[论文解读] Verification of Information Flow Properties under Rational Observation

Béatrice Bérard, John Mullins|arXiv (Cornell University)|Sep 2, 2014

Security and Verification in Computing参考文献 26被引用 5

一句话总结

本文提出理性信息流属性（Rational Information Flow Properties, RIFP），一种使用理性转移器作为观察者的形式化框架，用于验证基于追踪的保密性属性。该框架建立了一个通用的可判定性准则，证明在正则语言上，RIFP的验证问题是PSPACE-完全的，统一涵盖了现有关于透明性、非干扰性、降级和条件匿名性的结果。

ABSTRACT

Information flow properties express the capability for an agent to infer information about secret behaviours of a partially observable system. In a language-theoretic setting, where the system behaviour is described by a language, we define the class of rational information flow properties (RIFP), where observers are modeled by finite transducers, acting on languages in a given family $\mathcal{L}$. This leads to a general decidability criterion for the verification problem of RIFPs on $\mathcal{L}$, implying PSPACE-completeness for this problem on regular languages. We show that most trace-based information flow properties studied up to now are RIFPs, including those related to selective declassification and conditional anonymity. As a consequence, we retrieve several existing decidability results that were obtained by ad-hoc proofs.

研究动机与目标

• 将一类基于追踪的信息流属性形式化，其中观察者由理性转移器建模。
• 为在语言族上验证这些属性建立一个通用的可判定性准则。
• 证明关键安全属性（如透明性、非干扰性和降级）是RIFP的实例。
• 首次在基于追踪的设定中为条件匿名性提供正式规格说明。
• 统一并推广现有有限状态系统中信息流验证的可判定性结果。

提出的方法

• 将理性信息流属性（RIFP）定义为经由理性转移器、并集和交集变换后的语言之间的包含关系。
• 将观察者建模为有限状态转移器，能够基于未来观察重新解释过去不可观测的事件，扩展了静态或动态观察者的模型。
• 引入“理性奥威尔式观察者”作为子类，可建模非传递非干扰性和选择性降级。
• 将复杂属性（如非传递非干扰性）的验证归约为奥威尔式观察者下的透明性验证。
• 证明曼特尔的基本安全谓词（BSPs）可通过通用理性观察关系表达为RIFP。
• 通过闭包性质和转移器复合，证明正则语言上RIFP验证问题的PSPACE-完全性。

实验结果

研究问题

• RQ1 能否开发一个统一框架，使用理性转移器作为观察者来捕捉并验证多种基于追踪的信息流属性？
• RQ2 RIFP的验证问题是可判定的吗？在正则语言上的计算复杂度如何？
• RQ3 现有安全属性（如透明性、非干扰性和降级）能否在RIFP框架中正式表达？
• RQ4 能否使用理性观察者对条件匿名性进行正式规格说明和验证？
• RQ5 理性奥威尔式观察者在建模不可观测事件的动态重新解释方面，对先前观察者模型的泛化程度如何？

主要发现

• 在正则语言上，RIFP的验证问题是PSPACE-完全的，为一大类信息流属性提供了紧致的复杂度界。
• 具有正则秘密的透明性是RIFP，其验证可归约为理性观察者下的标准透明性检查。
• 非传递非干扰性（INI）和选择性非传递非干扰性（INISD）可表达为RIFP，其验证可归约为理性奥威尔式观察者下的透明性验证。
• 曼特尔的基本安全谓词（BSPs）均为RIFP的实例，证明了该框架的通用性。
• 本文首次提供了条件匿名性的正式规格说明，其中匿名性仅在发现不诚实行为时被撤销。
• 该框架涵盖了并推广了先前针对透明性、非干扰性和降级的特定可判定性证明，提供了一致的验证方法。