16th ACM Conference on Computer and Communications Security 2009(ACM CCS2009)

情報セキュリティ研究室 > 学会/セミナー報告 > 16th ACM Conference on Computer and Communications Security 2009(ACM CCS2009))
###	参加報告:16th ACM Conference on Computer and Communications Security	###
###             (ACM CCS2009)						###

【会議名】16th ACM Conference on Computer and Communications Security(ACM CCS2009)
【開催日時】2009年11月9日(月)〜11月13日(金)
【場所】Hyatt Regency Chicago(米国 イリノイ州 シカゴ市)
【URL】http://www.sigsac.org/ccs/CCS2009/index.shtml
【主催】ACM SIGSAC (Special Interest Group on Security, Audit and Control)
【参加者】560名(主催者発表)
     3日間の本会議において18のセッションが開催され、58件の論文が発表された。
     本会議の前後各1日は、各6件のWorkshopが開催された。
【報告者】江藤研究員


<11月9日>
[Workshop on Assurable and Usable Security Configuration (SafeConfig 2009)]
+++++++++++++++++++++++++++++++++++++++
Invited Talk:Version of SCAP
+++++++++++++++++++++++++++++++++++++++
Tony sager氏 (National Security Agency)

概要:SCAP:SCAP:Security Content Automation Protocolのコンセプト説明。
      タイトルとは異なり、バージョン毎の差分説明等は無し
      (資料も10月の別会合の流用で数枚程度)。
Q:Windows7はconfigurationを増やすか? 減らすか?
A:環境による、明確にはわからない。


+++++++++++++++++++++++++++++++++++++++
Session 1: Short and Position Papers
+++++++++++++++++++++++++++++++++++++++
■1. Multi-Aspect Security Configuration Assessment
Mirko Montanari (University of Illinois at Urbana-Champaign, US);
Roy Campbell (University of Illinois at Urbana-Champaign, US)

概要:seruiry configurationsとnetwork management toolに基づく
   のリアルタイムモニタの設計、及び、性能評価の報告。
      configurationを表す、Security Aspectというmoduleを定義している。


■2. Trust Based Security Auto-Configuration for Smart Assisted Living Environments
Md. Endadul Hoque (Marquette University, US), 
Farzana Rahman (Marquette University, US), 
Sheikh Iqbal Ahamed (Marquette University, US), 
Lin Liu (Tsinghua University, China)

概要:高齢者向けのセキュリティの自動構成システム提案。


■3. ePet: When Cellular Phone Learns to Recognize Its Owner
Mohammad Tanviruzzaman (Marquette University, US), 
Sheikh Iqbal Ahamed (Marquette University, US), 
Chowdhury Sharif Hasan (Marquette University, US), 
Casey O・brien (Marquette University, US)

概要:携帯のペット化、動物のように自動認識して動作、というアイデアが面白い。
   日本的なサービスと感じたが、iPhone(or SmartPhone)の普及により
   海外でも携帯サービスの多様化が始まるか?

Q:どのぐらいのメモリ量が必要か?
A:アイデアのみ。未実装の為、現状では未


■4. Building Robust Authentication Systems With Activity-Based Personal Questions
Anitra Babic (Chestnut Hill College, US);
Huijun Xiong (Rutgers University, US);
Danfeng Yao (Rutgers University, US)

概要:個人を認証する秘密の質問の数10%は推測や類推可能の脆弱性がある
   という報告から、PC動作やメール等からの秘密の質問を作成し
   認証するという提案。

Q:行動を見れば、攻撃できるのでは?
A:サーバ利用により防御可能


■5. Security Policy Refinement using Data Integration: A Position Paper
Robert Craven (Imperial College London, UK);
Jorge Lobo (IBM T J Watson Research Center, US);
Emil Lupu (Imperial College, UK);
Alessandra Russo (Imperial College London, UK);
Morris Sloman (Imperial College London, UK)

概要:データ統合を利用したSecurity Policyの再定義の提案。
   Sensor Network(多タイプ、品質はデバイス依存、異なる通信プロトコル)
      を利用して興味深い。(但し、時間配分が悪く、途中で強制終了となり、
   細部不明)


+++++++++++++++++++++++++++++++++++++++
Session 2: Network Configuration and Protocol Analysis
+++++++++++++++++++++++++++++++++++++++
■1. Completeness of Discovery Protocols
Alwyn Goodloe (National Institute of Aeospace, US),
Carl Gunter (University of Illinois, Urbana-Champaign, US)

