[논문 리뷰] Report on the NSF Workshop on Formal Methods for Security

Stephen Chong, Joshua D. Guttman외 6명|arXiv (Cornell University)|2016. 08. 02.

Cryptography and Data Security참고 문헌 90인용 수 24

한 줄 요약

이 논문은 사이버보안 분야에서 공식적 방법(formal methods)의 체계적 도입을 주장하며, 전체 공격 유형에 대해 엄밀하고 수학적으로 기반을 둔 보증을 제공함으로써 시스템의 보안성을 입증하고자 한다. 시스템과 공격자를 공식적으로 모델링함으로써 하드웨어, 운영체제, 분산 시스템, 프라이버시 메커니즘 등 전반에 걸쳐 보안 성질을 검증할 수 있으며, 이는 경험적 방식의 방어 전략을 뛰어넘는 과학적 기반을 제공한다.

ABSTRACT

Report on the NSF Workshop on Formal Methods for Security, held 19-20 November 2015.

연구 동기 및 목표

• 공격자가 성공한 한 번의 공격으로도 충분한 반면, 방어자가 모든 가능한 공격을 차단해야 하는 사이버 전쟁의 점점 심화되는 비대칭성 문제를 해결하기 위해.
• 현재의 보안 관행이 히وري스틱적이고 점진적인 수정에 의존하는 데 반해, 종합적이고 증명 가능한 보장을 제공하지 못하는 한계를 극복하기 위해.
• 기계화된 증명을 넘어서 모델링, 합성, 통계 분석을 포함한 공식적 방법의 사용을 촉진하여 보다 광범위한 보안 및 프라이버시 보증을 실현하기 위해.
• 재사용 가능한 공식적으로 검증된 컴포넌트를 통해 보다 안정적이고 신뢰할 수 있는 시스템 개발을 가능하게 하고, 향후 검증 부담을 줄이기 위해.
• 하드웨어, 운영체제, 분산 시스템, 프라이버시 분야 간의 상호작용을 통해 계층 간 보안 문제와 모델 불일치를 해결하기 위해 다학제적 협력을 촉진하기 위해.

제안 방법

• 시스템과 공격자를 논리적이고 수학적으로 모델링하여 원하는 보안 성질을 공식적으로 명시하기 위해.
• 모델 체킹, 경계 모델 체킹, 정리 증명과 같은 공식적 검증 기법을 적용하여 악성 상호작용 상황에서의 시스템 행동을 분석하기 위해.
• 하드웨어, 운영체제, 네트워킹, 애플리케이션 등 시스템 계층 전반에 걸쳐 공식적 방법을 통합하여 가정이 충족되고 호환성이 검증되도록 하기 위해.
• 복잡성을 관리하고 대규모 검증을 가능하게 하기 위해 추상화와 조합적 추론을 활용하기 위해.
• 통계적 및 인과적 분석을 통합하여 프라이버시를 확장함으로써 데이터 사용 및 유출 보장을 제공하기 위해.
• 실제 시스템 개발에서 공식적 방법의 실용적 도입을 지원하기 위한 도구 체인과 재사용 가능한 인프라를 개발하기 위해.

실험 결과

연구 질문

• RQ1 공식적 방법을 하드웨어부터 애플리케이션까지 전체 스택에 체계적으로 적용하여 종단 간 보안 보장을 제공할 수 있는 방법은 무엇인가?
• RQ2 다양한 추상화 계층에서 시스템 컴포넌트의 가정과 공격자의 행동을 가장 잘 포괄하는 공식적 모델링 접근법은 무엇인가?
• RQ3 데이터 유용성과 유출 위험 간의 트레이드오프를 수반하는 프라이버시 목표를 해결하기 위해 공식적 방법은 어떻게 적응시킬 수 있는가?
• RQ4 산업 및 정부 수준의 시스템에 대해 공식적 방법을 확장하기 위해 극복해야 할 기술적 및 교육적 과제는 무엇인가?
• RQ5 전체 시스템 검증, 도구 통합, 공식적 방법의 실용적 배포를 촉진하기 위한 거대한 도전 과제는 무엇인가?

주요 결과

• 모델의 가정이 성립하는 한, 공식적 방법은 시스템이 전체 공격 유형에 대해 안전하다는 것을 증명할 수 있는 唯一의 신뢰할 수 있는 방법이다.
• 최근 공식적 방법의 발전으로 이전에는 실현 불가능하다고 여겨졌던 규모의 검증이 가능해졌으며, 이는 실제 시스템에 대한 더 넓은 도입 가능성을 열어준다.
• 공식적 방법은 선순환을 만들어낸다: 개선된 도구가 더 나은 보안을 이끌고, 더 나은 보안이 공식적 방법과 시스템 품질 향상을 위한 추가 투자를 이끈다.
• 공식적 방법은 기계화된 증명에 국한되지 않으며, 합성, 통계 모델링, 인과 분석도 포함되며, 특히 프라이버시 및 복잡한 시스템에 있어 중요하다.
• 하위 계층의 동작이 상위 계층의 가정을 위반하는 계층 간 불일치는 주요 취약점의 원인이며, 공식적 방법을 통해 체계적으로 탐지하고 방지할 수 있다.
• 보고서는 도구 통합, 추상화 선택, 실용적인 개발 방법 개발 등의 핵심 연구 과제를 규명하고, 이를 효과적으로 해결하기 위한 거대한 도전 과제를 제안한다.