II. THREAT MODEL Our primary motiva

II. THREAT MODEL Our primary motivation for designing PRIVEXEC is to prevent the disclosure of sensitive user information involved in short-lived private execution sessions. The model for these private execution sessions is similar to the private browsing mode implemented in most modern browsers, but generalized to any user-level application. We divide the threat model we assume for this work into two scenarios, one for the duration of a targeted private execution session, and another for after a session has ended. For the first scenario, we assume that an adversary can have remote access to the target system as a normal user. Due to normal process-based isolation, the attacker cannot inspect physical memory, kernel virtual memory, or process virtual memory for processes labeled with a different user ID. Furthermore, we assume that an active network attacker candrop,reorder,ormodifytraffic,orcouldcontrolaremote endpoint, such as a web site, that the user communicates with. As with private browsing mode, we rely on common mechanisms such as SSL/TLS and user awareness to prevent the disclosure of sensitive information in this case. The threat model for the second scenario corresponds to a technically sophisticated adversary with physical access to a target system after a private execution session has ended. In this scenario, the adversary has complete access to the contents of any local storage such as hard disks or non-volatile flash memory, as well as the system RAM. It is assumed that the adversary has access to sophisticated forensics tools that can retrieve insecurely deleted data from a filesystem, or process memory pages from swap devices. Common to both scenarios is the assumption of a “benign- but-buggy”, or perhaps “benign-but-privacy-unaware”, ap- plication. In particular, our threat model does not include applications that maliciously transmit private information to remote parties, or users that do the same. However, as we describe in the next section, PRIVEXEC aims to avoid inadvertent disclosure of private information.

ผลลัพธ์ (ไทย) 1:

รุ่น II การคุกคามที่เป็นแรงจูงใจหลักในการออกแบบ PRIVEXEC เพื่อ ป้องกันการเปิดเผยข้อมูลสำคัญของผู้ใช้ในเซสชันที่ดำเนินการส่วนตัวช่วงสั้น ๆ แบบจำลองสำหรับหลักสูตรการดำเนินการส่วนนี้จะคล้ายกับโหมดเรียกดูส่วนตัวในเบราว์เซอร์ที่ทันสมัยที่สุด แต่ตั้งค่าให้โปรแกรมประยุกต์ระดับผู้ใช้ทั่วไป เราแบ่งรูปแบบภัยคุกคามที่เราคิดว่างานนี้เป็นสถานการณ์สมมติสอง หนึ่งสำหรับช่วงเวลาของเซสชันเป้าหมายส่วนการดำเนินการ และอีกหลังจากมีการสิ้นสุดเซสชัน สำหรับสถานการณ์ first เราสมมติว่า ปฏิปักษ์ได้ไกลระบบเป้าหมายเป็นผู้ใช้ปกติ จากแยกในการตามกระบวนการปกติ ผู้โจมตีไม่สามารถตรวจสอบหน่วยความจำกายภาพ หน่วยความจำเสมือนของเคอร์เนล หรือหน่วยความจำเสมือนในกระบวนการสำหรับกระบวนการติดป้ายชื่อ ด้วยรหัสผู้ใช้อื่น นอกจากนี้ เราคิดว่า การใช้งานเครือข่าย candrop โจมตี สั่ง ormodifytraffic, orcouldcontrolaremote ปลาย เช่นเว็บไซต์ ที่ผู้ใช้สื่อสารกับ เช่นเดียวกับโหมดเรียกดูส่วนตัว เราอาศัยกลไกทั่วไปเช่น SSL/มรท และผู้ใช้รับรู้เพื่อป้องกันการเปิดเผยข้อมูลที่สำคัญในกรณีนี้ รูปแบบภัยคุกคามสำหรับสถานการณ์สมมติที่สองตรงกับเชิงเทคนิคซับซ้อนเข้าไประบบเป้าหมายหลังจากมีการสิ้นสุดเซสชันการดำเนินการส่วนตัว ในสถานการณ์สมมตินี้ ฝ่ายได้สามารถเข้าถึงเนื้อหาของการจัดเก็บใด ๆ ภายในเครื่องเช่นฮาร์ดดิสก์ หรือหน่วยความจำ flash ไม่ระเหย ตลอดจนระบบ RAM เป็นสมมติว่า ปฏิปักษ์ที่มีการเข้าถึงเครื่องมือซับซ้อนนิติที่สามารถดึงข้อมูลถูกลบ insecurely จาก filesystem การ หรือประมวลผลเพหน่วยความจำจากอุปกรณ์แลกเปลี่ยน ร่วมทั้งสองสถานการณ์คือ สมมติฐานของ ap-plication "อ่อนโยนแต่รถ" หรืออาจจะ "อ่อนโยนแต่ความเป็นส่วนตัวไม่ รู้" เฉพาะ จำลองภัยคุกคามของเราไม่มีโปรแกรมประยุกต์ที่ส่งข้อมูลส่วนตัวบุคคลระยะไกล หรือผู้ใช้ที่จัดทำโดย อย่างไรก็ตาม ขณะที่เราอธิบายในส่วนถัดไป PRIVEXEC มุ่งเพื่อหลีกเลี่ยงการเปิดเผยข้อมูลส่วนตัวโดยไม่ได้ตั้งใจ