概要:Discovery Protocolとして、GW間でパス確立(一種のVPN?)する
   tunnel-complex protocolを提案。確立が容易、プロトコル配信者により
   characteriseが可能と主張。

Q:証明はどうするのか?
A:証明は複雑。


■2. Proof of an Interdomain Policy: A Load-balancing Multi-homed Network
Andreas Voellmy (Yale University, US)

概要:BGPを事例とした、Internetdomainのポリシー
      (事例では、BGPの各パラメタ)の証明手法の提案。

Q:式だけでなく事前のポリシーの準備が必要では?
A:単純な例で説明したが、ポリシーは必要。


■3. ePet: When Cellular Phone Learns to Recognize Its Owner
Mohammad Tanviruzzaman (Marquette University, US), 
Sheikh Iqbal Ahamed (Marquette University, US), 
Chowdhury Sharif Hasan (Marquette University, US), 
Casey O・brien (Marquette University, US)

概要:Security Configurationのデバイスにおける自動生成、独自grammarの報告。
      Cisco extended IOS, IPTablesでの事例で説明。


■4. Configuring Audience-Oriented Privacy Policies
Jason Watson (UNC Charlotte, US);
Michael Whitney (UNC Charlotte, US);
Heather Lipford (UNCC, US)

概要:高齢者を意識した、Audience viewとFacebookという
   privacy viewの開発報告。
    サンプルに顔写真まであり、個人情報の概念が日本より
   オープンの印象を受けた。

Q:Audience viewとFacebookの違いは?
A:データ入力のIFと表示画面
Q:どのようにIFを変えるのか?
A:階層化して、サブグループレベルで変える。


+++++++++++++++++++++++++++++++++++++++
Invited Talk:Invited Talk: Security Automation - Convergence That Matters,
+++++++++++++++++++++++++++++++++++++++
Kent Landfield (McAfee) and John Banghart (NIST)

概要:午前の基調講演に対し、SCAPの具体的な説明。
   21社のベンダー参加して、大きな動きとなっている模様。
   日本政府も導入を検討中とか。


+++++++++++++++++++++++++++++++++++++++
Session 3: Security and Privacy Configuration
+++++++++++++++++++++++++++++++++++++++
■1. PolicyGlobe: A Framework for Integrating Network
    and Operating System Security Policies
Hamed Okhravi (University of Illinois at Urbana-Champaign, US);
Ryan Kagin (University of Illinois at Urbana-Champaign, US);
David Nicol (University of Illinois, Urbana-Champaign, US)

概要:NWとOSセキュリティポリシの統合フレームワーク。
      subject(accessibility sets)を複数classへ分割して抽象化。


■2. A Toolkit for Automating and Visualizing VLAN Configuration
Sunil Krothapalli (Purdue University, US);
Xin Sun (Purdue University, US);
Yu-Wei Eric Sung (Purdue University, US);
Suan Aik Yeo (Purdue University, US);
Sanjay Rao (Purdue University, US)

概要:VLANのNWをビジュアル化したツール。
   FJTで某国のNGN向けに開発したシステムと同類。
   今さら、L2, spanning treeのツールの印象あり。
   HP OpenView, FJT Proactnesにて既存の機能。


+++++++++++++++++++++++++++++++++++++++
Panel: Future Research on Usable Security Configuration: NSF Report
+++++++++++++++++++++++++++++++++++++++
Moderator: Ehab Al-Shaer (UNC Charlotte)
Panelists: Tony Sagel (National Security Agency)
Kent Landfield (McAfee) and John Banghart (NIST)



<11月10日>
+++++++++++++++++++++++++++++++++++++++
Keynote talk: Your/My Password Has Expired
+++++++++++++++++++++++++++++++++++++++
Prof. DOROTHY E. DENNING

概要:パスワード、秘密の質問、顔認証、生体認証等の、
   様々な認証方式に関する講演。全くの新規提案という内容ではない。
      但し、幾つか未知の方式有り。
   (GPEX, Eye Gesture, Liveness etc.)


