EROS는 연구용 운영체제로 개발이 중단됐다

EROS는 권한으로 격리하는 연구용 운영체제입니다. 1991년 개발을 시작했지만 실제 현장에 배포되지는 않았습니다. 2005년 후속 시스템 CapROS를 위해 개발이 중단됐습니다. 저는 오랫동안 연구한 보안 설계가 실제 배포를 거치지 않았다는 점이 먼저 눈에 들어옵니다. 설계의 증명과 현장에서 쌓이는 보안 경험은 같은 증거가 아닙니다.

EROS는 후속 시스템 CapROS를 위해 개발이 중단됐습니다. Kagi는 Orion 개발을 멈춘 뒤 코드를 공개해 커뮤니티에 후속 개발을 맡겼습니다. 두 사례를 나란히 보면, 종료 뒤 누가 다음 단계를 잇는지가 다릅니다.

EROS는 기능 권한(capability)으로 프로세스를 격리하고 자원 접근을 제한합니다. 한 구성 요소가 다른 구성 요소를 호출하려면 유효한 권한이 있어야 합니다. 커널은 구성 요소 간 통신이 의도적으로 공개된 인터페이스를 통해서만 이뤄지도록 통제합니다. 권한 경로를 좁혀 결함이 번지는 범위를 제한하려는 설계가 흥미롭습니다.

격리 방식은 형식 검증을 거쳤지만, 이는 실제 배포에서의 보안 성적과 같지 않습니다. 2003년에는 동기식 프로세스 간 통신(inter-process communication)을 쓰는 아키텍처의 보안 문제가 발견됐습니다. EROS와 L4도 그 안에 포함됐습니다. 이에 대응하는 작업은 후속 시스템 Coyotos 개발로 이어졌습니다. 설계 원리의 검증만으로 구현과 통신 구조의 약점이 사라지는 것은 아닙니다.

EROS의 검증 논문에서 증명 대상으로 삼은 속성과 전제를 표시해 보십시오. 이어 관심 있는 운영체제의 통신 구조와 실제 배포 기록을 대조하면, 설계 증명 외에 무엇을 확인해야 할지 가늠할 수 있습니다.

운영체제를 검토할 때 형식 검증과 실제 배포 기록 가운데 무엇부터 확인하시겠습니까?