ผลลัพธ์ (ไทย) 2:

ครั้งที่สอง คุกคามรุ่นแรงจูงใจหลักของเราสำหรับการออกแบบ PRIVEXEC เพื่อป้องกันไม่ให้การเปิดเผยข้อมูลของผู้ใช้ที่มีความสำคัญมีส่วนร่วมในช่วงเวลาสั้น ๆ ช่วงการดำเนินการส่วนตัว รูปแบบการดำเนินการเหล่านี้การประชุมส่วนตัวจะคล้ายกับโหมดการใช้งานส่วนตัวดำเนินการในเบราว์เซอร์ที่ทันสมัย​​ที่สุด แต่ทั่วไปจะใช้โปรแกรมใด ๆ ในระดับ เราแบ่งรูปแบบภัยคุกคามที่เราสมมติสำหรับงานนี้เป็นสองสถานการณ์หนึ่งสำหรับระยะเวลาของเซสชั่นการทำงานที่เป็นส่วนตัวที่กำหนดเป้​​าหมายและอื่น ๆ หลังจากที่เซสชั่นได้สิ้นสุดลง สำหรับสถานการณ์ไฟแรกเราคิดว่าฝ่ายตรงข้ามจะมีการเข้าถึงระยะไกลไปยังระบบเป้าหมายเป็นผู้ใช้ปกติ เนื่องจากปกติการแยกกระบวนการที่ใช้โจมตีไม่สามารถตรวจสอบหน่วยความจำกายภาพหน่วยความจำเสมือนเมล็ดหรือกระบวนการหน่วยความจำเสมือนสำหรับกระบวนการกำกับด้วย ID ผู้ใช้ที่แตกต่างกัน นอกจากนี้เราคิดว่าเครือข่าย candrop โจมตีปราดเปรียว, เรียงลำดับ, FI ค ormodifytraf, orcouldcontrolaremote ปลายทางเช่นเว็บไซต์ที่ผู้ใช้ติดต่อสื่อสารกับ เช่นเดียวกับโหมดการใช้งานส่วนตัวที่เราจะพึ่งพากลไกทั่วไปเช่น SSL / TLS และการรับรู้ของผู้ใช้เพื่อป้องกันการเปิดเผยข้อมูลที่สำคัญในกรณีนี้ รูปแบบภัยคุกคามสำหรับสถานการณ์ที่สองสอดคล้องกับฝ่ายตรงข้ามที่มีความซับซ้อนทางเทคนิคที่มีการเข้าถึงทางกายภาพไปยังระบบเป้าหมายหลังจากที่เซสชั่นการทำงานที่เป็นส่วนตัวได้สิ้นสุดลง ในสถานการณ์สมมตินี้ฝ่ายตรงข้ามมีการเข้าถึงที่สมบูรณ์ในการเนื้อหาของการจัดเก็บข้อมูลในท้องถิ่นใด ๆ เช่นฮาร์ดดิสก์หรือหน่วยความจำเถ้าชั้นไม่ระเหยเช่นเดียวกับระบบแรม มันจะสันนิษฐานว่าฝ่ายตรงข้ามมีการเข้าถึงเครื่องมือนิติซับซ้อนที่สามารถดึงข้อมูลที่ถูกลบจากระบบไฟล์ Fi อย่างไม่มั่นคงหรือหน้าหน่วยความจำขั้นตอนจากอุปกรณ์แลกเปลี่ยน ร่วมกันกับสถานการณ์ทั้งสองเป็นสมมติฐานของ "benign- แต่-รถ" หรือบางทีอาจจะ "เป็นพิษเป็นภัย แต่-ความเป็นส่วนตัวไม่รู้" plication AP- โดยเฉพาะอย่างยิ่งรูปแบบภัยคุกคามของเราไม่ได้รวมถึงการใช้งานที่ประสงค์ร้ายส่งข้อมูลส่วนตัวให้กับบุคคลที่ห่างไกลหรือคนที่ทำเช่นเดียวกัน อย่างไรก็ตามในขณะที่เราจะอธิบายในส่วนถัดไป, PRIVEXEC มีวัตถุประสงค์เพื่อหลีกเลี่ยงการเปิดเผยข้อมูลโดยไม่ได้ตั้งใจของข้อมูลส่วนตัว

