Automatic Selection of Protections to Mitigate Risks Against Software Applications

Enunciato del Problema
Le applicazioni software affrontano rischi significativi derivanti da attacchi Man-At-The-End (MATE), in cui gli avversari possiedono l'accesso completo al software e ai sistemi che lo eseguono. Gli attaccanti utilizzano strumenti come debugger, disassembler e decompiler per ingegnerizzare al contrario gli algoritmi, manomettere la logica (ad esempio, aggirando i controlli della licenza) o eseguire copie non autorizzate. Sebbene i difensori possano implementare Protezioni Software (SP) all'interno dell'applicazione per mitigare questi rischi, le pratiche attuali soffrono di una mancanza di analisi formale del rischio e di una dipendenza dalla "sicurezza attraverso l'oscurità". La selezione delle SP è tipicamente manuale, effettuata da esperti basandosi sull'intuizione ("sensazione") e valutata solo post-distribuzione. Questo approccio è inefficiente, costoso e difficile da scalare, specialmente data la carenza di esperti di sicurezza e la pressione sui fornitori per proteggere più versioni e piattaforme di applicazioni senza degradare le prestazioni o l'usabilità. Vi è un bisogno critico di un metodo formalizzato e automatizzato per selezionare e configurare le SP che ritardi gli attaccanti rispettando vincoli rigorosi di sovraccarico.

Metodologia
Il documento propone un approccio innovativo e automatizzato per la selezione delle protezioni software, inquadrato come un problema di ottimizzazione di teoria dei giochi. La metodologia si fonda su una Base di Conoscenza (KB) che formalizza gli elementi decisionali: artefatti di codice (Artefatti dell'Applicazione o AA), asset, requisiti di sicurezza (riservatezza e integrità), percorsi di attacco e protezioni software concrete (CSP).

1. Formalizzazione e Valutazione del Rischio: Il processo inizia con l'annotazione del codice sorgente per identificare gli asset e i loro requisiti di sicurezza. Il sistema costruisce una rappresentazione formale dell'applicazione e identifica i potenziali percorsi di attacco come sequenze ordinate di passi di attacco atomici. Questi percorsi sono derivati da tassonomie esperte e rappresentano la sequenza di compiti che un attaccante deve eseguire per violare un requisito di sicurezza.
2. L'Indice di Protezione Software (SPI): Un contributo centrale è l'introduzione dello SPI, che estende le nozioni esistenti di "potenza" e "resilienza". Lo SPI quantifica l'efficacia di una soluzione di protezione valutandone l'impatto su specifici percorsi di attacco. Incorpora metriche software (ad esempio, dimensione di Halstead, complessità ciclomatica) e valutazioni esperte per modellare come le protezioni aumentino lo sforzo richiesto per i passi di attacco (potenza) e come gli sforzi di attacco erodano l'efficacia della protezione (resilienza).
3. Ottimizzazione di Teoria dei Giochi: La selezione delle protezioni ottimali è modellata come un gioco non interattivo tra un difensore e un attaccante.
   • Il Difensore: Propone una soluzione candidata (una sequenza ordinata di CSP applicati ad artefatti specifici) per massimizzare lo SPI.
   • L'Attaccante: Investe sforzo in specifici percorsi di attacco per minimizzare lo SPI (SPI residuo).
   • L'Algoritmo: Il sistema impiega un'euristica basata su una strategia di esplorazione in profondità mini-max. Per gestire la complessità esponenziale dello spazio di ricerca, l'algoritmo utilizza ottimizzazioni di programmazione dinamica, inclusi il potatura alfa-beta, finestre di aspirazione, tabelle di trasposizione e potatura di futilità.
   • Insiemi di Correlazione del Codice (CCS): Per migliorare ulteriormente l'efficienza, l'applicazione è partizionata in CCS indipendenti, consentendo di risolvere l'ottimizzazione per sottoinsiemi più piccoli e gestibili del codice anziché per l'intera applicazione in una sola volta.
4. Vincoli di Sovraccarico: Il processo di selezione è vincolato da soglie di sovraccarico (tempo di calcolo, memoria, larghezza di banda di rete). Il sistema utilizza modelli di Machine Learning (ML) per prevedere le metriche e i sovraccarichi delle soluzioni candidate senza richiedere la compilazione effettiva di ogni possibile variante, garantendo che la soluzione selezionata rimanga utilizzabile.