+++++++++++++++++++++++++++++++++++++++
Session 2: Applied Cryptography
+++++++++++++++++++++++++++++++++++++++
■1. Efficient Pseudorandom Functions From the Decisional Linear 
      Assumption and Weaker Variants
Allison B. Lewko and Brent Waters(University of Texas at Austin)

概要:NWとOSセキュリティポリシの統合フレームワーク。
      subject(accessibility sets)を複数classへ分割して抽象化。


■2. Improving Privacy and Security in Multi-Authority
    Attribute-Based Encryption
  Melissa Chase(Microsoft Research), Sherman S.M. Chow
    (Courant Institute of Mathematical Sciences)

概要:trusted CA除去と特定ユーザの情報プールからの認証防止による
   プライバシー保護提案、及び、と特定利用のABE構築。
*:Attribute based encryption

Q:秘密キーの分配は?
A:現状は公開鍵のみを考慮している。


■3. Oblivious Transfer with Access Control
Jan Camenisch(IBM Research Zurich), Maria Dubovitskaya(IBM Russian Systems)
Gregory Neven(IBM Research Zurich)

概要:bilinear Diffie-HellmanとDiffie-Hellman assumption
      の利用により、異なるデータには異なるアクセス制御の
      プロトコル提案。本ロトロルでアクセス制御の完全な
   匿名性を提供し、DNAや金融のDBに適用、と主張。

Q:DBのaccess controlの変更は?
A:DBのアクセスは公開鍵を利用 (後で議論、で終了)


+++++++++++++++++++++++++++++++++++++++
Session 4: Anonymization Networks
+++++++++++++++++++++++++++++++++++++++
■1. NISAN: Network Information Service for Anonymization Networks
Andriy Panchenko, Arne Rache and Stefan Richter(RWTH Aachen University)

概要:匿名NWにNW情報を配信するDHTに基づくアプローチ調査する
      確率論的分析とシミュレーションを結合の提案。セキュリティと
   スケーラビリティと単純性を組合せた本提案は、他の既存の
   ネットワーク情報配信システムでは利用されない、と主張。


■2. Certificateless Onion Routing
Dario Catalano, Dario Fiore(Universita di Catania - Italy)
Rosario Gennaro(IBM T.J. Watson Research)

概要:公衆網での匿名チャネルの確立によりプライバシを保護する
      Onion Routing Protocolに関し、認証無し(Certificateless)の提案。

Q:他NWやadhoc NWへの適用は可能か?
A:たぶん、OK。


■3. ShadowWalker: Peer-to-peer Anonymous Communication 
    using Redundant Structured Topologies
Prateek Mittal and Nikita Borisov(University of Illinois at Urbana-Champaign)

概要:冗長構成のトポロジー上のrandom walk基づく低遅延の
   P2P匿名通信システム、ShadowWalkerを提案の提案。


+++++++++++++++++++++++++++++++++++++++
Session 6: Cloud Security
+++++++++++++++++++++++++++++++++++++++
■1. Ripley: Automatically Securing Web 2.0 Applications 
    Through Replicated[複製] Execution
K Vikram(Cornell University), Abhishek Prateek(IIT Delhi),
Benjamin Livshits(Microsoft Research)

概要:分散コンピューテングの完全性を自動的に保存するために
      複製実行を利用するシステム、RIPLEYの提案。
      セキュリティと性能を考慮して、Web2.0, Rich Internetでの
   利用を想定。


■2. HAIL: A High-Availability and Integrity Layer for Cloud Storage
Kevin Bowers, Ari Juels and Alina Oprea(RSA Laboratories)

概要:分散暗号システムである、HAIL (High-Availability and Integrity Layer),
   セキュリティと効率性の改良、及び、プロトタイプ実装の報告。
   タイトルにもあるように、HALにおけるRAIDの拡張が"cloud"と言う。


■3. Hey, You, Get Off My Cloud! Exploring Information Leakage in Third- Party Compute Clouds
Thomas Ristenpart, Hovav Shacham, Stefan Savage(University of California)
Eran Tromer(Massachusetts Institute of Technology)

概要:ケーススタディとしてAmazon EC2を利用した、
   Third partyによるクラウドのトラストモデルの提案。
 1)Cloud cartography
 2)Checking for co-residence
 3)Achiving co-residence

(開催前に以下の記事で、Amazon EC2でサイドチャネル攻撃可能と紹介された。
http://www.technologyreview.com/computing/23792/?a=f )


■4. Dynamic Provable Data Possession
Chris Erway, Charalampos Papamanthou, Alptekin Kupcu, Roberto Tamassia(Brown University)

概要:PDP(provable data possession)モデルに対し、存データの更新証明サポートを拡張した、
   DPDP (dynamic provable data possession)のフレームワーク定義と効率的構成の提案。
   より保証性の高い、RSA treeベースのDPDPUもある。


