[논문 리뷰] Extracting and Verifying Cryptographic Models from C Protocol Code by Symbolic Execution

Mihhail Aizatulin, Andrew D. Gordon외 1명|arXiv (Cornell University)|2011. 07. 06.

Security and Verification in Computing인용 수 13

한 줄 요약

이 논문은 기호 실행을 통해 기호 모델을 추출하고 ProVerif를 사용해 검증함으로써, 사전에 존재하는 프로토콜 명세나 수동 주석 없이도 약한 기밀성과 인증을 위한 완전 자동, 계산적으로 타당한 방법을 제안한다. 이 방법은 단일 실행 경로에 국한되지만 포인터와 동적 메모리가 포함된 저수준 C 코드의 검증을 가능하게 한다.

ABSTRACT

Consider the problem of verifying security properties of a cryptographic protocol coded in C. We propose an automatic solution that needs neither a pre-existing protocol description nor manual annotation of source code. First, symbolically execute the C program to obtain symbolic descriptions for the network messages sent by the protocol. Second, apply algebraic rewriting to obtain a process calculus description. Third, run an existing protocol analyser (ProVerif) to prove security properties or find attacks. We formalise our algorithm and appeal to existing results for ProVerif to establish computational soundness under suitable circumstances. We analyse only a single execution path, so our results are limited to protocols with no significant branching. The results in this paper provide the first computationally sound verification of weak secrecy and authentication for (single execution paths of) C code.

연구 동기 및 목표

• 사전에 존재하는 명세 없이도 C 구현과 공식 프로토콜 검증 간 격차를 메우기 위해 C 코드를 직접 검증할 수 있도록 하는 것.
• 암호학적 모델에 대해 형식적으로 타당한 보안 성질을 C 소스 코드에 직접 정의하는 것.
• 포인터와 동적 메모리 조작을 포함한 C 코드에서 고수준 프로토콜 모델을 자동으로 추출하고, 확장 가능한 방법을 개발하는 것.
• 추출된 모델이 계산적 타당성에 따라 보안 성질을 유지하도록 보장하고, 기존 도구(예: ProVerif)를 사용해 검증할 수 있도록 하는 것.
• 메모리 안전성 검증을 명시적으로 수행함으로써 레거시 및 메모리 안전하지 않은 C 코드를 지원하는 것.

제안 방법

• 메모리 상태를 과도하게 근사하기 위해 비트스트링 값을 갖는 기호 변수를 사용해 C 프로그램을 기호적으로 실행함으로써, 모든 가능한 실행 경로 분석이 가능하도록 하는 것.
• 기호 실행 트레이스를 저수준 메모리 연산과 파괴적 업데이트를 추상화한 중간 언어로 변환하는 것.
• 추출된 모델을 ProVerif와 호환되는 프로세스 계산 기반 표현으로 변환하기 위해 대수적 재작성 기법을 적용하는 것.
• 이전 연구에서 확보한 계산적 타당성 결과를 활용해 ProVerif에서의 기호 검증을 C 프로그램의 계산적 보안 정의와 연결하는 것.
• CIL를 사용해 C 코드를 단순한 스택 기반 중간 언어(CVM)로 컴파일하여 기호 실행을 단순화하고 컴파일의 정확성을 보장하는 것.
• 복잡성을 관리하기 위해 단일 실행 경로로 분석을 제한하지만, 동적 메모리 할당과 포인터 산술을 여전히 지원하는 것.

실험 결과

연구 질문

• RQ1 사전에 존재하는 프로토콜 명세에 의존하지 않고도 C 소스 코드에 대해 보안 성질(예: 약한 기밀성 및 인증)을 공식적으로 정의할 수 있는가?
• RQ2 포인터와 동적 메모리가 포함된 C 코드에서 보안 의미를 유지하면서 고수준 프로토콜 모델을 자동으로 추출할 수 있는가?
• RQ3 기호 실행 기반의 모델 추출이 계산적 보안 정의에 대해 타당한가?
• RQ4 기존의 프로토콜 검증 도구(예: ProVerif)를 사용해 추출된 모델의 보안 성질을 계산적 타당성과 함께 검증할 수 있는가?
• RQ5 복잡한 제어 흐름을 포함한 C 코드에 적용했을 때 이 방법의 한계는 무엇이며, 이를 어떻게 완화할 수 있는가?

주요 결과

• 이 방법은 프로토콜 명세나 수동 주석 없이도 단일 실행 경로에 대해 약한 기밀성과 인증에 대해 최초로 계산적으로 타당한 검증을 가능하게 한다.
• 기호 실행 엔진은 비트스트링 값을 갖는 기호 변수를 사용하여 길이가 알려지지 않거나 가변적인 메시지의 분석이 가능하며, 이는 이전 도구가 각 바이트를 별도로 처리하는 것과는 다름.
• 모델 추출 과정은 보안 의미를 유지하며, 결과적으로 ProVerif에서 직접 검증 가능한 형태로 단순화된다.
• 이 방법은 포인터와 동적 메모리 할당이 포함된 C 코드를 지원하며, 추출 과정에서 메모리 안전성을 명시적으로 검증한다.
• 이 방법은 비분기 코드 경로로 제한되지만, 이 제한은 대부분의 본질적으로 비분기적인 인증 프로토콜에 충분하다.
• 검증 실패 시 기호 실행 트레이스와 소스 코드 위치를 노출함으로써 디버깅에 도움이 되는 실질적인 피드백을 제공한다.