En este trabajo se presenta la línea Código Móvil Seguro del grupo de investigación “Procesadores de Lenguajes” del Departamento de Computación de la Universidad Nacional de Río Cuarto. Se presenta una técnica para garantizar código móvil seguro, denominada Proof-Carrying Code based on Static Analysis (PCC-SA), cuya principal ventaja es que el tamaño de las pruebas generadas es lineal respecto a la longitud de los programas. A fin de demostrar la aplicabilidad de esta técnica, se han implementado prototipos de un compilador certificante y un verificador de codigo basados en ella. En este trabajo también se presentan nuevas lineas de trabajo iniciadas, entre las cuales se destacan la extensión del prototipo de compilador certificante, la paralelización de PCC-SA y un modelo de seguridad para programas concurrentes.Eje: Programacion, LenguajesRed de Universidades con Carreras en Informática (RedUNCI

Aguirre, Jorge

Arroyo, Marcelo

Baum, Gabriel Alfredo

Bavera, Francisco

Kilmurray, Cecilia

Medel, Ricardo

Mussolini, Johanna

Nordio, Martín

Spanish

El Servicio de Difusión de la Creación Intelectual

Entorno de Co´digo Mo´vil Seguro∗
Jorge Aguirre1, Gabriel Baum1,3 Marcelo Arroyo1
Francisco Bavera1, Ricardo Medel,1,2 Mart´ın Nordio,1
Cecilia Kilmurray1, Johanna Mussolini1
(1) Departamento de Computacio´n, Universidad Nacional de R´ıo Cuarto
R´ıo Cuarto, Argentina
{jaguirre,marroyo,pancho,nordio,ckilmurray,johanna}
@dc.exa.unrc.edu.ar
(2) Stevens Institute of Technology,
New Jersey, EE.UU.,
rmedel@cs.stevens-tech.edu
(3) LIFIA, Universidad Nacional de La Plata
La Plata, Argentina
gbaum@sol.info.unlp.edu.ar
Resumen
En este trabajo se presenta la l´ınea Co´digo Mo´vil Seguro del grupo de investigacio´n “Proce-
sadores de Lenguajes” del Departamento de Computacio´n de la Universidad Nacional de R´ıo
Cuarto. Se presenta una te´cnica para garantizar co´digo mo´vil seguro, denominada Proof-
Carrying Code based on Static Analysis (PCC-SA), cuya principal ventaja es que el taman˜o de
las pruebas generadas es lineal respecto a la longitud de los programas. A fin de demostrar la
aplicabilidad de esta tecnica, se han implementado prototipos de un compilador certificante y
un verificador de codigo basados en ella. En este trabajo tambien se presentan nuevas lineas
de trabajo iniciadas, entre las cuales se destacan la extensio´n del prototipo de compilador cer-
tificante, la paralelizacio´n de PCC-SA y un modelo de seguridad para programas concurrentes.
Palabras Clave: Co´digo Mo´vil Seguro, Ana´lisis Esta´tico, Verificacio´n de Co´digo, Certificacio´n
de Co´digo, Compiladores Certificantes.
1 Introduccio´n
La interaccio´n entre sistemas de software por medio de co´digo mo´vil es un me´todo poderoso que
permite instalar y ejecutar co´digo dina´micamente. De este modo, un servidor puede proveer medios
flexibles de acceso a sus recursos y servicios internos. Pero este me´todo presenta un riesgo grave
para la seguridad del receptor, ya que el co´digo mo´vil puede utilizarse tambie´n con fines maliciosos,
dependiendo de las intenciones de su creador o un eventual interceptor.
Existen diversos enfoques tendientes a garantizar la seguridad en un ambiente de codigo movil.
Una te´cnica que desperto´ mucho inte´res en el u´ltimo tiempo es Proof-Carrying Code (PCC). Proof-
Carrying Code (PCC), una tecnica propuesta por Necula y Lee [5] para garantizar codigo movil
∗Este trabajo ha sido realizado en el marco de proyectos subsidiados por la SECyT de la UNRC y por la Agencia
Co´rdoba Ciencia y por la NSF.
seguro, ha despertado mucho interes y ha generado activas lineas de investigacion con una im-
