[论文解读] High-Assurance Separation Kernels: A Survey on Formal Methods

Yongwang Zhao, David Sanán+2 more|arXiv (Cornell University)|Jan 6, 2017

Security and Verification in Computing参考文献 77被引用 3

一句话总结

本文对应用于高可信隔离内核的形式化方法进行了全面综述，提出了一套分析框架与分类体系，以系统化该领域内的研究。文章识别出若干关键挑战，如规格说明瓶颈、多核并发问题以及全形式化验证的自动化，同时指出在 seL4 和 mCertiKOS 等内核上已实现全形式化验证的进展。

ABSTRACT

Separation kernels provide temporal/spatial separation and controlled information flow to their hosted applications. They are introduced to decouple the analysis of applications in partitions from the analysis of the kernel itself. More than 20 implementations of separation kernels have been developed and widely applied in critical domains, e.g., avionics/aerospace, military/defense, and medical devices. Formal methods are mandated by the security/safety certification of separation kernels and have been carried out since this concept emerged. However, this field lacks a survey to systematically study, compare, and analyze related work. On the other hand, high-assurance separation kernels by formal methods still face big challenges. In this paper, an analytical framework is first proposed to clarify the functionalities, implementations, properties and standards, and formal methods application of separation kernels. Based on the proposed analytical framework, a taxonomy is designed according to formal methods application, functionalities, and properties of separation kernels. Research works in the literature are then categorized and overviewed by the taxonomy. In accordance with the analytical framework, a comprehensive analysis and discussion of related work are presented. Finally, four challenges and their possible technical directions for future research are identified, e.g. specification bottleneck, multicore and concurrency, and automation of full formal verification.

研究动机与目标

• 为解决现有对隔离内核研究中形式化方法缺乏系统性综述的问题。
• 通过结构化的分析框架，明确隔离内核的功能、实现、属性与标准。
• 基于形式化方法的应用、功能能力和属性，对现有研究成果进行分类与比较。
• 识别形式化验证隔离内核过程中持续存在的挑战，并为未来工作提出技术方向。
• 通过改进形式化工程实践，支持更安全、可认证的高可信系统的发展。

提出的方法

• 提出一种分析框架，通过功能、实现、属性及形式化方法应用对隔离内核进行表征。
• 基于形式化方法应用、功能能力与系统属性设计分类体系，用于对现有研究进行分类。
• 利用该分类体系对 20 余个隔离内核实现进行对比分析，重点关注形式化规格说明、验证与认证。
• 回顾 seL4、mCertiKOS 和 PROSPER 等形式化验证内核的案例研究，以评估全形式化验证方法。
• 分析事后验证的局限性，倡导在形式化开发流程中采用逐步精化与已验证代码生成。
• 识别当前研究在多核支持、并发建模及形式化验证自动化方面的缺口。

实验结果

研究问题

• RQ1 如何系统性地应用形式化方法于隔离内核，以确保在安全与可信系统中的高可信性？
• RQ2 实现隔离内核实现全形式化验证的关键挑战是什么？
• RQ3 现有形式化验证方法在规格说明粒度、验证范围与自动化程度方面有何差异？
• RQ4 当前事后验证技术存在哪些局限性？形式化开发中的逐步精化如何改善该过程？
• RQ5 在形式化验证的隔离内核中，应对多核与并发问题的最有前景技术方向是什么？

主要发现

• 规格说明瓶颈仍是主要挑战，不同内核间形式化规格说明的可重用性与通用性有限。
• 全形式化验证已成功应用于多个内核，包括 seL4 和 mCertiKOS，实现了正确性的机器可检查证明。
• 尽管现代系统中需求日益增长，但多核与并发隔离内核的形式化验证尚未实现。
• 事后验证仍是主流方法，基于精化的开发与已验证代码生成应用有限。
• 已验证代码生成受限于对低级优化与汇编级硬件操作的需求，需在形式化合成中集成机器模型。
• 本综述明确指出，亟需支持并发、多核支持与从规格说明到已验证代码可追溯性的自动化、端到端形式化开发流程。