[논문 리뷰] The Multiple Facets of Software Diversity: Recent Developments in Year 2000 and Beyond

Benoît Baudry, Martin Monperrus|arXiv (Cornell University)|2014. 09. 25.

Software Reliability and Analysis Research참고 문헌 112인용 수 62

한 줄 요약

이 논문은 2000년부터 현재까지 소프트웨어 다양성에 대한 종합적이고 통합적인 조사 보고서를 제시하며, 장애 내성, 사이버보안, 코드 내 자연적 다양성, 소프트웨어 제품군 공학 등 다양한 연구 분야를 통합한다. 이는 관리형, 자동화형, 자연형 다양성으로 나누는 통합 프레임워크를 제안하며, 개발 관행과 코드 재사용에서 유래하는 자연적 다양성이 시스템의 회복성과 보안에 핵심적인 역할을 한다는 점을 드러낸다. 실증 연구 결과에 따르면 실제 코드베이스에서는 높은 재현성과 功能적 동치성이 관찰된다.

ABSTRACT

Early experiments with software diversity in the mid 1970's investigated N-version programming and recovery blocks to increase the reliability of embedded systems. Four decades later, the literature about software diversity has expanded in multiple directions: goals (fault-tolerance, security, software engineering); means (managed or automated diversity) and analytical studies (quantification of diversity and its impact). Our paper contributes to the field of software diversity as the first paper that adopts an inclusive vision of the area, with an emphasis on the most recent advances in the field. This survey includes classical work about design and data diversity for fault tolerance, as well as the cybersecurity literature that investigates randomization at different system levels. It broadens this standard scope of diversity, to include the study and exploitation of natural diversity and the management of diverse software products. Our survey includes the most recent works, with an emphasis from 2000 to present. The targeted audience is researchers and practitioners in one of the surveyed fields, who miss the big picture of software diversity. Assembling the multiple facets of this fascinating topic sheds a new light on the field.

연구 동기 및 목표

• 일반적으로 분산되어 있는 여러 연구 공동체 간의 소프트웨어 다양성에 대한 통합적이고 포괄적인 시각을 제공하기 위해.
• 장애 내성, 사이버보안, 소프트웨어 공학, 프로그래밍 언어 분야에 집중한 공동체 간 격차를 메우기 위해, 소프트웨어 다양성의 틀 안에서 이들의 개념을 통합하기 위해.
• 2000년 이후 특히 부족하게 다뤄진 자동화 및 자연적 다양성의 최근 발전을 부각하기 위해.
• 개발 관행과 코드 재사용에서 유래하는 자연적 다양성이, 복원성과 보안이 확보된 시스템을 구축하는 데 유용하고 활용 가능한 자원이 될 수 있음을 보여주기 위해.
• 미래의 개방형 소프트웨어 다양화 연구를 위한 기반을 마련하기 위해, 소프트웨어 시스템 내 다양성 발생 원리를 규명하기 위해.

제안 방법

• 목적(예: 장애 내성, 보안), 척도(예: 코드, 운영체제, 네트워크), 형태(예: 설계, 실행, 자연형) 등 여러 차원에 따라 소프트웨어 다양성을系통적으로 분류하기.
• 조사를 두 가지 주요 축으로 나누기: 공학(관리형 및 자동화형 다양성) 대 관찰(자연적 다양성은 연구 대상으로서).
• N버전 프로그래밍, 랜덤화 기법(예: ASLR, 컴파일러 수준의 랜덤화), 코드 및 개발자 행동 내 자연적 다양성 등을 포함한 다양성 유형의 분류 체계를 사용하기.
• 대규모 코드베이스(예: 리눅스 커널, 4억 2천만 줄의 코드)를 분석하기 위해 통계 및 데이터 마이닝 기법을 적용하여 기능적 동치성과 사용 다양성을 탐지하기.
• 오픈소스 프로젝트에서 개발자 기여 패턴(예: 집중도 및 소유권)의 다양성을 정량화하기 위해 엔트로피 기반 지표 도입하기.
• 웹 서버 컴포onent의 6,000개의 취약점에서 유래한 통합 분석을 통해 자연적 다양성이 악용 저항성에 미치는 영향 평가하기.

실험 결과

연구 질문

• RQ1 다양한 목적, 척도, 형태에 따라 소프트웨어 다양성을 체계적으로 분류함으로써, 분산된 연구 공동체를 통합할 수 있는가?
• RQ2 기본적으로 서로 다른 문법적 코드 조각이 동일한 출력을 생성하는 기능적 동치성과 사용 방식의 다양성이, 시스템의 복원성과 보안에 얼마나 기여하는가?
• RQ3 대규모 소프트웨어 시스템 내 자연적 다양성의 실증적 성질은 무엇이며, 인위적으로 설계된 다양성과 비교해 볼 때 어떤가?
• RQ4 엔트로피 기반 지표는 개발자 기여 패턴의 다양성을 어떻게 정량화할 수 있으며, 소프트웨어 품질 예측 능력은 어떠한가?
• RQ5 소프트웨어 시스템 내 다양성 발생 원리는 무엇이며, 이를 공학적으로 적용해 개방형, 자율적 유지가 가능한 다양화를 가능하게 할 수 있는가?

주요 결과

• 자연적 다양성은 광범위하게 존재한다: 4억 2천만 줄의 코드 분석 결과, 최대 40 토큰까지의 코드 시퀀스에서 뚜렷한 재현성이 확인되었으며, 그 이상의 길이에서는 점점 더 고유성이 증가했다.
• 기능적 동치성은 흔하다: 리눅스 커널 2.6.24에서 서로 다른 문법적 코드 조각들이 임의의 테스트 입력에서 동일한 출력을 생성하는 경우가 다수 관찰되어, 숨겨진 재현성이 존재함을 시사한다.
• 객체지향 API의 사용 다양성은 매우 높다: 자바의 String 클래스만으로도 수십만 개의 클래스에서 2,460개의 서로 다른 메서드 사용 패턴이 관찰되었다.
• 사전 구매 컴포넌트는 취약성 측면에서 자연적 다양성을 보인다: 2007년 기준 6,000개의 취약점 분석 결과, 단일 악용이 모든 컴포넌트를 동시에 공격할 수 없었으며, 이는 다중 버전 시스템의 복원성과 관련이 있다.
• 개발자 기여 다양성은 소프트웨어 품질과 관련이 있다: 집중도가 높은 개발자는 결함을 적게 유발하지만, 다수의 기여자가 참여한 아티팩트는 더 많은 결함을 포함하는 경향이 있어 복잡한 상충 관계가 존재한다.
• 오픈소스 프로젝트 내 자연적 다양성은 높고 측정 가능하다: 집중도 및 소유권에 대한 엔트로피 지표는 결함률에 강력한 예측력을 보이며, 이는 다양성이 관찰 가능하고 분석 가능하다는 것을 시사한다.