[論文レビュー] Modeling Bitcoin Contracts by Timed Automata

Marcin Andrychowicz, Stefan Dziembowski+2 more|arXiv (Cornell University)|May 8, 2014

Formal Methods in Verification参考文献 13被引用数 7

ひとこと要約

本稿では、Uppaalのモデル・チェッカーを用いた時刻付き自動機を用いたBitcoin契約の形式的検証フレームワークを提案する。時間依存制約を有する契約プロトコルをモデル化し、自動検証を行うことで、公平性、コインの保存、秘密の公開といったセキュリティ特性を検証し、手作業での分析が見逃した微細なバグを発見した。これにより、複雑で分散型のBitcoin取引における正しさを保証する手法の有効性が示された。

ABSTRACT

Bitcoin is a peer-to-peer cryptographic currency system. Since its introduction in 2008, Bitcoin has gained noticeable popularity, mostly due to its following properties: (1) the transaction fees are very low, and (2) it is not controlled by any central authority, which in particular means that nobody can "print" the money to generate inflation. Moreover, the transaction syntax allows to create the so-called contracts, where a number of mutually-distrusting parties engage in a protocol to jointly perform some financial task, and the fairness of this process is guaranteed by the properties of Bitcoin. Although the Bitcoin contracts have several potential applications in the digital economy, so far they have not been widely used in real life. This is partly due to the fact that they are cumbersome to create and analyze, and hence risky to use. In this paper we propose to remedy this problem by using the methods originally developed for the computer-aided analysis for hardware and software systems, in particular those based on the timed automata. More concretely, we propose a framework for modeling the Bitcoin contracts using the timed automata in the UPPAAL model checker. Our method is general and can be used to model several contracts. As a proof-of-concept we use this framework to model some of the Bitcoin contracts from our recent previous work. We then automatically verify their security in UPPAAL, finding (and correcting) some subtle errors that were difficult to spot by the manual analysis. We hope that our work can draw the attention of the researchers working on formal modeling to the problem of the Bitcoin contract verification, and spark off more research on this topic.

研究の動機と目的

• 時間的制約と複数参加者間の相互作用によって複雑で誤りを起こしやすいBitcoin契約の設計と検証の課題に対処すること。
• Bitcoinスクリプトにおける微細な実装上の欠陥による財務的損失のリスクを低減するため、自動形式的検証を可能にすること。
• 形式的手法、特に時刻付き自動機とモデル・チェックイングがBitcoinベースのプロトコルのセキュリティ特性を効果的に検証できるかを示すこと。
• 特定のケーススタディを超えて、広範なBitcoin契約をモデル化・検証できる再利用可能で一般化可能なフレームワークを提供すること。
• Uppaalによるトレース解析と時間制限付き検証を通じて、プロトコルの欠陥を診断する実用的有用性を強調すること。

提案手法

• Uppaalのモデル・チェッカーを用いて、取引状態、時間的制約、参加者の行動を捉える時刻付き自動機としてBitcoin契約をモデル化すること。
• Bitcoinの承認遅延とロックタイム機構を反映する時間ロック付き遷移を有する有限状態自動機を用いて、プロトコルフェーズ（例：コミットメント、公開）を定義すること。
• 時間論理式（例：LTL）としてセキュリティ特性を定義し、誠実な行動と悪意のある行動の両方の下で公平性、コインの保存、秘密の公開を検証すること。
• Uppaalのモデル・チェッカーを用いてこれらの特性を自動的に検証し、違反を特定・デバッグするための診断トレースを提供すること。
• コアなBitcoinシステムモデルと契約固有の論理を分離することで、最小限の再設定で異なる契約に再利用可能になるようにすること。
• 2つの実際のBitcoin契約（時刻付きコミットメント方式とNewSCSプロトコル）に対してフレームワークを検証した。両者とも先行研究からのものである。

実験結果

リサーチクエスチョン

• RQ1 時刻付き自動機とモデル・チェックイングは、Bitcoin契約のセキュリティを形式的に検証するために効果的に適用可能か？
• RQ2 このフレームワークを用いることで、公平性、コインの保存、秘密の公開といった具体的なセキュリティ特性を自動的に検証できるか？
• RQ3 このフレームワークは、手作業での分析では困難な微細なバグをBitcoin契約実装で検出できるか？
• RQ4 契約における時間ロックのしきい値の正確さはどの程度か？また、フレームワークは最適な値を決定するのを支援できるか？
• RQ5 このアプローチは、類似した時間的制約と調整要件を有する他のBitcoinベースのプロトコルへどの程度一般化できるか？

主な発見

• フレームワークは、時刻付きコミットメント方式のセキュリティを成功裏に検証し、誠実な参加者が資金を失わず、秘密が意図した通りに公開されることを確認した。
• Uppaalのモデル・チェッカーは、NewSCSプロトコルの初期自動機モデルに微細な実装バグを検出しており、診断トレースを分析した後に修正された。
• 検証により、プロトコルの時間ロックしきい値t−3×MAX_LATENCYが正しいアボート動作を確保するために必要かつ十分であることが確認された。これにより、従来のヒューリスティックな主張が裏付けられた。
• NewSCSプロトコルの各セキュリティ特性は、標準のデュアルコア2.4 GHzノートPC上で1分未塔で検証された。これにより、効率性が示された。
• Uppaalが提供する診断トレースは、特性違反の根本原因を特定する上で極めて有効であり、デバッグを著しく高速化した。
• 18件の取引を含む複雑で多段階の契約についても、フレームワークは有効に機能し、現実的なプロトコルへのスケーラビリティを示した。