Automatic Selection of Protections to Mitigate Risks Against Software Applications

Enunciado del Problema
Las aplicaciones de software enfrentan riesgos significativos por ataques de tipo Man-At-The-End (MATE), donde los adversarios poseen acceso completo al software y a los sistemas que lo ejecutan. Los atacantes utilizan herramientas como depuradores, desensambladores y descompiladores para ingeniería inversa de algoritmos, alterar la lógica (por ejemplo, eludir verificaciones de licencia) o ejecutar copias no autorizadas. Aunque los defensores pueden implementar Protecciones de Software (SP) dentro de la aplicación para mitigar estos riesgos, las prácticas actuales adolecen de una falta de análisis de riesgo formal y dependen de la "seguridad por oscuridad". La selección de SPs es típicamente manual, realizada por expertos basándose en la intuición ("sentimiento"), y evaluada únicamente después del despliegue. Este enfoque es ineficiente, costoso y difícil de escalar, especialmente dada la escasez de expertos en seguridad y la presión sobre los proveedores para proteger múltiples versiones y plataformas de aplicaciones sin degradar el rendimiento ni la usabilidad. Existe una necesidad crítica de un método formalizado y automatizado para seleccionar y configurar SPs que retrase a los atacantes mientras se adhiere a restricciones estrictas de sobrecarga.

Metodología
El artículo propone un enfoque novedoso y automatizado para la selección de protecciones de software, planteado como un problema de optimización basado en la teoría de juegos. La metodología se basa en una Base de Conocimientos (KB) que formaliza los elementos de la toma de decisiones: artefactos de código (Artefactos de Aplicación o AAs), activos, requisitos de seguridad (confidencialidad e integridad), rutas de ataque y protecciones de software concretas (CSPs).

1. Formalización y Evaluación de Riesgos: El proceso comienza con la anotación del código fuente para identificar activos y sus requisitos de seguridad. El sistema construye una representación formal de la aplicación e identifica las rutas de ataque potenciales como secuencias ordenadas de pasos de ataque atómicos. Estas rutas se derivan de taxonomías de expertos y representan la secuencia de tareas que un atacante debe realizar para vulnerar un requisito de seguridad.
2. El Índice de Protección de Software (SPI): Una contribución central es la introducción del SPI, que extiende las nociones existentes de "potencia" y "resiliencia". El SPI cuantifica la efectividad de una solución de protección evaluando su impacto en rutas de ataque específicas. Incorpora métricas de software (por ejemplo, tamaño de Halstead, complejidad ciclomática) y evaluaciones de expertos para modelar cómo las protecciones aumentan el esfuerzo requerido para los pasos de ataque (potencia) y cómo los esfuerzos de ataque erosionan la efectividad de la protección (resiliencia).
3. Optimización Basada en Teoría de Juegos: La selección de protecciones óptimas se modela como un juego no interactivo entre un defensor y un atacante.
   • El Defensor: Propone una solución candidata (una secuencia ordenada de CSPs aplicados a artefactos específicos) para maximizar el SPI.
   • El Atacante: Invierte esfuerzo en rutas de ataque específicas para minimizar el SPI (SPI residual).
   • El Algoritmo: El sistema emplea una heurística basada en una estrategia de exploración en profundidad de tipo mini-max. Para gestionar la complejidad exponencial del espacio de búsqueda, el algoritmo utiliza optimizaciones de programación dinámica, incluyendo poda alfa-beta, ventanas de aspiración, tablas de transposición y poda de futilidad.
   • Conjuntos de Correlación de Código (CCSs): Para mejorar aún más la eficiencia, la aplicación se divide en CCSs independientes, permitiendo que la optimización se resuelva para subconjuntos más pequeños y manejables del código en lugar de toda la aplicación a la vez.
4. Restricciones de Sobrecarga: El proceso de selección está restringido por umbrales de sobrecarga (tiempo de computación, memoria, ancho de banda de red). El sistema utiliza modelos de Aprendizaje Automático (ML) para predecir las métricas y sobrecargas de las soluciones candidatas sin requerir la compilación real de cada variante posible, asegurando que la solución seleccionada permanezca utilizable.

Contribuciones Clave

• Un Modelo Formal para la Selección de SP: El artículo presenta un modelo formal que integra artefactos de código, activos, requisitos de seguridad y rutas de ataque para automatizar la selección de SPs óptimas bajo restricciones de sobrecarga.
• El Índice de Protección de Software (SPI): Una métrica original que evalúa la efectividad de la protección frente a rutas de ataque específicas, combinando métricas de software con evaluaciones de expertos para cuantificar tanto la potencia como la resiliencia.
• Algoritmo de Optimización Automatizado: Un enfoque basado en teoría de juegos que utiliza búsqueda en profundidad mini-max con optimizaciones de programación dinámica para encontrar soluciones de protección casi óptimas en un plazo factible.
• Implementación de Prueba de Concepto (PoC): Una herramienta funcional (ESP) implementada como plugins de Eclipse que soporta código fuente C, integrando herramientas como Tigress y la Cadena de Herramientas de Compilador ASPIRE (ACTC).

Resultados y Validación
El enfoque fue validado mediante una evaluación cuantitativa y cualitativa que involucró a expertos de la industria del consorcio del proyecto ASPIRE.

• Análisis Cuantitativo: La PoC fue probada en tres casos de uso de aplicaciones Android (un gestor de licencias, un generador de OTP y un reproductor de video habilitado para DRM). El tiempo de optimización se midió en función del número de objetivos de protección (POs), rutas de ataque y profundidad de búsqueda. Aunque la complejidad teórica es exponencial, el uso de CCSs y heurísticas permitió que el sistema encontrara soluciones óptimas en minutos para escenarios realistas (por ejemplo, profundidades de búsqueda de 3–6 y hasta 512 POs).
• Evaluación Cualitativa: Expertos (tanto internos como externos al proyecto) evaluaron los resultados de la PoC. Confirmaron que la herramienta podía generar soluciones de protección personalizadas y de alta calidad comparables a la selección manual de expertos. Los expertos notaron que las SPs seleccionadas preservaron la semántica original de la aplicación e introdujeron una sobrecarga computacional aceptable. La herramienta fue considerada particularmente útil para apoyar a los expertos en sus tareas diarias, aunque se señaló que, sin un ajuste fino de parámetros por parte de expertos, el nivel de seguridad podría no igualar al de un proceso totalmente manual.
• Pruebas en el Mundo Real: Las soluciones generadas por la PoC fueron sometidas a ataques por pentesters profesionales, quienes reportaron retrasos significativos al atacar las aplicaciones protegidas, validando la efectividad práctica de la selección automatizada.

Significado
El artículo afirma que la protección automatizada de software es una solución práctica y efectiva para la mitigación de riesgos en el software. Al formalizar el análisis de riesgos y automatizar el proceso de selección, el enfoque aborda la brecha de habilidades en la industria y las presiones de tiempo de comercialización a las que se enfrentan los proveedores de software. Va más allá de la "seguridad por oscuridad" al proporcionar un método repetible, reproducible y formalmente fundamentado para retrasar a los atacantes mientras se garantiza la usabilidad de la aplicación. El trabajo demuestra que un enfoque basado en teoría de juegos, aumentado con aprendizaje automático para la predicción de métricas y programación dinámica para la optimización de la búsqueda, puede navegar eficazmente las complejas compensaciones entre seguridad y rendimiento en el contexto de ataques MATE.