恢复轨迹作为定量信息通道：面向故障恢复的泄漏感知策略–接口选择

《Journal of Computer Security》：Recovery traces as quantitative information channels: Leakage-aware policy–interface selection for fault recovery

　　

故障恢复机制（如重试（retry）、回退（fallback）、复制（replication）与重执行（re-execution））通常被作为可依赖性（dependability）机制加以分析，然而其对外可见行为可能泄露隐藏的执行路径。研究人员研究恢复诱导泄漏（recovery-induced leakage）：即通过观察恢复行为而非仅观察最终输出所导致的机密性损失。公开观测由最终输出与研究人员指定的内部恢复轨迹抽象共同构成，泄漏以基于脆弱性（vulnerability）的最小熵（min-entropy）进行量化。研究人员在研究人员提供的恢复策略与诊断投影之上构建精确的有限策略–接口选择问题。该框架评估最小熵泄漏、可用性（availability）、完整性风险（integrity risk）、成本（cost）以及策略相关的动作可诊断性（policy-dependent action diagnosability）；该框架并不自动推导抽象。可诊断性以故障出现（fault-present）执行为条件，报告支撑集大小（support size），并对高于随机水平的平衡贝叶斯准确率（balanced Bayes accuracy）进行归一化。研究人员证明了一个恢复动作下界（recovery-action lower bound），并补充了一个困难情形，其中动作在最终输出之外携带正的最小熵泄漏。一项可复现的 Envoy HTTP ext_authz 故障开放（fail-open）研究提供了一个独立开发的恢复机制，而威胁模型区分了故障条件化（fault conditioning）与重复观测（repeated observations）。受控模型与可执行研究表明，为何仅输出分析（output-only analysis）会遗漏恢复通道，以及可审计的、动作级接口（action-level interfaces）何以在路径依赖轨迹之下暴露更少，而不假设零泄漏总是可达的。

研究背景方面，故障恢复机制旨在瞬态故障（transient faults）下提升可用性、可靠性或完整性。服务可能重试失败的检查、回退至次级验证器、排队审计动作或重执行复制计算，这些动作通常产生可见的计数器、错误类别、回退标签、超时状态或分歧摘要。此类诊断信息虽有助于客户端与运维人员，但也可能成为信息暴露通道；最终结果经净化（sanitised）并不意味着恢复接口无害。标准信息流分析关注公开输出对秘密的揭示，而故障感知系统扩大了观测边界，因此研究人员将公开观测建模为最终输出加上所选恢复接口。既有工作中，基于脆弱性的最小熵、细化单调性（refinement monotonicity）与条件独立性推论均属已确立的定量信息流（QIF）机制，本研究的恢复特定贡献在于将其与以下要素结合：显式的恢复轨迹观测边界；含可依赖性与诊断约束的机密性目标；策略相关动作可诊断性；可审计的候选接口提议工作流；对所提供的有限目录的精确选择器；以及受控与独立开发的恢复评估。研究人员明确不主张新的泄漏度量、自动抽象生成器、可扩展的通用综合算法或通用的生产泄漏估计。研究提出 LeakRec 框架：给定有限策略目录 Π 与候选接口目录 I，构建或使用所诱导的秘密–观测分布，报告泄漏与可依赖性指标，并选择最佳可行对；候选映射仍由研究人员提供。研究形式化了最终输出加暴露恢复轨迹 O=(Y,α(R))，区分仅输出泄漏、总泄漏、恢复诱导泄漏、发生泄漏（occurrence leakage）与故障条件化泄漏；从策略特定的故障动作支撑集定义 Diag(π,α)，报告原始类平衡贝叶斯准确率、将随机基线归一化为零，并将少于两个受支撑故障动作视为无区分性；给出精确有限策略–接口选择器与六步字段级工作流，使研究人员提议的抽象可审计而不声称自动生成；证明恢复特定的数据处理下界（data-processing lower bound），并评估完美动作诊断与零附加泄漏无法共存的困难情形；评估有界认证、访问控制与复制模式，以 PRISM 与 Storm 验证代表性概率与奖励语义，并使用可执行访问控制校准；另增 Envoy 独立开发的 HTTP 外部授权恢复机制案例研究，同时明确将周边工作负载与故障注入运行时标注为作者受控。威胁模型方面，主要观测者为低权限客户端或运维消费者，其可见最终公开结果 Y 与恰好一个文档化诊断投影 Z=α(R)，知晓系统模型、策略、秘密先验、故障分布、候选映射及分析是无条件还是故障条件化，但不可见内部原始轨迹、秘密标签、实验控制输入、受保护日志或管理端点（除非显式纳入 α）。受控评估采样外生瞬态故障；实际运行时注入故障以进行测量，但主要主张不建模自适应选择故障时间、类别、输入或轨迹字段的对手。故障条件化泄漏 L(?∣F≠0) 回答已知存在故障的更强观测问题，不因自然故障频率而折减；无条件泄漏则描述在声明故障分布下随机观测一次调用。主要结果为一次性（one-shot）；当同一秘密持续存在时，q 次观测构成组合通道 (O1,…,Oq)，泄漏可能增加，因此报告 q∈{1,2,4,8} 的有界重复观测敏感性。自适应查询、跨会话状态、所选投影外的网络时序、受侵害的管理遥测及模型误设均不在评估保证范围内；零结果仅意味着在声明的秘密、策略、分布与观测边界下零附加泄漏。研究提出七个评估问题：EQ1 仅输出分析遗漏多少泄漏；EQ2 恢复轨迹无条件与故障条件下造成多少附加泄漏；EQ3 候选恢复接口如何在泄漏与策略相关动作可诊断性之间权衡；EQ4 哪些所提供的策略–接口对在满足可依赖性与诊断约束的同时最小化机密性目标；EQ5 结果对故障概率、先验、秘密规模与重复观测的敏感性；EQ6 PRISM 与 Storm 是否与代表性概率、完整性风险与成本语义一致；EQ7 包括独立开发的 Envoy ext_authz 在内的可执行恢复机制是否表现出预测的观测通道效应。