portante produccion [1, 2, 3, 5, 6]. Sin embargo, PCC esta limitado a propiedades que puedan
expresarse en un sistema de tipos formal. La idea ba´sica de PCC consiste en requerir al productor
de co´digo la evidencia necesaria, en este caso una prueba formal, de que su co´digo satisface las
propiedades deseadas. Esta evidencia constituye un certificado que puede ser verificado indepen-
dientemente, es decir, no requiere autentificacio´n del productor.
Proof-Carrying Code based on Static Analysis (PCC-SA) [7] es un entorno de ejecucio´n de co´digo
mo´vil seguro basado en PCC y analisis estatico. El objetivo es proporcionar una solucio´n en aquellos
casos en los cuales la pol´ıtica de seguridad no puede ser verificada eficientemente por un sistema
de tipos formal, como es el caso de verificar inicializacio´n de variables y accesos va´lidos a arreglos.
PCC-SA utiliza un co´digo intermedio de ma´s alto nivel que PCC: un a´rbol sinta´ctico abstracto (AST)
anotado con informacio´n del estado del programa. Este tipo de representacio´n intermedia permite
realizar diversos ana´lisis esta´ticos para generar y verificar la informacio´n necesaria, y permitiendo
ademas aplicar ciertas optimizaciones al co´digo generado.
La principal ventaja de PCC-SA reside en que el taman˜o de la prueba generada es lineal con
respecto al taman˜o de los programas. Adema´s, la complejidad de la generacio´n de las anotaciones y
la verificacio´n de la seguridad del co´digo tambie´n es lineal con respecto al taman˜o de los programas.
En este trabajo se presentan las l´ıneas de investigacio´n abordadas en el campo del co´digo
mo´vil. En primer lugar se presentan los resultados obtenidos en el u´ltimo an˜o: el entorno de
ejecucio´n PCC-SA (seccio´n 2.1), el prototipo de compilador certificante desarrollado (seccio´n 2.2)
y el prototipo verificador de la prueba desarrollado (seccio´n 2.3). En la seccio´n 3 se presentan los
trabajos inciados que incluyen la extensio´n y optimizacio´n del prototipo de compilador certificante
3.1, la paralelizacio´n del entorno de ejecucio´n PCC-SA (seccio´n 3.2) y una extensio´n de PCC en
entornos concurrentes (seccio´n 3.3).
2 Resultados Obtenidos
2.1 El Entorno de Ejecucio´n PCC-SA
La figura 1 muestra la interaccio´n de los componentes del entorno PCC-SA. Siguiendo la notacio´n de
Necula [5] los cuadrados ondulados representan co´digo y los rectangulares representan componentes
que manipulan dicho co´digo. Adema´s, las figuras sombreadas representan entidades no confiables,
mientras que las figuras blancas representan entidades confiables. Consultar [7] para ma´s detalles
de PCC-SA y del prototipo desarrollado.
Figura 1: Vista global del entorno de ejecucio´n de PCC-SA.
En nuestra implementacion, el Compilador toma como entrada el co´digo fuente, escrito en
un simple lenguaje imperativo denominado Mini, y produce el co´digo intermedio, en forma de un
a´rbol sinta´ctico abstracto. Este co´digo intermedio es una representacio´n abstracta del co´digo fuente
que puede ser utilizado independientemente del lenguaje fuente y de la pol´ıtica de seguridad. El
Compilador es un compilador tradicional que realiza los t´ıpicos ana´lisis lexicogra´ficos, sinta´cticos y
sema´nticos. El Generador de Anotaciones (GenAnot) efectu´a diversos ana´lisis esta´ticos, generando
la informacio´n necesaria para producir las anotaciones del co´digo intermedio de acuerdo a la pol´ıtica
de seguridad. La pol´ıtica de seguridad que definimos garantiza seguridad de tipos y de memoria,
