非干涉与控制流分析的安全检查技术

URL：http://www.elsevier.nl/locate/entcs/volume62.html18Pages 的技术为Security 安全Checking ：非 干涉 与 控制 流 分析1饰 Clara Bodei A巴西 Pierpaolo Degano A饰 Riccardo Focardi B罗伯特 · 戈里迪C饰 Fabio Martinelli D，Adi PA投诉di资讯CA 、宇宙tA`DiPISA ，ItalyBdi PA投诉di资讯CA 、宇宙tA`CA'FoSCARiVeneia，ItalyCdiPARtiment 的oDi科学EDEll’ 信息，宇宙tA`DiBologna，ItalyD Institute for Telematics Applications，C.N.R.（美国）PISA ，ItalyabstractWe model ， in a process algebra framework ， a variant of the well knownwide 我们 的 模型 ， 在 一 个 过程 代数 框架 中 ， 一 个 知 道 的 变量MouthedFrog Security 保 安 Protocol |IT IT Relevant 相 关 Security 保 安 财 产 are 地 址Addressed both From A dynamic 动态And static Point 点of View ，Havingoperational 操作SEMANTICS 种子as A com -我 的 Start Point在 一 个 案例中 ， 我们 利用 基于 非 干扰 的 技术 ，while 的in The other ONE we RELY on控制 Control flow分析 . We then比较他们 的 技术 。1Introduction介绍Security 安全has饰 Become年essential 的Requirement 要求为many应用 程序 ，尤其 是in The last 最 后十 年 ，两 个TO The Widesprepagation 的在sliplusion of distributed 分 布 Systems 系 统 和 网 络 。 10 . This noonappears to be fairly obvious ， but elusively refuses to 正确 地 看待 事物 ，但 却 难以捉摸 地 模糊 不 清A精确meaning in our our里德尔 The饰Science Fic社区Cannot Help Trying 的TO catch这个Noon in饰 Thousandsof slightly在 spluerent财产 。 关于 - MALE方法 论And技术 员CAN或 轮胎A way 方式of将军 们And比较 These在 spluerent formulations ，开车这个微妙翻译of intuitive 直觉无 - tions INTO形式规格 ，essential 的为A亲爱的设计 Design And分析安全 的 计算机 系统 。我们 将 自己 限制 为 网络 安全 顾问 。议定 书 ，表达in A进程代数框架 。 their Study 研究可以 相应 地利用 所有 结果 和 分析 工具 在 concurrency 开发社区 。inThe last 最 后Years ，encouraging结果HAVE饰 Been关注by The use使用of static techniques exploiting notions of information fllow to establishvarious forms 技术 细节 信息 规模of1Research 研究Partially支持by致命Project谢 欣托斯卡ⓍC2002出版ByElsevier 的science 科学B . V. oPEn n秋SSUNDErC CB y-nC-n DliCEn nSE.2A数据的完整性和保密性In this approach ， systems or protocols are 系统 或协议描述 为 任何 （ 可能 理想 化 ） 编程 语言 的 表达 ，像The spi-calculus简介” （ 3.1 ） Security 安全财产are checked through 通过static tests ，that ， if passed ， guarantee that there is no violation of the propertyunder consideration ， at run-time . 测试 ， 如果 ， 如果 过去 ， 并 保证 ， 这 是 没有 违反 的 property under consideration ， 在 运行 时 。Weuse here a speci static technique ： Control Flow Analysis （ CFA ） 基于流量 的 流量 分析Logic 的 。ITis built Around 周围The more“ 经典 ”approaches 的TO static分析And at the same time ， it o o ers a way to exploit the quite advancedstate-of - the-art in static analysis also for the analysis of security ， asshown in some recent proposals 在 某些 最近 的 建议 中 ， 这 是 一 种 安全 分析 方法” [ 2019 - 07 - 26 ] in粒子 ，CFA饰 Tumers static技术 员为预测 安全And可 计算approximations 的TO The Set of价值 观that The objects对象of A program may 可 选择 during its Execution 。