Qualifying Observation Integrity for Selective Authorization in PostgreSQL

En el mundo digital, las bases de datos actúan como la memoria central para todo, desde cuentas bancarias hasta carritos de compra en línea. Almacenan el estado actual del mundo: cuánto dinero hay en una cuenta, qué artículos hay en stock o si un usuario tiene permiso para entrar en un edificio. Cuando un programa informático solicita permiso a una base de datos para realizar una acción, la base de datos comprueba los hechos actuales. Si los hechos han cambiado desde la última comprobación, la respuesta podría ser diferente. Por ejemplo, una compra podría ser aprobada cuando un usuario tiene suficiente dinero, pero si otra transacción gasta ese dinero un instante después, la aprobación debería ser revocada. Para mantenerse seguros, los sistemas suelen volver a comprobar los hechos cada vez que se va a realizar una acción. Esto es fiable, pero puede ser lento, especialmente cuando se comprueban los mismos hechos miles de veces seguidas sin que cambien.

Los investigadores han buscado durante mucho tiempo formas de acelerar esto recordando la última vez que se comprobaron los hechos. Si el sistema puede demostrar que los datos subyacentes no han cambiado, puede reutilizar el permiso anterior sin tener que preguntar de nuevo. Esto se llama autorización selectiva. Sin embargo, este atajo solo funciona si el sistema puede estar absolutamente seguro de que los datos realmente no han cambiado. Si el sistema es engañado haciéndole creer que los datos son estables cuando en realidad están cambiando, podría conceder el permiso para una transacción que debería ser bloqueada. El desafío central no es solo comprobar los datos, sino verificar que los mismísimos mecanismos diseñados para rastrear los cambios estén funcionando correctamente y sean visibles para las personas adecuadas.

Un investigador llamado Aleksandar Mihajlovic ha desarrollado un método para verificar estos mecanismos de seguimiento dentro de un tipo específico de sistema de base de datos llamado PostgreSQL. El objetivo era crear un conjunto estricto de reglas que una instalación de base de datos debe seguir para que se le pueda confiar este atajo. El sistema, llamado OntoCommit, actúa como un guardián. Antes de que se le permita a una base de datos reutilizar decisiones de permiso anteriores, este guardián inspecciona el código y la configuración para asegurar que cada cambio en los datos se registre adecuadamente y que la persona que comprueba los registros pueda realmente ver esos registros. La investigación se centra en un límite específico: el momento en que se realiza un cambio y el momento en que se observa. Si existe una brecha entre ambos, la seguridad de todo el sistema se ve comprometida.

El estudio comenzó identificando con qué facilidad se podía romper esta confianza, incluso cuando el código parecía correcto en la superficie. El investigador encontró dos formas específicas en las que un sistema podría fallar silenciosamente. En el primer caso, una función auxiliar diseñada para actualizar un contador de cambios tuvo sus nombres de entrada intercambiados. El código seguía ejecutándose y los tipos de datos que aceptaba eran correctos, pero debido a que los nombres estaban mezclados, el contador para un tipo de cambio se actualizaba mientras que el contador para otro tipo permanecía estancado. Era como un sistema de semáforos donde el sensor para el carril norte-sur se conectó accidentalmente al botón este-oeste; las luces cambiarían, pero no para los coches que las necesitaban. En el segundo caso, el sistema estaba configurado con una función de seguridad que ocultaba ciertas filas de datos a los usuarios regulares. El contador de cambios era actualizado correctamente por el administrador del sistema, pero la persona que comprobaba el permiso estaba bloqueada para ver esa actualización. Para el comprobador, el contador aparecía como cero, a pesar de que en realidad había aumentado. Esto creó una falsa sensación de seguridad.

Para prevenir estos fallos, el investigador construyó una herramienta de calificación que comprueba la instalación de la base de datos antes de que se le permita usar el atajo. Esta herramienta no solo busca la presencia de código; verifica la vinculación exacta de los nombres de las funciones, la propiedad de las tablas y los ajustes de visibilidad para cada rol de usuario. Insiste en que el código responsable de actualizar los contadores de cambios coincida exactamente con la firma esperada por el sistema. También prohíbe el uso de seguridad a nivel de fila en las tablas específicas que rastrean estos cambios, asegurando que la persona que comprueba el permiso pueda siempre ver el estado real del contador. La herramienta actúa como un inspector riguroso, rechazando cualquier instalación que intente usar variaciones no soportadas o que oculte la evidencia del cambio.

