[论文解读] Type-Driven Repair for Information Flow Security

Nadia Polikarpova, Jean Yang+2 more|arXiv (Cornell University)|Jul 12, 2016

Security and Verification in Computing参考文献 14被引用 7

一句话总结

Lifty 是一种通过类型驱动修复强制执行信息流安全的编程语言：程序员使用细化类型标注敏感数据，系统自动插入访问检查以防止信息泄露。它通过可判定的细化类型形式化非干扰性，并自动生成安全代码，减轻了策略负担，成功防止了现实世界中的信息泄露。

ABSTRACT

We present Lifty, a language that uses type-driven program repair to enforce information flow policies. In Lifty, the programmer specifies a policy by annotating the source of sensitive data with a refinement type, and the system automatically inserts access checks necessary to enforce this policy across the code. This is a significant improvement over current practice, where programmers manually implement access checks, and any missing check can cause an information leak. To support this programming model, we have developed (1) an encoding of information flow security in terms of decidable refinement types that enables fully automatic verification and (2) a program repair algorithm that localizes unsafe accesses to sensitive data and replaces them with provably secure alternatives. We formalize the encoding and prove its noninterference guarantee. Our experience using Lifty to implement a conference management system shows that it decreases policy burden and is able to efficiently synthesize all necessary access checks, including those required to prevent a set of reported real-world information leaks.

研究动机与目标

• 减少手动实现信息流安全访问检查的负担。
• 消除因缺少或错误的访问控制检查而导致的信息泄露。
• 在实践中提供一种完全自动、可验证的信息流策略强制执行方法。
• 使用可判定的细化类型形式化信息流安全，以实现自动验证。
• 开发一种程序修复算法，通过可证明安全的替代方案局部修复不安全的数据访问。

提出的方法

• 将信息流安全编码为可判定的细化类型，以实现完全自动化的验证。
• 通过在敏感数据源上使用细化类型注解来指定安全策略。
• 应用一种程序修复算法，识别不安全的访问并将其替换为安全的替代方案。
• 形式化安全模型，并为该编码证明非干扰性保证。
• 将修复过程集成到编程语言中，以支持端到端的“构建即安全”开发。
• 在会议管理系统上评估该方法，以证明其实际可行性和有效性。

实验结果

研究问题

• RQ1 能否通过细化类型在可判定的基础上自动强制执行信息流策略，以保证非干扰性？
• RQ2 类型驱动修复在无需人工干预的情况下合成正确访问检查的有效性如何？
• RQ3 该系统能否防止因缺少访问检查而引发的真实世界信息泄露？
• RQ4 该方法在多大程度上减轻了程序员强制执行安全策略的负担？
• RQ5 该修复过程在实际系统中是否足够稳健且可扩展？

主要发现

• Lifty 在会议管理系统中成功生成了所有必要的访问检查，防止了已知的真实世界信息泄露。
• 该系统通过类型注解自动插入访问检查，显著减轻了策略强制执行的负担。
• 形式化保证了非干扰性，确保低安全级别的输出不依赖于高安全级别的输入。
• 使用可判定的细化类型实现了安全属性的完全自动验证。
• 修复算法定位了不安全的访问，并将其替换为可证明安全的替代方案，而无需手动修改代码。
• 该方法在真实系统上展示了实际可行性，表明自动强制执行在现实场景中是可行的。