Vulnerability Abundance: A formal proof of infinite vulnerabilities in code

यहाँ लेवरेट और वैन डेर हम-डे वोस के शोध पत्र "Vulnerability Abundance: A formal proof of infinite vulnerabilities in code" का विस्तृत तकनीकी सारांश दिया गया है।

1. समस्या विवरण (Problem Statement)

यह शोध पत्र साइबर सुरक्षा की एक मौलिक बहस को संबोधित करता है: क्या सॉफ्टवेयर कमजोरियाँ (vulnerabilities) मौलिक रूप से सीमित हैं या अनंत?

• "विरल" (Sparse) दृष्टिकोण: यदि कमजोरियाँ सीमित हैं और घट रही हैं, तो पूर्णतः पैचिंग (exhaustive patching) एक व्यवहार्य सुरक्षा रणनीति है।
• "सघन" (Dense) दृष्टिकोण: यदि कमजोरियाँ प्रभावी रूप से अनंत हैं, तो व्यक्तिगत बग्स को ठीक करना "सिसिफियन" (सिसिफस के समान व्यर्थ प्रयास) है, और सुरक्षा को व्यक्तिगत पैचिंग के बजाय प्रणालीगत लचीलेपन (systemic resilience) पर निर्भर होना चाहिए।
• अंतराल (The Gap): जबकि पिछले तर्कों (जैसे स्प्रिंग और इल्लारी द्वारा) ने यह तर्क देने के लिए कंप्यूटेबिलिटी थ्योरी (राइस थ्योरम, हलिंग प्रॉब्लम) का उपयोग किया कि कमजोरियाँ अनंत होनी चाहिए, कोई रचनात्मक प्रमाण (constructive proof) नहीं था—अर्थात, ऐसा कोई ठोस, निष्पादनीय उदाहरण नहीं था जो एक ही प्रोग्राम को विशिष्ट कमजोरियों के गणनीय अनंत (countably infinite) सेट उत्पन्न करते हुए प्रदर्शित कर सके।

2. कार्यप्रणाली (Methodology)

लेखक एक रचनात्मक प्रमाण (constructive proof) के साथ औपचारिक विधियों (formal methods) और सेट थ्योरी का उपयोग करते हैं।

A. "वल्नरेबिलिटी फैक्ट्री" (Vulnerability Factory - VF)

कार्यप्रणाली का मूल एक विशिष्ट C प्रोग्राम है जिसे Vulnerability Factory कहा गया है। इसके दो घटक हैं:

1. आधार सेट ($B$): 11 हार्ड-कोडेड फंक्शन, जिनमें से प्रत्येक में एक अलग कॉमन वीकनेस एन्यूमरेशन (CWE) क्लास से जुड़ी एक क्लासिक कमजोरी शामिल है (जैसे, स्टैक बफर ओवरफ्लो, फॉर्मेट स्ट्रिंग, इंटीजर ओवरफ्लो)।
2. जेनेरेटर ($G$): एक लूप जो एक निरंतर काउंटर $n \in \mathbb{N}$ को पढ़ता है। प्रत्येक पुनरावृत्ति (iteration) के लिए, यह:
   • एक नया C सोर्स फ़ाइल (vuln_module_n.c) उत्पन्न करता है।
   • उस मॉड्यूल के भीतर पाँच कमजोरियों को $n$ के आधार पर पैरामीटराइज़ करता है (जैसे, बफर आकार = $16 + n$, एलोकेशन आकार = $8 + n$)।
   • मॉड्यूल को एक अलग शेयर्ड लाइब्रेरी में संकलित (compile) करता है।
   • $n$ को बढ़ाता है।

