Mystra: Declarative Dynamic Taint Analysis via Shadow Virtual Machine
Dieses Paper führt Mystra ein, eine deklarative Sprache und eine Shadow-Virtual-Machine-Architektur für die dynamische Taint-Analyse, welche die Taint-Semantik von der Laufzeit-Instrumentierung entkoppelt und es dem Tool Shar ermöglicht, im Vergleich zu bestehenden Lösungen eine hohe Genauigkeit und einen signifikant geringeren Overhead über mehrere JavaScript- und Python-Runtimes hinweg zu erreichen.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich vor, Sie versuchen, einen schelmischen Geist (eine Sicherheitslücke) zu fangen, der sich durch eine riesige, belebte Stadt (ein Computerprogramm) schleicht. Der Geist beginnt als harmloser Tropfen Tinte (unvertrauenswürdige Daten) in einem Brief, aber wenn er eine bestimmte Tür (eine sensible Operation wie das Lesen einer Datei) erreicht, kann er das gesamte Gebäude zerstören.
Lange Zeit versuchten Sicherheitsexperten, diesen Geist mit zwei Hauptmethoden zu fangen, und beide hatten große Probleme. Eine Methode war wie das Umschreiben der Blaupausen der Stadt, bevor jemand einzieht (Source-Rewriting). Das war sicher, aber es verlangte der Stadt ein Tempo auf, das sie nur noch im Schneckentempo bewegen ließ – sie wurde 20 bis 50 Mal langsamer! Die andere Methode war wie das Einstellen eines speziellen Detektivs, der nur in einem bestimmten Viertel arbeiten konnte (Engine-Native). Er war schnell, aber wenn sich das Layout der Stadt änderte oder man in ein anderes Viertel zog, musste der Detektiv entlassen und von Grund auf neu geschult werden.
Hier kommen Mystra und Shar ins Spiel, ein neues Ermittlerteam von der Johns Hopkins University, das beschloss, eine „Schattenstadt“ direkt neben der echten Stadt zu bauen.
Die Schattenstadt (Shadow Virtual Machine)
Anstatt die echte Stadt zu verändern oder ihre Blaupausen umzuschreiben, bauten die Forscher eine parallele, unsichtbare „Shadow Virtual Machine“, die neben dem echten Programm läuft. Denken Sie an eine geisterhafte Zwillingsstadt, die jede Bewegung der echten Stadt spiegelt.
Wenn eine echte Operation stattfindet – wie etwa ein Funktionsaufruf einer anderen Funktion oder das Öffnen einer Datei – sieht die Schattenstadt dies sofort. Aber hier liegt die Magie: Die Schattenstadt ist es egal, wie die echte Stadt gebaut ist. Ob die echte Stadt auf einer schnellen, modernen Engine (wie V8 in Node.js) oder einer älteren (wie CPython) läuft, die Schattenstadt sieht exakt dieselben „Ereignisse“. Es ist wie ein universeller Übersetzer, der es den Ermittlern ermöglicht, das Geschehen zu beobachten, ohne sich in der spezifischen Mechanik der Engine zu verstricken.
Das Regelwerk (Mystra)
Das Beobachten der Stadt allein reicht nicht aus; man muss wissen, wonach man Ausschau halten muss. Hier kommt Mystra ins Spiel. Mystra ist eine spezielle, leicht lesbare Sprache (eine „deklarative“ Sprache), in der Sicherheitsexperte einfache Regeln schreiben wie: „Wenn ein Dateipfad von einem Benutzer stammt und dieser Pfad verwendet wird, um eine Datei zu öffnen, schlage Alarm!“
Das Paper argumentt, dass frühere Tools zu starr waren und Experten zwangen, komplexe, unordentliche Codes zu schreiben, die an spezifische Engines gebunden waren. Mystra ist anders. Es ist wie eine Anleitung für LEGO-Steine, die an jede Engine angesteckt werden kann.
