[論文レビュー] JSAI: Designing a Sound, Configurable, and Efficient Static Analyzer for JavaScript

Vineeth Kashyap, Kyle Dewey+6 more|arXiv (Cornell University)|Mar 17, 2014

Security and Verification in Computing参考文献 27被引用数 3

ひとこと要約

JSAI は、型推論、ポ인터解析、文字列および整数解析、制御フロー解析といった複数の静的解析手法を、独自の抽象ドメインを用いて統合した、健全で、設定可能で、効率的な JavaScript 用の抽象解釈器である。主な貢献は、シンプルな API を通じたコンテキスト・パス・ヒープ感受性のモジュラー設定可能構成であり、コア論理を変更せずに多様な解析感受性の迅速な実験を可能にするとともに、実際の JavaScript 意味論に対する形式的健全性を維持している。

ABSTRACT

We describe JSAI, an abstract interpreter for JavaScript. JSAI uses novel abstract domains to compute a reduced product of type inference, pointer analysis, string analysis, integer and boolean constant propagation, and control-flow analysis. In addition, JSAI allows for analysis control-flow sensitivity (i.e., context-, path-, and heap-sensitivity) to be modularly configured without requiring any changes to the analysis implementation. JSAI is designed to be provably sound with respect to a specific concrete semantics for JavaScript, which has been extensively tested against existing production-quality JavaScript implementations. We provide a comprehensive evaluation of JSAI's performance and precision using an extensive benchmark suite. This benchmark suite includes real-world JavaScript applications, machine-generated JavaScript code via Emscripten, and browser addons. We use JSAI's configurability to evaluate a large number of analysis sensitivities (some well-known, some novel) and observe some surprising results. We believe that JSAI's configurability and its formal specifications position it as a useful research platform to experiment on novel sensitivities, abstract domains, and client analyses for JavaScript.

研究の動機と目的

• 完全な JavaScript 用の静的解析器を設計し、実際の意味論に対して証明可能な健全性を確保すること。これにより、既存のツールに見られる形式的健全性の欠如を解消する。
• コア解析実装を変更せずに、制御フロー感受性（コンテキスト・パス・ヒープ感受性）のモジュラーかつランタイム設定可能な構成を可能にすること。
• JavaScript 解析における新しい抽象ドメインや感受性の実験に適した柔軟な研究プラットフォームを提供すること。
• 実世界のアプリケーション、Emscripten で生成されたコード、ブラウザアドオンを含む多様な JavaScript ワークロードにおいて、さまざまな感受性設定の精度とパフォーマンスのトレードオフを評価すること。
• TAJS や他の既存ツールと同等の精度とパフォーマンスを実現しつつ、より強い形式的保証と設定可能性を提供することで、JSAI を競合可能な代替手段として位置づけること。

提案手法

• JSAI は抽象解釈を用い、抽象的意味論を実際の JavaScript 意味論と正式に関連づけることで、健全性を保証する。
• 型、ポインタ、文字列、整数、ブール値、制御フロー解析の抽象ドメインを含む、複数の抽象ドメインの簡略化された積を計算する。
• 感受性設定（例：k-CFA、オブジェクト感受性、プロパティシミュレーション）はプラグイン API を通じて実装され、コア解析とは独立して設定可能であり、コア実装の変更なしに実現される。
• 文字列および数値の抽象ドメインは、プラグイン可能なコンponentとして設計されており、新しい実験的ドメインへの容易な置き換えを可能にしている。
• 解析は実行可能意味論として実装されており、形式的定義に近く、正しさと保守性を高めている。
• JSAI は完全な JavaScript（ECMA-3、eval を除く）をサポートし、型付き配列などの拡張も含む。形式的意味論は、抽象解釈に特化して設計されている。

実験結果

リサーチクエスチョン

• RQ1 コンテキスト・パス・ヒープ感受性といった異なる制御フロー感受性設定が、JavaScript 静的解析の精度とパフォーマンスに与える影響は何か？
• RQ2 感受性および抽象ドメインのモジュラーかつプラグイン可能なアーキテクチャは、実世界の JavaScript において新しい解析手法の実用的実験を可能にするか？
• RQ3 TAJS や同様の最先端ツールと比較して、JSAI の精度とパフォーマンスはどの程度か。特に、TAJS に既知の健全性バグと不完全な API サポートがあることを踏まえて。
• RQ4 感受性を高めることにより精度が常に向上するのか、それとも限界効果が現れたり、ドメイン固有の差異が生じるのか？
• RQ5 完全な JavaScript 用の形式的仕様化と健全性を備えた静的解析器は、実世界のアプリケーションにおいて効率的かつ実用的であるとされるか？

主な発見

• JSAI の設定可能構造により、わずか 5～20 行のコードで十数種類の感受性を実装可能であり、高いモジュラリティと拡張性を示している。
• より高いコンテキスト感受性は、ほとんどのケースで精度を向上させる。例えば、linq_enumerable ベンチマークでは、5.4スタック感受性がコンテキスト感受性なしの解析と比較して誤検出を1桁減少させた。
• パフォーマンスはベンチマークごとに顕著に異なる。JSAI の解析時間は、同等のワークロードで TAJS の 0.3× から 1.8× であり、競争力のある効率性を示している。
• JSAI は TAJS より最大で 104 個の型エラーを報告しているが、その多くは TAJS の既知の健全性バグに起因する RangeError である。これらのエラーを除くと、JSAI は最大で 20 個の追加エラーしか報告していない。
• どの感受性設定もすべてのベンチマークで優位に立つわけではない。精度の向上はアプリケーションドメインによって異なるため、最適な感受性は文脈依存であると示唆されている。
• アドオンドメインでは精度のばらつきが最小限に抑えられており、このような短いコールシーケンスのドメインでは、精度よりもパフォーマンスが最適化の優先対象である可能性がある。