B. औपचारिक सत्यापन (Formal Verification)

• सेट थ्योरी: लेखक एक कमजोरी को एक टुपल $(c, t, p)$ के रूप में परिभाषित करते हैं जहाँ $c$ एक घटक है, $t$ एक प्रकार है, और $p$ एक पैरामीटर सेट है। वे सिद्ध करते हैं कि उत्पन्न मॉड्यूल का सेट कमजोरियों का एक सेट $V$ बनाता है जिसकी कार्डिनैलिटी (cardinality) $\aleph_0$ (गणनीय अनंत) है।
• CVE अनुपालन: वे सत्यापित करते हैं कि प्रत्येक उत्पन्न मॉड्यूल MITRE के CVE काउंटिंग रूल्स का पालन करता है:
  1. स्वतंत्र रूप से ठीक करने योग्य (Independently Fixable): मॉड्यूल $M_7$ को पैच करने से $M_{42}$ प्रभावित नहीं होता है।
  2. विशिष्ट घटक (Distinct Components): प्रत्येक मॉड्यूल एक अलग शेयर्ड लाइब्रेरी के रूप में संकलित होता है।
  3. विशिष्ट पैरामीटर (Distinct Parameters): पैरामीटराइजेशन के कारण (जैसे, अलग-अलग बफर आकार) एक्सप्लॉइट पेलोड भिन्न होते हैं।
• ट्यूरिंग मशीन लक्षण वर्णन: VF को एक ट्यूरिंग मशीन (TM) के रूप में औपचारिक रूप दिया गया है ताकि यह प्रदर्शित किया जा सके कि कमजोरी का उत्पादन एक कंप्यूट करने योग्य (computable) और निर्णायक (decidable) प्रक्रिया है, न कि केवल C के विशिष्ट मेमोरी मॉडल का एक आर्टिफैक्ट।

C. आपत्तियों का समाधान (Addressing Objections)

शोध पत्र संभावित प्रति-तर्कों का अनुमान लगाता है और उन्हें खारिज करता है:

• आपत्ति: "पैरामीट्रिक भिन्नता एक नया मूल कारण (root cause) नहीं है।"
  • खंडन: CVE नियम विशिष्ट घटकों के आधार पर ID आवंटित करते हैं। चूंकि प्रत्येक $M_n$ एक अलग शेयर्ड लाइब्रेरी है, इसलिए वे विशिष्ट घटक हैं।
• आपत्ति: "भौतिक कंप्यूटरों में पूर्णांक (integers) सीमित होते हैं।"
  • खंडन: प्रमाण गणितीय $\mathbb{N}$ (TM मॉडल के माध्यम से) पर संचालित होता है, न कि C के int पर। यहाँ तक कि एक सीमित C कार्यान्वयन भी $\sim 10^{10}$ कमजोरियाँ प्रदान करता है, जो व्यावहारिक उद्देश्यों के लिए प्रभावी रूप से अनंत है।
• आपत्ति: "जानबूझकर किया गया उत्पादन एक टॉटोलॉजी (tautology) है।"
  • खंडन: प्रमाण अस्तित्व संबंधी (existential) है। एक बार उत्पन्न होने के बाद, कमजोरियाँ संकलित बाइनरी में मौजूद होती हैं, चाहे उनका मूल कुछ भी हो।

3. मुख्य योगदान (Key Contributions)

1. अनंतता का रचनात्मक प्रमाण: शोध पत्र पहला कठोर, निष्पादनीय प्रमाण प्रदान करता है कि एक एकल प्रोग्राम CVE-योग्य कमजोरियों का गणनीय अनंत सेट धारण कर सकता है।
2. Vulnerability Factory आर्टिफैक्ट: VF को भविष्य के औपचारिक परिणामों के लिए एक पुन: प्रयोज्य "परीक्षण वस्तु" के रूप में प्रस्तावित किया गया है, जो कंप्यूटेबिलिटी थ्योरी में 'बजी बीवर' (Busy Beaver) फंक्शन के समान है।
3. कमजोरी प्रचुरता (Vulnerability Abundance) की अवधारणा: लेखक एक नया मीट्रिक पेश करते हैं जो रासायनिक तत्व प्रचुरता (chemical elemental abundance) के समान है। जिस प्रकार हाइड्रोजन ब्रह्मांड पर हावी है जबकि सोना दुर्लभ है, उसी प्रकार कुछ कमजोरी वर्ग (जैसे, C में मेमोरी करप्शन) भाषा के चुनाव और आर्किटेक्चर के आधार पर सॉफ्टवेयर इकोसिस्टम पर हावी होते हैं।
4. कमजोरियों और एक्सप्लॉइट्स के बीच अंतर: शोध पत्र कमजोरियों के अस्तित्व और एक्सप्लॉइट्स की वास्तविकता के बीच स्पष्ट रूप से अंतर करता है।
5. एक्सप्लोइट एक्सपोज़र मॉडल: एक सूत्र प्रस्तावित किया गया है: $E(v, s) = A(t_v) \times D(s) \times P_{exploit}(v)$, जो कमजोरी प्रचुरता ($A$), सॉफ्टवेयर परिनियोजन हिस्सेदारी ($D$), और एक्सप्लॉइट की संभावना को जोड़ता है।

4. परिणाम (Results)

• अनंत सेट: सिद्ध होता है कि VF द्वारा उत्पन्न कमजोरियों का सेट $V$ गणनीय अनंत ($\aleph_0$) है।
• मजबूती (Robustness): प्रमाण तब भी मान्य रहता है जब उत्पन्न किए गए मामलों के एक सीमित सेट को अमान्य माना जाए; एक अनंत सेट से एक सीमित सेट को हटाने से भी एक अनंत सेट ही बचता है।
• एक्सप्लोइट की दुर्लभता: अनुभवजन्य डेटा पुष्टि करता है कि जबकि कमजोरियाँ अनंत हैं, एक्सप्लोइट (शोषण) दुर्लभ है। प्रकाशित CVEs में से केवल ~2.6% से 6% को ही वास्तविक दुनिया में कभी एक्सप्लोइट किया जाता है।
• "स्मॉल-एक्सप्लोइट प्रिंसिपल": क्योंकि सॉफ्टवेयर परिनियोजन केंद्रित (मोनोकल्चर) है, एक हमलावर को जोखिम परिदृश्य को संतृप्त करने के लिए केवल कुछ ही एक्सप्लॉइट्स (शीर्ष 3-4 सॉफ्टवेयर स्टैक को लक्षित करने वाले) की आवश्यकता होती है, भले ही संभावित कमजोरियों का पूल अनंत हो।

5. महत्व और निहितार्थ (Significance and Implications)

• सुरक्षा रणनीति में बदलाव: शोध पत्र तर्क देता है कि "पूर्णतः पैचिंग" एक त्रुटिपूर्ण रणनीति है क्योंकि कमजोरियों का भंडार अनंत है। सुरक्षा को कमजोरी प्रचुरता (उच्च जोखिम वाले वर्गों की व्यापकता को कम करना) और परिनियोजन विविधता (मोनोकल्चर को कम करना) पर ध्यान केंद्रित करना चाहिए।
• भाषा डिजाइन: "न्यूक्लियोसिंथेसिस" (nucleosynthesis) की अवधारणा बताती है कि प्रोग्रामिंग भाषाएँ फिल्टर के रूप में कार्य करती हैं। मेमोरी-सेफ भाषाएँ (Rust, Go) विशिष्ट "तत्वों" (मेमोरी करप्शन) को समाप्त करती हैं, लेकिन अन्य (लॉजिक एरर, इंजेक्शन) को अनुमति दे सकती हैं।
• आर्थिक संरेखण: कमजोरी प्रचुरता को मात्रात्मक बनाकर, संगठन प्रोत्साहन को बेहतर ढंग से संरेखित कर सकते हैं। यदि 70% C/C++ बग मेमोरी सेफ्टी के मुद्दे हैं, तो Rust की ओर जाने के ROI को गणितीय रूप से मापने योग्य बनाया जा सकता है।
• जोखिम मॉडलिंग: साइबर-जोखिम विश्लेषण को व्यक्तिगत CVEs को गिनने के बजाय कमजोरी प्रचुरता और सॉफ्टवेयर बाजार हिस्सेदारी के बीच परस्पर क्रिया को मॉडल करने की ओर बढ़ना चाहिए। एक दुर्लभ कमजोरी जो प्रमुख प्लेटफॉर्म पर है, वह नीच (niche) सॉफ्टवेयर में सामान्य कमजोरी की तुलना में अधिक प्रणालीगत जोखिम पैदा करती है।

निष्कर्ष (Conclusion)

शोध पत्र निष्कर्ष निकालता है कि सभी सॉफ्टवेयर कमजोरियों का सेट अनिवार्य रूप से अनंत है। हालाँकि, एक्सप्लॉइट्स का सेट सीमित है और बाजार की गतिशीलता द्वारा संचालित है। लेखक प्रस्ताव करते हैं कि सुरक्षा का भविष्य बग्स के "समुद्र को खाली करने" में नहीं, बल्कि "उसकी धाराओं को समझने" में है—कमजोरी वर्गों के वितरण और उनके सॉफ्टवेयर परिनियोजन के साथ होने वाली परस्पर क्रिया को समझकर प्रणालीगत जोखिम का प्रबंधन करना। Vulnerability Factory इस नए सैद्धांतिक ढांचे का समर्थन करने के लिए एक आधारभूत प्रमाण आर्टिफैक्ट के रूप में कार्य करता है।