+++++++++++++++++++++++++++++++++++++++
Posters and Demos:	*約40件の展示から、以下を説明聴講。
+++++++++++++++++++++++++++++++++++++++
■1. DFITS: Data Flow Isolation Technology for Security-Security Software Development Environment (Poster) Small-sized poster
Ryotaro Hayashi, Fukutomo Nakanishi, Hiroyoshi Haruki, Yurie Fujimatsu and Mikio Hashimoto
概要:東芝研究所の展示(説明員:林氏)。
   セキュリティを考慮したプロトコル機能コーディングに関し、
   そのセキュリティ規約に準拠性を検証するツールのプロトタイプ試作版。
   CPUでの実施パターン検証、但し、静的ツールとの説明で
   マシン語レベルでのパターンチェックと推測。
   社内向けで、一般セキュリティ製品検証レベルは未だとのこと。

■2. An Anonymous Multicast Routing Protocol For Mobile Ad Hoc Networks (Poster)   Small-sized poster
Somayeh Taheri and Dieter Hogrefe
概要:無線NWにおける構成ノードの自動config,経路構築のモデル展示。
      基本は、neighborノードと通信し、新情報を、複数ノードで構成される
   ノードグループのリーダノード間にmulticastする、という方式。

■3. The dollar cost of security (Poster)   Small-sized poster
Yao Chen and Radu Sion
概要:グリーンIT向けの技術。CPUコスト、NWコスト、storageコスト
   (コスト=電力使用量)を算出、視覚化して管理するツール。
   securityコストもあり、何かと質問したら、encode,decodeの
   プロセスに使用するCPUコストとの回答。(少々こじ付け的に感じた)



<11月11日>
+++++++++++++++++++++++++++++++++++++++
Session 8: Anonymization Techniques
+++++++++++++++++++++++++++++++++++++++
■1.  The Bayesian Traffic Analysis of Mix Networks
Carmela Troncoso(IBBT-K.U.Leuven), 
George Danezis(Microsoft Research)

概要:匿名システムと、特にベイジアンIFの内容における混合NW
   の提案。への問いかけ。モデル構築に、誰が誰と通信するか
   を観測して確立計算する、Markov Chain Monte Carlo IF
   エンジンを利用する。

Q:mix networkというが、どういうNWに適用?
A:e-mail等の一般NW


■2.  AS-awareness in Tor Path Selection
Matthew Edman(Rensselaer Polytechnic Institute),
Paul Syversonk(U.S. Naval Research Laboratory)

概要:"Tor"とはルータ数1000台の世界規模の匿名通信ネットワーク。
      過去5年にわたってTor NWの成長を観測し、その爆発的な成長がASレベル
      の攻撃者に対して持つネットワークの強度を示す。また、完全なASレベル
      経路推論アルゴリズムによって課される計算オーバーヘッドを避ける若干
      単純な、AS認識経路選択アルゴリズムの効果の提案及び評価。
      *AS:autonomous system


■3.  Membership-concealing overlay networks
Eugene Vasserman, Rob Jansen, James Tyra, Nicholas Hopper,
Yongdae Kim(University of Minnesota)

概要:メンバーシップを隠匿するオーバレイネットワーク(MCONs)の概念を紹介。
      攻撃への耐性のあるMCON設計の以下の3つの概念(より効率的,メンバ強度,
      効率性と強度のバランス)を証明する。
      さらに、理論的かつシミュレーション結果により、実現性と性能を示す。

Q:social NWへの適用は?
A:social NWはtrustではない。本研の対象はtrusted NW(=MCONsと推測)


+++++++++++++++++++++++++++++++++++++++
Session 9: Software Security using Behavior
+++++++++++++++++++++++++++++++++++++++
■1.  Battle of Botcraft: Fighting Bots in Online Games with Human Observational Proofs
Steven Gianvecchio, Zhenyu Wu, Mengjun Xie and Haining Wang(The College of William and Mary)

概要:cascade相関のニューラルNWにおいて、入力動作の解析により
      人間とボットを識別するHOPベースのゲームボット防止システムの開発報告。
      (ゲームサイトでゲーム通貨等のボットによる盗難事象が背景にあり、対処手法の一つ。)


■2.  Fides: Remote Anomaly-Based Cheat Detection Using Client Emulation
Edward Kaiser, Wu-chang Feng(Portland State University),
Travis Schluessler(Intel Corporation)

概要:詐欺方法の範囲とそれらに対処する初期測定を検証。
      "検知されないように"1人の最新の詐欺を含む複数の既存の詐欺を
      Fidesプロトタイプが効率的に検知可能であることを示す。
      Fidesとは、ゲームに非依存の詐欺検出のアプローチ。