adema´s de garantizar que no se leen variables no inicializadas y que no se accede a posiciones no
definidas sobre los arreglos. La formalizacio´n de la pol´ıtica de seguridad es presentada en [7]. En
aquellos puntos del programa en donde las te´cnicas de ana´lisis esta´tico no permiten determinar
fehacientemente el estado, se insertan chequeos en tiempo de ejecucio´n para garantizar de esta
forma seguridad durante la ejecucio´n del codigo. En caso de encontrar que en algu´n punto del
programa forzosamente no se satisface la pol´ıtica de seguridad, el programa es rechazado. El
u´ltimo proceso del lado del productor de co´digo es realizado por el Generador del Esquema de
Prueba. E´ste, teniendo en cuenta las anotaciones y la pol´ıtica de seguridad, elabora un esquema de
prueba considerando los puntos cr´ıticos y sus posibles dependencias. Esta informacio´n se encuentra
almacenada en el co´digo intermedio. El Compilador, el Generador de Anotaciones y el Generador
del Esquema de Prueba conforman el Compilador Certificante.
El consumidor de co´digo recibe el co´digo intermedio con anotaciones y el esquema de prueba.
Este esquema de prueba es ba´sicamente el recorrido mı´nimo que debe realizar el consumidor de
co´digo sobre el co´digo intermedio y las estructuras de datos a considerar, a fin de verificar el codigo
recibido. El Verificador del Esquema de Prueba es el encargado de corroborar el esquema de prueba
generado por el productor de co´digo. Por u´ltimo el Verificador de la Integridad de la Prueba verifica
que el esquema de prueba haya sido lo suficientemente fuerte para poder demostrar que el programa
cumple con la pol´ıtica de seguridad. Esto consiste en verificar que todos los puntos cr´ıticos del
programa fueron chequeados por el Verificador del Esquema de Prueba o bien contienen un chequeo
en tiempo de ejecucio´n. Esto es necesario porque si el co´digo hubiese sido modificado durante su
env´ıo, el esquema de prueba puede no contemplar ciertos puntos del programa potencialmente
inseguros. El Verificador de Esquema de Prueba y el Verificador de la Integridad de la Prueba
componen el Verificador de la Prueba.
2.2 Prototipo de Compilador Certificante
Con el objetivo de experimentar y analizar el enfoque propuesto, se desarrollo´ un prototipo del
Compilador Certificante descripto en la seccio´n 2.1. Este prototipo se denomino´ CCMini. Como
primera medida se definieron los aspectos de seguridad que se deseaban garantizar, es decir, la
pol´ıtica de seguridad. La pol´ıtica de seguridad definida para el prototipo consiste en que toda
variable se encuentra inicializada al momento de ser utililizada y en que todo ı´ndice de arreglo es un
ı´ndice va´lido. El pro´ximo paso consistio´ en establecer el co´digo intermedio que se utilizar´ıa, un a´rbol
sinta´ctico abstracto (AST). Luego se definio´ el lenguaje fuente del compilador, denominado Mini.
Finalmente se implementaron los mo´dulos correspondientes al Generador de Co´digo Intermedio, el
Generador de Anotaciones, el Certificador y el Generador del Esquema de Prueba.
Con esta primera implementacio´n se pretende por un lado poder analizar la factibilidad de su
inclusio´n dentro del framework de PCC-SA y por el otro analizar su efectividad y eficiencia.
2.3 Prototipo de Verificador de la Prueba
Para probar la factibilidad de uso de PCC-SA, se desarrollo´ un prototipo de verificador de la prueba.
El prototipo es un verificador que permite descargar programas escritos en un co´digo intermedio
y ejecutarlo de manera segura. Debido a que ya se habian definido los aspectos de seguridad que