信息影响是，在一般情况下，一个关键问题在安全性。IT 分析 是 主要的carried out through 通过dynamic 动态Techniques 。 A CLASSIC做法used TO study information fllow in multilevel [ 4 ] 计算机 系统 是 不 受 干扰的（ ni ） 。Roughly ， ni requires 的that A Set H of users ，devised 的as HighLevel principals ， is not able to interfere with a set 原则 ， 无法 在 集合之间 相互 作用l of low-level users in a certain system 在 某 个 系统 中 的 低级别 用户S. Thus ，The Low Level View 视图of The System S饰 ShouldAlways 的BE The山姆Regardless of the high-level activities 高 层次 活动中 的 无 等级 者# 检查 一 个 协议 是否 安全 可以 被 重新 编写as年资讯流感one . Indeed ;咨询The High Level PRIN-CAPALS 的as攻击 者 Attackerson A 网 络 Protocol |进 一 步 ， 假 设 that 最 佳 合 作 伙 伴 EMAT“ 控制 ”actions ，Depending 依赖on A特 选Security 保安地产A，that Denote 的their beliefs about 关于The current 当前执行of The Protocol|Theseactions are考虑 到as The Low Level View 视图of The Protocol |Then ， the protocol satis defines the security property if its low-level ，observable be - haviour 什么 时候 是 安全 财产 ， 如果 它 的 低 等级 ， 它可以 被 使用Cannot BE“ 意义 非凡 ”altered when 什么执行in平行同任何 攻击 者 。 in other Words ，年attack is revealed 的as年干涉TO The正常（ or ）intended ）饰 Behaviour of honest参与 者 。 this way 方式of研究生Security 保安15 、 第 15 章 正面 的 东西 是 什么Non-ducibility on Compo -SITION在 [ 14 ] 中 ， proposed in a process algebra setting 。Interestinglyenough ， NI 可以 帮助 弥合 分析 之间 的 差距关于 two在 spluerentaspects像 资 讯 流 感And 网 络 议定 书 。 作者 ni饰 Tumers A uniform3Framework为研究 生both aspects ，that通常 情况 下求 答案 tplayerTechniques 。本说明的目的是将静态CFA与动态NI混合。As a benchmark for ourtechniques ， we use a simpli filled version of the wide mouthed frogprotocol.作为我们技术的基准，我们使用了一个简单的版本的宽mouthedfrog协议。The Notion of Security We Shall Exploit 是based 基础on ntHE饰So-Calledsecrecy 安全`ALADOLV -yo” [ 11 ] 。 T他MoD他PoSTULATS The存在of年闯入 者 ，或敌人 ，Who 何has Full control 控制 on The网 。intruder 有 一些 关于 某些 价值 的 知识 ， 可以 是 增量 的by下载Avesdropping 阿尔索 ，The enemy CAN start 开始攻击 Attacking A协议 ， 由Sending messages Resulting 结果From suitable Combination 联合of Pieces of他/她 的 current知识 | E.G. ， The入侵 者CAN Pair 爸爸价值观或encrypt/decrypt 加密them4同被 妥协或initially已知keys 。 of课程 ，The Enemy 's Goal 目的is todiscover Secret 秘密资讯或TO诱导年honest participant 参与TO A Protocol协议不 好 意思 打扰 。 both our our approaches 的形式The above AndShow 显 示 whether 的 given specifications of the wmf are resistant toattacks of the intruder or 维基 媒体 基金 会 是否 抵抗 入侵 者 的 攻击不 。我们 的working样品is故意 的very简单 的 ，SO that we CAN Focus 焦点on机器 人 的 基本 特性 ， approaches 并 开始 理解 他们关于 Sentierences然后是 Interplay 。