Contributi Chiave

• Un Modello Formale per la Selezione delle SP: Il documento presenta un modello formale che integra artefatti di codice, asset, requisiti di sicurezza e percorsi di attacco per automatizzare la selezione delle SP ottimali sotto vincoli di sovraccarico.
• L'Indice di Protezione Software (SPI): Una metrica originale che valuta l'efficacia della protezione contro specifici percorsi di attacco, combinando metriche software con valutazioni esperte per quantificare sia la potenza che la resilienza.
• Algoritmo di Ottimizzazione Automatizzato: Un approccio di teoria dei giochi che utilizza la ricerca in profondità mini-max con ottimizzazioni di programmazione dinamica per trovare soluzioni di protezione quasi ottimali in un tempo fattibile.
• Implementazione di Prova di Concetto (PoC): Uno strumento funzionante (ESP) implementato come plugin Eclipse che supporta il codice sorgente C, integrando strumenti come Tigress e la Catena di Strumenti del Compilatore ASPIRE (ACTC).

Risultati e Validazione
L'approccio è stato validato attraverso una valutazione quantitativa e qualitativa che ha coinvolto esperti del settore del consorzio del progetto ASPIRE.

• Analisi Quantitativa: La PoC è stata testata su tre casi d'uso di applicazioni Android (un gestore di licenze, un generatore OTP e un lettore video abilitato DRM). Il tempo di ottimizzazione è stato misurato in funzione del numero di obiettivi di protezione (PO), percorsi di attacco e profondità di ricerca. Sebbene la complessità teorica sia esponenziale, l'uso di CCS ed euristiche ha permesso al sistema di trovare soluzioni ottimali in minuti per scenari realistici (ad esempio, profondità di ricerca di 3–6 e fino a 512 PO).
• Valutazione Qualitativa: Esperti (sia interni che esterni al progetto) hanno valutato gli output della PoC. Hanno confermato che lo strumento è in grado di generare soluzioni di protezione personalizzate e di alta qualità comparabili alla selezione manuale esperta. Gli esperti hanno notato che le SP selezionate hanno preservato la semantica originale dell'applicazione e introdotto un sovraccarico computazionale accettabile. Lo strumento è stato considerato particolarmente utile per supportare gli esperti nelle loro attività quotidiane, sebbene sia stato notato che, senza un'ottimizzazione fine dei parametri da parte degli esperti, il livello di sicurezza potrebbe non corrispondere a quello di un processo completamente manuale.
• Test nel Mondo Reale: Le soluzioni generate dalla PoC sono state sottoposte ad attacchi da parte di penetration tester professionisti, che hanno riportato ritardi significativi nell'attacco alle applicazioni protette, validando l'efficacia pratica della selezione automatizzata.

Significato
Il documento afferma che la protezione software automatizzata è una soluzione pratica ed efficace per la mitigazione del rischio nel software. Formalizzando l'analisi del rischio e automatizzando il processo di selezione, l'approccio affronta il divario di competenze nel settore e le pressioni legate al time-to-market affrontate dai fornitori di software. Va oltre la "sicurezza attraverso l'oscurità" fornendo un metodo ripetibile, riproducibile e formalmente fondato per ritardare gli attaccanti garantendo al contempo l'usabilità dell'applicazione. Il lavoro dimostra che un approccio di teoria dei giochi, potenziato dal machine learning per la previsione delle metriche e dalla programmazione dinamica per l'ottimizzazione della ricerca, può navigare efficacemente i complessi compromessi tra sicurezza e prestazioni nel contesto degli attacchi MATE.