■3.  Behavior Based Software Theft Detection
Xinran wang#1, Yoon-Chan Jhi#1, Sencun Zhu#1,2, Peng Liu#2
#1:Department of Computer Science and Engineering
#2:College of Information Sciences and Technology

概要:SCDGと呼ぶ、ソフトウェアの動作跡に基づくシステムコールの依存グラフの提案。
      プログラムの独特の動作特性をどうのように反映するかを検証。
      SCDG:A System Call Dependence Graph


+++++++++++++++++++++++++++++++++++++++
Session 11: Systems and Networks
+++++++++++++++++++++++++++++++++++++++
■1.  The Fable of the Bees: Incentivizing Robust Revocation Decision Making in Ad Hoc Networks
Steffen Reidt(University of London), Shane Balfe(University of London)
Mudhakar Srivatsa(IBM T.J. Watson Research Center)

概要:ad-hoc NW環境の為の、以下の特性の"key-revocation"スキームの提案。
      分散、アクティブ、強度、寛容な検出エラー


■2.  Efficient Implementation of the Cell Broadband Engine[TM] Isolation Loader
Masana Murase, Wilfred Plouffe, Masaharu Sakamoto(IBM Research)
Kanna Shimizu(IBM Corporation)

概要:Multicore Accelerationの為のIBMソフトウェア開発キットの一部である
   独立ローダーである、Cell Broadband Engine[TM](Cell/B.E.)の設計と実装
   の報告。(IBMの中で?)広く利用されているCell Braodband Engine[TM]
   にセキュリティ機能の追加により、アプリブートのセキュア化と
   アプリ実行の暗号化を実現。
   (日本人発表)


■3.  On Achieving Good Operating Points on an ROC Plane using Stochastic Anomaly Score Prediction
Muhammad Qasim Ali, Hassan Khan, Ali Sajjad, Syed Ali Khayam
(National University of Science & Technology (NUST))

概要:IDSの正確性を評価に用いるROCカーブに関し、固定不変のクラス閾値は
      正確性を特性化できないと考える。この問題の解決の為、
      単純で、一般的で、適応可能な技術を提案。


+++++++++++++++++++++++++++++++++++++++
Session 14: Designing Secure Systems
+++++++++++++++++++++++++++++++++++++++
■1. On Voting Machine Design for Verification and Testability
Cynthia Sturton, Susmit Jha, David Wagner and Sanjit Seshia(University of California, Berkeley)

概要:公式確認と組織的テストの新しい組合せに基づく電子投票マシンの
   設計と分析へのアプローチの提示。


■2. Secure In-VM Monitoring Using Hardware Virtualization
Monirul Sharif, Wenke Lee, Weidong Cui and Andrea Lanzi(Georgia Institute of Technology)

概要:プロトタイプをインテルVTハードウェア仮想化技術を利用している
      KVMの開発、及び、システムコールとプロセス生成をモニターする
      Windows OS用の2つの代表的なアプリケーションも開発報告。
      KVM:Kernel Virtual Machine


■3. A Metadata Calculus for Secure Information Sharing
Mudhakar Srivatsa, Dakshi Agrawal(IBM T.J. Watson Research Center),Steffen Reidt(University of London)

概要:
安全に戦術的な情報を共有するために、新しい微積分学アプローチを提示。
3つの演算子"Γ, + , *"をサポートするベクトル half-spaceとして、
セキュリティメタデータをモデル化する。


■4. Multiple Password Interference in Text Passwords and Click-Based Graphical Passwords

Sonia Chiasson, Alain Forget, Elizabeth Stobert, Paul van Oorschot,
Robert Biddle(Carleton University)

概要:画像の複数箇所をクリックし、そのクリック箇所で認証するgraphical password(PassPoints)が
      文字列パスワードよりも、類似や誤りが少ないという有効性の報告(説明では5箇所クリック)。
      1時間と2W後で、参加者の誤り率等を比較。



<11月12日>
+++++++++++++++++++++++++++++++++++++++
Session 16: Anonymization
+++++++++++++++++++++++++++++++++++++++
■1.  A New Cell Counter Based Attack Against Tor
Zhen Ling(Southeast University), Junzhou Luo(Southeast University),
Wei Yu(Towson University), Xinwen Fu(University of Massachusetts Lowell),
Dong Xuan(The Ohio State University), Weijia Jia(City University of Hong Kong)

