[论文解读] SROS: Securing ROS over the wire, in the graph, and through the kernel

Ruffin White, Henrik I. Christensen+1 more|arXiv (Cornell University)|Nov 21, 2016

Distributed systems and fault tolerance被引用 9

一句话总结

SROS 为 ROS1 引入了全面的安全扩展，通过使用 X.509 证书实现端到端 TLS 加密，基于命名空间的访问控制通过嵌入策略的证书扩展实现，并使用 Linux AppArmor 配置文件对进程级别进行加固。该框架可无缝集成到现有的 ROS 工作流中，提供密码学安全、细粒度的访问控制以及运行时策略强制执行，且对系统干扰极小。

ABSTRACT

SROS is a proposed addition to the ROS API and ecosystem to support modern cryptography and security measures. An overview of current progress will be presented, rationalizing each major advancement, including: over-the-wire cryptography for all data transport, namespaced access control enforcing graph policies/restrictions, and finally process profiles using Linux Security Modules to harden a node's resource access. By making the community aware of the vulnerabilities in ROS, as well as the proposed solutions provided by SROS, we intend to improve the state of security for future robotics subsystems.

研究动机与目标

• 解决 ROS1 中存在的关键安全漏洞，包括未加密通信和缺乏访问控制，这些漏洞使机器人系统面临真实世界中的网络威胁。
• 通过使用 TLS 和 PKI 对所有 ROS 网络通信实现端到端加密，确保机密性和数据完整性。
• 通过 X.509 证书扩展实现细粒度、基于命名空间的访问控制，强制执行对 ROS 图操作的角色权限控制。
• 利用 Linux 安全模块（LSM），特别是 AppArmor，对单个 ROS 节点进行加固，限制系统资源访问并防止权限提升。
• 通过将安全功能作为可插拔扩展集成，并提供自动化密钥管理和策略生成工具，保持向后兼容性和可用性。

提出的方法

• 在 ROS 库级别实现 TLS 加密，使用由受信任证书颁发机构（CA）签名的 X.509 证书，保护所有节点间通信。
• 通过对象标识符（OIDs）和正则表达式风格的命名空间模式，在 X.509 证书扩展中嵌入访问控制策略，以定义允许或禁止的操作。
• 利用 AppArmor 的强制访问控制（MAC）框架，为 ROS 节点定义并强制执行进程级别的安全配置文件。
• 提供一个密钥服务器，用于自动化生成和分发证书，支持按节点或命名空间自定义配置。
• 引入运行时模式——审计、警告、强制执行——用于策略学习和验证，灵感来源于 AppArmor 的工作流。
• 设计可插拔架构，使 SROS 能够与现有 ROS 通信和安全栈共存，而不会破坏向后兼容性。

实验结果

研究问题

• RQ1 如何在不破坏现有应用程序的前提下，安全且透明地将端到端加密集成到 ROS1 通信栈中？
• RQ2 在 ROS 图上下文中，使用 X.509 证书扩展表达并强制执行细粒度访问控制的范围有多大？
• RQ3 Linux 安全模块（LSM）如 AppArmor 是否可以有效适配，以在进程级别保护 ROS 节点，防止权限提升和非预期的系统访问？
• RQ4 如何自动地生成和验证安全策略，以在复杂 ROS 系统中实现可用性与精确度之间的平衡？
• RQ5 在扩展 ROS1 以支持加密和访问控制机制时，安全覆盖范围、性能开销和向后兼容性之间的权衡关系是什么？

主要发现

• SROS 通过使用 X.509 证书成功实现了所有 ROS 节点之间的 TLS 保护通信，消除了明文传输和中间人攻击的风险。
• 嵌入 X.509 扩展中的访问控制策略在 TLS 握手过程中被密码学强制执行，防止未经授权的修改或权限提升。
• 使用 AppArmor 配置文件模板使开发人员能够定义最小化、与应用特定的配置文件，从而减少 ROS 节点的攻击面。
• 运行时模式（如审计和警告）可通过记录访问尝试实现策略的自动学习，显著降低手动配置的工作量。
• 该框架的可插拔设计使其能够无需修改核心 API 或破坏现有部署即可集成到现有 ROS 系统中。
• 配套工具（包括密钥服务器和 Docker 化示例）支持快速部署和实验，降低了采用门槛。