在此基础上，我们可以尝试单身出任何的专业和cons的机器人。We shall discuss them in more detail in the concluding remarks.我们在 这 里 讨 论 最 重 要 的 事 实 。 On the One Hand ， CFA ， and and andApproximated，yet sound，answers ，i.e. it may "err on the safe side"（在一个安全的侧）这是一个更好的方法和有效的分析工具。on theotherHand ，ni is精确And thus Much Less在 Faircient in将军 ;实际 上 ， 它iscomplete为A class of（ 认 ）系统 |asThey share 分享A大型commonalty 社区of Goals ，we希望 Hope thatThe比较 of two SO在 spluerent技术 员CAN Further A交叉 生育betweenthem ， and CAN ALSO吉 夫some useful 的Insights on The Security 保安财产themselves 。我们 的案例 研究 ：The Wide Mouthed Frog Protocol 协议We recall a version of the WMF protocol （ 简称 ： 协议 1 ）two菲里斯特messages DO Not contain时间 戳 。 this使The反应 性 攻击 敏感 协议 。WMF是打算establish a session key for A And B求助于服务器S.在 最 后 的讯息 In the First Message A send to 坐S ITS姓名 ，And then A新鲜 事keyK ABAnd The姓名of The intended 意思接收 器B关于 Encrypted Under 下面The key K as，分享between A And S. in The次 D one ，S forwards 的The key And The sender姓名A TO B，encrypted Under 下面The key KBS ， shared between B And S.Finally ， A sends B The message Mencrypted Under 下面K AB.in事实 ，we SHALL主要Focus 焦点on A slightly修改 方法Version 版本（ The Protocol ）2 . Where in the First message the receiver 's name isnot included in the cryption . （ 当 消息 到达 时 ， 接收 者 的 名字 未 包含在 加密 中 。 as we will will show ，这个little修改 方法Leads TO new Andsubtle attacks ：The菲里斯 特ONE on secrecy 安全（ Attack（ 1 ）AndThe other two on身份 验证 （ Attacks ）2 And（ 3 ） 、as报告in” [ 12 ] 。Protocol1 Wide Mouthed Frog Protocol （ Without ） 时 间 打 印 （ Time-Stamps ）Message1 A→S：a ，{B 、K AB}Kas5Message 2 S→B：{a ，K AB}KBSMessage 3 A→B：{M}KABProtocol2 Wide Mouthed Frog Protocol修改Message1 A→S：A ， B ，{K AB}KasMessage 2 S→B：{a ，K AB}KBSMessage 3 A→B：{M}KAB我们现在显示主要攻击协议2。 曲名 ： That We DiscardThe6⟨{}⟩⟨{}⟩报告平行Session 会议attacks in [ 12 ] Since we disallow A TO承诺与 自己 。攻击 1秘密Attack 攻击Message1 A→E）S） ：A ， B ，{K AB}KasMessage1 JE）A）→S：A ， E ，{K AB}KasMessage2 JS→ E：{a ，K AB}KESMessage3 A→E）B）：{M}KABHEREThe第 一 名message ⟨a ，B 、{K AB}Kas ⟩ is Intercepted 相互 作用byE . Since B is通过in clear 清楚on The net ，E CAN操纵it in order TOobtain 对象a ，E ，K ABKas. asA result ，The Secret 秘密message M为B Arrives TO E .this attack is Not协议 1 中 的 可能 性 ： 哪里 B 存在加密 和 热 交换The传送 消息 无法 成为 Missing Message Cannot BeForged 的 。攻击 2 Authentication Attack 攻击Message1 A→E）S） ：A ， E ，{K AE}KasMessage1 JE）A）→S：A ， B ，{K AE}KasMessage2 JS → B：{A ， KAE}KBSMessage 3A→ E：{MJ}KAEMessage3 JE）A）→B：{M J}KAESimilarly ，HERE The第 一 名message ⟨a ，E ，{K AE}Kas ⟩收 人by E ismanip - ulated in order to obtain a ， b ， k 的 用 法 AEKas. As aresult ， B is at the end 在 终点说服 力it is通信同a ，while 的A is instead通信同E. Moreover ，The message M J为E Arrives TO B .