[论文解读] Jif: Language-based Information-flow Security in Java

Kyle Pullicino|arXiv (Cornell University)|Dec 30, 2014

Security and Verification in Computing参考文献 1被引用 5

一句话总结

本文提出 Jif，一种通过安全标签增强类型系统的 Java 扩展，以强制实施信息流安全。通过使用带标签的类型静态分析数据流，Jif 防止了敏感数据的未授权泄露，如在预订系统示例中阻止了对信用卡详情的不当访问。

ABSTRACT

In this report, we examine Jif, a Java extension which augments the language with features related to security. Jif adds support for security labels to Java's type system such that the developer can specify confidentiality and integrity policies to the various variables used in their program. We list the main features of Jif and discuss the information flow problem that Jif helps to solve. We see how the information flow problem occurs in real-world systems by looking at two examples: Civitas, a ballot/voting system where voters do not necessarily trust voting agents, and SIF, a web application container implemented using Jif. Finally, we implement a small program that simulates information flow in a booking system containing sensitive data and discuss the usefulness of Jif based on this program.

研究动机与目标

• 解决软件系统中无意信息流这一关键安全问题，特别是在处理敏感数据的应用中。
• 展示 Jif 如何集成到 Java 中，使开发人员能够在类型级别正式指定并强制执行机密性和完整性策略。
• 通过涉及多个具有不同访问权限的主体的真实预订系统示例，评估 Jif 的实用性和有效性。
• 识别 Jif 在可用性与采用方面存在的局限性，特别是对不熟悉其标签系统和类型约束的开发人员而言。

提出的方法

• 通过基于格的主体模型，将编码机密性和完整性策略的安全标签扩展到 Java 类型系统。
• 使用基于主体的访问控制，其中每个数据变量通过标签标注，指定哪些主体可读（机密性）或可修改（完整性）。
• 使用程序计数器跟踪当前生效的最严格安全策略，确保数据流不违反策略约束。
• 应用方法级别的开始标签，强制方法执行仅在正确安全策略下开始，并在写入时保持完整性约束。
• 实现静态类型检查器，拒绝那些会导致信息流违反机密性或完整性策略的代码。
• 通过实现一个真实预订系统的实际应用进行验证，其中包含用户（Alice、Bob）、操作员（Chuck）和敏感数据（卡号），展示 Jif 如何阻止未授权访问。

实验结果

研究问题

• RQ1 如何在像 Java 这类静态类型、面向对象的语言中有效强制实施信息流安全？
• RQ2 Jif 的标签系统在多大程度上能防止真实应用（如投票系统和 Web 应用）中的无意数据泄露？
• RQ3 开发人员在使用 Jif 的类型系统表达正确安全策略时面临哪些实际挑战？
• RQ4 与动态或运行时强制机制相比，Jif 的静态分析在表达能力和开发人员负担方面有何差异？
• RQ5 尽管 Jif 具有坚实的理论基础，哪些关键的可用性和采用障碍限制了其有效性？

主要发现

• 在预订系统示例中，Jif 通过拒绝将较不严格的标签分配给源自更敏感源的数据，成功防止了信息泄露。
• 编译器强制确保 Bob 无法访问 Alice 的完整卡号，因为他的标签 {Bob->*} 比 Alice 的 {Alice->*} 更不严格，从而导致编译时错误。
• Chuck 可安全访问 Alice 卡号的前六位数字，Jif 通过要求反映 Alice 和 Chuck 策略的联合机密性标签来强制执行此限制。
• 尽管其正确性得到保证，Jif 的复杂性仍导致开发人员面临重大挑战，特别是在选择正确标签方面，可能导致试错或完全移除标签的变通方法。
• 缺乏广泛采用和工具支持（如 IDE 集成、代码建议）阻碍了其有效使用，尤其对新开发人员而言。
• 当正确使用时，Jif 是信息流安全的可靠且有效解决方案，但其成功高度依赖于开发人员的纪律性和适当的工具支持。