Qualifying Observation Integrity for Selective Authorization in PostgreSQL

No mundo digital, os bancos de dados atuam como a memória central para tudo, desde contas bancárias até carrinhos de compras online. Eles armazenam o estado atual do mundo: quanto dinheiro há em uma conta, quais itens estão em estoque ou se um usuário tem permissão para entrar em um edifício. Quando um programa de computador pede a um banco de dados permissão para realizar uma ação, o banco de dados verifica os fatos atuais. Se os fatos mudaram desde a última verificação, a resposta pode ser diferente. Por exemplo, uma compra pode ser aprovada quando um usuário tem dinheiro suficiente, mas se outra transação gastar esse dinheiro um milésimo de segundo depois, a aprovação deve ser revogada. Para manter a segurança, os sistemas frequentemente reavaliam os fatos toda vez que uma ação está prestes a acontecer. Isso é confiável, mas pode ser lento, especialmente quando os mesmos fatos são verificados milhares de vezes seguidas sem mudar.

Pesquisadores há muito buscam maneiras de acelerar isso lembrando da última vez que os fatos foram verificados. Se o sistema puder provar que os dados subjacentes não mudaram, ele pode reutilizar a permissão antiga sem perguntar novamente. Isso é chamado de autorização seletiva. No entanto, esse atalho só funciona se o sistema puder ter certeza absoluta de que os dados realmente não mudaram. Se o sistema for enganado para pensar que os dados estão estáveis quando, na verdade, estão oscilando, ele pode conceder permissão para uma transação que deveria ser bloqueada. O desafio central não é apenas verificar os dados, mas verificar se os próprios mecanismos projetados para rastrear mudanças estão funcionando corretamente e se são visíveis para as pessoas certas.

Um pesquisador chamado Aleksandar Mihajlovic desenvolveu um método para verificar esses mecanismos de rastreamento dentro de um tipo específico de sistema de banco de dados chamado PostgreSQL. O objetivo era criar um conjunto estrito de regras que uma instalação de banco de dados deve seguir para ser confiada com esse atalho. O sistema, chamado OntoCommit, atua como um porteiro. Antes que um banco de dados seja permitido reutilizar decisões de permissão antigas, este porteiro inspeciona o código e a configuração para garantir que cada mudança nos dados seja devidamente registrada e que a pessoa que verifica os registros possa realmente ver esses registros. A pesquisa foca em um limite específico: o momento em que uma mudança é feita e o momento em que ela é observada. Se houver uma lacuna entre os dois, a segurança de todo o sistema é comprometida.

O estudo começou identificando a facilidade com que essa confiança poderia ser quebrada, mesmo quando o código parecia correto superficialmente. O pesquisador descobriu duas formas específicas pelas quais um sistema poderia falhar silenciosamente. No primeiro caso, uma função auxiliar projetada para atualizar um contador de mudanças teve seus nomes de entrada trocados. O código ainda funcionava e os tipos de dados que aceitava estavam corretos, mas, como os nomes estavam misturados, o contador para um tipo de mudança era atualizado enquanto o contador para outro tipo permanecia travado. Era como um sistema de semáforo onde o sensor para a via norte-sul foi acidentalmente conectado ao botão da via leste-oeste; as luzes mudariam, mas não para os carros que precisavam delas. No segundo caso, o sistema estava configurado com um recurso de segurança que escondia certas linhas de dados de usuários comuns. O contador de mudanças era atualizado corretamente pelo administrador do sistema, mas a pessoa que verificava a permissão era bloqueada de ver essa atualização. Para o verificador, o contador parecia ser zero, embora tivesse de fato aumentado. Isso criava uma falsa sensação de segurança.