攻击 3 Replay Attack 攻击Message1 A→ S：A ， B ，{K AB}KasMessage2 S→ B：{a ，K AB}KBS E作者 Eavesdrops Andreplays IT 留言2 JE）S）→B：{a ，K AB}KBSMessage3 A→ B：{M}KABE作者 Eavesdrops And replays itMessage 3 JE）A）→B：{M}KAB在 这里 ，E is阿博TO replay The第 一 名Session 会议Getting B TO承诺7Twice on The山姆message . Note that这个attack is only可能 的因为we假设 b to play 游 戏 The 角 色 of 回 应 者 in two 平 行 Sessions 。 The 前 任Attacks ， instead ， cocor already 在 single 单 身 Sessions ， Where thePrincipals Play Their 角色only once 。82The计算 器Our main goal here is to mere the CFA static approach and the NI.我们的主要目标在这里是要出现CFA静态方法和NI. namic方法原本两个人在一起过完了两个结局algebras，yet related：the spi—calculus [1] and Crypto—SPA[16].相关的algebras，yet相关的：spi—calculus [1]和隐式SPA [16]。我 知道我们 需要裁缝A common 共同subset ，that of跑步includes 包括primitives为constructing标签 ： in particular encryption and decryption ， andprimitives for sending And receiving留言 | 下面 ，we intuitivelyIntroduction it ，后续TO Some Extent 全部The spi-calculus 简介” （ 3.1 ）notation ，of which 什么our our俱乐部 Calculus CAN BE如果as一 个 片段 。 this俱乐部 Calculus is enough为Describing 描述The cryptographic协议 通常报告in The文学 ，E.G. ， The case Study 研究discused 讨论in这个纸 。Theterms CAN BE名称或变量And CAN ALSO BE结构 化as Encryption-tions {M1，...，M l}n.加密 An Encryption {M1，...，M l}nrepresents theciphertext obtained by encrypting （ 英 语 ： represents the ciphertextobtained by encrypting ）M1，...，M lUnder the Key 的n（ Variable ）X tobe in -stantiated 的by A key K或A key ITSELF ） ，using 使用A shared-keyCryptosystem 。The进程are built as in Earlier Calculi ：there are operators 运营 商为1 .输入 与 输出 ， 平行 构成 ， 限制 与 重构matching 的Terms 的And进程are由 Finned According 的TO The后续草 。l ，M ，n：：=termsA 、B 、C 、k ，M ，nn名称x ，y ，Z ，w变量{M1，...，M l} nencryptionP ，Q ，R：：=进程0nilC⟨n1，...， n l⟩. POUTPUTC）X1，...， X l）. Pinput 中）ν M）P限制P|P平行Composition 作曲[M= n] Pmatching9⟨⟩的关于 L of{X1，...，X l}K在 P解密• Thenull进程0做Nothing 。• 进程 The ProcessC N1，...，n l. P英文 片名 Sends the Termsn1，...，n l在 ChannelC《 Then It Behaves Like 》P.• 进程 The Process C）X1，...，X l）. P is ready to receive an input 是 什么 意思n1，...，n l陈 - 中C然后 ， 像P{n1/x1，...，n l/x l}去 哪儿 _ 去 哪儿 n i 是 bound to The Variable 的 X i.Note that ， 不 喜 欢 The spi-calculus ，we DO Not allow TO use 使用收 人名称as渠道 ，as变量Cannot BE used as频道名字 |• Theoperator 操作 员）ν M）P Acts as A static declaration 声明（ 即 。 Abinder for ）The姓名10||⟨⟩SPM在过程中P That it prefixes，so stating that这件事已经发生了M is localto当地P.代理 商 （ν M）P Behaves 为P except that actions on 什么 操作M are prohibited 的 。