仮想計算機を用いたファイルアクセス制御の二重化滝澤裕二光来健一柳澤佳里千葉滋（東京工業大学）デスクトップPCへの攻撃  攻撃の手口    ウィルスメールの自動実行 P2P での攻撃ソフトの配布攻撃の被害  機密情報の流出    銀行の暗証番号（パスワードなど）顧客情報実行ファイルの改ざん  トロイの木馬の設置 OSのアクセス制御による防御  ユーザ認証   ログイン時にパスワード認証ファイルシステムによる制御   ユーザIDとパーミッションによる制御一般ユーザは管理者のファイルを書き換えられない  例：ウィルスが実行ファイルを書き換えるのを防げる OSにも脆弱性が存在  脆弱性の例    Bluetoothスタックの脆弱性により一般ユーザが特権を取得 sendmsg関数でオーバーフローを起し任意のコードを実行可能パッチが適用されていない状況も・・・    ゼロデイアタックパッチを当てると動かなくなるアプリがあるユーザのセキュリティ意識が低い OSの制御をバイパスされる  OSが攻撃を受けるとアクセス制御が機能しなくなる  ユーザ認証をバイパスされた場合    管理者に成りすまされる管理者は全てのファイルにアクセスできるファイルアクセス制御をバイパスされた場合  全てのファイルに無条件にアクセスされる提案：SAccessor  仮想計算機（VM)を用いてファイルアクセス制御を二重化    ファイルアクセスとそれ以外のアクセスを別々のVMで実行それぞれのVMのOSでアクセス制御実用性を考慮した機能を提供  ファイルサーバを別のVMで動かすだけでは実用的にはならない SAccessorのアーキテクチャ  １台のマシン上に２つのVMを用意   ファイルサーバを動作させる認証VM ユーザがログインする作業VM 認証VM（Dom0）作業VM（DomU） GuestOS(Linux) Network File GuestOS(Linux) System APP FILE APP VMM(Xen) ユーザは作業VMにログインして作業 SAccessorのファイルアクセス制御  ２つのVMが独立にファイルアクセス制御  認証VMはユーザと直接やりとりして認証    認証VMは認証した情報を使ってアクセス制御する作業VMがクラックされてもバイパス不可能作業VMは従来のOSによるファイルアクセス制御  作業VMがクラックされるまでは正常に機能認証認証VM（Dom0）作業VM（DomU） GuestOS(Linux) ファイルアクセス GuestOS(Linux) 要求 FILE APP アクセス権データ転送アクセス権 APP チェックチェック SAccessorにおける認証  認証VMが認証ダイアログを表示   ユーザ名とパスワードによる認証作業VMを介さないので安全  作業VM内の攻撃者は認証できない   認証ダイアログにアクセスできない作業ＶＭにパスワードを盗まれることがないシームレスな認証ダイアログ  VNCを用いて作業VMの画面を認証VMのウィンドウとして全画面表示   ユーザには作業VMの画面だけが見える認証ダイアログは作業VMの画面に重ねて表示認証VMの画面認証VMが表示する作業VMの画面１台のマシン上で両VMを動かすことでシームレスに認証が行える認証ダイアログの判別  ダイアログにシークレット文字列を表示   作業VMから偽ダイアログを表示される恐れ認証VMにあらかじめ文字列を登録  作業VMにいる攻撃者からは見ることはできないシークレット文字列アクセスされるファイル認証頻度の制御  認証の頻度を抑えるポリシを記述可能  認証頻度が高くなると利便性が低下    認証ダイアログが大量に出されるファイルやディレクトリをまとめたグループ毎に認証認証に有効期間を設定  認証の有効期間内では認証は省略 <DSW> [3600] /home/takizawa/DSW/main.tex (rw) /home/takizawa/DSW/intro.tex (rw) </DSW> 作業VMのキャッシュ  認証の有効期間の切れたファイルキャッシュはフラッシュさせる   作業VMにあるファイルキャッシュは認証なしでアクセス可能認証VMから作業VMにフラッシュを命令   有効期間内のファイルは認証なしでアクセス可セキュリティの低下はない認証VM キャッシュのフラッシュを命令 File 作業VM ファイルキャッシュ setuidされたプログラムの扱いは困難  一般ユーザが管理者のファイルにアクセス   管理者のパスワードが必要 SAccessorでの対応  認証VMにsetuidされたプログラムの実行を依頼      作業VM上のプログラムを置き換えておく一般ユーザのパスワードで認証ファイルキャッシュが作業VMに残らない標準入出力はSSH経由作業VMのルートディレクトリにchrootして実行  ファイル入出力のためシステムファイルのアクセス制御  一般ユーザが判断するのが難しい   管理者のパスワードが必要なこともデフォルトのポリシを用意し認証は省略    実行ファイルは読み取りのみログファイルは追記だけ実際に実行ファイルは読み込み、ログファイルは追記のみポリシの登録  認証VMからウィンドウを表示してポリシを編集  認証VMにポリシ編集用ウィンドウを表示   作業VMに潜入した攻撃者は編集不可能ポリシの内容をユーザに確認させてから認証認証認証VM ポリシポリシの編集要求ポリシの編集・確認作業VM APP ポリシ編集用ウィンドウを表示 SAccessorの有効性ユーザに機密ファイルを守る  顧客情報へのアクセスは認証が必要  ウェブブラウザが悪意のあるコードを実行しても顧客情報は守られる有効期間（秒）パーミッション <仕事>[3000] ~takizawa/顧客情報.xls (rw) ~takizawa/資料.pdf (r) </仕事> グループ名グループに属するファイル <ウェブブラウザ> /usr/bin/firefox (r) /usr/firefox/* (r) </ウェブブラウザ> 実行ファイルの書き換えを防ぐポリシ例  Emacsの書き換えのみダイアログを表示    <emacs> /usr/bin/emacs (r) 通常使用ではダイアロ /usr/libexec/emacs/* (r) </emacs> グはでない Emacsのアップデート時には認証を成功させるアップデート時以外の認証は拒否  攻撃と考えられる <emacs>[60] /usr/bin/emacs (w) /usr/libexec/emacs/* (w) </emacs> Limitation  認証の有効期間内のファイルは守れない   認証の有効期間内のファイルは認証なしでアクセス可能作業VMのファイルキャッシュに偽の内容を書き込む攻撃  ファイルの改ざんと同じ被害を受ける可能性関連研究  Proxos[OSDI’06 Richard Ta-Min et al.]  システムコールを隔離されたVMで実行   SVFS[SISW’05 Xin Zhao et al.]  VMによって異なるアクセス権を与える   プログラマがポリシを作成しなければならない重要ファイルへの書き込みは特別なVMへログインが必要 Plan9[Bell Labs]  管理者のファイルはファイルサーバーに物理的に接続されたコンソールからのみ  守るのは管理者のファイルだけまとめ・今後の課題  SAccessorを提案    ファイルアクセスの二重化従来の二重化システムの問題点を解決今後の課題  setuidされたプログラムの入出力を認証VMのウィンドウを通してできるようにする