Lógica, Tipos y Semántica:

Transcripción

1 Lógica, Tipos y Semántica: I para TAL Jornada informativa Paradigma de Lenguajes de Programación Depto de Computación FCEyN UBA 29 de noviembre de 2005

2 Índice Lógica, tipos y semántica para lenguajes de alto nivel han sido estudiados extensamente Una tendencia reciente: enfocar atención sobre 1. lenguajes de bajo nivel (o intermedios) y 2. sus entornos de ejecución (máquinas abstractas y virtuales) En esta charla Repasamos algunas motivaciones Desarrollamos un ejemplo ( ) con algunas citas que respaldan la tendencia I para TAL

3 Por más precisas que sean nuestras técnicas para inferir/probar propiedades sobre lenguajes de alto nivel, lo que termina ejecutándose es la imagen del mismo a través de un compilador Los compiladores son programas complejos Modifican sustancialmente el programa fuente a través de numerosas etapas Movilidad y distribución masiva de código vía Internet Con frecuencia creciente, el productor distribuye el código en algún formato de bajo nivel El consumidor debe poder verificar si el código cumple con su poĺıtica de seguridad/comportamiento antes de ejecutarlo Proof Carrying Code (PCC) I para TAL

4 Qué es PCC? Overview of PCC Approach Please install and execute this. OK, but let me quickly look over the instructions first. I para TAL Code producer Host Slide by Peter Lee

5 Qué es PCC? Overview of PCC Approach I para TAL Code producer Host Slide by Peter Lee

6 Qué es PCC? Overview of PCC Approach This store instruction is dangerous! I para TAL Code producer Host Slide by Peter Lee

7 Qué es PCC? Overview of PCC Approach Can you prove that it is always safe? I para TAL Code producer Host Slide by Peter Lee

8 Qué es PCC? Overview of PCC Approach Yes! Here s the proof I got from my certifying Java compiler! λ Can you prove that it is always safe? I para TAL Code producer Host Slide by Peter Lee

9 Qué es PCC? Overview of PCC Approach λ Your proof checks out. I believe you because I believe in logic. I para TAL Code producer Host Slide by Peter Lee

10 Datos confidenciales deben ser protegidos de posibles filtraciones Mecanismos convencionales como (mandatory/discretionary) access control o stack inspection se quedan cortos pues no hay control sobre la propagación de los datos una vez que se permite el acceso a los mismos I para TAL

11 Information flow apunta a imponer poĺıticas de confidencialidad en una modalidad punta-a-punta: asegurar que, una vez que los datos han sido liberados al programa, la poĺıtica de confidencialidad es respetada Poĺıtica de confidencialidad: I para TAL 1. Indicar qué información es pública, privada, etc. Ej. decorar las direcciones de memoria o variables con etiquetas de seguridad {L, H}. 2. Especificar poĺıtica de flujo de información. Ej. información puede fluír de niveles seguridad bajos a altos

12 Information Expĺıcito/Impĺıcito Flujo de información expĺıcito: y:=x Flujo de información impĺıcito: if x then y:=1 else y:=2 endif Channel: Mechanism for signaling information through a computing system [Myers,Sabelfeld2003] Aparece un covert storage channel : El programa crea un flujo de información desde x hacia y. Otros flujos de información: timing, terminación, consumo de recursos, etc. Survey: -based information flow security, A. Sabelfeld y A.Myers, 2003 I para TAL

13 Detección de flujos ímplicitos Se asigna una etiqueta al program-counter [Denning,Denning1977] Se analiza el programa infiriendo si las variables deben etiquetarse como secretas o públicas PC=L PC=lx PC=lx PC=L if x then y :=1 else y :=2 endif; z :=3 Al llegar al endif podemos volver a bajar el nivel del PC ( junction point ) Instrucciones de control de flujo guían el análisis I para TAL

14 Detección de flujos ímplicitos También se puede hacer a través de sistemas de tipos [Volpano,Smith1996;1997] Dos ejemplos de reglas de tipos Γ e : l Γ c 1 : cmd l Γ c 2 : cmd l l l I para TAL Γ if e then c 1 else c 2 endif : cmd l Γ c 1 : cmd l Γ c 2 : cmd l Γ c 1 ; c 2 : cmd l

15 No-interferencia Cómo determinamos la correctitud de nuestro análisis de flujo de información? No-interferencia [Goguen,Meseguer1982]. Una formalización posible de ausencia de filtraciones Noción semántica que establece que los inputs sólo afectan los outputs de mayor nivel de seguridad L H1 L H2 I para TAL L H1 L H2 Correctitud del sistema de tipos programas tipados verifican no-interferencia

