Automatic Selection of Protections to Mitigate Risks Against Software Applications

بيان المشكلة
تواجه تطبيقات البرمجيات مخاطر كبيرة من هجمات "الإنسان عند النهاية" (Man-At-The-End - MATE)، حيث يمتلك المهاجمون وصولاً كاملاً إلى البرمجيات والأنظمة التي تشغلها. يستخدم المهاجمون أدوات مثل مصححات الأخطاء (debuggers)، وأدوات التفكيك (disassemblers)، وأدوات الهندسة العكسية (decompilers) للهندسة العكسية للخوارزميات، أو التلاعب بالمنطق (مثل تجاوز فحص التراخيص)، أو تنفيذ نسخ غير مصرح بها. وبينما يمكن للمدافعين نشر حمايات برمجية (SPs) داخل التطبيق للتخفيف من هذه المخاطر، فإن الممارسات الحالية تعاني من نقص في تحليل المخاطر الرسمي والاعتماد على "الأمن عبر الغموض". وعادة ما يكون اختيار الحمايات البرمجية عملية يدوية، يقوم بها خبراء بناءً على الحدس ("الشعور")، ولا يتم تقييمها إلا بعد النشر. هذا النهج غير فعال، ومكلف، ويصعب توسيع نطاقه، خاصة في ظل نقص الخبراء الأمنيين والضغط على البائعين لحماية إصدارات ومنصات متعددة من التطبيقات دون تدهور في الأداء أو سهولة الاستخدام. هناك حاجة ماسة إلى طريقة رسمية ومؤتمتة لاختيار وتكوين الحمايات البرمجية التي تؤخر المهاجمين مع الالتزام بقيود صارمة على العبء الإضافي (overhead).

المنهجية
تقترح الورقة نهجاً جديداً ومؤتمتاً لاختيار الحمايات البرمجية، مؤطراً كمسألة تحسين قائمة على نظرية الألعاب. تُبنى المنهجية على قاعدة معرفية (KB) تعمل على إضفاء الطابع الرسمي على عناصر اتخاذ القرار: المكونات البرمجية (Application Artifacts - AAs)، الأصول، المتطلبات الأمنية (السرية والسلامة)، مسارات الهجوم، وحمايات برمجية ملموسة (CSPs).

1. الصياغة الرسمية وتقييم المخاطر: تبدأ العملية بتوصيف الكود المصدري لتحديد الأصول ومتطلباتها الأمنية. يقوم النظام بإنشاء تمثيل رسمي للتطبيق ويحدد مسارات الهجوم المحتملة كمتتاليات مرتبة من خطوات الهجوم الذرية. يتم اشتقاق هذه المسارات من تصنيفات الخبراء وتمثل تسلسل المهام التي يجب أن يقوم بها المهاجم لانتهاك متطلب أمني ما.
2. مؤشر الحماية البرمجية (SPI): المساهمة المركزية هي تقديم مؤشر SPI، الذي يوسع المفاهيم الحالية لـ "القوة" (potency) و"المرونة" (resilience). يقيس SPI مدى فعالية حل الحماية من خلال تقييم تأثيره على مسارات هجوم محددة. وهو يدمج مقاييس البرمجيات (مثل حجم Halstead، والتعقيد الدوري/Cyclomatic complexity) وتقييمات الخبراء لنمذجة كيفية زيادة الحمايات للجهد المطلوب لخطوات الهجوم (القوة) وكيفية تآكل جهود الهجوم لفعالية الحماية (المرونة).
3. التحسين القائم على نظرية الألعاب: يتم نمذجة اختيار الحمايات المثلى كلعبة غير تفاعلية بين المدافع والمهاجم.
   • المدافع: يقترح حلاً مرشحاً (تسلسل مرتب من CSPs المطبقة على مكونات محددة) لتعظيم قيمة SPI.
   • المهاجم: يستثمر الجهد في مسارات هجوم محددة لتقليل قيمة SPI (الـ SPI المتبقي).
   • الخوارزمية: يستخدم النظام آلية استدلالية تعتمد على استراتيجية البحث في العمق أولاً (depth-first exploration) بأسلوب "الحد الأدنى الأقصى" (mini-max). ولإدارة التعقيد الأسي لفضاء البحث، تستخدم الخوارزمية تحسينات البرمجة الديناميكية، بما في ذلك تقليم ألفا-بيتا (alpha-beta pruning)، ونوافذ التطلع (aspiration windows)، وجداول النقل (transposition tables)، وتقليم العدمية (futility pruning).
   • مجموعات الارتباط البرمجي (CCSs): لتحسين الكفاءة بشكل أكبر، يتم تقسيم التطبيق إلى مجموعات CCS مستقلة، مما يسمح بحل عملية التحسين لمجموعات فرعية أصغر وأكثر قابلية للإدارة من الكود بدلاً من التطبيق بأك , ككتلة واحدة.
4. قيود العبء الإضافي: تخضع عملية الاختيار لعتبات العبء الإضافي (وقت الحوسبة، الذاكرة، عرض نطاق الشبكة). يستخدم النظام نماذج تعلم آلي (ML) للتنبؤ بالمقاييس والأعباء الإضافية للحلول المرشحة دون الحاجة إلى التجميع الفعلي لكل متغير، مما يضمن بقاء الحل المختار قابلاً للاستخدام.

