[论文解读] Gaming security by obscurity

Duško Pavlović|arXiv (Cornell University)|Sep 26, 2011

Computability, Logic, AI Algorithms参考文献 40被引用 13

一句话总结

本文通过主张将安全性建模为不完全信息博弈而非不完美信息博弈，挑战了现代密码学的基础原则，提出通过逻辑复杂性实现的'应用型隐蔽安全'（applied security by obscurity），即构建单向编程机制。该研究提出一个框架，防御方可通过学习攻击者行为并隐藏自身系统逻辑来获得优势，从而提出一种重新评估 Kerckhoffs 原则与全能攻击者假设的新范式。

ABSTRACT

Shannon sought security against the attacker with unlimited computational powers: *if an information source conveys some information, then Shannon's attacker will surely extract that information*. Diffie and Hellman refined Shannon's attacker model by taking into account the fact that the real attackers are computationally limited. This idea became one of the greatest new paradigms in computer science, and led to modern cryptography. Shannon also sought security against the attacker with unlimited logical and observational powers, expressed through the maxim that "the enemy knows the system". This view is still endorsed in cryptography. The popular formulation, going back to Kerckhoffs, is that "there is no security by obscurity", meaning that the algorithms cannot be kept obscured from the attacker, and that security should only rely upon the secret keys. In fact, modern cryptography goes even further than Shannon or Kerckhoffs in tacitly assuming that *if there is an algorithm that can break the system, then the attacker will surely find that algorithm*. The attacker is not viewed as an omnipotent computer any more, but he is still construed as an omnipotent programmer. So the Diffie-Hellman step from unlimited to limited computational powers has not been extended into a step from unlimited to limited logical or programming powers. Is the assumption that all feasible algorithms will eventually be discovered and implemented really different from the assumption that everything that is computable will eventually be computed? The present paper explores some ways to refine the current models of the attacker, and of the defender, by taking into account their limited logical and programming powers. If the adaptive attacker actively queries the system to seek out its vulnerabilities, can the system gain some security by actively learning attacker's methods, and adapting to them?

研究动机与目标

• 挑战密码学中长期存在的假设，即安全性必须完全依赖密钥保密，拒绝'隐蔽性无法提供安全'的观点。
• 通过将安全性建模为不完全信息博弈，解决攻防双方能力不对称的问题，其中双方对彼此策略形成信念。
• 提出一种新的安全范式——'应用型隐蔽安全'，基于程序的逻辑复杂性，使系统能够抵御那些即使在计算上可行但逻辑上无法构造的攻击。
• 利用信念层级与算法信息论形式化攻击者与防御者互动的动力学，超越传统模型中对攻击者全知的假设。
• 探讨对攻击者进行画像与类型推断的技术必要性与社会风险，主张设定高阈值以避免误报。

提出的方法

• 将安全性建模为不完全信息博弈，其中参与者对彼此的类型（即攻击策略或系统行为）形成信念，通过可能算法的概率分布进行形式化。
• 引入'随机化逻辑复杂性'概念，量化从零开始构建攻击算法的难度，即使该算法一旦知晓后执行起来非常容易。
• 应用算法信息论定义'单向编程'——一种防御方逻辑设计为难以逆向工程或重构的系统，类似于密码学中的单向函数。
• 使用博弈论中的信念层级（例如，A 对 B 的信念，B 对 A 的信念的信念）建模对抗交互中的递归推理，通过可采样的概率分布进行形式化。
• 提出将攻击向量形式化为不完全信息博弈的模型，其中防御方可自适应地学习攻击者行为并相应调整防御策略。
• 整合余代数形式化方法以表示响应关系与系统行为，实现对动态安全博弈的结构化分析。

实验结果

研究问题

• RQ1 安全性是否不仅能通过分析攻击者行为来提升，还能通过隐藏防御方自身系统逻辑来实现，从而挑战 Kerckhoffs 原则？
• RQ2 程序的逻辑复杂性在多大程度上可作为单向编程的基础，类似于计算意义上的单向函数？
• RQ3 不完全信息博弈在多大程度上能比传统不完美信息模型更好地模拟现实世界的安全动态？
• RQ4 信念层级（信念的信念）在塑造攻击者与防御者战略互动中起什么作用？
• RQ5 能否使攻击者画像与类型推断既有效又安全，避免误报及类似自体免疫的系统故障？

主要发现

• 安全性本质上是不完全信息博弈，而非不完美信息博弈，因为核心挑战在于防御方与攻击方对其彼此类型（即策略或算法）的不确定性。
• 假设所有可行的攻击算法最终都会被发现并实现，其强度等同于假设所有可计算函数都会被计算——两者均不现实，且会导致对攻击者能力的高估。
• 基于逻辑复杂性的单向编程，使系统能够抵御那些计算上可行但逻辑上无法在无先验知识的情况下构造的攻击。
• 使用信念层级（即参与者不仅建模对手策略，还建模对手对其自身信念的信念）提供了形式化建模安全博弈中战略不确定性的框架。
• 隐藏防御方系统逻辑可成为合法且有效的安全策略，尤其在与攻击者行为的自适应学习结合时，挑战了'隐蔽性无法提供安全'的教条。
• 攻击者画像既具有技术必要性，也存在社会风险；尽管对战略优势至关重要，但必须谨慎校准以避免误报，防止系统性故障或威胁误判。