研究人员开展研究采用的主要关键技术方法包括：构建故障感知事件与观测模型 M=(S,F,Π,U,T,Y,R)，以基于脆弱性的最小熵量化泄漏并定义 Diag(π,α) 归一化类平衡贝叶斯准确率；实现精确有限策略–接口选择器（穷举枚举所提供的有限目录）并配合六步可审计候选接口构建工作流；采用受控恢复模式（CS1 认证重试与填充检查、CS2 访问控制回退、CS3 复制计算、CS4 内在诊断–泄漏权衡）进行系统变化先验、故障概率与秘密规模的评估；使用 PRISM 与 Storm 对 36 个代表性离散时间马尔可夫链（DTMC）配置验证可用性、完整性风险与期望成本语义；开展作者构建的可执行访问控制校准（pF=0.20、种子 20260525、12,000 次底层执行、经五种接口投影得 60,000 请求行）；并对 Envoy v1.39.0 HTTP ext_authz 独立机制开展实机评估（共 11,264 次请求，含完整 6,400 请求 E1 因子矩阵、完整 4,000 请求 E2 分片中断困难案例及 864 请求 E3 冒烟矩阵），样本队列来源为受控授权服务与常量资源服务、故障注入运行时。

研究结果方面，6.1 节 EQ1–EQ3：仅输出分析与修正后的可诊断性。受控模式保留了本研究的核心观察：即便最终输出固定或经净化，详细恢复轨迹仍可区分秘密依赖路径；故障条件化暴露通道严重性，而无条件泄漏亦反映恢复路径进入频率。紧凑性本身并非安全属性；若短规则族或重试计数标签细化了秘密依赖路径，其泄漏可能多于更长的动作标签。修正后的度量改变了对低信息接口的解读：常量观测对任意多动作策略的归一化 Diag=0，单动作策略被明确标为无区分性而非完美；跨策略比较现报告原始平衡准确率与受支撑动作数。重建的有界实验规模为 26 个策略、211 个抽象、8 个设计、共 226,754 扫描行，结果使用明确标注的重建 v1 替代语义，并非对不可得原始实验源的逐位重跑。在规范动作级选择与最大条件泄漏全轨迹接口的对照中（pF=0.02、|S|=256、均匀先验及给定阈值），CS1 最大路径 majority-vote/full-trace 的 ΔLrec=0.0841、ΔLrec∣F=2.0000，而被选 retry2/action-level 两者均为 0.0000；CS2 最大路径 fail-open/full-trace 为 0.0841 与 2.0000，被选 secondary/action-level 均为 0.0000；CS3 最大路径 tmr-public/full-trace 为 0.0841 与 2.0000，被选 adaptive/action-level 均为 0.0000。6.2 节 EQ4：困难案例前沿与有限选择。表 4 显示内在权衡：在 Dmin∈{0,0.5,0.9} 与声明的加权最小分数目标下，选择器分别选取仅最终输出、部分动作与动作标签；不存在 Diag=1 且 ΔLrec∣F=0 的候选。该结果为解析性而非优化器权重的产物；在 p=0.02 下，仅最终输出与通用事件接口 ΔLrec∣F=0.0000，部分动作接口 Diag=0.5000、ΔLrec=0.0144、ΔLrec∣F=0.5850，动作标签接口 Diag=1.000、ΔLrec=0.0286、ΔLrec∣F=1.000。6.3 节 EQ5：重复观测。对 CS4 部分披露 d=0.5，持久秘密的 q 次独立故障出现观测泄漏为 log2(2?