SAccessor : デスクトップPCのための安全なファイルアクセス制御システム東京工業大学滝澤裕二光来健一柳澤佳里千葉滋 1 デスクトップPCへの攻撃  オペレーティングシステムが守るはず    ウィルスメール P2P OS自体が攻撃される例もある  パッチなしOS    パッチを当てると動かなくなるアプリがあるユーザのセキュリティ意識が低いゼロデイアタック 2 誤解  アクセス制御機構をOSの外にも用意   ポリシーを工夫すれば守れるはず VM,HDD,NIC アクセス制御機構を用意するだけでは、具体的に安全なシステムを作るのは難しい 3 例：特定ユーザだけが読めるファイル  VM,HDDによるアクセス制御  OSからは一切情報をもらわない   HDDやVM単体では、今どのユーザのプロセスがアクセスしようとしているか不明 OSから今アクセスしているユーザ情報を通知  OSがクラックされているかもしれないので、信用できない 4 提案:SAccessor  ファイルアクセス制御をOSから分離  実用的に使えるような機構を提供    安全なユーザ認証認証方法に適したファイルシステムの拡張 OSがクラックされても以下は守れる   ファイルアクセスのための認証をしなければ、ユーザのファイルへの不正アクセスはないシステムファイルの不正書き換えはできない  クラックされたOSも、再起動すればクラックの影響を取り除ける 5 SAccessorのアーキテクチャ  ファイルは全て作業OS外のファイルサーバにおく   ローカルファイルシステムは一切なしファイルサーバ  同一マシンの別VM上の認証OSで動作アクセス制御を実施  クラックの危険性を最小に設定   例：リモートからのアクセスを制限 VM 認証OS FILE VM NFS 作業OS ユーザは作業VMにログインして作業 APP ポリシ VMM 6 ファイルアクセスの手順   作業OSから認証OSへアクセス要求認証OSがユーザを認証   作業OS 認証OS 認証されるのはユーザファイルアクセスできるようになるのは作業OS ２．ファイルアクセス APP APP ディスク３．ユーザ認証１．ログインして作業ユーザ 7 ユーザファイルの不正アクセスの防御  認証OSがユーザ認証をおこなう   認証するまでは、不正アクセスが不可能段階的なアクセス保護  ファイルやディレクトリをまとめたグループごとに認証   一度の認証で関連するファイルもまとめて許可認証に有効期間を設定  認証の有効期間内は認証を省略ユーザファイル一部のファイルにのみ一定時間アクセス許可 8 SAccessorのユーザ認証   認証OSの画面認証OSが認証ダイアログを表示ユーザ名とパスワードによる認証  認証OSがユーザと直接やりとり作業OSの画面 9 SAccessorのユーザ認証   認証OSの画面認証OSが認証ダイアログを表示ユーザ名とパスワードによる認証  認証OSがユーザと直接やりとり認証ダイアログ作業OSの画面 10 画面構成  作業OSの画面も認証ダイアログもウィンドウ   作業OSの画面はVNCで表示して最大化認証ダイアログは作業OSの上に重ねて表示   ダイアログは認証OSが管理作業OSから出されたように自然に見える Xサーバディスプレイ認証OS VNC 作業OS 11 認証ダイアログ  ダイアログのタイトルにシークレット文字列を表示  認証OSにあらかじめ登録しておく   作業OSの攻撃者にはわからない攻撃者の出す偽のダイアログと区別シークレット文字列アクセスしようとしているファイル 12 認証ダイアログの利点  シームレスな認証が可能   VMを用いて一台のマシン上で実現作業OSを介さないので安全  作業OSにいる攻撃者は認証できない   作業OSからは認証ダイアログにアクセスできない作業OSにパスワードが渡らない  たとえ内部犯がいたとしても認証を成功させるのは難しい 13 アクセス制御ポリシ例  ウェブブラウザに関するファイルだけにアクセス許可をだす  悪意のあるサイトにアクセスした場合   被害はウェブブラウザグループのみメールの内容を盗まれることはない <ウェブブラウザ>[3600] /home/takizawa/.mozilla/firefox/* (rw) 認証の有効期間とパーミッション <メーラー>[600] /home/takizawa/.thunderbird/* (rw) 14 作業OSのキャッシュ  認証の有効期間の切れたファイルキャッシュはフラッシュさせる   作業OSにあるファイルキャッシュは認証なしでアクセスできてしまう作業OSを改造しフラッシュ機能を実装   作業OS側でopenしたファイル名とinode構造体を覚えておく