المساهمات الرئيسية

• نموذج رسمي لاختيار الحماية البرمجية: تقدم الورقة نموذجاً رسمياً يدمج المكونات البرمجية، الأصول، المتطلبات الأمنية، ومسارات الهجوم لأتمتة اختيار الحمايات المثلى تحت قيود العبء الإضافي.
• مؤشر الحماية البرمجية (SPI): مقياس أصيل يقيم فعالية الحماية ضد مسارات هجوم محددة، حيث يجمع بين مقاييس البرمجيات وتقييمات الخبراء لقياس كل من القوة والمرونة.
• خوارزمية تحسين مؤتمتة: نهج قائم على نظرية الألعاب باستخدام البحث في العمق أولاً بأسلوب (mini-max) مع تحسينات البرمجة الديناميكية لإيجاد حلول قريبة من المثالية في إطار زمني ممكن.
• تنفيذ إثبات المفهوم (PoC): أداة عاملة (ESP) تم تنفيذها كإضافات لبرنامج Eclipse تدعم لغة C، وتتكامل مع أدوات مثل Tigress وASPIRE Compiler Tool Chain (ACTC).

النتائج والتحقق
تم التحقق من النهج من خلال تقييم كمي ونوعي شمل خبراء صناعيين من تحالف مشروع ASPIRE.

• التحليل الكمي: تم اختبار إثبات المفهوم على ثلاث حالات استخدام لتطبيقات Android (مدير تراخيص، مولد رموز OTP، ومشغل فيديو يدعم DRM). تم قياس وقت التحسين مقابل أهداف الحماية (POs)، مسارات الهجوم، وعمق البحث. وبينما التعقيد النظري أسي، سمح استخدام مجموعات CCS والاستدلالات للنظام بإيجاد حلول مثلى في دقائق للحالات الواقعية (مثل أعماق بحث تتراوح بين 3-6 وما يصل إلى 512 هدف حماية).
• التقييم النوعي: قام خبراء (داخليون وخارجيون للمشروع) بتقييم مخرجات إثبات المفهوم. وأكدوا أن الأداة يمكنها توليد حلول حماية مخصصة وعالية الجودة تضاهي الاختيار اليدوي للخبراء. لاحظ الخبراء أن الحمايات المختارة حافظت على دلالات (semantics) التطبيق الأصلية ولم تضف عبئاً حسابياً غير مقبول. كما اعتُبرت الأداة مفيدة بشكل خاص لدعم الخبراء في مهامهم اليومية، رغم ملاحظة أنه بدون الضبط الدقيق للمعلمات من قبل الخبراء، قد لا يتطابق المستوى الأمني مع العملية اليدية الكاملة.
• الاختبار في العالم الحقيقي: تعرضت الحلول التي ولدها إثبات المفهة لهجمات من قبل مختبري اختراق محترفين، الذين أفادوا بحدوث تأخيرات كبيرة في مهاجمة التطبيقات المحمية، مما يثبت الفعالية العملية للاختيار المؤتمت.

الأهمية
تدعي الورقة أن الحماية البرمجية المؤتمتة هي حل عملي وفعال لتخفيف المخاطر في البرمجيات. ومن خلال إضفاء الطابع الرسمي على تحليل المخاطر وأتمتة عملية الاختيار، يعالج هذا النهج فجوة المهارات في الصناعة وضغوط وقت الوصول إلى السوق التي يواجهها بائعو البرامج. إن هذا العمل يتجاوز مفهوم "الأمن عبر الغموض" من خلال توفير طريقة قابلة للتكرار، وقابلة لإعادة الإنتاج، ومبنية على أسس رسمية لتأخير المهاجمين مع ضمان سهولة استخدام التطبيق. يوضح العمل أن النهج القائم على نظرية الألعاب، المعزز بالتعلم الآلي للتنبؤ بالمقاييس وبالبرمجة الديناميكية لتحسين البحث، يمكنه بفعالية إدارة المقايضات المعقدة بين الأمن والأداء في سياق هجمات MATE.