11、解密控制：从隐式参考点到显式参考点

解密控制：从隐式参考点到显式参考点

1. 引言

信息系统处理着各种各样的机密信息，如国家机密、私人数据和电子商品等。保密性要求可能源于安全机制，如认证机制中密码的保密性、加密中加密密钥的保密性等。静态程序分析可用于确保程序执行过程中机密信息不会泄露，即程序中的信息流是安全的。

严格的无依赖属性（如非干扰）从理论角度看很有吸引力，但在需要故意释放机密信息时就变得不切实际。例如，电子商品在客户付款后应被释放，认证尝试必然会泄露一些关于存储密码的信息。因此，需要在一定程度上放宽严格的无依赖属性，但放宽多少是一个尚未完全解决的研究问题。

研究人员提出了多种方法来控制解密，但在控制“解密什么信息”这一维度上，现有方法在语义层面存在显著差异。本文提出了显式参考点的概念，以支持更灵活地指定哪些机密信息可以被解密。

2. 从隐式到显式参考点

许多控制解密的方法隐式地假设参考点要么总是初始的，要么总是局部的，这种假设存在局限性。

2.1 初始参考点与局部参考点

以计算100个工资平均值的程序为例，假设单个工资必须保密，但最终的平均值可以公开。我们使用两级流策略，禁止信息从“秘密”安全域流向“公共”安全域。

可以使用“有限释放”（Delimited Release）和“有限非披露”（Delimited Non - Disclosure）来表达所需的解密控制：
- 有限释放（P1） ：

P1 = avg := declassify((sal1 + sal2 +