se deseaban garantizar y el AST, el primer paso de esta implementacio´n consistio´ en desarrollar el
Verificador del Esquema de Prueba, el Verificador de la Integridad de la Prueba. Luego se disen˜o´
el Generador de Co´digo. El prototipo fue implementado usando el lenguaje de programacio´n Java.
Al igual que CCMini, el disen˜o del prototipo de verificador de la prueba asegura que so´lo sera´n
descartados aquellos programas que son ciertamente inseguros. Si el prototipo no puede determinar
la seguridad de un programa, este inserta chequeos en tiempo de ejecucio´n en los puntos cr´ıticos.
Utilizando el prototipo desarrollado, se realizaro´ una serie de experimentos 1. En la mayor´ıa
de los casos, el prototipo determino´ la seguridad de los programas sin insertar chequeos en tiempo
de ejecucio´n. En cuanto al taman˜o de las pruebas, los experimentos mostraron que el taman˜o de
las pruebas es lineal al taman˜o de los programas.
3 Trabajos Iniciados
3.1 Extensio´n y optimizacio´n del prototipo de compilador certificante
Con el objetivo de determinar la factibilidad de uso de PCC-SA en aplicaciones “reales”, se esta´
trabajando en la extensio´n del prototipo de compilador certificante CCMini. Para esto, se extendera´
el lenguaje fuente de modo de incluir el tratamiento de punteros, invocacio´n de funciones y otras
sentencias de flujo de control (for y repeat). Esto traera´ aparejado la necesidad de extender la
pol´ıtica de seguridad para considerar nuevos puntos cr´ıticos. Adema´s, parte del trabajo a realizar
consistira´ en optimizar el proceso de generacio´n de anotaciones utilizando Pilas de Contextos [7].
El disen˜o del compilador certificante ser simple y sencillo de manera tal que si e´ste es aplicado
en un ambiente de co´digo mo´vil seguro, el verificador no consuma demasiados recursos. Esta es una
caracteristica importante, ya que el entorno podria ser aplicado a ambientes con recursos limitados
como por ejemplo las tarjetas inteligentes (SmartCards).
3.2 Paralelizacio´n de PCC-SA
En busca de mejorar la performance del framework PCC-SA, se esta´ trabajando en el desarrollo de
un nuevo entorno denominado Parallel Proof-Carrying Code based on Static Analysis (Parallel PCC-
SA) que permitira´ verificar la prueba de seguridad en paralelo. La idea ba´sica de Parallel PCC-SA
consiste en requerir al productor de co´digo una prueba de que el co´digo satisface las propiedades de
seguridad deseadas dividida en q esquemas de pruebas las cuales pueden ser verificadas en paralelo.
La figura 2 muestra la interaccio´n de los componentes del entorno. Al igual que en PCC-SA,
el Compilador Certificante toma como entrada el co´digo fuente y produce como resultado una
representacio´n intermedia anotada. El Generador de Esquemas de Pruebas es el encargado de
generar el esquema de prueba y dividir el esquema de prueba en q esquemas de pruebas para
que puedan ser verificados independientemente. Una vez obtenidos estos esquemas de pruebas, los
mismos son enviados al consumidor de co´digo para realizar su verificacio´n y la ejecucio´n del co´digo.
Figura 2: Estructura del entorno Parallel PCC-SA.
1Mas detalles de los experimentos realizados consultar [8]
3.3 Proof-Carrying Code en Entornos Concurrentes
El objetivo es definir un entorno de co´digo mo´vil que garantice la seguridad de programas Java
multi-thread. Los programas podra´n contar con una especificacio´n en el Java Modeling Language
(JML), el cual es un lenguaje de especificacio´n formal que permite especificar contratos en progra-
mas Java por medio de invariantes de clases y pre y post-condiciones de me´todos. Adema´s, estos
