[논문 리뷰] Debloating Software through Piece-Wise Compilation and Loading

Anh Quach, Aravind Prakash외 1명|arXiv (Cornell University)|2018. 02. 02.

Security and Verification in Computing인용 수 30

한 줄 요약

이 논문은 컴파일러 기반의 debloating 프레임워크를 제안하며, 소프트웨어 컴포넌트를 조각별로 컴파일하고 로드할 수 있도록 하여 벤치마크 프로그램에서 최대 86%까지 코드 블로팅을 감소시키고, coreutils에서는 79% 이상 감소시켰다. 이는 功能적 회귀 없이도 이루어졌으며, 취약하고 재사용 가능한 가젯 코드를 포함한 불필요한 코드를 제거함으로써 보안 및 성능 향상 효과를 입증했다. 로드 시간 오버헤드는 최소 수준을 유지하였다. 이는 Firefox 및 curl과 같은 실제 응용 프로그램에서 뚜렷한 이점을 제공한다.

ABSTRACT

Programs are bloated. Our study shows that only 5% of libc is used on average across the Ubuntu Desktop environment (2016 programs); the heaviest user, vlc media player, only needed 18%. In this paper: (1) We present a debloating framework built on a compiler toolchain that can successfully debloat programs (shared/static libraries and executables). Our solution can successfully compile and load most libraries on Ubuntu Desktop 16.04. (2) We demonstrate the elimination of over 79% of code from coreutils and 86% of code from SPEC CPU 2006 benchmark programs without affecting functionality. We show that even complex programs such as Firefox and curl can be debloated without a need to recompile. (3) We demonstrate the security impact of debloating by eliminating over 71% of reusable code gadgets from the coreutils suite and show that unused code that contains real-world vulnerabilities can also be successfully eliminated without adverse effects on the program. (4) We incur a low load time overhead.

연구 동기 및 목표

• 실제로 사용되는 라이브러리 코드의 일부분에 불과한 소프트웨어 블로팅 문제를 해결하기 위해.
• 사용되지 않는 코드를 제거할 수 있도록 선택적 컴파일링과 런타임 로딩을 가능하게 하는 컴파일러 툴체인 설계 및 구현을 위해.
• 실제 응용 프로그램과 시스템 라이브러리의 기능 정합성, 성능 오버헤드, 보안 영향을 평가하기 위해.
• 재컴파일 없이도 Firefox 및 curl과 같은 복잡한 프로그램에 대해 debloating을 적용할 수 있으며, 기능을 유지할 수 있음을 입증하기 위해.
• 실제 세계의 취약성을 포함한 불필요한 코드를 제거함으로써 공격 표면을 얼마나 줄일 수 있는지 정량화하기 위해.

제안 방법

• 수정된 컴파일러 툴체인을 활용하여 라이브러리 및 실행 파일에서 필수 코드 세그먼트를 분석하고 추출하기 위해.
• 조각별 컴파일링과 로딩을 구현하여 런타임에 필요한 함수와 데이터만 로드할 수 있도록 하기 위해.
• Ubuntu Desktop 16.04 환경에서 다양한 프로그램의 사용 및 비사용 코드 경로를 식별하기 위해 정적 및 동적 분석을 사용하기 위해.
• 필요한 코드 세그먼트만 필요에 따라 로드할 수 있도록 바이너리 인스트루멘테이션과 런타임 로딩 메커니즘을 적용하기 위해.
• 기존 빌드 시스템과 런타임 환경과 통합하여 후행 호환성과 최소한의 교란을 보장하기 위해.
• coreutils, SPEC CPU 2006 벤치마크, Firefox 및 curl과 같은 생산용 응용 프로그램에서 광범위한 테스트를 통해 기능성을 검증하기 위해.

실험 결과

연구 질문

• RQ1 기능에 손상이 가지 않도록 실제 프로그램에서 불필요한 코드를 얼마나 안전하게 제거할 수 있는가?
• RQ2 다양한 소프트웨어 워크로드에서 조각별 컴파일링 및 로딩이 코드 크기를 얼마나 효과적으로 줄이는가?
• RQ3 런타임 로딩 메커니즘이 유도하는 성능 오버헤드는 어느 정도인가?
• RQ4 debloating이 재사용 가능한 코드 가젯 수와 알려진 취약성의 수를 어느 정도 줄이는가?
• RQ5 재컴파일 없이도 Firefox 및 curl과 같은 복잡한 사전 컴파일된 바이너리에 debloating을 적용할 수 있는가?

주요 결과

• 2016년 Ubuntu 데스크톱 프로그램 2016개에서 libc의 평균 사용 비율은 5%이며, vlc 미디어 픲레이는 최대 18%까지 사용되었다.
• 이 프레임워크는 coreutils를 79% 이상, SPEC CPU 2006 벤치마크를 86% 이상 debloating하여 기능적 회귀 없이 성공적으로 구현하였다.
• coreutils 스위트에서 재사용 가능한 코드 가젯의 71% 이상을 제거하여 잠재적 공격 표면을 감소시켰다.
• 실제 세계의 취약성을 포함한 불필요한 코드는 프로그램 동작에 부정적 영향을 주지 않고 성공적으로 제거되었다.
• 런타임 로드 시간 오버헤드는 낮게 유지되어 생산 환경 배포의 실용성을 입증하였다.
• 이 방법은 재컴파일 없이도 Firefox 및 curl과 같은 복잡한 사전 컴파일된 바이너리에 대해 debloating을 적용할 수 있도록 하였다.