Detecting Information Flow Security Vulnerabilities by Analysis Coupling

doi:10.1109/TSE.2025.3589647

Detecting Information Flow Security Vulnerabilities by Analysis Coupling

2025-07-16

0

OA

AI

DOI：10.1109/TSE.2025.3589647

原文链接

查看原文

摘要

En 中文

源自不安全信息流的安全漏洞会侵犯数据保密性，从而对个人和服务提供商产生负面影响。这一挑战催生了设计级分析和源代码分析，以研究信息流相关的漏洞。架构分析作为一种设计级分析，可以通过检查包含安全相关信息规范的架构模型来检测安全漏洞。然而，在软件演化过程中，实现可能不符合架构规范。这种不符合可能导致架构分析遗漏漏洞。因此，部署系统中的漏洞可能被利用，但软件工程师仍会假定系统是安全的。本文通过提出一种耦合方法来解决与规范相关的非合规问题，该方法使架构分析能够使用静态源代码分析从实现中获取的安全特征值。我们的耦合方法做出两项贡献：耦合过程和耦合所需的必要条件（称为集成条件）。在耦合过程中，每个处理步骤在分析的参与输入和输出模型之间执行转换。为了实现耦合，我们定义了必要的集成条件，这些条件必须在耦合的分析（元）模型之间保持。我们通过基于参考元模型指定集成条件，从特定分析中推广。在我们的评估中，我们检查（1）耦合分析的元模型对参考元模型的覆盖情况，（2）成功耦合对集成条件的覆盖情况，以及（3）耦合分析在发现源自非合规实现的架构漏洞方面的准确性。我们的案例研究结果表明，参考元模型和集成条件得到了覆盖。我们检测到60个真实正例漏洞和5个假正例漏洞。基于此证据，我们得出结论：耦合中的架构分析能够准确地检测源自实现中非合规信息流的漏洞。

Keyword:

Security analysis

architecture implementation consistency

composition

model-driven engineering

security-by-design

Detecting Information Flow Security Vulnerabilities by Analysis Coupling

摘要

AI总结

期刊

机构

引用论文