[논문 리뷰] Compositional closure for Bayes Risk in probabilistic noninterference

Annabelle McIver, Larissa Meinicke외 1명|arXiv (Cornell University)|2010. 07. 07.

Security and Verification in Computing참고 문헌 17인용 수 5

한 줄 요약

이 논문은 베이즈 위험을 기반으로 한 확률적 비상호작용 보안을 위한 조합적 정교화 순서를 제안하며, 계층적 사양과 구현을 통해 안전한 시스템 개발을 가능하게 한다. 이는 정교화 순서가 기본 테스트 순서의 조합적 폐쇄임을 증명하여, 조합 시에도 안전한 사양이 유지됨을 보장하며, 익명 다수의 3명의 판사 프로토콜에 적용하여 정당성 증명의 실용적 단순화를 보여준다.

ABSTRACT

We give a sequential model for noninterference security including probability (but not demonic choice), thus supporting reasoning about the likelihood that high-security values might be revealed by observations of low-security activity. Our novel methodological contribution is the definition of a refinement order and its use to compare security measures between specifications and (their supposed) implementations. This contrasts with the more common practice of evaluating the security of individual programs in isolation. The appropriateness of our model and order is supported by our showing that our refinement order is the greatest compositional relation --the compositional closure-- with respect to our semantics and an "elementary" order based on Bayes Risk --- a security measure already in widespread use. We also relate refinement to other measures such as Shannon Entropy. By applying the approach to a non-trivial example, the anonymous-majority Three-Judges protocol, we demonstrate by example that correctness arguments can be simplified by the sort of layered developments --through levels of increasing detail-- that are allowed and encouraged by compositional semantics.

연구 동기 및 목표

• 보안 민감 데이터를 포함한 시스템에서 확률적 비상호작용에 대한 조합적 추론을 지원하는 형식적 정교화 관계를 개발하는 것.
• 사양과 구현 간의 정량적 비교를 가능하게 하는 베이즈 위험 기반 보안 측도를 정의하는 것.
• 제안된 정교화 순서가 베이즈 위험 기반 기본 테스트 순서에 대해 가장 큰 조합적 관계임을 확립하는 것.
• 비틀린 사례 연구인 익명 다수의 3명의 판사 프로토콜을 통해 이 프레임워크의 실용적 유용성을 입증하는 것.
• 이론적 보안 측도와 실질적 프로그램 개발 간 격차를 메우기 위해 계층적이고 모듈러한 검증을 가능하게 하는 것.

제안 방법

• 비악행 선택이 없는 프로그램에 대한 순차적 확률적 의미 체계를 제안하며, 상태의 진화를 고변수 및 저변수에 대한 분포를 통해 모델링한다.
• 베이즈 위험 기반의 기본 테스트 순서를 정의하며, 저관측치로부터 고변수를 정확히 추론할 확률을 측정한다.
• 사양과 구현을 비교하는 정교화 순서 $\mathrel{\sqsubseteq}$를 제안하며, $S \mathrel{\sqsubseteq} I$이면 $I$가 $S$보다 베이즈 위험 기준으로 적어도 동일한 보안 수준을 확보함을 보장한다.
• 정교화 순서 $\mathrel{\sqsubseteq}$가 기본 순서 $\mathrel{\preceq}$의 조합적 폐쇄임을 증명하여, 프로그램 조합 시 보안이 유지됨을 보장한다.
• 분포와 초분포의 행렬 표현을 사용하여 정교화 관계와 그 폐쇄 성질을 형식적으로 정의하고 추론한다.
• 프레임워크를 3명의 판사 프로토콜에 적용하여, 정교화 순서 기반의 계층적 개발을 통해 정당성 증명이 단순화됨을 보여준다.

실험 결과

연구 질문

• RQ1 베이즈 위험을 보안 측도로 사용할 때, 조합 시 보안을 보장하는 정교화 순서를 정의할 수 있는가?
• RQ2 제안된 정교화 순서는 베이즈 위험 기반 기본 테스트 순서에 대해 가장 큰 조합적 관계인가?
• RQ3 이 정교화 프레임워크를 사용하여 확률적 비상호작용에서 계층적이고 모듈러한 검증을 어떻게 지원할 수 있는가?
• RQ4 이러한 접근 방식은 비틀린 프로토콜인 3명의 판사 시스템과 같은 경우에 정당성 증명을 어느 정도 단순화할 수 있는가?
• RQ5 정교화 순서는 샤논 엔트로피와 같은 다른 정보 측도와 어떻게 관련이 있는가?

주요 결과

• 정교화 순서 $\mathrel{\sqsubseteq}$가 베이즈 위험 기반 기본 테스트 순서 $\mathrel{\preceq}$의 조합적 폐쇄임을 증명하여, 조합 시 보안 성질이 유지됨을 보장한다.
• 이 프레임워크는 사양 수준에서 보안 성질을 검증하고 정교화를 통해 구현으로 상속함으로써 모듈러 검증을 가능하게 한다.
• 3명의 판사 프로토콜 사례 연구는 정교화 순서 기반의 계층적 개발을 통해 정당성 증명이 상당히 단순해짐을 보여준다.
• 이 방법은 베이즈 위험을 샤논 엔트로피와 같은 다른 측도와 연관지어, 베이즈 위험을 통한 정교화가 다른 불확실성 측도 기반 보안을 암시함을 보여준다.
• 복잡한 구현의 보안을 더 단순한 추상 사양으로부터 유추할 수 있어 분석의 효율성을 높이며, 중복 계산의 필요성을 줄인다.
• 분포와 초분포의 행렬 표현을 사용함으로써 정교화 관계와 그 성질에 대한 구성적이고 형식적인 기반을 제공한다.