Renaming or Tightness: Enforcing Disjunctive Information Flow Policies

비밀의 수호자들과 중복 계산의 함정

당신이 고도의 보안을 요하는 스파이 기관의 디지털 보안 요원이라고 상상해 보십시오. 당신의 임무는 비밀 정보가 잘못된 사람들에게 유출되지 않도록 보장하는 것입니다. 컴퓨터 과학의 세계에서 이것은 **정보 흐름 제어(Information Flow Control)**라고 불립니다. 수십 년 동안 보안 전문가들은 이러한 비밀을 관리하기 위해 "격자(lattice)"라고 불리는 도구를 사용해 왔습니다. 격자를 엄격한 파일 캐비닛의 서랍이라고 생각하십시오. 만약 당신이 어떤 비밀을 "일급 비밀" 서랍에 넣었다면, 그 비밀이 얼마나 위험한지 정확히 알 수 있습니다. 만약 두 개의 비밀을 결합하면, 시스템은 단순히 그것들을 "초일급 비밀" 서랍에 넣습니다. 이는 단순하고 예측 가능하며 대부분의 상황에서 잘 작동합니다.

하지만 현실은 복잡합니다. 때로는 규칙이 얼마나 많은 비밀을 가졌느냐가 아니라, 어떤 비밀을 가졌느냐에 관한 것일 때가 있습니다. 예를 들어, "고객 A의 파일을 보거나 고객 B의 파일을 볼 수 있지만, 둘 다 봐서는 안 된다"라는 규칙이 있다고 가정해 봅시다. 이것은 **선택적 정책(disjunctive policy)**이라고 불립니다. 이것은 마치 "당신의 선택에 따라 펼쳐지는 모험(Choose Your Own Adventure)" 책과 같습니다. 당신은 경로 A 또는 경로 B를 선택할 수 있지만, 두 페이지를 동시에 읽으려고 하면 이야기가 깨져 버립니다. 전통적인 보안 도구들은 여기서 어려움을 겪습니다. 왜냐하면 그들은 "A 또는 B"를 단지 더 큰 비밀 덩어리로 취급하여, 당신이 오직 하나의 경로만을 선택했다는 결정적인 세부 사항을 놓치기 때문입니다. 이 논문은 이 복잡하고 까다로운 보안의 영역을 파고들며 다음과 같이 질문합니다. 우리는 이 "이것 아니면 저것"이라는 규칙을 이해하면서도 전체 시스템을 망가뜨리지 않는 더 똑똑한 시스템을 구축할 수 있을까요?

거대한 분리: 하나의 도구, 두 가지 해답

카네기 멜런 대학교의 신 쉬(Xin Xu), 시루 타오(Siru Tao), 카이젠 탄(Kaizhen Tan) 연구진은 이러한 "이것 아니면 저것" 규칙을 처리할 수 있는 새로운 종류의 보안 시스템을 구축하기로 했습니다. 그들은 **콴탈레(quantale)**라고 불리는 화려한 수학적 구조에서 시작했습니다. 이것은 까다로운 "또는" 상황을 처리할 수 있는 초강력 파일 캐비닛과 같습니다. 그들은 어떤 프로그램도 분석하여 어떤 특정 보안 규칙을 사용하든 안전한지 알려줄 수 있는 "보편적 도구(universal tool)"—즉, 하나의 마스터 키를 만들고자 했습니다.

여기서 반전이 일어납니다. 그들이 이 보편적 도구를 만들려고 했을 때, 그것은 단순히 작동하는 것을 넘어 두 개로 갈라지는 것을 발견했습니다.

당신이 컴퓨터 프로그램을 들여다보고 그 프로그램이 어떤 비밀을 사용하는지 정확히 볼 수 있는 마법 돋보기를 가지고 있다고 상상해 보십시오. 연구진은 이 돋보기가 두 가지 버전으로 나뉘며, 당신은 그중 하나를 선택해야 한다는 사실을 발견했습니다.

1. "계수(Counting)" 돋보기 (멀티셋 객체): 이 버전은 기존의 파일 캐비닛 규칙을 따르는 데 탁월합니다. 이 버전은 한 규칙을 위해 분석된 프로그램을 다른 규칙에 맞게 즉시 변환할 수 있습니다. 마치 만능 번역기와 같습니다. 하지만 여기에는 사각지대가 있습니다. 이 돋보기는 두 가지가 동일한 선택일 수도 있다는 사실을 잊어버립니다. 만약 프로그램이 비밀 파일을 두 번 읽는다면, 이 돋보기는 "오, 이건 두 개의 비밀이다!"라고 생각하며 당황합니다. 설령 프로그램이 동일한 파일을 같은 실행 과정에서 두 번 읽었더라도 말입니다.
2. "정밀한(Precise)" 돋보기 (집합 객체): 이 버전은 매우 날카롭습니다. 이 버전은 파일을 두 번 읽는 것이 여전히 단 하나의 선택임을 기억합니다. 만약 고객 A의 파일을 두 번 읽었다면, 그것은 여전히 고객 A의 파일을 읽은 것일 뿐, 고객 B의 파일을 알게 된 것이 아님을 알고 있습니다. 이 버전은 정확하고 타이트한 답을 줍니다. 하지만, 이 버전은 만능 번역기가 될 능력을 잃습니다. 규칙을 쉽게 바꿀 수 없으며, 바꾸려면 전체 분석을 다시 수행해야 합니다.