概要:ユーザ間で匿名通信の関係の確認を攻撃者に許容する
   Torネットワークに対して、cellカウンタに基づく攻撃の調査報告。
   この攻撃は、検出が困難で、Tor上のユーザ間の匿名通信の関係を
   早くかつ正確に確認可能である。攻撃防止が次の挑戦的課題。
http://ja.wikipedia.org/wiki/Tor
http://www.torproject.org/index.html.ja

Q:passive attackに対しては有効か?
A:セルを制御できるので可能。


■2.  Scalable Onion Routing with Torsk
Jon McLachlan(University of Minnesota),
Andrew Tran(Carnegie Mellon University),
Nicholas Hopper(University of Minnesota),
Yongdae Kim(University of Minnesota)	

概要:体系化されたピアツーピア低遅延匿名プロトコルであるTorskを紹介。
   Torskは、リレー選択の相互置換えとして設計され、
   Tor匿名ネットワークのディレクトリサービスとして利用される。
   分析により、P2P上の既存攻撃がTorskには適用されないこと、
   さらに、その効率と実現可能性を示す。

Q:1ノードに多くのキーを使うのでは?
A:使用する。(規模により増えていく?)


■3.  Anonymous Credentials on a Standard JavaCard[9:35-9:54]
Patrik Bichsel, Jan Camenisch, Thomas Gross(IBM Research),
Victor Shoup(New York Univers)

概要:Java Card 2.2.1の匿名証明システムの最初の実践的実装の提案。
   該システムは、カードに対し完全に独立した最初であり、
   非信頼端末での利用においてその特性を維持する。また、
   公式システム仕様書を提供。
   Javaカードはサン提唱だが、IBMが実装担当(と推測,認識)


+++++++++++++++++++++++++++++++++++++++
Session 18: Malware and Bots
+++++++++++++++++++++++++++++++++++++++
■1. Large-Scale Malware Indexing Using Function-Call Graphs
Xin Hu(University of Michigan), Tzi-cker Chiueh(Stony Brook University),
Kang G. Shin(University of Michigan)

概要:SMITと呼ばれる、マルウェアのfunction-callグラフに基づく
   特定を効果的に実施するマルウェアデータベース管理システムの設計、
   実装および評価の報告。検索の速度を向上の為、グラフ類似性を計算
   の効率的な方法を開発した。

Q:(評価)対象のデータ数は?
A:サンプル的に利用。(少ない印象)


■2. Dispatcher: Enabling Active Botnet Infiltration using Automatic Protocol Reverse-engineering
Juan Caballero, Pongsin Poosankam(CMU and UC Berkeley), Christian Kreibich(ICSI),Dawn Song(UC Berkeley)

概要:プルトコル仕様を実装するアプリにより送信されるプロトコルフォーマットを
   抽出する技術の提案。アプリにより送受信される双方のメッセージからフィールド
   の意味を推論する。該技術は、ボットネットの侵入行動のC&Cメッセージの書換え
   のようなアプリを利用可能とする。

Q:Boot stlapにおいては、より情報必要か?
A:必要。アイデアあれば欲しい。


■3. Your Botnet is My Botnet: Analysis of a Botnet Takeover
Brett Stone-Gross, Marco Cova, Bob Gilbert, Lorenzo Cavallaro, Christopher Kruegel, 
Giovanni Vigna, Richard Kemmerer(University of California)

概要:Torpig botnetを制御し、10日間の間の活動調査の報告。
      18万以上の侵入を観察し、ボットが収集した70GBのデータを記録。
   "hijacked"されたボットネットと過去の研究から、Torpigボットネット
   のデータ解析を面白くする有る特性を示す。
      Torpigについては、以下の通り。
      Torping:a malware program that is designed to harvest sensitive
      information (such as bank account and credit card data) from its victims.



<11月13日>
[Workshop on Cloud Computing Security(CCSW 2009)]
+++++++++++++++++++++++++++++++++++++++
Research Session: Web 2.0
+++++++++++++++++++++++++++++++++++++++
■1. TrackBack Spam: Abuse and Prevention
Stanford University, Peifung E. Lam, John C. Mitchell(Stanford University)

概要:1年間の大規模なスパムキャンペーンにより1000万のサンプルを収集し、
   分析した。攻撃者が非常に多くの数の異なるsource addr.を使用して、
   Trackbackブログ毎に独自URLを生成しても、
   TrackBackに対して防御する認証TrackBackメカニズムを提案。
   blog spamの場所がクラウド内にある、と結論にあるが、
   クラウドとの関連はそれだけ?