Para prevenir essas falhas, o pesquisador construiu uma ferramenta de qualificação que verifica a instalação do banco de dados antes que ela seja permitida a usar o atalho. Esta ferramenta não busca apenas a presença de código; ela verifica a vinculação exata dos nomes das funções, a propriedade das tabelas e as configurações de visibilidade para cada função de usuário. Ela insiste que o código responsável por atualizar os contadores de mudanças corresponda exatamente à assinatura esperada pelo sistema. Ela também proíbe o uso de segurança em nível de linha nas tabelas específicas que rastreiam essas mudanças, garantindo que a pessoa que verifica a permissão possa sempre ver o estado real do contador. A ferramenta atua como um inspetor rigoroso, rejeitando qualquer instalação que tente usar variações não suportadas ou que esconda a evidência de mudança.

O pesquisador testou essa abordagem usando um ambiente controlado que simulava um processo de compra completo. O sistema foi configurado para lidar com um cenário onde um usuário tenta comprar algo, verificando o saldo de sua conta e quaisquer bloqueios existentes em seus fundos. O experimento comparou dois métodos: um onde o sistema reavalia toda a política do zero a cada vez, e outro onde o sistema usa o atalho da autorização seletiva. Os testes foram realizados em uma versão padrão do software de banco de dados, mas dentro de um ambiente de computador simulado para garantir o controle preciso sobre as condições. O estudo incluiu um conjunto de cento e oito pares de configurações diferentes, algumas projetadas para serem seguras e outras para serem inseguras, para ver se a ferramenta de qualificação conseguiria distinguir a diferença.

Os resultados mostraram que a ferramenta de qualificação foi altamente eficaz em identificar configurações inseguras. Ela rejeitou com sucesso todas as cinco configurações deliberadamente inseguras, incluindo as de nomes de parâmetros trocados e linhas de dados ocultas. Ao mesmo tempo, aceitou todas as quarenta e oito configurações válidas e seguras. Também recusou corretamente duas configurações que eram seguras, mas não se encaixavam nas regras estritas da ferramenta, demonstrando que ela prioriza a segurança sobre a conveniência. Nos testes de desempenho, o método de autorização seletiva provou ser significativamente mais rápido quando os dados permaneciam inalterados. Para um conjunto de dados de dez mil linhas, o sistema usando o atalho completou o ciclo em um tempo mediano de sessenta e seis milissegundos, enquanto o sistema que reavaliava tudo levou oitenta e sete milissegundos. Isso representou uma redução de vinte e quatro por cento no tempo. No entanto, o estudo também descobriu que, quando os dados realmente mudavam, o atalho não oferecia vantagem de velocidade e poderia até ser ligeiramente mais lento, pois o sistema precisava reavaliar a política.

A pesquisa também destacou os limites dos testes. O pesquisador demonstrou que simplesmente executar alguns testes para ver se o sistema funciona não é suficiente para garantir que ele sempre funcionará. É possível construir um cenário onde um sistema passa em todos os testes, mas ainda assim falha sob uma condição específica e invisível. O estudo mostrou que um sistema poderia passar por uma série de verificações enquanto ainda esconde uma mudança crítica do observador. Isso significa que a única maneira de garantir a segurança é impor regras estritas sobre como o sistema é construído, em vez de confiar apenas em testes para encontrar erros. A ferramenta não afirma provar que o sistema é perfeito em todos os universos possíveis, mas fornece um contrato verificável de que a instalação segue um padrão específico e seguro.

No fim, o trabalho oferece um método prático para tornar os bancos de dados mais rápidos sem sacrificar a segurança. Ao definir um conjunto claro de regras sobre como o rastreamento de mudanças deve ser implementado e verificado, o pesquisador criou uma maneira de confiar que o banco de dados está dizendo a verdade sobre seu próprio estado. O estudo não afirma resolver todos os problemas de segurança de banco de dados, nem sugere que este método deva ser usado em todas as situações. É uma solução especializada para um tipo específico de configuração de banco de dados, uma que troca certa flexibilidade por um maior grau de certeza. As descobertas sugerem que, para aplicações onde velocidade e segurança são críticas, como transações financeiras, um sistema cuidadosamente qualificado pode oferecer um atalho confiável. A pesquisa conclui que a segurança desses atalhos depende inteiramente da integridade do caminho de observação, desde o momento em que uma mudança é feita até o momento em que ela é vista, e que este caminho deve ser verificado com o mesmo rigor que os próprios dados.