[논문 리뷰] Sheaf Semantics of Termination-Insensitive Noninterference

Jonathan Sterling, Robert Harper|arXiv (Cornell University)|2022. 01. 01.

Security and Verification in Computing인용 수 2

한 줄 요약

이 논문은 합성 도메인 이론과 토포스 이론적 열린/닫힘 모odalities를 사용하여 종료 시간에 민감하지 않은 비밀성 유출을 위한 새로운 시프(semantics)를 제안한다. 보안 수준을 아르틴 접합을 통해 단계적 구분으로 모델링함으로써, 유형이 시프이고, 정보 삭제는 닫힌 부분공간으로의 제한으로 나타나는 비관계적이고 내재된 의미론을 구축한다. 이는 관계적 추론 없이도 자동으로 종료 시간에 민감하지 않은 비밀성 유출을 보장한다.

ABSTRACT

We propose a new sheaf semantics for secure information flow over a space of abstract behaviors, based on synthetic domain theory: security classes are open/closed partitions, types are sheaves, and redaction of sensitive information corresponds to restricting a sheaf to a closed subspace. Our security-aware computational model satisfies termination-insensitive noninterference automatically, and therefore constitutes an intrinsic alternative to state of the art extrinsic/relational models of noninterference. Our semantics is the latest application of Sterling and Harper’s recent re-interpretation of phase distinctions and noninterference in programming languages in terms of Artin gluing and topos-theoretic open/closed modalities. Prior applications include parametricity for ML modules, the proof of normalization for cubical type theory by Sterling and Angiuli, and the cost-aware logical framework of Niu et al. In this paper we employ the phase distinction perspective twice: first to reconstruct the syntax and semantics of secure information flow as a lattice of phase distinctions between "higher" and "lower" security, and second to verify the computational adequacy of our sheaf semantics with respect to a version of Abadi et al.’s dependency core calculus to which we have added a construct for declassifying termination channels.

연구 동기 및 목표

• 관계적 모델의 복잡성에서 벗어나 비관계적이고 내재된 보안 정보 유출 의미론을 개발하기 위해.
• 종료 시간에 민감하지 않은 비밀성 유출를 시프 이론적 구조의 결과로 간주하고 관계적 증명 의무가 아닌 것으로 공식화하기 위해.
• 프로그래밍 언어에서의 단계적 구분을 토포스 이론적 구성, 특히 아르틴 접합과 열린/닫힘 모달리티와 통합하기 위해.
• 종료 채널 탈기능화를 지원하는 확장된 종속 핵심 계산법에 대해 의미론의 계산 적합성을 검증하기 위해.
• 감수성 있는 데이터가 반환 값을 통해 泄露될 수 없다는 직관을 자연스럽게 포괄하는 비밀성 유출에 대한 범주적 기초를 제공하기 위해.

제안 방법

• 유형을 추상적 행동의 토포스 위의 시프로 해석하기 위해 합성 도메인 이론을 활용한다.
• 구문적(T) 및 계산적(C) 단계를 분리된 열린-닫힘 분할을 통해 아르틴 접합을 사용하여 접합된 토포스 G를 구성한다.
• 보안 수준 P를 부분순서집합으로 모델링하고, 열린 부분토포스 T(구문 단계)와 닫힌 부분토포스 C(계산 단계)를 사용하며, 특성 함수 b = t ∨ c를 활용한다.
• 구문 단계에서 T-대수 At을 정의하여 충실도를 보장하고 언어 구성 요소의 정확한 해석을 가능하게 한다.
• 계산 단계에서 P-색인 합성 도메인 이론의 공리가 성립함을 검증하여 계산 적합성을 확보한다.
• 기저 전환과 수반 함자(j*, i*, [L]*)를 사용하여 구문적 의미론과 의미론적 의미론을 연결하며, 핵심 통찰은 Ac.⟨l⟩ ≤ b • At.⟨l⟩가 성립함으로써 올바른 단계 행동이 보장된다는 것이다.

실험 결과

연구 질문

• RQ1 관계적 모델에 의존하지 않고 시프 의미론을 통해 비밀성 유출를 내재적으로 특성화할 수 있는가?
• RQ2 아르틴 접합과 열린/닫힘 모달리티와 같은 토포스 이론적 도구를 사용하여 프로그래밍 언어의 단계적 구분을 어떻게 공식화할 수 있는가?
• RQ3 종료 시간에 민감하지 않은 비밀성 유출를 시프 이론적 의미론의 구조적 결과로 도출할 수 있는가, 별도의 증명 의무가 아닌가?
• RQ4 시리피ński 토포스와 접합된 토포스는 구문과 의미론 사이의 이질적 논리적 관계를 모델링하는 데 어떤 역할을 하는가?
• RQ5 종료 채널 탈기능화를 지원하면서도 비밀성 유출를 유지하는 조건에서 종속 핵심 계산법을 어떻게 확장할 수 있는가?

주요 결과

• 접합된 토포스의 구조와 구문적 요소와 계산적 요소 사이의 단계적 구분 덕분에 시프 의미론이 자동으로 종료 시간에 민감하지 않은 비밀성 유출를 만족한다.
• 접합된 토포스 G 내부의 Kripke 논리관계를 통해 구문적 유형 체계와 그 의미론적 의미론 사이의 공식적 대응 관계를 확립한다.
• 핵심 부등식 Ac.⟨l⟩ ≤ b • At.⟨l⟩가 성립하여 계산 단계가 보안 수준의 구조를 정확히 해석하고 의도된 비밀성 유출 성질을 유지함을 보장한다.
• 확장된 종속 핵심 계산법에 대해 의미론이 계산적으로 적합하며, 이는 계산 단계에서 P-색인 합성 도메인 이론 공리의 만족로 검증되었다.
• 이 모델은 이전의 정규화 증명 및 일반화된 정규성에 대한 유사한 토포스 이론적 기법을 사용한 작업을 일반화하는 비밀성 유출에 대한 범주적 기초를 제공한다.
• 감수성 있는 정보의 삭제는 시프를 닫힌 부분공간으로의 제한으로 자연스럽게 모델링되며, 이는 보안 정보 유출에서 정보 숨기기의 직관과 일치한다.