• Theoperator 操作 员Describes 描述平行Composition 作曲of过程 。 Thecomponents 关于P Q May 的act independently ; ALSO ，年OUTPUTAction 行动of P（ Resp . Q）AT任何 产出港口C May 的synchronize 同步同年input 中Action 行动of Q（ Resp . P）AT C. 在 这种 情况 下 ，一 个 不可 观测 的 行动τ结果 。• Matching （M = n] P is 年if-then运营 商 ： The Process P is activatedonly if 仅 激活 if M = n.• 进程 The Process关于 L of{X1，...，X l}K在 P十 年 解密 Tries toDecrypt l with the 的key K.如果l has the form 的 形式{M1，...，Ml}K（ Then the process behaves as ）P{M1/x1，...，M l/x l}其他 版本 ： Otherwise The Process Is stuck 。WeOMIT HERE The形式从 定义of The SEMANTICS 种子of our our俱乐部 。 IT can be由 Finned in The标准way ，And Could 的BE either A减少SEMANTICS 种子或 年SOS one . We ALSO OMIT The从 定义of什么isobservable 可 接 受 的 相 知 The 标 准 注 意 事 项 ， upon which 什 么suitable ， 标 准 等 价 物 are TO BE built ， e . g ， 华 为 equivalenceorbiSimulation 。注 ： that in our calculus ， neither the input or the result capabilitiescan be transmited 因为 我们 的 预 定义 有 形式C）X1，...，X l）和CN1，...，n lAnd C是 一 个 名称 和Not的 变量 。实际 变量X can beinstantiated 的 by A 频 道 姓 名 ，但是 it Cannot 占领 as A频道 on whichcommunication takes 什么 意思地点 。inorder TO便利The从 定义of our our CFA ，we假设that名称是 “ 稳定的 ” 。i . e 。 that Each姓名A is The canonical代表 性 代表为ITS class of α可 转换 名称 Convertible Names2. As a consequence of summing stablenames ， we are allowed . 作为 一 个 习惯 稳定 的 名称 的 结果 ， 我们 都是TO partition them all INTO two Sets And of Secret 秘密And public 公共名 ， 令 人 期待 。3控制 Controlflow分析做法为了lack of空间 ，we only intuitively Introduction The控制 Control flow分析for 我们俱乐部 。 IT饰 Rey Finnes The分析in [ 7 ] that考虑The Full spi-calculus 。我们 的分析essentially Focus 焦点on The use 使用of渠道 ，of价值 观And of terms 。鲁格 利 ， A结果 ， 或估计）ρ ，κ ，xx ，φ）of ourour CFA Establishes A美 少女 Set of The Set of（ 抽象 ）价值 观TO which什么变量CAN BE bound 的）ρ），of The Set of价值 观that CAN流感over11黄 磊频道）κ）And of The Set of The可能 的 活动价值 观为A黄 磊term）粤）.另外 ，年估计Establishes A超级 set of all The价值 观The曲名 ：Ronment CAN send And接收on public 公共频道（ for Simplicity ，we咨询all这 是 渠道 作为 公共 的 ， 但 这 是 由 没有 限制 。We are interested inanalyzing the behaviour of a process 我们 感 兴趣 的 分析 过程P plugged inany 任何Hostile 的2Technically这个amount 的TO Having A partition of Name ：Each同A leader（ see [ 7 ]为Further详情 ） 。12{}|环境E， modeled as done by Dolev and Yao （ 英 语 ： Modeled as doneby Dolev and Yao ） （ 德 罗 夫 和 姚 所 生 ）知识 Knowledge about 关于public 公共价值 观 ，只有 。 then ，E May 的Increase ITS Knowl - Edge编辑by通信同P，直接或Intercepting 相互 作用messages From或TO P.Note that E CAN Know all The价值 观可 计算From ITS current 当前Knowl - Edge 编辑（ E.G. ） Knowing 知识K And {M}K，E CAN计算M）. in our our new分析 ， 我们WANT TO直接分析only The进程P;AT The山姆时 ，we需要 ED TOtake亲爱 的of E; The last 最 后component φ is in充电为it 。 