Securing Process Execution by Verifying the Inner Process State Through Recording and Replaying on Different Platforms

Computersysteme, die wir alltäglich verwenden und von denen wir gewissermaßen von abhängen, sind nicht frei von Fehlern. Diese können hardware- oder softwareseitig ursächlich sein und als Konsequenz Einfluss auf die Programme und Daten haben, die wir auf den Systemen verwenden. Gründe für Fehler sind steigende Designkomplexität, kleinere Fertigungsbreiten von Hardware oder komplexer werdende Softwaremodule. Darüber hinaus können auch bewusst eingebrachte Hintertüren dafür sorgen, dass ein System sich anders verhält als erwartet. Letztendlich bleibt nur übrig den Herstellern zu vertrauen, dass ihre Soft- und Hardwareprodukte wie versprochen funktionieren und frei von Fehlern und Hintertüren sind.
... mehr

Diese Arbeit stellt einen Ansatz vor, um die Korrektheit einer Anwendungsausführung zu überprüfen, ohne darauf angewiesen zu sein den Herstellern zu vertrauen. Der Ansatz namens Securing Process Execution by Recording and Replaying the Inner Process State (SPERRIPS) verifiziert die Korrektheit einer Anwendungsausführung über zwei Systeme hinweg auf dem Abstraktionslevel von Systemaufrufen (engl. system calls). Dazu wird die zu verifizierende Anwendung auf zwei unterschiedlichen Systemen ausgeführt und auftretende Unterschiede in den Programmausführungen inspiziert. Eine Ausführung gilt als korrekt und verifiziert, wenn sie auf beiden Systemen gleich stattfindet, indem höchstens akzeptierbare Unterschiede auftreten. Falls unakzeptierbare Unterschiede auftreten, wird die Programmausführung abgebrochen. Unter Berücksichtigung von unter anderem unterschiedlichen Systemumgebungen, Addressraumverwürfelung und verschachtelten Datenstrukturen werden in dieser Arbeit akzeptierbare und unakzeptierbare Unterschiede am Beispiel der Systemaufrufe der cat Anwendung definiert. Etwaige unakzeptierbare Unterschiede deuten auf Fehlverhalten einer der beiden Systeme hin, welches in den Komponenten unterhalb des betrachteten Abstraktionslevel von Systemaufrufen begründet ist. Dies betrifft entweder Hardwarekomponenten oder interne Abläufe im Betriebssystemkern. Diese Arbeit liefert eine Konzeption und eine Implementierung für SPERRIPS. Die Implementierung wurde anhand der vier Anwendungen echo, hostname, cat und ping evaluiert. Dies demonstriert die Fähigkeit des Ansatzes und der Implementierung die Korrektheit von Anwendungen zu überprüfen bzw. Abweichungen in ihren Ausführungen festzustellen. In einen Linuxkern bewusst eingebautes Fehlverhalten, das zur Laufzeit zu Abweichungen in den Programmausführungen führte, wurde erfolgreich detektiert.

While computer systems are ubiquitous and prevalent in our daily lives, they are not free
from bugs and misbehavior. Those can either be existent in hard- or software components
and may thus influence the application and data we use on the systems. Among other, causes
for bugs and misbehavior are increasing design complexity, smaller hardware fabrication
sizes, or expanding software complexity. Furthermore, intentionally inserted backdoors are
a conceivable scenario, too. Eventually, it requires trusting the vendors that their hard- and
software components operate as expected and that they are free from bugs and backdoors.
... mehr
This work introduces a novel approach for verifying the correctness of an application
execution without being dependent on trusting the vendors. The approach named Securing
Process Execution by Recording and Replaying the Inner Process State (SPERRIPS) verifies
the correctness of application execution across two different systems on the abstraction
level of system calls (syscalls). Therefore, the application is executed and traced on two
different systems to detect possible deviations in their executions. An execution is correct
and verified if it runs identical on both systems and if there are only acceptable differences
in the execution. In the case of unacceptable differences, the application execution will be
aborted. This work introduces acceptable and unacceptable differences on the example
of the syscalls of the cat application while respecting, among others, different system
environments, activated Address Space Layout Randomization, and nested structures.
Potentially detected unacceptable differences indicate misbehavior, rooted in a component
below the considered abstraction level of syscalls in one of the two systems. In particular,
this affects either hardware components or internal operating system kernel procedures.
This thesis proposes both a conception and an implementation of SPERRIPS. The imple-
mentation has been evaluated with four different applications, namely echo, hostname, cat,
and ping. It demonstrates the feasibility of the approach to successfully verify application
executions’ correctness and detect differences in their executions. All side-effects on appli-
cation execution through intentionally inserted malicious Linux kernel modifications have
been detected.