"윤리적 장벽" 문제

이것이 왜 중요한지 보여주기 위해, 저자들은 "윤리적 장벽(Ethical Wall)"에 관한 이야기를 사용합니다. 경쟁 관계에 있는 두 회사를 대리하는 법률 사무소를 상상해 보십시오. 이 사무소에는 규칙이 있습니다. 변호사는 회사 A의 파일을 읽거나 회사 B의 파일을 읽을 수 있지만, 둘 다는 절대 안 됩니다. 만약 변호사가 회사 A의 파일을 읽는다면, 그는 안전합니다. 만약 보고서를 쓰기 위해 그것을 다시 읽는다면, 그는 여전히 안전합니다. 새로운 것을 배운 것이 아니기 때문입니다.

연구진은 이 프로그램을 대상으로 두 가지 돋보기를 테스트했습니다: 파일을 두 번 읽는 프로그램(한 번은 헤더를 위해, 한 번은 표를 위해).

• 계수 돋보기는 이렇게 말했습니다: "위험! 이 프로그램은 비밀을 두 번 읽었습니다. 이것이 동일한 비밀인지 아니면 서로 다른 두 개의 비밀인지 구분할 수 없으므로, 최악의 상황을 가정합니다. 즉, 변호사가 두 회사의 파일을 모두 보았다고 가정합니다. 따라서 이 프로그램을 거부합니다."
• 정밀한 돋보기는 이렇게 말했습니다: "안전! 이 프로그램은 동일한 비밀을 두 번 읽었습니다. 그것은 여전히 단 하나의 선택입니다. 이 프로그램을 승인합니다."

논문은 당신이 이 두 가지를 모두 가질 수는 없다고 증명합니다. 만 (재분석 없이 모든 규칙에 작동하는) 만능 번역기이면서 동시에 (두 번의 읽기가 동일한 것임을 아는) 완벽하게 정밀한 도구를 가질 수는 없습니다. 만약 도구가 재사용 가능하기를 원한다면, 너무 엄격해져서 안전한 프로그램까지 거부할 것입니다. 만약 정밀하기를 원한다면, 재사용성을 포기해야 합니다.

해결책: 마지막까지 기다려라

그렇다면 계수 돋보구는 쓸모없는 것일까요? 꼭 그렇지는 않습니다. 논문은 기존의 방식(격자를 사용하는 방식)이 오히려 브랜치 구조 자체를 놓치는 "거친(coarser)" 버전이라고 설명합니다. 그것은 모든 길이 하나의 커다란 덩어리로 합쳐지는 지도를 보는 것과 같습니다. 당신이 왼쪽으로 갔는지 오른쪽으로 갔는지 알 수 없게 됩니다.

저자들은 영리한 해결책을 제안합니다: 규칙을 적용하는 시점을 맨 마지막으로 미루십시오.

프로그램을 분석하는 동안 특정 규칙에 맞추려고 애쓰는 대신, 먼저 "정밀한 돋보기(집합 객체)"를 사용하여 프로그램을 분석하십시오. 그러면 프로그램이 무엇을 했는지에 대한 가공되지 않은 상세한 보고서를 얻게 됩니다. 그다음, 그리고 오직 그때만, 그 보고서에 특정 보안 규칙을 적용하십시오.

이것은 범죄 현장의 사진을 먼저 찍은 다음, 나중에 어떤 법률을 적용할지 결정하는 것과 같습니다. 규칙을 적용하는 시점을 마지막으로 미룸으로써, 시스템은 정밀함과 안전함을 모두 유지할 수 있습니다. 이 "기다렸다가 확인하는" 접근 방식이 바로 최선의 방법입니다. 시스템을 망가뜨리지 않고는 더 정확한 답을 얻을 수 없습니다.

핵심 요약

논문은 이러한 까다로운 "이것 아니면 저것" 보안 규칙에 대해 기존의 방법들은 너무 투박하다고 결론짓습니다. 기존 방식은 비밀을 두 번 읽었다는 이유만으로 안전한 프로그램을 거부할 것입니다. 새로운 방법은 "선택"의 상태를 최종 확인 전까지 유지함으로써 이 문제를 해결합니다.

하지만 주의할 점이 있습니다. 만약 당신이 (재분석 없이 모든 규칙에 작동하는) "만능 번역기"를 만들려고 한다면, 명확한 한계에 부딪힐 것입니다. 특정 유형의 비밀(윤리적 장벽이나 분할된 비밀 등)의 경우, 두 번째로 소스를 읽는 순간 시스템은 모든 확신을 잃고 "무엇도 보장할 수 없다"라고 말할 것입니다. 보장을 얻을 수 있는 유일한 방법은 만능 번역기가 되려는 노력을 멈추고, 대신 마지막에 특정 검사를 수행하는 것입니다.

요약하자면, 당신은 유연하고 재사용 가능한 도구를 가질 수도 있고, 완벽하게 정밀한 도구를 가질 수도 있지만, 이 두 가지를 동시에 가질 수는 없습니다. 저자들은 그 트레이드오프(trade-off)가 발생하는 정확한 지점을 찾아냈으며, 규칙을 어떻게 적용하느냐가 아니라 언제 적용하느냐를 바꿈으로써 가장 정밀한 답을 얻는 방법을 보여주었습니다.