- Der „Inject“- und „Extract“-Trick: Eine der coolsten Funktionen ist die Art und Weise, wie Mystra mit „Higher-Order Functions“ (wie
Array.mapin JavaScript) umgeht. Stellen Sie sich eine Fabrik vor, in der eine Maschine eine Kiste nimmt, sie an einen Arbeiter übergibt, damit dieser sie bemalt, und sie dann wieder zurücklegt. Mystra kann sagen: „Injiziere die Verschmutzung der Kiste in die Hände des Arbeiters, und wenn der Arbeiter fertig ist, extrahiere diese Verschmutzung zurück auf die Kiste.“ Dies ermöglicht es dem System, den „Geist“ selbst dann zu verfolgen, wenn er in eine Callback-Funktion springt, was frühere Tools oft verwirrte.
Die Ergebnisse: Schnell und Präzise
Die Forscher bauten ein Tool namens Shar, um diese Idee zu testen. Sie haben nicht nur geraten; sie haben es gegen reale Benchmarks gemessen.
- Geschwindigkeit: Als sie Shar auf Node.js ausführten, verlangsamte sich das Programm nur um den Faktor 1,85. Vergleichen Sie das mit den alten Source-Rewriting-Tools, die 22,7 Mal langsamer waren als Shar! Shar ist auch 22,7 Mal schneller als das bisher beste Tool, NodeMedic-FINE, bei exakt denselben Arbeitslasten.
- Genauigkeit: Bei einem Testdatensatz von 493 bekannten Schwachstellen (genannt SecBench.js) fing Shar 95,5 % von ihnen ab. Noch besser: Als sie das Tool auf korrigierten Versionen der Software testeten (bei denen die Lücken bereits geschlossen waren), gab es bei Shar null Fehlalarme. Es hat kein einziges Mal fälschlicherweise Alarm geschlagen.
- Portabilität: Das Team bewies, dass ihre Idee über verschiedene Welten hinweg funktioniert. Sie nahmen denselbe Kern-Engine und dieselben Regeln und portierten sie erfolgreich auf drei verschiedene Runtimes: V8 (verwendet in Node.js und Chrome), SpiderMonkey (verwendet in Firefox) und CPython (Python). Sie mussten lediglich einen kleinen „Adapter“ für jede Umgebung schreiben; der eigentliche „Gehirn“-Teil blieb gleich.
Was sie nicht gelöst haben
Es ist wichtig zu wissen, was dieses Tool nicht leistet. Das Paper stellt explizit fest, dass Shar keine „impliziten Flüsse“ (implicit flows) verfolgt. Stellen Sie sich vor, der Geist würde keine Spur aus Tinte hinterlassen, sondern stattdessen die Farbe des Himmels ändern, um eine Falle zu signalisieren. Shar beobachtet nicht den Himmel, sondern nur die Tinte. Die Autoren merken an, dass das Verfolgen dieser unsichtbaren Signale das System massiv verlangsamen würde (in anderen Studien um den Faktor 36,7), wessofern sie sich vorerst auf die sichtbaren Spuren konzentrierten.
Sie fanden auch heraus, dass, wenn ein Programm eine Textkette in winzige Stücke zerlegt (wie das Aufteilen eines Satzes in Wörter), die Verbindung zum ursprünglichen „schmutzigen“ Text manchmal verloren gehen kann. Dies ist eine bekannte Einschränkung dieser Art der Verfolgung, und sie schlagen vor, dass zukünftige Arbeiten möglicherweise eine Verfolgung auf Zeichenebene benötigen könnten, um dies zu beheben.
Das Fazit
Das Paper präsentiert Shar und Mystra nicht als Zauberstab, der jedes Sicherheitsproblem löst, sondern als einen bedeutenden Schritt nach vorn in der Art und Weise, wie wir Daten verfolgen. Indem sie das Was (die Regeln) von dem Wie (die Beobachtung des Programms durch die Shadow VM) trennten, schufen sie ein System, das schnell, präzise und flexibel ist.
In ihren Tests zeigten sie, dass man ein Sicherheitstool haben kann, das sowohl ein Geschwindigkeitsfanatiker als auch ein scharfsinniger Detektiv ist, der in der Lage ist, 95,5 % der Schwachstellen aufzuspüren, ohne das geschützte Programm nennenswert zu verlangsamen. Es ist der Beweis dafür, dass man nicht mehr zwischen Geschwindigkeit und Sicherheit wählen muss.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.