(1?d)q)，q=1、2、4、8 分别为 0.585、0.807、0.954 与 0.997 比特；一次性估计不可读作生命周期界，增量趋近一比特动作划分且不能超过该案例中的一比特秘密。6.4 节 EQ6：外部模型检验。保留的 PRISM 与 Storm 验证覆盖 36 个代表性 DTMC 配置及每工具三项属性（可用性、完整性风险与期望成本），两工具在声明 10?6 容差内与 Python 原语语义一致；这些检验验证概率与奖励语义，而非最小熵泄漏或可诊断性，后者在显式秘密–动作–观测分布上单独测试。6.5 节 EQ7：可执行机制。独立恢复机制评估使用摘要固定镜像的 Envoy v1.39.0 HTTP ext_authz，实机执行共 11,264 次请求（完整 E1 6,400 请求因子矩阵、完整 E2 4,000 请求分片中断困难案例及 E3 864 请求冒烟矩阵），72,000 请求的完整 E3 矩阵及 82,400 请求的全满矩阵未执行；凭据、秘密与分片标签、授权真值及请求故障控制仅为真值并被排除于所有观测投影。E2 中通用事件投影之所以完美，仅因其白名单运行时计数器异常位恰好划分正常分片 A 转发与分片 B 故障开放转发，此协议特定划分并不确立通用恢复事件普遍完美可诊断；仅最终输出原始 BAcc=0.500、归一化 Diag=0.000。对单动作故障时群体（如各 E1 策略与 E3），原始 BAcc=1.000 但归一化可诊断性为 0.000，因不存在受支撑的动作区分任务。可执行校准的 60,000 投影请求行（每策略/接口 n=2,000，来自 12,000 次底层执行）显示：仅最终输出与通用事件接口 ΔLrec=ΔLrec∣F=0.0000、混合 K/BAcc=6/0.167、混合 Diag=0.000，动作级接口 ΔLrec=0.0000、ΔLrec∣F=0.0000、混合 K/BAcc=6/1.000、混合 Diag=1.000，紧凑路径接口 ΔLrec=0.6781、ΔLrec∣F=2.0000，全轨迹接口均为 2.0000，各接口可用性 0.9467、风险 0.0073。实机 Envoy E2 困难案例（n=4,000、Kπ=2）中，仅最终输出 ΔLrec∣F≠0=0.000、BAcc=0.500、归一化 Diag=0.000；通用事件、动作与错误类别接口均为 1.000、1.000、1.000；全白名单为 1.002、1.000、1.000（括号内为 95% 固定种子、按秘密/故障实现分层自助法区间，1,000 次重复）。实机 E1 策略结果（每固定策略 3,200 次执行、Kπ=1）中，故障关闭的合法请求可用性 0.250、撤销请求转发风险 0.000，故障开放的合法请求可用性 1.000、撤销请求转发风险 0.750。实机 E3 冒烟估计（动作投影，每固定中断配置 Kπ=1，共 864 请求，无置信区间与完整 E3 主张）显示 pA=0.01、pB=0.02 时 q=1 与 q=8 分别为 0.040 与 0.290 比特，pA=0.01、pB=0.10 时为 0.097 与 0.918 比特，pA=0.01、pB=0.30 时为 0.474 与 1.474 比特。Envoy 困难案例依据命题 1 解读：故障开放下合法分片中断请求具有常量成功最终输出，而白名单恢复信号可揭示请求走正常路径还是转发未验证动作；完美判定该动作至少暴露一比特的两组划分。故障关闭形成有益对照：最终 HTTP 结果本身即可揭示错误动作，将披露转移至 Lout 而非使系统机密。