16 I para Los obstáculos más relevantes a la hora de trasladar lógicas, sistemas de tipos y semántica a lenguajes de bajo nivel son: Ausencia de sentencias de control de flujo de alto nivel La presencia de una pila Las instrucciones de salto Estos obstáculos varían de gravedad según el problema en cuestión I para TAL

17 Qué es? Descripción ejecutiva [D.Walker, Lect. Notes, 2004]: Lenguaje assembler RISC sencillo Semántica operacional formal para una máquina abstracta Sistema de tipos formal que captura propiedades del procesador y memoria: registros, pila y heap I para TAL

18 Ejemplo en TAL fact : L2 : X.{sp : X, r 1 : int, r 2 : int, r 3 : {r 1 : int, sp : X } {}} {} ble r 1, L2 % if n<=0 goto L2 mul r 2, r 2, r 1 % a:=a*n sub r 1, r 1, 1 % n:=n-1 jmp fact[x ] % goto fact X.{sp : X, r 2 : int, r 3 : {r 1 : int, sp : X } {}} {} mov r 1, r 2 % result:=a jmp r 3 % jump to return address I para TAL

19 Algunas reglas de tipado de TAL Las reglas de tipado de TAL permiten capturar una serie de propiedades interesantes de código de bajo nivel Ilustramos algunas propiedades junto con la regla de tipado que la captura Saltos son a etiquetas válidas I para TAL Ψ; ; Γ 1 v : [].Γ 2 Γ 1 Γ 2 T Jmp Ψ; ; Γ 1 jmp v Aritmética sobre enteros Ψ; ; Γ r s : int Ψ; ; Γ v : int Ψ; ; Γ[r d := int] B T Arith Ψ; ; Γ aop r d, r s, v; B

20 Algunas reglas de tipado de TAL Más ejemplos de propiedades No puede escribirse fuera de la pila Γ(sp) = τ 1... τ i Σ Ψ; ; Γ v : σ Ψ; ; Γ[sp := τ 1... τ i 1 σ Σ] B T Sst Ψ; ; Γ sst sp[i], v; B I para TAL Bloque llamado no puede trastornar pila del llamador

21 I para TAL Problema 1 I para TAL Construcciones de flujo de control de alto nivel (encargados de guíar el proceso de tipado) se encuentran ausentes!

22 I para TAL % r 1 holds x, r 2 holds y Start : bnz r 1, L1; % if x goto L1 jmp L2 % goto else branch L1 : mov r 2, 1; % y:=1 jmp L3 I para TAL L2 : mov r 2, 2; % y:=2 jmp L3 L3 : halt

23 I para TAL % r 1 holds x, r 2 holds y Start : bnz r 1, L1; % if x goto L1 jmp L2 No debe bajar PC, L2 no es junction point! L1 : mov r 2, 1; % y:=1 jmp L3 Debe bajar PC, L3 es junction point! L2 : mov r 2, 2; % y:=2 jmp L3 Debe bajar PC, L3 es junction point! L3 : halt I para TAL

24 I para TAL Idea: adaptar linear continuations de [Myers,Zdancewic2002] a lenguaje assembler % r 1 holds x, r 2 holds y Start : bnz r 1, L1; jmp L2 L1 : mov r 2, 1; % y:=1 jmp L3 L2 : mov r 2, 2; % y:=2 jmp L3 L3 : halt % if x goto L1 No debe PC, L2 no es junction point! Debe bajar PC, L3 es junction point! Debe bajar PC, L3 es junction point! I para TAL

25 I para TAL % r 1 holds x, r 2 holds y Start : pushjp L3; Introducir continuación bnz r 1, L1; % if x goto L1 jmp L2 Obligación lineal, te acompaña! L1 : mov r 2, 1; % y:=1 jmpjp L3 Obligación lineal descargada L2 : mov r 2, 2; % y:=2 jmpjp L3 Obligación lineal descargada L3 : halt pushjp es una directiva de tipado: guía el sistema de tipos pero desaparece en tiempo de ejecución jmpjp L se comporta igual que jmp L I para TAL

26 I para TAL % r 1 holds x, r 2 holds y Start : pushjp L3; Introducir continuación bnz r 1, L1; % if x goto L1 jmp L2 Obligación lineal, te acompaña! L1 : mov r 2, 1; % y:=1 jmpjp L3 Obligación lineal descargada L2 : mov r 2, 2; % y:=2 jmpjp L3 Obligación lineal descargada L3 : halt pushjp es una directiva de tipado: guía el sistema de tipos pero desaparece en tiempo de ejecución jmpjp L se comporta igual que jmp L I para TAL

