[논문 리뷰] Flexible Dynamic Information Flow Control in the Presence of Exceptions

Deian Stefan, Alejandro Russo외 2명|arXiv (Cornell University)|2012. 07. 05.

Security and Verification in Computing참고 문헌 13인용 수 4

한 줄 요약

이 논문은 허스켈에서 레이블된 입출력 모나드(LIO)를 사용하여 런타임 레이블 추적과 청소 경계를 통해 기밀성과 무결성을 강제하는 동적, 플로ating 레이블 정보 흐름 제어 시스템을 제안한다. 기밀성과 무결성을 보장하기 위해 레이블된 예외 및 가변 참조에 대한 새로운 지원을 도입하고, 비상호작용성(non-interference) 및 봉쇄(confinement) 정리를 증명하며, 보안 회의 리뷰 시스템(λChair)을 통해 실용성을 입증한다.

ABSTRACT

We describe a new, dynamic, floating-label approach to language-based information flow control. A labeled IO monad, LIO, keeps track of a current label and permits restricted access to IO functionality. The current label floats to exceed the labels of all data observed and restricts what can be modified. Unlike other language-based work, LIO also bounds the current label with a current clearance that provides a form of discretionary access control. Computations may encapsulate and pass around the results of computations with different labels. In addition, the LIO monad offers a simple form of labeled mutable references and exception handling. We give precise semantics and prove confidentiality and integrity properties of a call-by-name λ-calculus and provide an implementation in Haskell.

연구 동기 및 목표

• 런타임에 사용자와 데이터 유형이 추가되는 동적 환경에서 정적 정보 흐름 제어의 한계를 해결하기 위해.
• 보안을 포기하지 않으면서도 레이블 생성과 강제 수행이 가능한 유연하고 실용적인 언어 기반 IFC 시스템을 제공하기 위해.
• 현재 레이블을 제한하고 민감한 데이터에 대한 노출을 줄이기 위해 청소를 디스cretionary 접근 제어 메커니즘으로 도입하기 위해.
• 안전한 레이블 기반 계산 모델 내에서 예외 및 가변 상태를 안전하게 처리할 수 있도록 하기 위해.
• 충돌의 이익 관계와 리뷰어 배정 기반 동적 접근 제어를 갖춘 실세계 응용 프로그램인 보안 온라인 회의 리뷰 시스템을 통해 접근 방식을 입증하기 위해.

제안 방법

• 현재 레이블을 추적하고, 관찰되거나 수정된 모든 데이터가 현재 레이블보다 작거나 같아야 하는 LIO라는 레이블된 IO 모나드를 설계하기 위해.
• 현재 레이블을 어휘적 범위 내에서 제한하는 청소 메커니즘을 도입하여, 디스cretionary 접근 제어를 강제하고 공격 표면을 줄이기 위해.
• 결과를 높은 레이블로 봉인하는 데 사용되는 toLabeled 연산자를 구현하여, 민감한 데이터를 레이블 경계를 넘어서 안전하게 전달할 수 있도록 하기 위해.
• 레이블된 가변 참조와 예외 처리를 지원하며, 예외는 현재 레이블로 레이블링되어 정보 泄露를 방지하기 위해.
• 레이블된 유형을 갖춘 명시적 호출(call-by-name) λ-미니멀러스 컬큘러스를 사용하여 시스템을 형식화하고, 비상호작용성 및 봉쇄 정리를 증명하기 위해.
• 언어 확장 없이도 유형 안정성을 활용하여 허스켈 전부에서 LIO 라이브러리를 완전히 구현하여, 전체 시스템이 언어 확장 없이 라이브러리로만 구성될 수 있음을 보여주기 위해.

실험 결과

연구 질문

• RQ1 사용자 입력이나 맥락에 기반해 런타임에서 레이블을 생성할 수 있는 동적 플로팅 레이블 IFC 시스템을 어떻게 설계할 수 있는가?
• RQ2 언어 기반 IFC 시스템에 청소 메커니즘을 통합하여 디스cretionary 접근 제어를 제공하고, 은폐 채널의 위험을 줄일 수 있는가?
• RQ3 예외 레이블을 통해 민감한 정보가 泄露되지 않도록 하기 위해 동적 IFC 시스템에서 예외를 안전하게 처리할 수 있는가?
• RQ4 비상호작용성을 위반하지 않으면서도 동적 IFC 모델에서 레이블된 가변 참조를 얼마나 안전하게 지원할 수 있는가?
• RQ5 순수 라이브러리 기반의 허스켈에서 IFC가 강력한 보안 보장을 달성하면서도 실용적이고 조합 가능할 수 있는가?

주요 결과

• LIO 시스템은 비상호작용성을 강제하여, 하위 수준의 결과가 고수준 입력에 의존할 수 없음을 입증함으로써 정보 泄露를 방지한다.
• 청소 메커니즘이 범위 내에서 어떤 계산의 레이블을 효과적으로 제한하여, 신뢰할 수 있는 코드 표면을 줄이는 디스cretionary 접근 제어의 형태를 제공한다.
• 예외는 현재 레이블로 레이블링되어 있어 정보 泄露를 방지하는 안전한 예외 처리를 지원한다.
• toLabeled 연산자는 고수준 계산의 결과를 안전하게 封입하고 전달할 수 있도록 하여, 레이블 전파에 대한 세밀한 제어를 가능하게 한다.
• 형식화된 모델과 구현은 동적 IFC가 표현력 있고도 안전할 수 있음을 입증하며, 정적 접근 방식과 비교해 비슷한 보안 보장을 제공한다.
• λChair 시스템 프로토타입은 모델이 충돌의 이익 관계와 리뷰어 배정을 포함한 실세계 시나리오에서 동적 접근 제어를 안전하게 관리할 수 있음을 보여준다.