El investigador probó este enfoque utilizando un entorno controlado que simulaba un proceso de compra completo. El sistema se configuró para manejar un escenario donde un usuario intenta comprar algo, comprobando su saldo de cuenta y cualquier retención existente sobre sus fondos. El experimento comparó dos métodos: uno donde el sistema reevalúa toda la política desde cero cada vez, y otro donde el sistema utiliza el atajo de autorización selectiva. Las pruebas se realizaron en una versión estándar del software de base de datos, pero dentro de un entorno informático simulado para garantizar un control preciso sobre las condiciones. El estudio incluyó un conjunto de ciento ocho pares de configuración diferentes, algunos diseñados para ser seguros y otros para ser inseguros, para ver si la herramienta de calificación podía notar la diferencia.

Los resultados mostraron que la herramienta de calificación era altamente efectiva para identificar configuraciones inseguras. Logró rechazar con éxito las cinco configuraciones deliberadamente inseguras, incluyendo las de nombres de parámetros intercambiados y filas de datos ocultas. Al mismo tiempo, aceptó las cuarenta y ocho configuraciones válidas y seguras. También rechazó correctamente dos configuraciones que eran seguras pero que no encajaban con las reglas estrictas de la herramienta, demostrando que prioriza la seguridad sobre la conveniencia. En las pruebas de rendimiento, el método de autorización selectiva demostró ser significativamente más rápido cuando los datos permanecían sin cambios. Para un conjunto de datos de diez mil filas, el sistema que utilizaba el atajo completó el ciclo en un tiempo mediano de sesenta y seis milisegundos, mientras que el sistema que lo reevaluaba todo tomó ochenta y siete milisegundos. Esto representó una reducción de tiempo del veinticuatro por ciento. Sin embargo, el estudio también encontró que cuando los datos realmente cambiaban, el atajo no ofrecía ninguna ventaja de velocidad e incluso podía ser ligeramente más lento, ya que el sistema tenía que reevaluar la política.

La investigación también destacó los límites de las pruebas. El investigador demostró que simplemente ejecutar algunas pruebas para ver si el sistema funciona no es suficiente para garantizar que siempre funcionará. Es posible construir un escenario donde un sistema pase todas las pruebas pero aun así falle bajo una condición específica y no vista. El estudio mostró que un sistema podría pasar una serie de comprobaciones mientras sigue ocultando un cambio crítico al observador. Esto significa que la única forma de asegurar la seguridad es imponer reglas estrictas sobre cómo se construye el sistema, en lugar de confiar únicamente en las pruebas para encontrar errores. La herramienta no pretende demostrar que el sistema es perfecto en cada universo posible, pero sí proporciona un contrato verificable de que la instalación sigue un patrón específico y seguro.

Al final, el trabajo proporciona un método práctico para hacer las bases de datos más rápidas sin sacrificar la seguridad. Al definir un conjunto claro de reglas sobre cómo debe implementarse y verificarse el seguimiento de cambios, el investigador ha creado una forma de confiar en que la base de datos dice la verdad sobre su propio estado. El estudio no pretende resolver todos los problemas de la seguridad de las bases de datos, ni sugiere que este método deba usarse en todas las situaciones. Es una solución especializada para un tipo específico de configuración de base de datos, una que intercambia algo de flexibilidad por un mayor grado de certeza. Los hallazgos sugieren que para aplicaciones donde la velocidad y la seguridad son críticas, como las transacciones financieras, un sistema cuidadosamente calificado puede ofrecer un atajo fiable. La investigación concluye que la seguridad de estos atajos depende enteramente de la integridad de la ruta de observación, desde el momento en que se realiza un cambio hasta el momento en que se ve, y que esta ruta debe ser comprobada con el mismo rigor que los datos mismos.