ผลลัพธ์ (ไทย) 3:

2 . รูปแบบแรงจูงใจหลักของเราสำหรับการออกแบบ privexec คุกคามเพื่อป้องกันการเปิดเผยข้อมูลที่เกี่ยวข้องในช่วงสั้น ๆส่วนอ่อนไหวของผู้ใช้การเซสชัน รูปแบบเหล่านี้ส่วนบุคคลการการประชุมจะคล้ายกับโหมดเรียกดูส่วนตัวใช้ในเบราว์เซอร์ที่ทันสมัยที่สุด แต่ตัวโปรแกรมระดับผู้ใช้ใด ๆเราแบ่งการคุกคามแบบที่เราคิดว่างานนี้เป็นสองสถานการณ์ สำหรับระยะเวลาของเซสชันการกำหนดเป้าหมายส่วนบุคคลและอีกหลังจากมีการสิ้นสุดเซสชัน . สำหรับสถานการณ์จึงตัดสินใจเดินทาง เราสันนิษฐานว่า คู่ต่อสู้ที่สามารถมีการเข้าถึงระยะไกลไปยังระบบเป้าหมายเป็นผู้ใช้ปกติ เนื่องจากกระบวนการปกติแยกตามคนร้ายไม่สามารถตรวจสอบหน่วยความจำกายภาพหน่วยความจำเคอร์เนลเสมือน ,หรือกระบวนการหน่วยความจำเสมือนกระบวนการข้อความกับผู้ใช้ที่แตกต่างกันบัตร นอกจากนี้ เราสันนิษฐานว่า คนร้าย candrop เครือข่ายที่ใช้งาน , จึงสั่งซื้อ ormodifytraf C orcouldcontrolaremote ปลายทาง เช่น เว็บไซต์ที่ผู้ใช้ติดต่อสื่อสารกับ กับเอกชนเรียกดูในโหมดเราพึ่งพากลไกทั่วไปเช่น SSL / TLS และผู้ใช้ความรู้เพื่อป้องกันการเปิดเผยข้อมูลที่สำคัญในคดีนี้ รูปแบบการคุกคามในสถานการณ์ที่สองสอดคล้องกับคู่ต่อสู้ที่มีความซับซ้อนทางเทคนิคกับการเข้าถึงทางกายภาพไปยังระบบเป้าหมายหลังจากการสนทนาส่วนตัวได้สิ้นสุดลงแล้ว ในสถานการณ์สมมตินี้ปฏิปักษ์บูรณ์เข้าถึงเนื้อหาของข้อมูล เช่น ฮาร์ดดิสก์ หรือหน่วยความจำไม่ระเหยflเถ้าเป็นแรมของระบบ เป็นสันนิษฐานว่าคู่อริที่มีการเข้าถึงเครื่องมือที่ซับซ้อนที่สามารถดึงข้อมูลที่ถูกลบหลักฐาน insecurely จากจึง lesystem หรือกระบวนการความจำหน้าจากอุปกรณ์แลกเปลี่ยน โดยทั่วไปทั้งสองสถานการณ์เป็นสมมติฐานของ " ใจดี - แต่รถ "หรือบางที " อ่อนโยน แต่ความเป็นส่วนตัวโดยไม่รู้ตัว " , AP - รอยจีบ . โดยเฉพาะการคุกคามแบบของเราไม่รวมโปรแกรมที่มุ่งร้ายส่งข้อมูลส่วนบุคคลไปยังบุคคลที่ห่างไกล หรือผู้ใช้ที่ทำแบบเดียวกัน แต่ที่เราอธิบายในส่วนถัดไป privexec มีวัตถุประสงค์เพื่อหลีกเลี่ยงการตั้งใจของข้อมูลส่วนบุคคล