Contracten voor Sandboxing gebaseerd op Stack Inspection Jan Smans, Bart Jacobs en Frank Piessens

Overzicht 1. Stack Inspection 2. Spec# Programmeer Systeem 3. Contracten voor Stack Inspection

1. Stack Inspection Wat? mechanisme voor veilig uitvoeren van onvertrouwde code mechanisme om principe van least-privilege af te dwingen in CBD Waar? Java, C# (≈ Code Access Security),... Waarom? rechten programma = rechten user?!

1. Stack Inspection (2) Hoe? At load time krijgt iedere component een set van statische permissies Tijdens de uitvoering heeft iedere thread een set van dynamische permissies Net voor iedere gevoelige operatie: Zijn de juiste permissies aanwezig in de dynamische permissie set?

1. Stack Inspection (3) {FileIO}  Een voorbeeldje... {FileIO} File.Open(...); class File{ Static Stream Open(...){... } SecurityException

1. Stack Inspection (4) Andere features: Beïnvloeden van dynamische permissieset Assert, Deny,... Creatie van nieuwe threads...

Overzicht 1. Stack Inspection 2. Spec# Programmeer Systeem 3. Contracten voor Stack Inspection

2. Spec# Programmeer Systeem Doel? detectie van bugs Hoe? developer expliciteert assumpties run-time en compile-time checking Voorbeelden? Non-null types Methode contracten Object invarianten Checked exceptions...

2. Spec# Programmeer Systeem (2) Non-null types T o; = o is null of T-object NullPointerExceptions = fouten! T! o; = o is een T-object (  null)

2. Spec# Programmeer Systeem (3)

2. Spec# Programmeer Systeem (4)

2. Spec# Programmeer Systeem (5) Methode Contracten: = contract tussen developer en callers precondities eis tov caller, garantie voor developer postcondities eis tov developer, garantie voor caller

2. Spec# Programmeer Systeem (6) Voorbeeld

2. Spec# Programmeer Systeem (7)

2. Spec# Programmeer Systeem (8) Meer info:

Overzicht 1. Stack Inspection 2. Spec# Programmeer Systeem 3. Contracten voor Stack Inspection

3. Contracten voor Stack Inspection Bijdrage? specificatie formalisme voor Stack Inspection dat statisch verifieerbaar is Waarom? snel ontdekken van fouten documentatie verhoging van performantie

3. Contracten voor Stack Inspection (2) 2 soorten contracten: Component-level contracten developer deployer minimal, optional Methode-level contracten developer clients vereiste run-time permissies

Component Method-level Contract 3. Contracten voor Stack Inspection (3) Statische Verificatie Component-level Contract Method-level Contract Method-level Contract Method-level Contract Programma Transformatie Programma Verificatie Fouten? Method-level Contract of Referenced Assembly

3. Contracten voor Stack Inspection (4) Voorbeeld: Assembly.Load(Uri uri) msdn: in onze aanpak: requires uri.Scheme==“http” ==> new WebPermission().IsSubsetOf(s); requires uri.Scheme==“file” ==> new FileIOPermission(uri).IsSubsetOf(s);

Vragen? Meer info: