[논문 리뷰] Gaming security by obscurity

Duško Pavlović|arXiv (Cornell University)|2011. 09. 26.

Computability, Logic, AI Algorithms참고 문헌 40인용 수 13

한 줄 요약

이 논문은 현대 암호학의 기초 원리를 도전하며, 보안을 불완전한 정보의 게임이 아니라 불완전한 정보의 게임으로 모델링해야 한다고 주장한다. 이를 통해 논리적 복잡도를 활용한 '적용된 은폐 보안' 즉, 단방향 프로그래밍을 제안한다. 이는 방어자가 공격자의 행동을 학습하고 자신의 시스템 논리를 은폐함으로써 우위를 점할 수 있는 프레임워크를 제공하며, Kerckhoffs의 원칙과 공격자가 전지적인 능력을 지닌다는 가정을 재고하는 새로운 보안 패러다임을 제시한다.

ABSTRACT

Shannon sought security against the attacker with unlimited computational powers: *if an information source conveys some information, then Shannon's attacker will surely extract that information*. Diffie and Hellman refined Shannon's attacker model by taking into account the fact that the real attackers are computationally limited. This idea became one of the greatest new paradigms in computer science, and led to modern cryptography. Shannon also sought security against the attacker with unlimited logical and observational powers, expressed through the maxim that "the enemy knows the system". This view is still endorsed in cryptography. The popular formulation, going back to Kerckhoffs, is that "there is no security by obscurity", meaning that the algorithms cannot be kept obscured from the attacker, and that security should only rely upon the secret keys. In fact, modern cryptography goes even further than Shannon or Kerckhoffs in tacitly assuming that *if there is an algorithm that can break the system, then the attacker will surely find that algorithm*. The attacker is not viewed as an omnipotent computer any more, but he is still construed as an omnipotent programmer. So the Diffie-Hellman step from unlimited to limited computational powers has not been extended into a step from unlimited to limited logical or programming powers. Is the assumption that all feasible algorithms will eventually be discovered and implemented really different from the assumption that everything that is computable will eventually be computed? The present paper explores some ways to refine the current models of the attacker, and of the defender, by taking into account their limited logical and programming powers. If the adaptive attacker actively queries the system to seek out its vulnerabilities, can the system gain some security by actively learning attacker's methods, and adapting to them?

연구 동기 및 목표

• 암호학에서 오랫동안 지속된 보안이 비밀 키에만 의존해야 한다는 가정을 도전하며, '은폐로는 보안이 없다'는 개념을 거부한다.
• 공격자와 방어자 간의 능력 격차를 불완전한 정보의 게임으로 모델링하여, 양측이 상대방의 전략에 대한 믿음을 형성하도록 하며, 이를 통해 보안을 재정의한다.
• 논리적 복잡도를 기반으로 한 '적용된 은폐 보안'이라는 새로운 보안 패러다임을 제안하며, 이는 계산적으로 실행 가능하더라도 논리적으로 구성하기가 불가능한 공격을 저지할 수 있도록 한다.
• 믿음 계층과 알고리즘 정보 이론을 사용하여 공격자와 방어자 간의 상호작용 역학을 형식화하며, 기존의 공격자가 전지적인 지식을 갖춘다는 전통적 모델을 넘어서고자 한다.
• 공격자 프로파일링과 유형 추론이 기술적으로 필수적이면서도 사회적으로 위험할 수 있음을 탐색하며, 잘못된 경고를 방지하기 위해 높은 임계값을 설정할 것을 주장한다.

