[논문 리뷰] Jif: Language-based Information-flow Security in Java

Kyle Pullicino|arXiv (Cornell University)|2014. 12. 30.

Security and Verification in Computing참고 문헌 1인용 수 5

한 줄 요약

이 논문은 Jif를 제시하며, 기밀성 및 무결성 정책을 보안 레이블을 통해 확장된 타입 체계를 통해 정보 흐름 보안을 강제하는 자바 확장 기능을 제공한다. 레이블된 타입을 사용한 정적 데이터 흐름 분석을 통해 Jif는 민감한 데이터의 무단 泄露를 방지한다. 이를 실생활의 예시인 예약 시스템을 통해 입증하였다. 이 시스템에서는 신용카드 정보에 대한 부적절한 접근을 차단한다.

ABSTRACT

In this report, we examine Jif, a Java extension which augments the language with features related to security. Jif adds support for security labels to Java's type system such that the developer can specify confidentiality and integrity policies to the various variables used in their program. We list the main features of Jif and discuss the information flow problem that Jif helps to solve. We see how the information flow problem occurs in real-world systems by looking at two examples: Civitas, a ballot/voting system where voters do not necessarily trust voting agents, and SIF, a web application container implemented using Jif. Finally, we implement a small program that simulates information flow in a booking system containing sensitive data and discuss the usefulness of Jif based on this program.

연구 동기 및 목표

• 소프트웨어 시스템에서 의도하지 않은 정보 흐름 문제를 해결하기 위해, 특히 민감한 데이터를 처리하는 응용 프로그램에서의 비밀성 보장 문제를 해결한다.
• Jif가 자바에 통합되어 개발자가 형식적으로 기밀성 및 무결성 정책을 타입 수준에서 명시하고 강제할 수 있음을 보여준다.
• 여러 명의 주체가 서로 다른 접근 권한을 가진 실세계 예약 시스템 예제를 통해 Jif의 실용성과 효과성을 평가한다.
• Jif의 사용성과 도입에 있어 제약 요소를 특정한다. 특히 보안 레이블 시스템과 타입 제약 조건에 익숙하지 않은 개발자들에게서 나타나는 문제점을 중심으로 한다.

제안 방법

• 기밀성 및 무결성 정책을 표현하기 위해 원칙 기반 라벨링 모델을 사용하는 라벨 기반 타입 체계를 통해 자바의 타입 체계를 확장한다.
• 각 데이터 변수에 주체가 읽을 수 있는지(기밀성) 또는 수정할 수 있는지(무결성)를 지정하는 레이블을 부여함으로써 주체 기반 접근 제어를 구현한다.
• 실행 중 가장 엄격한 보안 정책을 추적하는 프로그램 카운터를 사용하여, 데이터 흐름이 정책 제약 조건을 위반하지 않도록 보장한다.
• 메서드 수준의 begin-label을 적용하여, 메서드 실행이 올바른 보안 정책 하에서 시작되고 쓰기 동안 무결성 제약 조건을 유지하도록 보장한다.
• 정보 흐름이 기밀성 또는 무결성 정책을 위반할 경우 코드를 거부하는 정적 타입 체커를 구현한다.
• 실제로 구현된 예약 시스템을 통해 접근 방법을 검증한다. 이 시스템에는 사용자(Alice, Bob), 운영자(Chuck), 민감한 데이터(카드 번호)가 포함되어 있으며, Jif가 무단 접근을 방지하는 방식을 보여준다.

실험 결과

연구 질문

• RQ1 정적으로 타입이 지정된 객체 지향 언어인 자바에서 정보 흐름 보안을 효과적으로 강제할 수 있는 방법은 무엇인가?
• RQ2 Jif의 레이블링 시스템은 실제 응용 프로그램, 예를 들어 투표 시스템과 웹 애플리케이션에서 의도하지 않은 데이터 泄露를 어느 정도 방지할 수 있는가?
• RQ3 Jif의 타입 체계를 사용하여 정확한 보안 정책을 표현할 때 개발자가 겪는 실질적 과제는 무엇인가?
• RQ4 표현력과 개발자 부담 측면에서 Jif의 정적 분석은 런타임 또는 동적 강제 메커니즘과 비교해 어떻게 다른가?
• RQ5 강력한 이론적 기반을 지닌 Jif의 효과를 제한하는 주요 사용성 및 도입 장벽은 무엇인가?

주요 결과

• Jif는 예약 시스템 예제에서 민감한 소스에서 유래한 데이터에 대해 더 낮은 보안 수준의 레이블을 할당하려는 시도를 거부함으로써 정보 유출을 성공적으로 방지한다.
• 컴파일러는 Bob이 Alice의 전체 카드 번호에 접근할 수 없도록 보장한다. Bob의 레이블 {Bob->*}는 Alice의 {Alice->*}보다 더 낮은 보안 수준이므로 컴파일 타임 오류가 발생한다.
• Chuck는 Alice의 카드 번호의 첫 6자리만 안전하게 접근할 수 있으며, Jif는 이에 따라 Alice와 Chuck의 정책을 반영한 복합 기밀성 레이블을 요구함으로써 이를 강제한다.
• 정확성은 확보되었지만, Jif의 복잡성으로 인해 개발자에게 상당한 과제가 발생한다. 특히 올바른 레이블을 선택하는 데 어려움이 있으며, 이로 인해 시행착오나 레이블을 완전히 제거하는 대체 방법이 발생할 수 있다.
• 광범위한 도입과 도구 지원(예: IDE 통합, 코드 제안 기능)이 부족하여 신규 개발자에게서 효과적인 사용이 어렵다.
• Jif는 올바르게 사용될 경우 정보 흐름 보안에 대해 타당하고 효과적인 솔루션이지만, 그 성공 여부는 개발자의 철저한 준수와 적절한 도구 지원에 크게 의존한다.