[논문 리뷰] Software Distribution Transparency and Auditability

Benjamin Hof, Georg Carle|arXiv (Cornell University)|2017. 11. 20.

Advanced Malware Detection Techniques참고 문헌 5인용 수 5

한 줄 요약

이 논문은 APT 기반 소프트웨어 배포를 위한 투명성과 감사 가능성을 확보하는 시스템을 제안한다. 이 시스템은 메르클 트리 로그를 통해 타겟된 백도어를 탐지하고, 소스 코드의 가용성을 보장하며, 재현 가능한 빌드를 검증하고, 트리 루트 크로스 로깅을 통해 동등성 공격을 방어한다. 두 해 동안 3,000건 이상의 데비안 업데이트에 대해 평가한 결과, 수많은 배포 이질성을 발견하여 실용성과 감사 분석 능력이 입증되었다.

ABSTRACT

A large user base relies on software updates provided through package managers. This provides a unique lever for improving the security of the software update process. We propose a transparency system for software updates and implement it for a widely deployed Linux package manager, namely APT. Our system is capable of detecting targeted backdoors without producing overhead for maintainers. In addition, in our system, the availability of source code is ensured, the binding between source and binary code is verified using reproducible builds, and the maintainer responsible for distributing a specific package can be identified. We describe a novel "hidden version" attack against current software transparency systems and propose as well as integrate a suitable defense. To address equivocation attacks by the transparency log server, we introduce tree root cross logging, where the log's Merkle tree root is submitted into a separately operated log server. This significantly relaxes the inter-operator cooperation requirements compared to other systems. Our implementation is evaluated by replaying over 3000 updates of the Debian operating system over the course of two years, demonstrating its viability and identifying numerous irregularities.

연구 동기 및 목표

• 패키지 매니저인 APT와 같은 소프트웨어 배포에서 발생하는 보안 위험, 특히 타겟된 백도어를 해결하기 위해.
• 재현 가능한 빌드를 통해 소스 코드를 바이너리에 연결함으로써 종단 간 감사 가능성을 보장하기 위해.
• 로깅 서버의 동등성 공격을 방지하기 위해 트리 루트 크로스 로깅을 통해 공격에 대비하기 위해.
• 실세계 패키지 업데이트에서의 배포 이질성을 실시간으로 탐지하고 경고하기 위해.
• 리눅스 배포판 업데이트에 대한 신뢰를 강화하기 위해 실용적이고 구현 가능한 투명성 시스템을 제공하기 위해.

제안 방법

• 암호학적 무결성을 확보하기 위해 신뢰할 수 없는, 추가 전용 메르클 트리 로그에 모든 패키지 메타데이터와 소스 코드를 기록한다.
• 재현 가능한 빌드를 사용하여 제출된 소스 코드에서 바이너리가 결정적으로 재빌드될 수 있음을 검증한다.
• 공격자가 일부 패키지에만 백도어를 배포하는 것을 방지하기 위해 '숨겨진 버전' 탐지 기능을 구현한다.
• 메르클 트리 루트를 별도로 독립 운영되는 로깅 서버에 제출하여 로깅 서버의 동등성 공격을 방지하기 위해 트리 루트 크로스 로깅을 활용한다.
• 모니터와 감사자들이 로깅 작업과 빌드 재현성을 비동기적으로 검증함으로써 릴리스 지연을 방지한다.
• 실세계 업데이트에서 종단 간 평가를 위해 데비안의 APT 배포 파이프라인에 시스템을 통합한다.

실험 결과

연구 질문

• RQ1 유저가 많은 패키지 매니저인 APT에서 유지보수자에게 부담을 주지 않으면서 소프트웨어 배포의 투명성을 어떻게 달성할 수 있는가?
• RQ2 '숨겨진 버전' 공격과 같은 공격 벡터가 기존의 투명성 시스템을 약화시키는 방식은 무엇이며, 이를 어떻게 완화할 수 있는가?
• RQ3 탈중앙화되거나 신뢰할 수 없는 로깅 인fra에서 로깅의 동등성은 어떻게 방지할 수 있는가?
• RQ4 배포판의 모든 설치된 바이너리에 대해 감사 가능성과 소스 코드 가용성을 어느 정도 보장할 수 있는가?
• RQ5 실용적인 투명성 시스템은 대규모 소프트웨어 배포에서 실세계의 이질성을 탐지할 수 있는가?

주요 결과

• 두 해 동안 3,000건 이상의 실제 데비안 업데이트를 대상으로 평가한 결과, 소스 코드 누락 및 잘못된 메타데이터를 포함한 다수의 이질성을 성공적으로 탐지하였다.
• '숨겨진 버전' 공격는 기존의 투명성 시스템에 대한 새로운 위협으로 확인되었으며, 제안된 메커니즘은 이를 효과적으로 방어한다.
• 트리 루트 크로스 로깅은 별도의 로깅 서버 간의 독립적 검증을 가능하게 하여 운영자 간 신뢰 요구 수준을 크게 감소시킨다.
• 모든 설치된 바이너리에 대해 검증 가능하고 감사 가능한 소스 코드가 보장되어, 감사 분석과 책임 소재 규명이 가능하다.
• 평가 결과, 데비안의 릴리스 프로세스에 상당한 이질성이 존재함을 확인하여, 더 강력한 자동 검증 메커니즘의 필요성을 시사한다.
• 모니터가 재현 가능성을 비동기적으로 검증하기 때문에 릴리스를 차단하지 않으며, 실세계 환경에서의 실용적 구현이 가능하다.