■2. Secure File System Services for Web 2.0 Applications
Francis Hsu(University of California),
Hao Chen(University of California)(*speaker), 

概要:Web2.0において、セキュアなファイル保存を提案。現状は、
   アプリと括り付けてファイル保存され、ユーザ管理下にない。
      Webアプリに対し、ファイルシステムを非依存とし、データだけで
   管理する方式を提案。

江藤質問[セッション後]
Q:アプリをデータを非依存にしても、データ所有の管理は必要。
 その仕組みは、アプリ管理下の場合と何が違うのか?
A:既存はprofileを利用している。それと同様の仕組みが必要。
Q:多くのプロバイダ採用が普及の条件と考えるが標準化を考えているか?
A:普及条件はその通り。まずは、APIの提案、将来的には標準化を考えている。


■3.  Browser Interfaces and Extended Validation SSL Certificates: An Empirical Study
Jennifer Sobey, Tara Whalen, Robert Biddle, Paul Van Oorschot, Andrew Patrick, 
(Carleton University)

概要:従来のSSL認証方式と、EV SSL認証方式の評価報告。
   EV(extended validation certificate)
      "クラウド"ならでは、の点が不明。


■4.  Website Fingerprinting: Attacking Popular Privacy Enhancing
   Technologies with the Multinomial Naive-Bayes Classifier
Dominik Herrmann(University of Regensburg), Rolf Wendolsky(JonDos GmbH),
Hannes Federrath(University of Regensburg)

概要:一般のテキストマイニング技術を観察可能なIPパケットサイズの正常化
   された度数分布に適用する新しい方法:Website Fingerprintingを提示。
   クラウドとの関連は、Feature workで該技術の適用性、のみ。


+++++++++++++++++++++++++++++++++++++++
Invited Talk: Plus ca Change: Security in the Ether; Security in the Cloud
+++++++++++++++++++++++++++++++++++++++
Whitfield Diffie, Royal Holloway College, University of London

概要:Diffie-Hellman鍵交換のDiffie教授の講演。コンピュータ利用に関し、
   1970年代のTTS処理方式との比較からの近年のクラウドへの変遷と、
   今後の5-10年で、少人数でのビジネス、アウトソーシング作業等
   さらに大きく変わるだろうという予測。


+++++++++++++++++++++++++++++++++++++++
Research Session: Data Outsourcing
+++++++++++++++++++++++++++++++++++++++
■1. Proofs of Retrievability: Theory and Implementation
Alina Oprea, Kevin Bowers, Ari Juels(RSA Laboratories)

概要:POR設計の為の理論的フレームワークの提案。
   (Juels-Kaliski and Shacham-Watersによる)既存POR構成の改良版。
      (client-provider間のfileやり取りがクラウドに関連)


■2. Secure and Efficient Access to Outsourced Data
Weichao Wang, Zhiwei LI, Rodney Owens, Mark Linderman(UNC Charlotte),
Bharat Bhargava(Purdue University)

概要:大規模外部データへの安全かつ効率的なアクセスの問題を、
   owner-write-users-readアプリケーションで解決の為の仕組みを提案。
   柔軟な暗号に基づくアクセス制御が実行可能のように、異なるキーでの
   あらゆるデータブロックの暗号化を提案

Q:ハイアラキーで更新は必要か?
A:不要。(any keys in update key in hierarchy.)


■3. On Protecting Integrity and Confidentiality of Cryptographic
   File System for Outsourced Storage
Aaram Yun, Chunhui Shi, Yongdae Kim(University of Minnesota)

概要:一般的なHashベースのステートフルMACを利用するMAC tree構造に基づく
   新設計の提案。標準モデルのセキュリティ証明とMerkle hash treeと
   比較して性能の向上を可能とする。
MAC:message authentication code

Q:Merkle hash treeに代わり、MAC利用の理由は?
A:軽い、small等。


+++++++++++++++++++++++++++++++++++++++
Invited Talk: When all the world's a stage Security in an uberconnected world
+++++++++++++++++++++++++++++++++++++++
Ian Foster(Argonne National Laboratory)	[12:07-12:47]

概要:「Grid Computingの父、と言えば紹介は不要」と紹介されたパイオニア。
   我々は、生成(create)、発見(discover)、構成(compose)に加えて、
      出版(publisher)の喜びを得た、と現Grid/Cloudを表現。
   今後の発展例として、米国の遠隔医療ネット"Cancer Bioinformatics Grid"
   を説明。また、以下の定義が印象に残った。
    Grid  = federation
     Cloud = hosting


