Formal MethodsThis project is about

Formal Methods
This project is about formal validation of error and attack detectors and is part of my PhD thesis at the University of Illinois.

Motivation

Fault-injection is a commonly used technique to evaluate fault-tolerant systems. It consists of perturbing the state of the system by injecting a fault and testing if the system is resilient to the fault. While fault-injection is valuable, it is an ad-hoc technique and is not guaranteed to find all the corner case errors that escape detection and cause the system to fail. To alleviate this drawback, we propose a formal approach to validate the fault-tolerance of detection mechanisms in general-purpose programs. The main advantage of this approach is that it can exhaustively explore the effects of all faults in a fault-model on a program protected with one or more error-detectors, and can quickly isolate the failure-causing errors. Further, the approach operates directly on the program expressed in assembly language and does not require any special annotations (other than generic descriptions of the failures). Finally, the approach does not pre-suppose specific detection mechanisms such as duplication, and can work with an arbitrary set of error detectors.

We extend the above approach for identifying security attacks in applications. The goal is to understand whether an attacker who is within the program (i.e., an insider) can achieve their desired objective (i.e., authenticate themselves incorrectly to the system) by strategically corrupting one or more data values in the program’s address space. Earlier work has shown that such attacks are feasible. To the best of our knowledge, ours is the first approach to systematically discover these insider attacks and guarantee completeness of the discovery process under a given attack model.

Project Summary

Formal framework for validating error/attack detectors

The goal of this project is to validate the error/attack detectors embedded in a program for their efficacy in detecting faults or security attacks. The above figure shows the formal framework used for validation. The framework accepts as inputs the assembly code of the program with one or more detectors that need to be verified. The technique directly works on the assembly language code and produces as output the set of errors/attacks that escape the detection mechanisms and cause failure/compromise. Based on the output of the framework, the detection mechanisms can be improved to close the exposed holes.

The key technique used for validation is symbolic execution-based model checking. The approach symbolically executes the program under errors/attacks and uses formal model-checking to solve for specific error or attack constraints. SymPLFIED finds errors while SymPLAID finds attacks. The main difference between these two systems is the precision of the constraint solver used – SymPLAID is more precise but can model only a small number of attacks. This is because opportunities for security attacks tend to fewer in number than errors, but require higher precision to avoid false-positives. SymPLFIED on the other hand is less precise, but can model a large number of errors without running out of space.

Project Publications.

ผลลัพธ์ (ไทย) 1:

วิธีการทางโครงการนี้เป็นเกี่ยวกับการตรวจสอบตรวจจับข้อผิดพลาดและการโจมตีเป็นทาง และเป็นส่วนหนึ่งของวิทยานิพนธ์ระดับปริญญาเอกของฉันที่มหาวิทยาลัยอิลลินอยส์แรงจูงใจข้อบกพร่องฉีดเป็นเทคนิคที่ใช้กันทั่วไปเพื่อประเมินระบบทนต่อ ประกอบด้วย perturbing รัฐระบบ injecting ความผิดพลาด และทดสอบว่าระบบทนข้อบกพร่อง ขณะฉีดบกพร่องดี มันเป็นเทคนิคการกิจ และไม่รับประกันในการค้นหาทั้งหมดมุมกรณีข้อผิดพลาดที่หลบหนีการตรวจสอบ และทำให้ระบบล้มเหลว บรรเทาคืนนี้ เราเสนอวิธีการศึกษาเพื่อตรวจสอบเผื่อความบกพร่องของกลไกการตรวจสอบในโปรแกรมวัตถุประสงค์ทั่วไป ประโยชน์หลักของวิธีนี้คือ ว่า ลมสามารถสำรวจผลกระทบของข้อบกพร่องทั้งหมดในรูปแบบข้อบกพร่องบนโปรแกรมป้องกัน ด้วยอย่าง น้อยหนึ่งข้อผิดพลาด-เครื่องตรวจจับ และสามารถแยกข้อผิดพลาดที่ทำให้เกิดความล้มเหลวอย่างรวดเร็ว เพิ่มเติม วิธีการทำงานบนโปรแกรมที่แสดงในภาษาแอสเซมบลี และต้องการคำอธิบายใด ๆ พิเศษ (ไม่ใช่คำอธิบายทั่วไปของความล้มเหลว) ในที่สุด วิธีการไม่ล่วงหน้าสมมติว่า กลไกการตรวจสอบเฉพาะเช่นสำเนา และสามารถทำงาน ด้วยชุดตรวจจับข้อผิดพลาดการกำหนดเราขยายวิธีข้างต้นสำหรับการระบุการโจมตีความปลอดภัยในการใช้งาน เป้าหมายคือการ เข้าใจว่า ผู้โจมตีที่อยู่ในโปรแกรม (เช่น การภายใน) สามารถบรรลุวัตถุประสงค์ที่ต้องการ (เช่น พิสูจน์ตนเองอย่างไม่ถูกต้องระบบ) โดยกลยุทธ์ทำอย่าง น้อยหนึ่งค่าข้อมูลในพื้นที่ที่อยู่ของโปรแกรม งานก่อนหน้านี้ได้แสดงว่า การโจมตีดังกล่าวจะเป็นไปได้ กับความรู้ของเรา ของเราคือวิธีแรกการค้นพบการโจมตีภายในเหล่านี้อย่างเป็นระบบ และรับประกันความสมบูรณ์ของกระบวนการค้นหาภายใต้รูปแบบการโจมตีให้สรุปโครงการเป็นกรอบในการตรวจจับข้อผิดพลาด/โจมตีเป้าหมายของโครงการนี้คือการ ตรวจจับข้อผิดพลาด/โจมตีที่ฝังอยู่ในโปรแกรมสำหรับการประสิทธิภาพในการตรวจหาข้อบกพร่องหรืองาน ตัวเลขข้างต้นแสดงกรอบอย่างเป็นทางการที่ใช้สำหรับตรวจสอบ กรอบยอมรับอินพุตรหัสแอสเซมบลีโปรแกรมกับตรวจจับ น้อยที่ต้องการสามารถตรวจสอบ เทคนิคการทำงานในภาษาแอสเซมบลีโดยตรง และก่อให้เกิดผลผลิตชุดของข้อผิดพลาด/โจมตีที่หนีกลไกการตรวจสอบ และทำให้เกิดความล้มเหลว/ประนีประนอม ขึ้นอยู่กับผลผลิตของกรอบ กลไกการตรวจสอบสามารถปรับปรุงการปิดหลุมสัมผัสเทคนิคหลักที่ใช้สำหรับตรวจสอบเป็นสัญลักษณ์การตรวจสอบการดำเนินการตามรูปแบบ วิธีการดำเนินรายการภายใต้ข้อผิดพลาด/โจมตี และใช้ตรวจสอบแบบจำลองเพื่อหาข้อผิดพลาดหรือข้อจำกัดของการโจมตีทางสัญลักษณ์ SymPLFIED พบข้อผิดพลาดในขณะที่ SymPLAID ค้นหาโจมตี ข้อแตกต่างสำคัญระหว่างสองระบบนี้มีความแม่นยำของโปรแกรมแก้ปัญหาข้อจำกัดที่ใช้ – SymPLAID ได้ชัดเจนยิ่งขึ้น แต่สามารถรุ่นเพียงจำนวนน้อยของการโจมตี ทั้งนี้เนื่องจากโอกาสในการโจมตีความปลอดภัยมักจะน้อยจำนวนกว่าข้อผิดพลาด แต่ต้องการความแม่นยำสูงเพื่อหลีกเลี่ยงการทำงานผิดพลาดไม่ SymPLFIED คงแม่นยำน้อย แต่สามารถรูปแบบจำนวนมากของข้อผิดพลาดโดยที่ไม่ใช้ออกจากพื้นที่โครงการสิ่งพิมพ์

ผลลัพธ์ (ไทย) 3:

วิธีการอย่างเป็นทางการ
โครงการนี้เป็นโครงการเกี่ยวกับการตรวจสอบอย่างเป็นทางการของเครื่องตรวจจับข้อผิดพลาดและโจมตีและเป็นส่วนหนึ่งของวิทยานิพนธ์ปริญญาเอกที่มหาวิทยาลัยอิลลินอยส์ แรงจูงใจผิด



