[논문 리뷰] Type-Driven Repair for Information Flow Security

Nadia Polikarpova, Jean Yang외 2명|arXiv (Cornell University)|2016. 07. 12.

Security and Verification in Computing참고 문헌 14인용 수 7

한 줄 요약

Lifty는 프로그래머가 민감한 데이터에 정밀 유형을 주석으로 표기함으로써 정보 흐름 보안을 유형 기반 수리 기법을 통해 강제하는 프로그래밍 언어이다. 시스템은 유형 기반 수리 기법을 통해 자동으로 액세스 체크를 삽입하여 누출을 방지한다. 결정 가능 정밀 유형을 사용하여 비차별성(noninterference)을 형식화하고, 보안 코드를 합성함으로써 정책 이행 부담을 줄이며, 실제 세계의 정보 누출을 성공적으로 방지한다.

ABSTRACT

We present Lifty, a language that uses type-driven program repair to enforce information flow policies. In Lifty, the programmer specifies a policy by annotating the source of sensitive data with a refinement type, and the system automatically inserts access checks necessary to enforce this policy across the code. This is a significant improvement over current practice, where programmers manually implement access checks, and any missing check can cause an information leak. To support this programming model, we have developed (1) an encoding of information flow security in terms of decidable refinement types that enables fully automatic verification and (2) a program repair algorithm that localizes unsafe accesses to sensitive data and replaces them with provably secure alternatives. We formalize the encoding and prove its noninterference guarantee. Our experience using Lifty to implement a conference management system shows that it decreases policy burden and is able to efficiently synthesize all necessary access checks, including those required to prevent a set of reported real-world information leaks.

연구 동기 및 목표

• 정보 흐름 보안을 위한 수동 액세스 체크 구현 부담을 줄이기 위해.
• 누락되거나 잘못된 액세스 제어 체크로 인한 정보 누출을 제거하기 위해.
• 실제 환경에서 정보 흐름 정책을 완전 자동으로 검증 가능한 방법으로 강제하기 위해.
• 결정 가능 정밀 유형을 사용하여 정보 흐름 보안을 형식화하고 자동 검증을 가능하게 하기 위해.
• 불안전한 데이터 액세스를 국소적으로 수정하고 증명 가능하게 안전한 대체 조치를 제공하는 수리 알고리즘 개발하기 위해.

제안 방법

• 정보 흐름 보안을 결정 가능 정밀 유형으로 인코딩하여 완전 자동 검증을 가능하게 하기 위해.
• 민감한 데이터 소스에 정밀 유형 주석을 사용하여 보안 정책을 지정하기 위해.
• 불안전한 액세스를 식별하고 안전한 대체 조치로 대체하는 프로그램 수리 알고리즘을 적용하기 위해.
• 보안 모델을 형식화하고, 인코딩에 대한 비차별성 보장을 증명하기 위해.
• 수리 과정을 프로그래밍 언어에 통합하여 종단 간 보안 설계 개발을 지원하기 위해.
• 실제 적용 가능성을 입증하기 위해 회의 관리 시스템을 대상으로 접근 방식을 평가하기 위해.

실험 결과

연구 질문

• RQ1 정밀 유형을 사용하여 정보 흐름 정책을 자동으로 강제할 수 있으며, 이로 인해 비차별성이 보장될 수 있는가?
• RQ2 형식 기반 수리 기법이 수동 간섭 없이 정확한 액세스 체크를 합성하는 데 얼마나 효과적인가?
• RQ3 누락된 액세스 체크로 인한 실제 세계의 정보 누출을 시스템이 방지할 수 있는가?
• RQ4 이 접근 방식이 보안 정책 이행에 있어 프로그래머의 부담을 어느 정도 줄이는가?
• RQ5 수리 과정은 실용적인 시스템에 대해 충분히 타당하고 확장 가능한가?

주요 결과

• Lifty는 회의 관리 시스템에 필요한 모든 액세스 체크를 성공적으로 합성하여 알려진 실제 세계의 정보 누출을 방지했다.
• 형식 기반 수리 기법을 통해 정밀 유형 주석을 통한 액세스 체크 삽입을 자동화함으로써 정책 이행 부담을 감소시켰다.
• 형식화된 모델은 비차별성을 보장하여, 저보안 출력이 고보안 입력에 의존하지 않음을 보장한다.
• 결정 가능 정밀 유형의 사용으로 보안 속성에 대한 완전 자동 검증이 가능해졌다.
• 수리 알고리즘이 불안전한 액세스를 국소적으로 식별하고 증명 가능하게 안전한 대체 조치로 대체함으로써 수동 코드 수정이 필요 없었다.
• 실제 시스템에서의 실용성과 타당성을 입증하여, 자동 강제 기법이 실제 세계 시나리오에서 실현 가능하다는 것을 보여주었다.