[논문 리뷰] Verification of Information Flow Properties under Rational Observation

Béatrice Bérard, John Mullins|arXiv (Cornell University)|2014. 09. 02.

Security and Verification in Computing참고 문헌 26인용 수 5

한 줄 요약

이 논문은 추적 기반 보안 성질을 검증하기 위한 형식적 프레임워크인 유추 정보 흐름 성질(Rational Information Flow Properties, RIFP)을 소개한다. 이는 관찰자로 유추 트ansducer를 사용한다. 일반적인 결정 가능성 기준을 확립하여, 정규 언어 위에서 RIFP의 검증 문제가 PSPACE-완전임을 증명하며, 기존의 음성성, 비상호작용성, 탈기밀정보 및 조건부 익명성에 대한 결과들을 통합된 모델 아래에서 포함한다.

ABSTRACT

Information flow properties express the capability for an agent to infer information about secret behaviours of a partially observable system. In a language-theoretic setting, where the system behaviour is described by a language, we define the class of rational information flow properties (RIFP), where observers are modeled by finite transducers, acting on languages in a given family $\mathcal{L}$. This leads to a general decidability criterion for the verification problem of RIFPs on $\mathcal{L}$, implying PSPACE-completeness for this problem on regular languages. We show that most trace-based information flow properties studied up to now are RIFPs, including those related to selective declassification and conditional anonymity. As a consequence, we retrieve several existing decidability results that were obtained by ad-hoc proofs.

연구 동기 및 목표

• 관찰자가 유추 트랜스듀서로 모델링되는 추적 기반 정보 흐름 성질의 일반적인 클래스를 형식화하기 위해.
• 언어 가족 전반에 걸쳐 이러한 성질을 검증하기 위한 일반적인 결정 가능성 기준을 확립하기 위해.
• 음성성, 비상호작용성 및 탈기밀정보와 같은 핵심 보안 성질이 RIFP의 사례임을 보여주기 위해.
• 추적 기반 환경에서 조건부 익명성에 대한 첫 번째 공식적 사양을 제공하기 위해.
• 기존의 유한 상태 시스템에서의 정보 흐름 검증에 대한 결정 가능성 결과를 통합하고 일반화하기 위해.

제안 방법

• 유추 트랜스듀서, 합집합 및 교집합을 통해 변환된 언어 간의 포함 관계로 RIFP를 정의한다.
• 과거에 관찰되지 않은 사건들을 미래 관찰에 기반해 재해석할 수 있는 유한 상태 트랜스듀서로 관찰자를 모델링하여, 정적 또는 동적 관찰자를 초월한다.
• 유추 오well리안 관찰자(rational Orwellian observers)를 도입하여, 비반사적 비상호작용성과 선택적 탈기밀정보를 모델링할 수 있는 하위집합을 제공한다.
• 비반사적 비상호작용성과 같은 복잡한 성질의 검증을 오웰리안 관찰자 하에서 음성성 검증으로 환원한다.
• Mantel의 기본 보안 조건(Basic Security Predicates, BSPs)이 일반적인 유추 관찰 관계를 사용해 RIFP로 표현 가능하다는 것을 증명한다.
• 폐쇄 성질과 트랜스듀서의 조합을 통해 정규 언어에 대한 RIFP 검증 문제의 PSPACE-완전성을 확립한다.

실험 결과

연구 질문

• RQ1 유추 트랜스듀서를 관찰자로 사용하여 다양한 추적 기반 정보 흐름 성질을 포괄하고 검증할 수 있는 통합 프레임워크를 개발할 수 있는가?
• RQ2 RIFP의 검증 문제가 결정 가능하며, 정규 언어 위에서의 계산 복잡도는 무엇인가?
• RQ3 기존의 보안 성질들인 음성성, 비상호작용성 및 탈기밀정보가 RIFP 프레임워크 내에서 공식적으로 표현될 수 있는가?
• RQ4 조건부 익명성은 유추 관찰자를 사용하여 공식적으로 사양하고 검증할 수 있는가?
• RQ5 유추 오웰리안 관찰자는 비관찰 사건의 동적 재해석을 모델링하는 데 있어 기존의 관찰자 모델을 얼마나 일반화하는가?

주요 결과

• 정규 언어 위에서 RIFP의 검증 문제는 PSPACE-완전이며, 광범위한 정보 흐름 성질의 클래스에 대해 날것의 복잡도 한계를 제공한다.
• 정규 비밀을 가진 음성성은 RIFP이며, 이에 대한 검증은 유추 관찰자 하에서 표준 음성성 검증으로 환원될 수 있다.
• 비반사적 비상호작용성(INI)과 선택적 비반사적 비상호작용성(INISD)은 RIFP로 표현 가능하며, 이들의 검증은 유추 오웰리안 관찰자 하에서 음성성 검증으로 환원된다.
• Mantel의 기본 보안 조건(BSPs)은 모두 RIFP의 사례이며, 이는 프레임워크의 일반성을 입증한다.
• 논문은 조건부 익명성에 대한 첫 번째 공식적 사양을 제공하며, 이는 위선적인 행동이 발견될 경우에만 익명성이 해제됨을 의미한다.
• 이 프레임워크는 음성성, 비상호작용성 및 탈기밀정보에 대한 기존의 특수한 결정 가능성 증명을 모두 포함하고 일반화하며, 통일된 검증 접근 방식을 제공한다.