ฉีดเป็นที่นิยมใช้เทคนิคการประเมิน ) ระบบ มันประกอบด้วยในใจงั้นสถานะของระบบโดยการฉีดผิด และทดสอบว่าระบบจะยืดหยุ่นกับความผิด ในขณะที่การฉีดยาผิด มันมีค่ามันเป็นเทคนิคของ และจะไม่รับประกันการค้นพบข้อผิดพลาดทั้งหมดกรณีที่มุมที่การหนี และทำให้ระบบล้มเหลว การลดข้อบกพร่องนี้ เรานำเสนอวิธีการอย่างเป็นทางการตรวจสอบความผิดความอดทนของกลไกในการตรวจจับโปรแกรมเอนกประสงค์ .ประโยชน์หลักของวิธีการนี้คือ มันสามารถทำสำรวจผลของความผิดพลาดทั้งหมดในรูปแบบผิดในโปรแกรมป้องกันด้วยหนึ่งหรือมากกว่าหนึ่งเครื่องตรวจจับข้อผิดพลาดได้อย่างรวดเร็วและสามารถแยกความล้มเหลวก่อให้เกิดข้อผิดพลาด เพิ่มเติมวิธีการทำงานโดยตรงบนโปรแกรมแสดงในภาษาประกอบและไม่ต้องใช้เครื่องหมายพิเศษใด ๆ ( นอกจากคำอธิบายทั่วไปของความล้มเหลว ) ในที่สุด วิธีการไม่ก่อนว่ากลไกการตรวจสอบที่เฉพาะเจาะจงเช่นการทำซ้ำและสามารถทำงานกับการตั้งค่าเครื่องตรวจจับข้อผิดพลาด .

เราขยายวิธีการข้างต้นสำหรับการระบุการโจมตีความปลอดภัยในการใช้งาน เป้าหมายคือเพื่อให้เข้าใจว่าผู้โจมตีที่ภายในโปรแกรม ( เช่นคู่สัญญา ) สามารถบรรลุวัตถุประสงค์ที่ต้องการของพวกเขา ( เช่น ตรวจสอบตัวเองไม่ถูกต้องในระบบ ) โดยมีกลยุทธ์หายหนึ่งหรือมากกว่าข้อมูลค่าของโปรแกรมที่อยู่ในพื้นที่ก่อนหน้านี้ ได้แสดงให้เห็นว่าการโจมตีดังกล่าวจะเป็นไปได้ เพื่อที่ดีที่สุดของความรู้ของเรา เราเป็นวิธีการแรกที่ค้นพบเหล่านี้ ภายในการโจมตีอย่างเป็นระบบครบถ้วน รับประกันการค้นพบกระบวนการภายใต้ให้โจมตีแบบ


สรุปโครงการอย่างเป็นทางการกรอบเพื่อตรวจสอบข้อผิดพลาด / โจมตีตรวจจับ

เป้าหมายของโครงการนี้คือการตรวจสอบข้อผิดพลาด / โจมตีที่ฝังตัวอยู่ในโปรแกรมสำหรับประสิทธิภาพในการตรวจจับข้อบกพร่องหรือการโจมตีระบบรักษาความปลอดภัย รูปข้างบนแสดงอย่างเป็นทางการกรอบใช้สำหรับการตรวจสอบ กรอบยอมรับเป็นปัจจัยประกอบรหัสของโปรแกรมที่มีหนึ่งหรือมากกว่าหนึ่งเครื่องตรวจจับที่ต้องตรวจสอบเทคนิคโดยตรงงานประกอบและผลิตเป็นภาษารหัสออกชุดของข้อผิดพลาด / การโจมตีที่หนีการตรวจสอบกลไกและสาเหตุของความล้มเหลว / ประนีประนอม บนพื้นฐานของกรอบการตรวจสอบกลไกสามารถปรับปรุง ปิดเปิดรู

ที่สำคัญคือเทคนิคที่ใช้สำหรับการทดสอบการใช้สัญลักษณ์รูปแบบการตรวจสอบการรันโปรแกรมภายใต้การโจมตีสัญลักษณ์ข้อผิดพลาด / และใช้ตามรูปแบบการตรวจสอบแก้ไขข้อผิดพลาดที่เฉพาะเจาะจงหรือเงื่อนไขการโจมตี symplfied พบข้อผิดพลาดในขณะที่ symplaid พบการโจมตี ความแตกต่างหลักระหว่างทั้งสองระบบคือ ความแม่นยำของการใช้และแก้ปัญหา symplaid แม่นยำมากขึ้น แต่จะเป็นนางแบบเพียงจำนวนเล็ก ๆของการโจมตีนี้เป็นเพราะโอกาสในการโจมตีความปลอดภัยมีแนวโน้มที่จะน้อยกว่าจำนวนกว่าข้อผิดพลาด แต่ต้องใช้ความแม่นยําสูงเพื่อหลีกเลี่ยงการแจ้งเท็จ symplfied บนมืออื่น ๆมีความแม่นยำน้อยกว่า แต่รูปแบบเป็นจำนวนมากของข้อผิดพลาดโดยไม่ต้องทำงานออกพื้นที่ .

งานสิ่งพิมพ์