+++++++++++++++++++++++++++++++++++++++
Research Session: New Challenges
+++++++++++++++++++++++++++++++++++++++
■1. Resource Management for Isolation Enhanced Cloud Services
Himanshu Raj, Ripal Nathuji, Abhishek Singh, Paul England(Microsoft)

概要:サービスによって必要なisolationにとっての障害の1つである、
   LLC(last level cache)を特定する。かつ、クラウド共有雲基盤で性能及び
   セキュリティisolationを提供するために、キャッシュパーティションに基づく
   キャッシュハイアラーキとベージカラーリングを提唱する。


■2. Short Paper:Controlling Data in the Cloud: Outsourcing Computation
  without Outsourcing Control
Richard Chow, Philippe Golle, Markus Jakobsson, Elaine Shi, Jessica Staddon
(PARC) , Ryusuke Masuoka, Jesus Molina(Fujitsu Laboratories of America)

概要:冒頭に、クラウドに否定的な識者のコメントが連続表示され、
   早口で流れるようにpptが進み、論文内容とも異なるで理解できず。


■3. Securing Elastic Applications on Mobile Devices for Cloud Computing
Xinwen Zhang, Joshua Schiffman, Simon Gibbs, Anugeetha Kunjithapa, Sangoh Jeong
(Samsung Information Systems America)

概要:我々のプロジェクトでは、クラウドから柔軟性のある(elastic)コンピュータ資源
   により、資源が制限されたプラットホーム(例えば携帯電話)において柔軟性の
   あるアプリケーション構築を目指す。本論文において、新アプリケーションモデル
      の一般概念を示す。(具体的には、cloud接続の携帯側の仕組み(Weblets))


■4.Short Paper:Managing Security of Virtual Machine Images in a Cloud Environment
Jinpeng Wei(Florida International University),
Xiaolan Zhang, Glenn Ammons, Vasanth Bala(IBM T. J. Watson Research),
Peng Ning(North Carolina State University)

概要:本論文は、管理者とクラウドのimageリポジトリのユーザ(publisherと
   retrieverの双方)が直面する新しいリスクを説明し、
   イメージへのアクセスを制御するイメージ管理システムを提案。

Q:imageをどうやって取り込むのか?
A:インフラストラクチャに含むプラグイン機能で。

■5. Cloud Security Is Not (Just) Virtualization Security:Short Paper
Mihai Christodorescu, Reiner Sailer, Douglas Schales(IBM T.J. Watson Research),
Daniele Sgandurra, Diego Zamboni(IBM Zurich Research)

概要:高いスケーライビリティを持つソリューションを提案。
   (i)セキュリティVM、
   (ii) LinuxとWindowsオペレーティングシステムのサポート、
      及び新オペレーティングシステムへの容易な拡張。
   (iii)は客についての少しのsemantic意味論的な仮定不要。
   (iv)ゲストVMの少しの演繹的な信用仮定不要。


+++++++++++++++++++++++++++++++++++++++
Invited Talk: Effectively and Securely Using the Cloud Computing Paradigm 
+++++++++++++++++++++++++++++++++++++++
Peter Mell(NIST)

概要:SaaS, PaaS, IaaSの分類、位置付けと今後


+++++++++++++++++++++++++++++++++++++++
Research Session: Applications
+++++++++++++++++++++++++++++++++++++++
■1. Patient Controlled Encryption: patient privacy in electronic medical records
Melissa Chase, Kristin Lauter, Josh Benaloh, Eric Horvitz, 

概要:電子的健康記録システムで患者のプライバシー維持を調査する。
   そのようなシステムの保全はアクセス制御と同様に暗号化を通して実施
   すべきと主張。さらに、患者が暗号鍵の生成と保管を可能とするようなアプローチを提唱。


■2. Secure Anonymous Database Search
Mariana Raykova, Binh Vo, Steven M. Bellovin, Tal Malkin(Columbia University)

概要:ある実体に他実体のデータを安全かつ匿名で検索する問題を提起し、
   質問に無関係な文書の内容と同様に、質問の内容を保護し、
   参加者の独自性を隠蔽することを目的とする。



以上
+++++++++++++++++++++++++++++++++++++++



ページトップへ戻る

Copyright © 2009 Institute of Systems, Information Technologies and Nanotechnologies. All Rights Reserved.