Renaming or Tightness: Enforcing Disjunctive Information Flow Policies

秘密の守護者と二重カウントの罠

あなたは、ハイステークスなスパイ機関のデジタルセキュリティガードマンだと想像してください。あなたの仕事は、機密情報が間違った人々に漏洩しないようにすることです。コンピュータサイエンスの世界では、これは「情報フロー制御（Information Flow Control）」と呼ばれます。何十年もの間、セキュリティの専門家は、これらの秘密を管理するために「ラティス（格子）」と呼ばれるツールを使用してきました。ラティスを、ラベルの貼られた引き出しがある厳格なファイルキャビネットだと考えてください。「最高機密」の引き出しに秘密を入れたら、それがどれほど危険な状態にあるかが正確に分かります。2つの秘密を組み合わせると、システムはそれらを単に「超最高機密」の引き出しに入れます。これは単純で予測可能であり、ほとんどの状況でうまく機能します。

しかし、現実の世界は混沌としています。時には、ルールとは「どれだけの量」の秘密を持っているかではなく、「どの」秘密を持っているかに関する場合があります。例えば、「クライアントAのファイル、またはクライアントBのファイルを見てもよいが、決して両方は見てはならない」というルールを想像してください。これは「選べるルール（disjunctive policy）」と呼ばれます。それは、パスAかパスBのどちらかを選べる「選択型ゲームブック」のようなものですが、両方のページを一度に読もうとすると物語が壊れてしまいます。従来のセキュリティツールは、ここで苦戦します。なぜなら、彼らは「AまたはB」を単なる「より大きな秘密の塊」として扱ってしまい、自分が一つのパスを選んだだけであるという決定的な詳細を見失ってしまうからです。この論文は、この複雑でトリッキーなセキュリティの領域を掘り下げ、「どうすれば全体を壊すことなく、これらの『どちらか一方』のルールを理解できるスマートなシステムを構築できるか？」という問いを投げかけています。

大いなる分裂：一つのツール、二つの答え

カーネギーメロン大学のシン・シュウ（Xin Xu）、シル・タオ（Siru Tao）、カイゼン・タン（Kaizhen Tan）の研究者たちは、これらの「どちらか一方」のルールを扱うための新しい種類のセキュリティシステムを構築することに決めました。彼らは、まず「クオンタール（quantale）」と呼ばれる高度な数学的構造から着手しました。これは、これらトリッキーな「または」の状況を処理できる、スーパーチャージされたファイルキャビネットのようなものです。彼らは、どのような特定のセキュリティルールを使用している場合でも、あらゆるプログラムを分析して安全かどうかを判定できる「ユニバーサルなツール（万能な道具）」、つまり一つのマスターキーを作りたいと考えました。

ここでプロットの捻りがあります。彼らがこのユニバーサルなツールを構築しようとしたとき、それは単に機能しただけでなく、二つに分裂したのです。

あなたがコンピュータプログラムを調べ、そのプログラムがどのような秘密を使用しているかを正確に見ることができる魔法の拡大鏡を持っていると想像してください。研究者たちは、この拡大鏡には2つのバージョンがあり、どちらを使うかを選ばなければならないことを発見しました。

1. 「カウント型」の拡大鏡（マルチセット・オブジェクト）： このバージョンは、古いファイルキャビネットのルールに従うのが得意です。あるルール用に分析されたプログラムを、別のルールでも機能するように即座に翻訳できます。それはまるでユニバーサル翻訳機のようです。しかし、これには盲点があります。二つのものが同じ選択肢である可能性を忘れてしまうのです。もしプログラムが秘密のファイルを2回読み込んだ場合、この拡大鏡は「おや、これは2つの秘密だ！」と判断してパニックに陥ります。たとえプログラムが同じファイルを同じ実行中に2回読んだだけであってもです。
2. 「精密型」の拡大鏡（セット・オブジェクト）： このバージョンは非常に鋭いです。ファイルを2回読むことは、依然として一つの選択肢であることを記憶しています。もしクライアントAのファイルを2回読んだとしても、それはクライアントBの情報を学んだことにはならないということを知っています。これは正確でタイトな答えを出します。しかし、その代償として、ユニバーサルな翻訳機能としての能力を失います。分析をやり直すことなく、簡単にルールを入れ替えることはできません。