TCP/IP通信で認証OSからファイル名を受け取る認証の有効期間の切れたファイルを作業OSへ通知認証OS 作業OS ファイル名 File cache 受け取ったファイル名のキャッシュをフラッシュ 15 システムファイルの保護  Read only    PIDなどの一部のファイルを除くログファイルだけ追記のみ許可書き換えが必要なとき  安全な基本書き換え操作を認証OSがサービスとして提供  作業OSはそのサービスをRPCで起動    これ以外の方法では書き換えできない基本書き換え操作ごとにプログラムを認証OS側に用意サービス起動時にダイアログによるユーザ認証 16 例： Set-UID コマンド Passwd コマンド    一般ユーザがパスワード変更のため使用作業OS側の passwd コマンド   RPCで認証OS側のサービスを起動認証OSは passwd コマンドを実行  システムファイルの書き換え認証OSのpasswd コマンドへのキー入力は、認証OSがだすウィンドウからおこなう認証OS system file 作業OS passwd サービス呼び出し APP passwdファイルを書き換えたい 17 実装  VMMとしてXen、ゲストOSはLinuxを使用   Linuxカーネル内NFSDv3を改造    ドメイン０：認証OS、ドメインU:作業OS NFSリクエストを監視してアクセス権をチェック追記は書き込みのオフセットを検査作業OSのキャッシュフラッシュ   作業OSのカーネルを改造認証OSとTCP/IP通信によりフラッシュさせるファイル名の受け渡し 18 実験  システムの起動から終了までのファイルアクセスパターンを調査  大半のファイルは読み込みのみ   書き込みはログファイルとPIDばかり    約５００ファイル約３０ファイルログファイルは追記認証ダイアログでユーザ認証しなくてはならない回数は少なくてすむ Fedora Core5の場合 19 実験（オーバーヘッドの測定）  読み書きの性能を測定   データブロックサイズ512,1024,2048Bytes 比較対象    ローカルファイルシステム VMM+NFS SAccessor  実験環境 PentiumD 3.0Ghz Memory:1G Xen3.0.4 GuestOS:Linux2.6.13.33 ポリシ数０，１００，５００行 20 実験（オーバーヘッドの測定）読み込み性能読み込み   書き込み    VMM+NFS:約57% SAccessor:約５４％  50 40 30 20 10 0 512 VMM+NFS:約３６％ SAccessor:約２５％考えられる原因  throughput(MB/sec)  60 バックエンドにNFSを使っていること NFSDと認証ダイアログ間のスイッチのオーバーヘッド 1024 2048 Data Block Size(Bytes) 書き込み性能 300 throughput(MB/sec)  250 200 150 100 50 0 512 1024 2048 Data Block Size(Bytes) 21 関連研究  Proxos[OSDI’06 Richard Ta-Min et al.]  アプリケーションを隔離されたVMで実行   SVFS[SISW’05 Xin Zhao et al.]  VMによって異なるアクセス権を与える   プログラマがシステムコールレベルのポリシを記述しなけらばならない重要ファイルへの書き込みは特別なVMへログインが必要 Plan9[Bell Labs]  管理者のファイルはファイルサーバーに物理的に接続されたコンソールからのみ  守るのは管理者のファイルだけ 22 まとめ  SAccessorを提案  ファイルシステムを攻撃対象のOSから分離  OSがクラックされても機能     システムファイルの不正書き換えを防ぐユーザが認証していないファイルの保護認証ダイアログによる安全なユーザ認証ダイアログ認証に適したアクセス制御   グループ毎に認証認証に有効期間を設定 23 今後の課題ファイルキャッシュのフラッシュ  作業VMのファイルキャッシュのフラッシュ  Xenの機能を利用した実装   認証OSから作業OSのファイルキャッシュを直接操作  作業OSのOSカーネルの改造が不要  作業OSが乗っ取られても機能する SUIDコマンドの自動転送  作業OSのLibcを改造  SUIDされたプログラムを識別して自動で認証OSのサービスを起動 24 25 26 27 28 29 画面構成(ボツ）認証OSの画面作業OSの画面認証ダイアログ認証OSの画面 Xサーバ認証OSが表示する作業OSの画面ディスプレイ認証OS VNC 作業OS 30