떻게 격리 컴파일링의 보안 보장을 형식적으로 포괄할 수 있는가?
• RQ2 서로 신뢰하지 않는 컴포넌트를 가진 격리된 시스템에 표준 전체 추상화를 적용할 때의 핵심 한계는 무엇인가?
• RQ3 공격자가 개별 컴포넌트를 손상시켜도 컴포넌트 경계를 넘어서지 못하도록 보장하는 형식적 보안 성질을 정의할 수 있는가?
• RQ4 소스 언어의 정의되지 않은 동작는 격리 컴파일링을 위한 형식적 보안 모델 내에서 어떻게 처리할 수 있는가?
• RQ5 프로세스 샌드박싱, SFI 또는 능력 기반 머신과 같은 실질적 강제 메커니즘으로 SCC를 확장할 경우의 영향은 무엇인가?

주요 결과

• 논문은 상호 신뢰하지 않는 컴포넌트를 가진 격리된 시스템에 대해 전체 추상화를 확장하는 보안 격리 컴파일링(SCC)을 형식적 보안 성질로 성공적으로 정의하였다.
• SCC는 손상된 컴포넌트가 소스 언어에서 표현 가능한 동작에 국한되어 있음을 형식적으로 포괄함으로써 컴포넌트 경계 간의 권한 상승을 방지한다.
• 저자들은 프로시저를 포함한 비안전 명령형 언어에서 격리된 추상 기계로의 컴파일러가 SCC를 만족함을 증명하여 이 접근법의 실현 가능성을 입증하였다.
• 증명는 논리적 관계와 단계 인덱싱과 같은 기존 기법을 컴포넌트 격리와 정의되지 않은 동작를 다룰 수 있도록 변형하여 기반으로 한다.
• 이 프레임워크는 확장 가능하며, 태그 기반 참조 모니터와 같은 하드웨어 기반 강제 메커니즘을 대상으로 하는 C 컴파일러와 같은 실제 시스템에 적용할 수 있다.
• 이 작업은 웹 브라우저와 운영 체제 구성 요소를 포함한 실질적 시스템에서의 보안 컴파일링의 형식적 검증을 위한 길을 열었다.