[논문 리뷰] SROS: Securing ROS over the wire, in the graph, and through the kernel

Ruffin White, Henrik I. Christensen외 1명|arXiv (Cornell University)|2016. 11. 21.

Distributed systems and fault tolerance인용 수 9

한 줄 요약

SROS는 ROS1에 포괄적인 보안 확장을 도입하여 TLS를 통한 엔드투엔드 암호화, 정책을 내장한 인증서 확장 기반의 네임스페이스 기반 액세스 제어, 그리고 프로세스 수준의 강화를 위한 Linux AppArmor 프로파일을 제공한다. 이 프레임워크는 기존의 ROS 워크플로우에 원활하게 통합되어 암호화 보안, 세밀한 액세스 제어 및 런타임 정책 시행을 최소한의 혼란으로 제공한다.

ABSTRACT

SROS is a proposed addition to the ROS API and ecosystem to support modern cryptography and security measures. An overview of current progress will be presented, rationalizing each major advancement, including: over-the-wire cryptography for all data transport, namespaced access control enforcing graph policies/restrictions, and finally process profiles using Linux Security Modules to harden a node's resource access. By making the community aware of the vulnerabilities in ROS, as well as the proposed solutions provided by SROS, we intend to improve the state of security for future robotics subsystems.

연구 동기 및 목표

• ROS1의 임계 보안 취약점, 즉 암호화되지 않은 통신과 액세스 제어의 부재로 인해 실제 사이버 위협에 노출되는 로봇 시스템을 해결하기 위해.
• PKI를 활용한 TLS와 함께 모든 ROS 네트워크 트래픽에 대한 엔드투엔드 암호화를 실현하여 기밀성과 데이터 무결성을 보장하기 위해.
• X.509 인증서 확장 기반으로 네임스페이스 범위의 세밀한 액세스 제어를 구현하여 ROS 그래프 작업에 대한 역할 기반 권한을 강제하기 위해.
• Linux 보안 모듈(LSM), 특히 AppArmor를 활용하여 ROS 노드를 프로세스 수준에서 강화하여 시스템 자원 접근을 제한하고 특권 상승을 방지하기 위해.
• 보안 기능을 플러그인 방식의 확장으로 통합하고 키 관리 및 정책 생성을 자동화하는 도구를 제공함으로써 기존 호환성과 사용성을 유지하기 위해.

제안 방법

• 신뢰할 수 있는 인증기관(CA)이 서명한 X.509 인증서를 사용하여 ROS 라이브러리 수준에서 TLS 암호화를 구현하여 모든 노드 간 통신을 보호하기 위해.
• Object Identifiers(OIDs)와 정규식 스타일의 네임스페이스 패턴을 사용하여 X.509 인증서 확장에 액세스 제어 정책을 내장하여 허용 또는 차단할 동작을 정의하기 위해.
• AppArmor의 강제 액세스 제어(MAC) 프레임워크를 활용하여 ROS 노드에 대한 프로세스 수준 보안 프로파일을 정의하고 시행하기 위해.
• 노드 또는 네임스페이스별로 사용자 정의 가능한 설정을 지원하는 자동화된 인증서 생성 및 배포를 위한 키서버를 제공하기 위해.
• AppArmor의 워크플로우를 영감으로 받아 런타임 모드인 감시(audit), 경고(complain), 강제(enforce)를 도입하여 정책 학습과 검증을 가능하게 하기 위해.
• SROS가 기존의 ROS 통신 및 보안 스택과 충돌 없이 공존할 수 있도록 플러그인 아키텍처를 설계하여 기존 호환성을 유지하기 위해.

실험 결과

연구 질문

• RQ1 기존 애플리케이션을 손상시키지 않고 ROS1 통신 스택에 엔드투엔드 암호화를 안전하고 투명하게 통합할 수 있는 방법은 무엇인가?
• RQ2 ROS 그래프 환경에서 X.509 인증서 확장 기반으로 세밀한 액세스 제어를 얼마나 정확하게 표현하고 시행할 수 있는가?
• RQ3 AppArmor와 같은 Linux 보안 모듈(LSM)이 ROS 노드의 프로세스 수준에서 효과적으로 적용되어 특권 상승과 의도하지 않은 시스템 접근을 방지할 수 있는가?
• RQ4 복잡한 ROS 시스템에서 사용성과 정밀도의 균형을 고려해 보안 정책을 자동으로 생성하고 검증할 수 있는 방법은 무엇인가?
• RQ5 암호화 및 액세스 제어 메커니즘을 ROS1에 확장할 경우, 보안 커버리지, 성능 오버헤드, 기존 호환성 간의 상충 관계는 어떠한가?

주요 결과

• SROS는 X.509 인증서를 활용해 모든 ROS 노드 간에 TLS 보호 통신을 성공적으로 구현하여 클리어 텍스트 전송과 중간자 공격 위험을 제거했다.
• X.509 확장에 내장된 액세스 제어 정책은 TLS 핸드셰이크 중에 암호학적으로 강제 적용되어 무단 수정이나 특권 상승을 방지한다.
• AppArmor 프로파일 템플릿의 사용은 개발자가 최소한의, 응용 프로그램 전용 보안 프로파일을 정의할 수 있게 하여 ROS 노드의 공격 표면을 줄였다.
• 감시 및 경고와 같은 런타임 모드는 액세스 시도를 로깅함으로써 자동 정책 학습을 가능하게 하여 수동 설정 작업을 크게 감소시켰다.
• 플러그인 아키텍처 덕분에 SROS는 핵심 API를 변경하거나 기존 배포를 손상시키지 않고도 기존 ROS 시스템과 통합될 수 있었다.
• 키서버 및 도커 기반 예제를 포함한 도구들 덕분에 빠른 배포와 실험을 가능하게 하여 도입 장벽을 낮췄다.