제안 방법

• 보안을 불완전한 정보의 게임으로 모델링하며, 플레이어들이 상대방의 유형(즉, 공격 전략 또는 시스템 행동)에 대한 믿음을 형성하도록 하며, 가능한 알고리즘에 대한 확률 분포로 수식화한다.
• 공격 알고리즘을 처음부터 구성하는 데의 어려움을 측정하기 위해 '랜덤화된 논리적 복잡도' 개념을 도입한다. 이는 알고리즘이 알려지면 쉽게 실행되지만, 처음부터 만드는 것은 어렵다는 점을 반영한다.
• 알고리즘 정보 이론을 적용하여 '단방향 프로그래밍'을 정의한다—방어자의 논리는 역공학적 분석이나 재구성에 매우 어렵게 설계되어 있으며, 암호학에서의 단방향 함수와 유사하다.
• 게임 이론적 믿음 계층(예: A가 B의 A에 대한 믿음을 알고 있다는 식)을 사용하여 적대적 상호작용의 순환적 추론을 모델링하며, 표본 추출 가능한 확률 분포로 수식화한다.
• 공격 벡터를 불완전한 정보 게임으로 형식화하며, 방어자가 공격자의 행동을 적응적으로 학습하고 방어 전략을 조정할 수 있도록 한다.
• 코알제브라 형식을 통합하여 반응 관계와 시스템 행동을 표현하며, 동적 보안 게임의 체계적인 분석을 가능하게 한다.

실험 결과

연구 질문

• RQ1 보안은 공격자의 행동 분석 외에도 방어자의 시스템 논리 구조를 은폐함으로써 향상시킬 수 있는가? 이는 Kerckhoffs의 원칙을 도전하는가?
• RQ2 프로그램의 논리적 복잡도가 단방향 프로그래밍의 기초로 기능할 수 있는 정도는 어느 정도이며, 이는 계산적 단방향 함수와 유사한가?
• RQ3 불완전한 정보 게임이 전통적인 불완전한 정보 게임 모델보다 실제 보안 역학을 더 잘 모델링할 수 있는가?
• RQ4 믿음 계층—즉, 믿음에 대한 믿음—은 공격자와 방어자 간의 전략적 상호작용에 어떤 역할을 하는가?
• RQ5 공격자 프로파일링과 유형 추론은 효과적이고 안전하게 만들 수 있는가? 잘못된 경고나 자가면역 반응과 유사한 시스템 장애를 피하기 위해선 어떻게 해야 하는가?

주요 결과

• 보안은 근본적으로 불완전한 정보의 게임이며, 불완전한 정보의 게임이 아니라 불완전한 정보의 게임이다. 핵심 과제는 방어자와 공격자가 상대방의 유형(즉, 전략 또는 알고리즘)에 대해 불확실하게 느끼는 데 있다.
• 모든 실행 가능한 공격 알고리즘이 결국 발견되고 구현될 것이라는 가정은, 모든 재귀 함수가 계산될 것이라는 가정만큼 강력하며, 이는 현실적이지 않으며 공격자의 능력을 과도하게 평가하게 만든다.
• 논리적 복잡도를 기반으로 한 단방향 프로그래밍은, 계산적으로 실행 가능하더라도 사전 지식이 없이 구성하기가 논리적으로 불가능한 공격에 대해 시스템을 취약하게 만들지 않도록 한다.
• 믿음 계층(플레이어가 상대방의 전략 뿐 아니라 상대방의 믿음에 대한 믿음까지 모델링하는 것)의 사용은 보안 게임에서 전략적 불확실성을 형식화하는 데 효과적인 프레임워크를 제공한다.
• 방어자의 시스템 논리를 은폐하는 것은 합리적이고 효과적인 보안 전략이 될 수 있으며, 특히 공격자의 행동을 적응적으로 학습하는 것과 결합될 경우, '은폐로는 보안이 없다'는 교리에 도전할 수 있다.
• 공격자 프로파일링은 기술적으로 필수적이며 동시에 사회적으로 위험할 수 있다. 전략적 우위를 확보하기 위해 필수적이지만, 잘못된 경고를 방지하기 위해 신중한 조정이 필요하며, 이는 시스템 전반의 장애나 위협의 오인을 막는 데 기여한다.