「倫理的障壁」の問題

なぜこれが重要なのかを示すために、著者たちは「倫理的障壁（Ethical Wall）」に関する物語を用います。ライバル関係にある2つの企業を代表している法律事務所を想像してください。事務所には、「弁護士は会社Aのファイル、または会社Bのファイルを見ることができるが、決して両方は見てはならない」というルールがあります。弁護士が会社Aのファイルを読めば、安全です。もしレポートを書くためにそれをもう一度読んだとしても、依然として安全です。新しいことを学んだわけではないからです。

研究者たちは、秘密のファイルを2回読み込む（一度はヘッダーのため、一度は表のため）プログラムに対して、これら2つの拡大鏡をテストしました。

• 「カウント型」の拡大鏡はこう言いました：「危険！このプログラムは秘密を2回読み込みました。それが同じ秘密なのか、それとも2つの異なるものなのかを判別できないため、最悪の事態を想定します。つまり、弁護士は両方の会社のファイルを見たことになります。よって、このプログラムを拒絶します。」
• 「精密型」の拡大鏡はこう言いました：「安全！このプログラムは同じ秘密を2回読み込みました。それは依然として一つの選択肢に過ぎません。このプログラムを承認します。」

論文は、両方を同時に持つことはできないと証明しています。ユニバーサルな翻訳機（ルールが変わっても再チェックなしで動作するツール）であり、かつ完全に精密（2回の読み込みが同一であることを知っている）であるツールを作ることは不可能です。ツールを再利用可能にしたいのであれば、それは厳格すぎて安全なプログラムを拒絶してしまいます。精密でありたいのであれば、再利用性を諦めなければなりません。

解決策：最後まで待つ

では、カウント型の拡大鏡は役に立たないのでしょうか？決してそうではありません。論文は、従来のやり方（ラティスを使用する方法）は、分岐構造そのものを見落としている「粗い」バージョンであることを示しています。それは、すべての道が一つに合流して大きな塊になっている地図を見ているようなもので、左に行ったのか右に行ったのかが判別できません。

著者たちは賢明な解決策を提案しています：ルールの翻訳は、最後まで待つこと。

分析を行っている最中に、プログラムを特定のルールブックに無理やり適合させようとするのではなく、まず「精密型の拡大鏡（セット・オブジェクト）」を使用してプログラムを分析します。これにより、プログラムが何を行ったかについての、生の、詳細なレポートが得られます。その後、ようやく、そのレポートに対して特定のセキュリティルールを適用するのです。

これは、まず犯罪現場の写真を撮っておき、後でどの法律を証拠に適用するかを決めるようなものです。ルールを適用するのを最後に遅らせることで、システムは精密かつ安全であることができます。結局のところ、この「様子を見るまで待つ」アプローチこそが、最も優れた方法なのです。これ以上に正確な答えを得るためには、システムを壊す以外に方法はありません。

まとめ

この論文は、これらのトリッキーな「どちらか一方」のセキュリティルールに対して、従来の方法はあまりにも無骨であることを結論づけています。それらは、秘密を2回読んだというだけで、安全なプログラムを拒絶してしまいます。新しい手法は、最終的なチェックまで「選択」の状態を維持することで、これを修正します。

しかし、注意点があります。もし、あなたが「ユニバーサルな翻訳機」（再分析なしでどんなルールにも対応できるもの）を作ろうとするならば、厳しい限界に突き当たります。特定の種類の秘密（倫理的障壁や分割された秘密など）については、ソースを2回目に読み込んだ時点で、システムはすべての自信を失い、「何も保証できない」と言うようになります。保証を得る唯一の方法は、ユニバーサルな翻訳機になろうとするのをやめて、最後に個別のチェックを行うことです。

要するに、柔軟で再利用可能なツールを持つことも、完全に精密なツールを持つこともできますが、その両方を同時に持つことはできません。著者たちは、そのトレードオフが発生する正確な地点を見つけ出し、単に「どのように」ルールを適用するかではなく、「いつ」適用するかを変えることで、いかにして最も精密な答えを得られるかを示したのです。