[论文解读] Report on the NSF Workshop on Formal Methods for Security

Stephen Chong, Joshua D. Guttman+6 more|arXiv (Cornell University)|Aug 2, 2016

Cryptography and Data Security参考文献 90被引用 24

一句话总结

本文主张在网络安全领域系统性地采用形式化方法，以提供严谨的、基于数学的证明，证明系统能够抵御整个攻击类别。通过形式化地建模系统和攻击者，该方法可验证硬件、操作系统、分布式系统及隐私机制等各层面的安全属性，为安全设计提供超越临时防御策略的科学基础。

ABSTRACT

Report on the NSF Workshop on Formal Methods for Security, held 19-20 November 2015.

研究动机与目标

• 应对网络战中日益加剧的不对称性，即攻击者只需一次成功利用，而防御者必须防范所有可能的攻击。
• 克服当前安全实践的局限性，这些实践依赖启发式、渐进式的修补，而非全面且可证明的保障。
• 推动形式化方法的使用——不仅限于机械化证明——还涵盖建模、综合与统计分析，以实现更广泛的安全部署与隐私保障。
• 通过可重用、经形式化认证的组件实现安全系统开发，降低未来验证负担并提升系统可靠性。
• 促进硬件、操作系统、分布式系统与隐私领域之间的跨学科协作，以应对跨层安全挑战与模型不匹配问题。

提出的方法

• 使用逻辑与数学建模技术对系统与攻击者进行形式化描述，以精确指定期望的安全属性。
• 应用形式化验证技术，如模型检测、有界模型检测与定理证明，分析系统在对抗交互下的行为。
• 在系统各层（硬件、操作系统、网络、应用）集成形式化方法，以确保假设成立并验证兼容性。
• 采用抽象与组合推理技术管理复杂性，实现可扩展的验证。
• 将形式化方法扩展至隐私领域，通过引入统计与因果分析，实现对数据使用与披露的保障。
• 开发工具链与可重用基础设施，以支持形式化方法在现实世界系统开发中的实际应用。

实验结果

研究问题

• RQ1 如何系统性地将形式化方法应用于整个技术栈（从硬件到应用），以提供端到端的安全保障？
• RQ2 何种形式化建模方法最能准确捕捉攻击者的行为以及不同抽象层次上系统组件的假设？
• RQ3 如何调整形式化方法以应对涉及数据效用与披露风险之间权衡的隐私目标？
• RQ4 在将形式化方法扩展至工业级与政府级系统时，必须克服哪些技术与教育挑战？
• RQ5 哪些重大挑战举措能够推动整体系统验证、工具集成与形式化方法的实际部署进程？

主要发现

• 只要模型的假设成立，形式化方法是唯一能可靠证明系统抵御整个攻击类别的方法。
• 近期形式化方法的进展现已使此前被认为不可行的规模验证成为可能，推动了其在现实系统中的更广泛应用。
• 形式化方法形成良性循环：工具的改进带来更高的安全性，进而推动对形式化方法与系统质量的进一步投资。
• 形式化方法不仅限于机械化证明；其还涵盖综合、统计建模与因果分析，尤其适用于隐私与复杂系统。
• 跨层不匹配——即底层行为违反高层假设——是主要漏洞来源，而形式化方法可系统性地检测并防止此类问题。
• 本报告识别出关键研究挑战，包括工具集成、抽象选择以及实用开发方法的构建，并提出了重大挑战以系统性地应对这些问题。