this第 四 名component re finnes 组成The分析in [ 7 ] And CAN easily carried over TheFull spi-calculus 。CFA的公式是通过制作一个二次假设来促进的。Mainly ， we slightlyextend the standard syntax by mechanically assigning " labels " （ 我们 必须 使用 机械 化 标签 扩展 标准 同步 ）l 10 . Terms and " Labels " 的 定义πparticular program points 粒子 计划 点these are Nothing但是EXCLICITNotations 说明为The分析（ They DO不是 一 粒 沙子The dynamic 动态Semantics ） 。 举报that our our名称are“ 稳定 ” 。 in details ， the 组件are ：• ρis The抽象环境. IT associates 伙伴变量同The价值 观这 是 他们CAN BEbound 的to ; more precisely ，ρ）π）（X）必须include 包括The Set of的 值 为X在 这里 你 可以 玩 at run-time from the program point . π on.• κis the的Abstract Channel环境.英文 名称 ： It Associates Name With The价值 观that CAN BE communicated over them ; more precisely ，κ）nn）必须include 包括The Set 的of价值 观that CAN BE communicatedover The频道n n.• 粤is the的抽象cache.标签 ： IT associates labels with the values thatcanArise There ; more精确 度粤）l）必须include 包括The Set of The可能 的actual values of the term labeled 长期 以来l.• φis The enemy 环 境 ， And it is Not 出 席 in” [ 7 ] 。 this 分 子 量approximates The enemy知识 Knowledge And Therefore it includes 包括all The values that can flow on the channels and 可以 影响 通道 的 价值 观all他们 的 计算 价值 。For instance if a key 如果 一 个 keyKis 在φ， 则 其他Mis 在φ如果M Kflows on the network 。TO德 菲尼The acceptability 可 接受 性of A建议估计）ρ ，κ ，xx ，φ）we State 状态A Set关于 Clauses operating upon流感Logic 逻辑评审 团onThe形式）ρ ，κ ，xx ，φ）|= πM和 （ρ ， κ ， φ） = πP.查看 a look 如何terms are validated ， consider only the case for a . 只有 案例 才 有效 。variable ：）ρ ， κ ， φ）|= πX l我 铜ρ）π）（X）粤）l）13⟨⟩It says that all the values that the variable 它 说 所有 的 变量X点 式 ， 点式π Should Be Collected In 的 评论粤）l）.To give the fluavor of the other clauses ， we just give an abstraction ofthe results 到 了 影响 其他 条款 的 层面 ， 我们 只是 放弃 了 输出And ofThe input 中one ，（ for Simplicity ，we作者 ： Refer TO蒙古I/O动 ） 。）ρ ，κ ，xx ，φ）|= πCl⟨n lJ⟩. P我 铜）ρ ，κ ，xx ，φ）|= πCl但 Giu）ρ ，κ ，xx ，φ）|= πn lJ但 Giu）ρ ， κ ， φ）|= πP但 Giu粤）lJ）⊆κ）C）但 Giuκ）C）φIt says that the estimate is valid for 它 说 ， 你 的 estimate 是 有效 的C l nlJ. P if it is valid for 如果 它 是 有效 的C，n且 为P and if the set of valuesassociated with the message （ 如果 价值 与 消息 相关 ）n可以 在 频道 上播 放 C. More intuitively ，whenever a value （英语：Moreintuitively ， whenever a value ）A is on 输出C， 即 在C⟨A，it14∈∈⟨⟩{⊆}must be duly recorded in the （ 必须 被 赦免 ） κ And φ 曲名 ： ByEnsuring That A κ）C） 和到 φ. The last inclusion amounts to saying thatenemy can acquire all the values