[논문 리뷰] A Proof Carrying Code Framework for Inlined Reference Monitors in Java Bytecode

Mads Dam, Andreas Lundblad|arXiv (Cornell University)|2010. 12. 14.

Logic, programming, and type systems참고 문헌 38인용 수 7

한 줄 요약

이 논문은 자바 바이트코드에서 인lines된 참조 모니터를 인증하기 위한 증명 반제어 코드(PCC) 프레임워크를 제안한다. 이는 신뢰할 수 있는 컴퓨팅 기반(TCB)을 수정하지 않고도 모니터 인라인에 대한 신뢰를 가능하게 한다. JML 스타일의 주석을 사용하여 'ghost' 모니터를 표현하고, 검증 조건을 통해 이와 인라인된 모니터를 비교함으로써 정책 준수를 보장하며, 효율적이고 다항 시간 내에 검증 가능한 검증 조건을 통해 빠른 검증을 가능하게 하고, 로드 시 경량 증명 검증을 지원한다.

ABSTRACT

We propose a light-weight approach for certification of monitor inlining for sequential Java bytecode using proof-carrying code. The goal is to enable the use of monitoring for quality assurance at development time, while minimizing the need for post-shipping code rewrites as well as changes to the end-host TCB. Standard automaton-based security policies express constraints on allowed API call/return sequences. Proofs are represented as JML-style program annotations. This is adequate in our case as all proofs generated in our framework are recognized in time polynomial in the size of the program. Policy adherence is proved by comparing the transitions of an inlined monitor with those of a trusted "ghost" monitor represented using JML-style annotations. At time of receiving a program with proof annotations, it is sufficient for the receiver to plug in its own trusted ghost monitor and check the resulting verification conditions, to verify that inlining has been performed correctly, of the correct policy. We have proved correctness of the approach at the Java bytecode level and formalized the proof of soundness in Coq. An implementation, including an application loader running on a mobile device, is available, and we conclude by giving benchmarks for two sample applications.

연구 동기 및 목표

• 인라인러나 신뢰할 수 있는 컴퓨팅 기반(TCB)을 수정하지 않고도 제3자 검증이 가능하도록 자바 애플리케이션에서 모니터 인라인을 검증할 수 있도록 하는 것.
• 정적 샌드박스를 넘어서 모바일 및 임베디드 자바 환경(예: J2ME)에서 역사 기반 접근 제어 정책을 지원하는 것.
• 모니터 인라인과 증명 통합을 통해 런타임 오버헤드와 코드 패딩을 최소화하면서도 형식적 검증을 통해 정확성을 보장하는 것.
• 신뢰할 수 있는 JVM 버전의 변화에 최소한의 수정으로 적응 가능한 경량이고 확장 가능한 인증 메커니즘을 설계하는 것.

제안 방법

• 보안 정책을 ConSpec에 계약으로 표현하고, JML 스타일의 주석을 사용하여 실행 없이 상태 전이를 시뮬레이션하는 'ghost' 모니터로 컴iles한다.
• 제어 흐름과 보안 관련 메서드 호출을 유지하면서, 클라이언트 코드에 모니터 로직을 인라인된 바이트코드 스니펫으로 통합한다.
• 보안 관련 메서드 호출에서 모니터 불변식을 주장함으로써 증명 객체를 생성하며, 전체 프로그램이 아닌 인라인된 코드 스니펫에만 약한 전조건(WP)을 적용한다.
• 비인라인 지시어에 대한 문법적 검사를 통해, 최소한의 WP 계산 없이도 불변식을 검증한다. 특히, 최종(static)으로 선언된 보안 상태 클래스에 대한 putstatic 연산을 확인한다.
• 로드 시점에 검증 조건(VC)을 사용하여 인라인된 모니터의 동작을 게스트 모니터의 동작과 비교함으로써 증명의 정확성을 검증하며, 경량 VC 검사기로 확인한다.
• Coq를 사용하여 접근의 타당성을 형식화하고, CUP/JFlex 및 ASM을 사용하여 바이트코드 조작을 위한 프로토타입을 구현한다.

실험 결과

연구 질문

• RQ1 증명 반제어 코드(PCC)가 자바 바이트코드에서 모니터 인라인을 효과적으로 인증하는 데 적용될 수 있는가? 이를 통해 인라인된 모니터가 의도한 보안 정책을 강제하는가?
• RQ2 복잡한 정책을 고려할 때, 특히 모바일 및 임베디드 환경에서 증명 생성 및 검증이 얼마나 효율적으로 이루어질 수 있는가?
• RQ3 이 프레임워크는 백워드 호환성을 지원할 수 있는가? 즉, PCC 인식 코드가 수정 없이 비-PCC 호스트에서도 실행 가능한가?
• RQ4 실제 응용 프로그램에 대해 성능 및 코드 크기 오버헤드를 최소화하면서 이 접근 방식이 얼마나 스케일링 가능한가?
• RQ5 동시성 접근 상황에서도 증명의 유효성을 유지하면서 다중 스레드 실행을 지원할 수 있는가?

주요 결과

• 프레임워크는 다항 시간 내에 검증 조건을 생성하여 로드 시 효율적인 증명 검증을 가능하게 했다.
• 증명 크기는 작다—MobileJam의 경우 20.6 KB, Snake의 경우 2.6 KB로, 모바일 배포에 실용적이다.
• 모바일 기기에서 증명 인식 시간은 각각 98ms와 117ms로, 런타임 비용이 매우 낮음을 보였다.
• Coq로 증명된 타당성 덕분에, 수락된 모든 증명이 정책 준수를 보장함을 보장한다.
• 대부분의 지시어에 대해 비용이 많이 드는 약한 전조건(WP) 계산을 피하기 위해 정적 필드 업데이트에 대한 문법적 검사를 활용한다.
• 백워드 호환성 지원: PCC 인식 코드는 수정 없이 비-PCC 호스트에서도 실행 가능하다.