programas debera´n respetar el nuevo modelo de memoria de Java (JMM), que es parte de Java
5.0 [4] y soluciona las limitaciones que ten´ıa el modelo anterior. Segu´n Pugh [4], el modelo anterior
prohibe la aplicacio´n de muchas optimizaciones de co´digo, mientras que el acceso no sincronizado
a objetos inmutables (final) puede no ser thread-safe.
En esta l´ınea se comenzo´ a trabajar en un proceso de compilacio´n para una extension´ del
JML introducida por Rodr´ıgez et. al [9]. Los constructores provistos por esta extensio´n permiten
especificar propiedades de no-interferencia y atomicidad de me´todos en programas Java multi-
threaded. Adema´s, permiten realizar la verificacio´n en forma modular.
El proceso de compilacio´n genera un archivo .class que incluye la especificacio´n JML en un
atributo que instancia una estructura de datos predefinida por la Java Virtual Machine Specification
JVMS. Se podr´ıa utilizar un compilador esta´ndar Java para generar el .class y luego insertar
la especificacio´n JML. Sin embargo, si se considera el nuevo JMM se deben tener en cuenta las
restricciones impuestas y analizar las acciones que debe realizar el compilador para no violar ni la
especificacio´n JML ni el modelo de memoria.
Un componente muy importante de esta l´ınea es el desarrollo de los me´todos para poder razonar
usando las especificaciones del JML extendido sobre bytecode. Dichos me´todos deben permitir
verificar la especificacio´n y generar la prueba para que pueda ser utilizada en un ambiente de
co´digo mo´vil.
Referencias
[1] A. Appel, “Foundational Proof-Carrying Code”, in Proceedings of the 16th Annual Symposium on
Logic in Computer Science, pp. 247–256, IEEE Computer Society Press, 2001.
[2] A. Bernard, P. Lee, “Temporal Logic for Proof-Carrying Code”, in Proceedings of Automated De-
duction (CADE-18), Lectures Notes in Computer Science 2392, pp. 31–46, Springer-Verlag, 2002.
[3] C. Colby, P. Lee, G. Necula, F. Blau, M. Plesko, K. Cline, “A certifying compiler for Java”, in
Proceedings of the 2000 ACM SIGPLAN Conference on Programming Language Design and Imple-
mentation (PLDI’00), pp. 95–105, ACM Press, Vancouver (Canada), June 2000.
[4] Jeremy Manson, William Pugh, Sarita V. Adve. “The Java memory model”. POPL 2005. pp 378-391.
[5] G. Necula “Compiling with Proofs” Ph.D. Thesis School of Computer Science, Carnegie Mellon
University CMU-CS-98-154. 1998.
[6] G. Necula, R. Schneck, “Proof-Carrying Code with Unstrusted Proof Rules”, in Proceedings of the
2nd International Software Security Symposium, November 2002.
[7] M. Nordio, F. Bavera, R. Medel, J. Aguirre, G. Baum, “A Framework for Execution of Secure
Mobile Code based on Static Analysis”. En los Proceddings de XXIV Conferencia Internacional de
la Sociedad Chilena de Ciencia de la Computacin IEEE-CS Press, Tarapaca, Chile. Noviembre de
2004.
[8] M. Nordio, “Verificacio´n de la Seguridad del Co´digo Foraneo mediante Ana´lisis Esta´tico de Control
de Flujo y de Datos”. Tesis de Maestr´ıa
en Informa´tica. PEDECIBA Informa´tica, Instituto de Computacio´n, Universidad de la Repu´blica,
Montevideo, Uruguay. Marzo 2005.
[9] Edwin Rodr´ıguez, Matthew B. Dwyer, Cormac Flanagan, John Hatcliff, Gary T. Leavens, Robby.
“Extending Sequential Specification Techniques for Modular Specification and Verification of Multi-
Threaded Programs”. ECOOP 2005.


Entorno de Código Móvil Seguro

http://sedici.unlp.edu.ar/bitstream/handle/10915/21201/Documento_completo.pdf?sequence=1

Entorno de Código Móvil Seguro

Abstract

Similar works

Full text

Available Versions

El Servicio de Difusión de la Creación Intelectual