Automatic Selection of Protections to Mitigate Risks Against Software Applications

Enunciado do Problema
Aplicações de software enfrentam riscos significativos decorrentes de ataques Man-At-The-End (MATE), onde adversários possuem acesso total ao software e aos sistemas que o executam. Os atacantes utilizam ferramentas como depuradores, desmontadores e descompiladores para engenharia reversa de algoritmos, adulteração de lógica (por exemplo, contornando verificações de licença) ou execução de cópias não autorizadas. Embora os defensores possam implantar Proteções de Software (PS) dentro da aplicação para mitigar esses riscos, as práticas atuais sofrem com a falta de análise formal de riscos e dependem de "segurança por obscuridade". A seleção de PS é tipicamente manual, realizada por especialistas baseada em intuição ("sensação") e avaliada apenas após a implantação. Essa abordagem é ineficiente, custosa e difícil de escalar, especialmente dada a escassez de especialistas em segurança e a pressão sobre os fornecedores para proteger múltiplas versões e plataformas de aplicações sem degradar o desempenho ou a usabilidade. Há uma necessidade crítica de um método formalizado e automatizado para selecionar e configurar PS que atrase os atacantes, respeitando restrições rigorosas de sobrecarga.

Metodologia
O artigo propõe uma abordagem inovadora e automatizada para a seleção de proteções de software, enquadrada como um problema de otimização baseado na teoria dos jogos. A metodologia fundamenta-se numa Base de Conhecimento (BC) que formaliza os elementos de tomada de decisão: artefatos de código (Artefatos da Aplicação ou AAs), ativos, requisitos de segurança (confidencialidade e integridade), caminhos de ataque e proteções de software concretas (PSCs).

1. Formalização e Avaliação de Riscos: O processo inicia-se com a anotação do código-fonte para identificar ativos e seus requisitos de segurança. O sistema constrói uma representação formal da aplicação e identifica caminhos de ataque potenciais como sequências ordenadas de passos de ataque atômicos. Esses caminhos são derivados de taxonomias de especialistas e representam a sequência de tarefas que um atacante deve realizar para violar um requisito de segurança.
2. Índice de Proteção de Software (SPI): Uma contribuição central é a introdução do SPI, que estende noções existentes de "potência" e "resiliência". O SPI quantifica a eficácia de uma solução de proteção ao avaliar seu impacto em caminhos de ataque específicos. Incorpora métricas de software (por exemplo, tamanho de Halstead, complexidade ciclomática) e avaliações de especialistas para modelar como as proteções aumentam o esforço necessário para os passos de ataque (potência) e como os esforços de ataque erodem a eficácia da proteção (resiliência).
3. Otimização Baseada na Teoria dos Jogos: A seleção de proteções ótimas é modelada como um jogo não interativo entre um defensor e um atacante.
   • O Defensor: Propõe uma solução candidata (uma sequência ordenada de PSCs aplicadas a artefatos específicos) para maximizar o SPI.
   • O Atacante: Investe esforço em caminhos de ataque específicos para minimizar o SPI (SPI residual).
   • O Algoritmo: O sistema emprega uma heurística baseada numa estratégia de exploração em profundidade mini-max. Para gerir a complexidade exponencial do espaço de busca, o algoritmo utiliza otimizações de programação dinâmica, incluindo poda alfa-beta, janelas de aspiração, tabelas de transposição e poda de futilidade.
   • Conjuntos de Correlação de Código (CCSs): Para melhorar ainda mais a eficiência, a aplicação é particionada em CCSs independentes, permitindo que a otimização seja resolvida para subconjuntos menores e gerenciáveis do código, em vez de toda a aplicação de uma só vez.
4. Restrições de Sobrecarga: O processo de seleção é limitado por limiares de sobrecarga (tempo de computação, memória, largura de banda de rede). O sistema utiliza modelos de Aprendizado de Máquina (ML) para prever as métricas e sobrecargas das soluções candidatas sem exigir a compilação real de cada variante possível, garantindo que a solução selecionada permaneça utilizável.

Principais Contribuições

• Um Modelo Formal para Seleção de PS: O artigo apresenta um modelo formal que integra artefatos de código, ativos, requisitos de segurança e caminhos de ataque para automatizar a seleção de PS ótimas sob restrições de sobrecarga.
• O Índice de Proteção de Software (SPI): Uma métrica original que avalia a eficácia da proteção contra caminhos de ataque específicos, combinando métricas de software com avaliações de especialistas para quantificar tanto a potência quanto a resiliência.
• Algoritmo de Otimização Automatizada: Uma abordagem baseada na teoria dos jogos utilizando busca em profundidade mini-max com otimizações de programação dinâmica para encontrar soluções de proteção quase ótimas em um tempo viável.
• Implementação de Prova de Conceito (PoC): Uma ferramenta funcional (ESP) implementada como plugins do Eclipse que suporta código-fonte C, integrando ferramentas como Tigress e a Cadeia de Ferramentas do Compilador ASPIRE (ACTC).

Resultados e Validação
A abordagem foi validada através de uma avaliação quantitativa e qualitativa envolvendo especialistas da indústria do consórcio do projeto ASPIRE.

• Análise Quantitativa: A PoC foi testada em três casos de uso de aplicações Android (um gerenciador de licenças, um gerador de OTP e um player de vídeo habilitado para DRM). O tempo de otimização foi medido em relação ao número de objetivos de proteção (POs), caminhos de ataque e profundidade de busca. Embora a complexidade teórica seja exponencial, o uso de CCSs e heurísticas permitiu que o sistema encontrasse soluções ótimas em minutos para cenários realistas (por exemplo, profundidades de busca de 3–6 e até 512 POs).
• Avaliação Qualitativa: Especialistas (tanto internos quanto externos ao projeto) avaliaram os resultados da PoC. Eles confirmaram que a ferramenta podia gerar soluções de proteção personalizadas e de alta qualidade, comparáveis à seleção manual por especialistas. Os especialistas notaram que as PS selecionadas preservaram a semântica original da aplicação e introduziram sobrecarga computacional aceitável. A ferramenta foi considerada particularmente útil para apoiar especialistas em suas tarefas diárias, embora tenha sido observado que, sem o ajuste fino de parâmetros por especialistas, o nível de segurança pode não corresponder ao de um processo totalmente manual.
• Testes no Mundo Real: As soluções geradas pela PoC foram submetidas a ataques por testadores de penetração profissionais, que relataram atrasos significativos ao atacar as aplicações protegidas, validando a eficácia prática da seleção automatizada.

Significância
O artigo afirma que a proteção automatizada de software é uma solução prática e eficaz para a mitigação de riscos em software. Ao formalizar a análise de riscos e automatizar o processo de seleção, a abordagem aborda a lacuna de habilidades na indústria e as pressões de tempo de mercado enfrentadas pelos fornecedores de software. Vai além da "segurança por obscuridade" ao fornecer um método repetível, reproduzível e formalmente fundamentado para atrasar os atacantes, garantindo ao mesmo tempo a usabilidade da aplicação. O trabalho demonstra que uma abordagem baseada na teoria dos jogos, aumentada com aprendizado de máquina para previsão de métricas e programação dinâmica para otimização de busca, pode navegar efetivamente nas complexas compensações entre segurança e desempenho no contexto de ataques MATE.