27 I para TAL % r 1 holds x, r 2 holds y Start : pushjp L3; Introducir continuación bnz r 1, L1; % if x goto L1 jmp L2 Obligación lineal, te acompaña! L1 : mov r 2, 1; % y:=1 jmpjp L3 Obligación lineal descargada L2 : mov r 2, 2; % y:=2 jmpjp L3 Obligación lineal descargada L3 : halt pushjp es una directiva de tipado: guía el sistema de tipos pero desaparece en tiempo de ejecución jmpjp L se comporta igual que jmp L I para TAL

28 I para TAL Problema 2 I para TAL La pila

29 Dos ejemplos ilustrativos En los dos ejemplos siguientes, al finalizar la ejecución del programa el componente que queda en el tope de la pila es público deja filtrar información secreta (a saber, si el contenido secreto del registro r2 es cero o no) Problema del primer ejemplo: en una rama secreta del bnz se libera un componente público de la pila Problema del segundo ejemplo: en una rama secreta se liberan componentes que no se liberan en la otra rama secreta del bnz I para TAL

30 Rama secreta libera componente público L start Code {r1 : int L, r2 : int H } L salloc 2 mov r1,0 sst sp[0],r1 mov r1,1 sst sp[1],r1 bnz r2,l high jmp L JP I para TAL L high Code {r1 : int L } H sfree 1 jmp L JP L JP Code {r1 : int L } L sld r1,sp[0]...

31 Ramas secretas liberan no. de componentes L start Code {r1 : int L, r2 : int H } L salloc 3 mov r1,0 sst sp[2],r1 mov r1,1 sst sp[1],r1 sst sp[0],r2 bnz r2, L high jmp L JP I para TAL L high Code {r1 : int L } H sfree 1 jmp L JP L JP Code {r1 : int L } L sfree 1 sld r1,sp[0]...

32 SIFTAL SIFTAL: un TAL con junction points y tipos decorados con etiquetas de seguridad. Incluye registros, heap locations y stack polimórfico Un sistema de tipos y una noción formal de no-interferencia Semántica operacional: la máquina abstracta original de TAL Prueba de type soundness: programas tipados gozan de la propiedad de no-interferencia I para TAL

33 Hay una clara tendencia a estudiar propiedades de programas escritos en lenguajes de bajo nivel como (TAL) Java bytecode (Sun) Common Intermediate (CIL, Microsoft) Muchos otros asociados a máquinas abstractas de una variada gama y sus entornos de ejecución (abstract y virtual machines) como ser JVM (Java Virtual Machine) CLR (Common Runtime) Otros: Abstract Machines for Programming Implementation, Diehl, Hartel y Sestoft, Future Generation Computing Systems, I para TAL

34 Hemos visto algunas complicaciones que surgen a la hora de analizar secure information flow en un lenguaje de bajo nivel Ausencia de sentencias de control de flujo de alto nivel Pila Saltos (en menor medida) I para TAL

35 Más allá de information flow Qué sucede con otras técnicas para estudiar lenguajes de programación: lógica, sistemas de tipos, semántica, etc? Mucha actividad Verificación (ej: lógicas à la Hoare) Propiedades de seguridad (ej: information flow, secuenciación de operaciones, lectura/escritura a memoria) Terminación y Consumo de recursos (ej: heap bounded assembly language) Optimizaciones (ej: SOOT para bytecode) Fundamentos (derivación de abstract machines a partir de semántica operacional, Isomorphismo de Curry-Howard) I para TAL

36 Gracias! I para TAL

37 Information flow flow via linear continuations, Myers y Zdancewic, 2002 Type based information flow analysis for low-level languages, Kobayashi y Kirane, 2002 Security Types Preserving Compilation, Barthe, Basu y Rezk, 2004 I para TAL Checking secure information flow in Java bytecode by code transformation an d standard bytecode verification, Bernardeschi, De Francesco, Lettieri y Martini, 2004 Non-Interference for a JVM-like, Barthe, Basu y Rezk, 2005

38 Information flow Timing aware information flow security for a javacard-like bytecode, Hedin y Sands, 2005 Information Analysis for Java Bytecode, Genaim y Spoto, 2005 A for Non-Interference, E.B., R. Medel y A. Compagnoni. ICTCS 2005 I para TAL Information- Analysis for a with Polymorphic Stacks, E.B., R. Medel y A. Compagnoni, CASSIS 2005.