[论文解读] Towards a Fully Abstract Compiler Using Micro-Policies: Secure Compilation for Mutually Distrustful Components

Yannis Juglaret, Cătălin Hriţcu+4 more|arXiv (Cornell University)|Oct 2, 2015

Security and Verification in Computing参考文献 1被引用 10

一句话总结

本文提出了一种用于互不信任组件的安全、完全抽象的编译器，采用微策略（micro-policies）——基于标签的硬件强制安全监控器，可保护高级抽象（如类隔离、方法调用纪律和类型安全）免受任意低级别攻击者的破坏。该方法通过形式化验证、硬件优化的监控框架，实现了高效且透明的安全强制，提供了强有力的安全部保障。

ABSTRACT

Secure compilation prevents all low-level attacks on compiled code and allows for sound reasoning about security in the source language. In this work we propose a new attacker model for secure compilation that extends the well-known notion of full abstraction to ensure protection for mutually distrustful components. We devise a compiler chain (compiler, linker, and loader) and a novel security monitor that together defend against this strong attacker model. The monitor is implemented using a recently proposed, generic tag-based protection framework called micro-policies, which comes with hardware support for efficient caching and with a formal verification methodology. Our monitor protects the abstractions of a simple object-oriented language---class isolation, the method call discipline, and type safety---against arbitrary low-level attackers.

研究动机与目标

• 解决在组件互不信任的情况下，安全编译中完全抽象的局限性，即低级别攻击者可能破坏高级抽象的问题。
• 设计一个编译链（编译器、链接器、加载器），确保在任意低级别攻击下，所有安全抽象均被保留。
• 集成一种硬件加速、形式化验证的安全监控器（微策略），透明地强制执行类隔离、方法调用纪律和类型安全。
• 通过利用基于标签的保护框架，实现高效、透明且安全的编译，性能开销最小化。

提出的方法

• 编译器将高级面向对象语言通过中间栈机器翻译为目标符号微策略机器，该机器扩展了微策略监控功能。
• 微策略通过在指令执行期间由硬件监控器传播的字长元数据标签来强制安全，实现细粒度的访问控制。
• 类隔离通过分段机制实现，每个对象被隔离在独立的内存段中，访问通过标签控制。
• 方法调用纪律通过方法入口点、线性返回能力以及寄存器清理来强制，防止未经授权的控制流转移。
• 类型安全通过在方法参数和返回值上进行标签检查来动态强制，确保运行时类型一致性。
• 系统使用基于延续的语义来建模程序执行，确保在监控下正确地进行状态转换。

实验结果

研究问题

• RQ1 能否将完全抽象扩展到组件互不信任的模型中，以应对任意低级别攻击者的威胁？
• RQ2 如何在强大低级别攻击者存在的情况下，通过安全编译器强制执行类隔离、方法调用纪律和类型安全？
• RQ3 能否使用基于标签的硬件监控器（微策略）在编译系统中高效且透明地强制执行这些抽象？
• RQ4 在安全编译管道中使用微策略的性能与透明性权衡如何？
• RQ5 如何设计编译链，以在生成高效、受监控的目标代码的同时，保留高级抽象？

主要发现

• 所提出的编译链在考虑组件间相互不信任的新攻击者模型下实现了完全抽象，确保低级别攻击者无法破坏高级抽象。
• 微策略监控器通过对象分段化和基于标签的检查，成功强制执行了类隔离，限制了跨分段访问。
• 通过入口点和线性返回能力，方法调用纪律得以保留，即使攻击者控制运行时环境，也能防止控制流劫持。
• 类型安全通过运行时标签传播实现动态强制，确保仅正确类型的值可传递给方法。
• 系统表现出透明性，允许良性低级别环境无需修改即可正确与编译代码交互。
• 硬件加速的基于标签的监控确保了高性能，避免了传统纯软件二进制重写或随机化技术的高开销。