[논문 리뷰] High-Assurance Separation Kernels: A Survey on Formal Methods

Yongwang Zhao, David Sanán외 2명|arXiv (Cornell University)|2017. 01. 06.

Security and Verification in Computing참고 문헌 77인용 수 3

한 줄 요약

이 논문은 고신뢰성 분리 커널에 적용된 형식적 방법에 대한 종합적인 서베이를 제시하며, 이 분야의 연구를 체계화하기 위해 분석 프레임워크와 분류 체계를 제안한다. 특정 문제들인 사양의 병목 현상, 다중코어 동시성, 전체 형식적 검증의 자동화 등을 규명하면서, seL4와 mCertiKOS와 같은 커널에서의 전체 형식적 검증에 대한 진전도 강조한다.

ABSTRACT

Separation kernels provide temporal/spatial separation and controlled information flow to their hosted applications. They are introduced to decouple the analysis of applications in partitions from the analysis of the kernel itself. More than 20 implementations of separation kernels have been developed and widely applied in critical domains, e.g., avionics/aerospace, military/defense, and medical devices. Formal methods are mandated by the security/safety certification of separation kernels and have been carried out since this concept emerged. However, this field lacks a survey to systematically study, compare, and analyze related work. On the other hand, high-assurance separation kernels by formal methods still face big challenges. In this paper, an analytical framework is first proposed to clarify the functionalities, implementations, properties and standards, and formal methods application of separation kernels. Based on the proposed analytical framework, a taxonomy is designed according to formal methods application, functionalities, and properties of separation kernels. Research works in the literature are then categorized and overviewed by the taxonomy. In accordance with the analytical framework, a comprehensive analysis and discussion of related work are presented. Finally, four challenges and their possible technical directions for future research are identified, e.g. specification bottleneck, multicore and concurrency, and automation of full formal verification.

연구 동기 및 목표

• 분리 커널 연구 분야에서 체계적인 서베이가 부족한 문제를 해결하기 위해.
• 형식적 방법 적용, 기능, 구현, 특성, 표준을 체계적인 분석 프레임워크를 통해 명확히 하기 위해.
• 형식적 방법 적용, 기능, 특성 기반으로 기존 연구를 분류하고 비교하기 위해.
• 분리 커널의 형식적 검증에서 지속적인 과제를 규명하고 향후 연구를 위한 기술적 방향을 제안하기 위해.
• 향상된 형식적 공학 관행을 통해 더 안전하고 증명 가능성이 높은 고신뢰성 시스템 개발을 지원하기 위해.

제안 방법

• 형식적 방법 적용, 기능, 구현, 특성 기반으로 분리 커널을 특성화하는 분석 프레임워크를 제안한다.
• 형식적 방법 적용, 기능적 능력, 시스템 특성 기반으로 기존 연구를 분류하기 위한 분류 체계를 설계한다.
• 분류 체계를 기반으로 20개 이상의 분리 커널 구현체를 비교 분석하며, 형식적 사양, 검증, 인증에 중점을 둔다.
• seL4, mCertiKOS, PROSPER와 같은 형식적으로 검증된 커널의 사례 연구를 검토하여 전체 형식적 검증 접근 방식을 평가한다.
• 후행 검증의 한계를 분석하고, 형식적 개발 파이프라인 내에서 단계적 정밀화와 검증된 코드 생성을 권장한다.
• 현재 연구에서 다중코어 지원, 동시성 모델링, 형식적 검증 자동화의 격차를 규명한다.

실험 결과

연구 질문

• RQ1 형식적 방법을 안전성 및 보안 기반 시스템에서 고신뢰성을 확보하기 위해 어떻게 체계적으로 적용할 수 있는가?
• RQ2 분리 커널의 전체 형식적 검증을 달성하기 위한 주요 과제는 무엇인가?
• RQ3 기존의 형식적 검증 접근 방식은 사양의 세밀함, 검증 범위, 자동화 수준에서 어떻게 다를 수 있는가?
• RQ4 현재의 후행 검증 기법의 한계는 무엇이며, 단계적 정밀화를 통한 형식적 개발은 이를 어떻게 향상시킬 수 있는가?
• RQ5 형식적으로 검증된 분리 커널에서 다중코어 및 동시성 문제를 해결하기 위해 가장 유망한 기술적 방향은 무엇인가?

주요 결과

• 사양의 병목 현상은 여전히 주요 과제이며, 다양한 커널 간의 형식적 사양에서 재사용성과 일반성의 한계가 존재한다.
• 전체 형식적 검증은 seL4와 mCertiKOS와 같은 일부 커널에 성공적으로 적용되어 정당성의 기계적 검증 증명을 달성했다.
• 다중코어 및 동시성 분리 커널의 형식적 검증은 아직 이뤄지지 않았지만, 현대 시스템에서의 수요는 증가하고 있다.
• 후행 검증이 여전히 주된 접근 방식이며, 정밀화 기반 개발과 검증된 코드 생성의 활용은 제한적이다.
• 저수준 최적화와 어셈블리어 수준의 하드웨어 조작이 필요하기 때문에 검증된 코드 생성이 저해되고 있으며, 이는 형식적 합성에서 기계 모델의 통합을 요구한다.
• 이 서베이에서는 동시성, 다중코어 지원, 사양에서 검증된 코드로의 추적 가능성을 지원하는 자동화된 종단 간 형식적 개발 파이프라인의 명백한 필요성을 규명한다.