讨论部分总结如下：7.1 节受控评估确立了零点附加泄漏对刻意秘密路径无关候选的部分预期（源自条件独立性定理），而受控实验在该定理图示之外作出四项更窄贡献：检验实现不变量；量化仅输出分析遗漏多少；在所提供的策略间暴露机密性与可用性、完整性风险及成本的交互；在有限设计目录上检验可行性与并列打破。路径依赖控制确立紧凑标签并非自动安全；CS4 与 Envoy 则检验操作动作本身与秘密相关的更困难情形。7.2 节将方法应用于既有服务：采用者从已部署原始轨迹模式与各观测者可见的确切字段开始，在候选设计前声明秘密与观测者；操作动作标签应来自运行手册、客户端分支或补救决策而非策略族名称；候选接口从仅最终输出与通用事件视图开始，仅添加消费者所需的动作字段，再形成可审计细化；每个候选在声明模型或留出故障语料上评估；所选公开枚举经版本化并在窄边界暴露，详细原始轨迹保持访问受控。该过程是治理与分析工作流而非自动综合，其价值在于每个公开字段均有文档化操作目的、每个候选均有可测泄漏与诊断效用，且当所需动作固有携带秘密信息时不可行性可见。7.3 节安全解释与局限：零 ΔLrec 结果并不证明普遍机密性，仅表明在声明的秘密、先验、策略、故障与观测映射下所选轨迹在 Y 之外不增加最小熵泄漏；不同增益、互信息、自适应策略或所选投影外的时序可能给出不同评估。受控模型仍有界；可执行校准为作者构建；Envoy 虽为独立开发，但配置、工作负载、服务桩与故障由作者控制，且仅覆盖声明设置下的 HTTP ext_authz v1.39.0，结果不在数值上推广至其他 Envoy 版本、gRPC 或网络过滤器、生产分布或自适应攻击者；PRISM 与 Storm 验证代表性可依赖性语义而非完整 QIF 分析；重建的有界实现虽完全文档化，但不能主张为丢失的原始源码。结论翻译如下：每当诊断行为跨越信任边界，恢复轨迹即为公开信息通道。修订后的 LeakRec 范围为精确有限策略–接口选择：研究人员提供候选恢复策略与轨迹映射，框架在可依赖性与诊断约束下评估机密性目标，选择器在声明的加权目标下返回最小分数可行对或报告显式不可行。策略相关归一化可诊断性消除了单动作完美分数假象。动作泄漏下界、CS4 与 Envoy 案例表明动作级接口何以减少不必要的路径披露而不假设完美诊断总是无代价。实践教训是：仅向预期消费者暴露所需的最小操作动作，审计每个附加字段，单独保护原始诊断，并将一次性结果视为有界测量而非普遍保证。