Симпозиум IEEE по безопасности и конфиденциальности

Симпозиум IEEE по безопасности и конфиденциальности (IEEE S&P, IEEE SSP), также известный как Оклендская конференция , является ежегодной конференцией, посвященной темам, связанным с компьютерной безопасностью и конфиденциальностью . Конференция была основана в 1980 году Стэном Эймсом и Джорджем Дэвидой и считается одной из ведущих конференций в этой области. ^{[1] [2]} Конференция имеет однонаправленный характер, что означает, что все презентации и сессии проводятся последовательно в одном месте. Конференция также следует процессу двойного слепого рецензирования , где личности как авторов, так и рецензентов скрыты друг от друга, чтобы обеспечить беспристрастность и справедливость в процессе рецензирования.

Конференция началась как небольшой семинар, на котором исследователи обменивались идеями по компьютерной безопасности и конфиденциальности, с ранним акцентом на теоретические исследования. В эти первые годы существовало разделение между криптографами и исследователями системной безопасности , причем криптографы часто оставляли сессии, посвященные безопасности систем. В конечном итоге эта проблема была решена путем объединения обсуждений криптографии и системной безопасности на одних и тех же сессиях. В 2011 году конференция переехала в Сан-Франциско из-за проблем с размером места проведения.

Конференция имеет низкий уровень принятия из-за того, что у нее только один трек. Процесс рецензирования для конференции, как правило, оценивает статьи по различным критериям с упором на новизну . В 2022 году исследователи опросили рецензентов с ведущих конференций по безопасности, таких как IEEE S&P, и обнаружили, что процесс рецензирования конференций был уязвим из-за непоследовательных стандартов рецензирования среди рецензентов. Рецензенты рекомендовали наставлять новых рецензентов с упором на качество рецензирования, чтобы смягчить эту проблему.

В 2021 году исследователи из Университета Миннесоты представили на конференцию статью, в которой попытались внести ошибки в ядро ​​Linux , широко используемый компонент операционной системы, без одобрения Институционального наблюдательного совета (IRB). Статья была принята и должна была быть опубликована, однако после критики со стороны сообщества ядра Linux авторы статьи отозвали ее и принесли публичные извинения. В ответ на этот инцидент IEEE S&P обязались добавить этап этической экспертизы в свой процесс рассмотрения статей и улучшить документацию, касающуюся этических деклараций в исследовательских работах.

Первоначально конференция была задумана исследователями Стэном Эймсом и Джорджем Дэвидой в 1980 году как небольшой семинар для обсуждения компьютерной безопасности и конфиденциальности. Этот семинар постепенно превратился в более крупное собрание в этой области. Первоначально проводившееся в Claremont Resort , первые несколько итераций мероприятия стали свидетелями разделения между криптографами и исследователями системной безопасности . Обсуждения во время этих ранних итераций в основном были сосредоточены на теоретических исследованиях , пренебрегая практическими аспектами реализации. ^[3] Это разделение сохранялось до такой степени, что криптографы часто оставляли сессии, сосредоточенные на темах системной безопасности. ^[4] В ответ на это последующие итерации конференции объединяли панели, которые охватывали как криптографию, так и обсуждения системной безопасности в рамках тех же сессий. Со временем посещаемость конференции росла, что привело к ее переезду в Сан-Франциско в 2011 году из-за ограничений вместимости места проведения. ^[3]

Симпозиум IEEE по безопасности и конфиденциальности рассматривает доклады по широкому кругу тем, связанных с компьютерной безопасностью и конфиденциальностью . Каждый год председатели программ конференции публикуют список тем, представляющих интерес, который меняется в зависимости от тенденций в этой области. На прошлых встречах симпозиум IEEE по безопасности и конфиденциальности рассматривал доклады по таким темам, как веб-безопасность , онлайн-злоупотребления , безопасность блокчейна , аппаратная безопасность , анализ вредоносных программ и искусственный интеллект . ^[5] Конференция следует однодорожечной модели своих заседаний, что означает, что в любой момент времени проводится только одна сессия. Этот подход отличается от многодорожечного формата, обычно используемого на других конференциях по безопасности и конфиденциальности, где одновременно проводятся несколько сессий по разным темам. ^[3] Документы, представленные для рассмотрения на конференции, рассматриваются с использованием двойного слепого процесса для обеспечения справедливости. ^[6] Однако эта модель ограничивает конференцию в количестве докладов, которые она может принять, что приводит к низкому уровню принятия, часто составляющему однозначные числа, в отличие от конференций, где показатели могут находиться в диапазоне от 15 до 20 процентов. ^[3] В 2023 году на симпозиуме IEEE по безопасности и конфиденциальности был создан Комитет по этике исследований, который будет проверять представленные на конференцию статьи и отмечать случаи потенциальных нарушений этики в представленных статьях. ^[7]

