[논문 리뷰] Binsec/Rel: Efficient Relational Symbolic Execution for Constant-Time at Binary-Level

Lesly-Ann Daniel, Sébastien Bardin외 1명|arXiv (Cornell University)|2019. 12. 18.

Security and Verification in Computing참고 문헌 80인용 수 53

한 줄 요약

Binsec/Rel은 상수시간 분석을 위한 이진 수준 관계형 심볼릭 실행 도구로, 버그 탐지와 경계 검증을 가능하게 하며, 이전 접근법에 비해 상당한 속도 향상을 제공하고 컴파일러 최적화로 인한 CT 위반을 발견합니다.

ABSTRACT

The constant-time programming discipline (CT) is an efficient countermeasure against timing side-channel attacks, requiring the control flow and the memory accesses to be independent from the secrets. Yet, writing CT code is challenging as it demands to reason about pairs of execution traces (2- hypersafety property) and it is generally not preserved by the compiler, requiring binary-level analysis. Unfortunately, current verification tools for CT either reason at higher level (C or LLVM), or sacrifice bug-finding or bounded-verification, or do not scale. We tackle the problem of designing an efficient binary-level verification tool for CT providing both bug-finding and bounded-verification. The technique builds on relational symbolic execution enhanced with new optimizations dedicated to information flow and binary-level analysis, yielding a dramatic improvement over prior work based on symbolic execution. We implement a prototype, Binsec/Rel, and perform extensive experiments on a set of 338 cryptographic implementations, demonstrating the benefits of our approach in both bug-finding and bounded-verification. Using Binsec/Rel, we also automate a previous manual study of CT preservation by compilers. Interestingly, we discovered that gcc -O0 and backend passes of clang introduce violations of CT in implementations that were previously deemed secure by a state-of-the-art CT verification tool operating at LLVM level, showing the importance of reasoning at binary-level.

연구 동기 및 목표

• 비밀에 독립적인 제어 흐름과 메모리 접근이 보장되도록(상수 시간) 강력한 시간 사이드 채널 공격 보호를 유도합니다.
• 고수준 CT 분석의 한계를 극복하고 버그 탐지와 경계 검증을 지원하는 이진 수준 검증기를 제공합니다.
• x86 및 ARM에서 실제 암호 구현을 다루는 확장 가능한 컴파일러에 구애받지 않는 분석 도구를 개발합니다.
• 이진 수준 정보 흐름에 특화된 관계형 심볼릭 실행 기법을 도입하여 확장성과 정밀도를 높입니다.

제안 방법

• RelSE를 이진 수준 분석으로 확장하여 동일한 경로를 최대한의 공유로 추적하는 두 개의 트레이스를 모델링합니다.
• 이진 수준 정보 흐름 추적을 위한 즉시 단순화를 도입하여 해석기(솔버) 질의 수를 줄입니다.
• 비밀이 메모리와 실행에 미치는 영향을 다듬기 위해 untainting 및 fault-packing 기법을 개발합니다.
• 이진 프로그램과 누출을 모델링하기 위해 중간 표현으로 Dynamic Bitvector Automata(DBA)를 사용합니다.
• CT에 대해 버그 탐지 및 경계 검증의 정당성을 증명하는 형식적 정확성 기반을 제공합니다.
• 자동 반례 생성 및 CT 보존 연구를 포함하여 338개의 암호 구현에서 효과성을 시연합니다.

실험 결과

연구 질문

• RQ1 Binsec/Rel이 상수 시간에 대한 완전한 버그 탐지 및 경계 검증를 보존하면서 실제 암호 이진 파일로 확장될 수 있습니까?
• RQ2 이진 수준 정보 흐름 추적을 어떻게 강화하여 RelSE에서 공유를 극대화하고 솔버 질의 수를 최소화할 수 있을까요?
• RQ3 컴파일러 최적화(gcc -O0, clang 백엔드)가 LLVM 수준 CT 검증 도구에서 감지되지 않는 CT 위반을 도입합니까?
• RQ4 Binsec/Rel은 속도, 커버리지, 암호 코드에 대한 CT를 입증하는 능력 측면에서 자기 구성(self-composition) 및 RelSE와 어떻게 비교됩니까?

주요 결과

• Binsec/Rel은 약 23 million 개의 명령어를 98분 안에 분석하여 실용적 확장성을 크게 확보합니다.
• 이 도구는 버그 탐지 및 경계 검증 시나리오에서 최첨단 이진 수준 CT 검증 접근법보다 큰 차이로 우수합니다.
• RelSE 및 자기 구성만으로는 실제 암호 구현의 이진 수준 CT에서 확장하는 데 실패하는 반면, Binsec/Rel은 극적인 속도 향상을 제공합니다.
• 컴파일러 최적화(gcc -O0 및 clang 백엔드 패스)가 LLVM 수준 도구로는 놓치는 CT 위반을 도입할 수 있어 이진 수준 분석의 필요성을 강조합니다.
• Binsec/Rel은 비교 가능한 접근법에 비해 버그 탐지에서 700배의 속도 향상을 보이며 경계 검증에 필요한 SE 오버헤드에 근접합니다.
• 이 접근법은 prior CT 버그의 자동 재생 및 408 구성과 296개 암호 구현에 걸친 반례 생성을 가능하게 하여 컴파일러 및 아키텍처 전반에서 CT 보존 문제를 검증합니다.