В 2022 году исследование, проведенное Анантой Сонеджи и др., показало, что процессы рецензирования ведущих конференций по безопасности, включая Симпозиум IEEE по безопасности и конфиденциальности, были пригодны для эксплуатации. Исследователи опросили 21 рецензента о критериях, которые они использовали для оценки статей в процессе рецензирования. Среди этих рецензентов 19 определили новизну — продвигает ли статья исследовательскую проблему или современный уровень техники — в качестве своего основного критерия. Девять рецензентов также подчеркнули важность технической обоснованности при реализации, в то время как семь упомянули необходимость в самостоятельной и полной оценке, гарантирующей, что все выявленные области были тщательно исследованы. Кроме того, шесть рецензентов подчеркнули важность четкого и эффективного написания в своих оценках. Основываясь на этих интервью, исследователи выявили отсутствие объективных критериев оценки статей и отметили степень случайности среди рецензий, предоставленных рецензентами конференций, как основные недостатки процесса рецензирования, используемого на конференциях. Чтобы исправить это, исследователи рекомендовали наставлять новых рецензентов, уделяя особое внимание повышению качества рецензирования, а не другим показателям производительности. Они признали инициативу IEEE S&P, позволяющую аспирантам и исследователям, получившим докторскую степень, наблюдать за рецензентами в программном комитете, но также указали на выводы из отчета 2017 года, предполагающие, что эти студенты, как правило, более критичны в своих оценках по сравнению с опытными рецензентами, поскольку их не оценивали по качеству рецензий. ^[2]

В 2021 году исследователи из Университета Миннесоты представили доклад под названием «О возможности скрытного внедрения уязвимостей в программное обеспечение с открытым исходным кодом с помощью лицемерных коммитов» ^[8] на 42-й итерации конференции. ^{[9] [10]} Они стремились выделить уязвимости в процессе обзора исправлений ядра Linux , и доклад был принят для презентации в 2021 году. ^[10] Ядро Linux — это широко используемый компонент операционной системы с открытым исходным кодом , который составляет ядро ​​операционной системы Linux , ^[8] которая является популярным выбором на серверах и в ориентированных на потребителя устройствах, таких как Steam Deck , ^[11] Android и ChromeOS . ^[12] Их методы включали написание исправлений для существующих тривиальных ошибок в ядре Linux таким образом, что они намеренно вносили ошибки безопасности в программное обеспечение. ^[13] Четыре исправления были представлены исследователями под псевдонимами, три из которых были отклонены их соответствующими рецензентами кода, которые правильно определили ошибочный код. ^[14] Четвертый патч был объединен, однако в ходе последующего расследования было обнаружено, что исследователи неправильно поняли, как работает код, и представили допустимое исправление. ^[15] Эта попытка включения ошибок была предпринята без одобрения Институционального наблюдательного совета (IRB). ^{[16] [15]} Несмотря на рассмотрение на конференции, это нарушение этических обязанностей не было обнаружено в процессе рассмотрения статьи. ^[10] Этот инцидент вызвал критику со стороны сообщества Linux и более широкого сообщества по кибербезопасности. ^{[16] [17] [18]} Грег Кроа-Хартман , один из ведущих сопровождающих ядра, запретил как исследователям, так и университету вносить дальнейший вклад в проект Linux, в конечном итоге заставив авторов и университет отозвать статью [ ^8] и принести извинения сообществу разработчиков ядра Linux. ^{[9] [18]} В ответ на этот инцидент IEEE S&P обязался добавить этап этической проверки в свой процесс рассмотрения статьи и улучшить свою документацию, касающуюся этических деклараций в исследовательских работах. ^[10]