[論文レビュー] On the Computational Complexity of Satisfiability Solving for String Theories

Susmit Jha, Sanjit A. Seshia+1 more|ArXiv.org|Mar 16, 2009

Web Application Security Vulnerabilities参考文献 26被引用数 8

ひとこと要約

この論文は、ソフトウェアセキュリティに関連する文字列制約理論の計算複雑性を分析し、わずかに小さな実用的フラグメントですらNP完全であることを証明している。これにより、文字列制約をビットベクタ論理に符号化する「バイトブレースト（byte-blast）」アプローチ—SMTソルバーを用いた効率的な解法を可能にする—の正当性が示され、セキュリティに重要な文字列処理アプリケーションのスケーラブルな検証が可能になる。

ABSTRACT

Satisfiability solvers are increasingly playing a key role in software verification, with particularly effective use in the analysis of security vulnerabilities. String processing is a key part of many software applications, such as browsers and web servers. These applications are susceptible to attacks through malicious data received over network. Automated tools for analyzing the security of such applications, thus need to reason about strings. For efficiency reasons, it is desirable to have a solver that treats strings as first-class types. In this paper, we present some theories of strings that are useful in a software security context and analyze the computational complexity of the presented theories. We use this complexity analysis to motivate a byte-blast approach which employs a Boolean encoding of the string constraints to a corresponding Boolean satisfiability problem.

研究の動機と目的

• C や Java のような高水準言語でよく使われる、セキュリティ関連のプログラム解析に必要な文字列述語および関数のコアなセットを特定・形式化すること。
• 得られた文字列理論のさまざまなフラグメントの計算複雑性を分析し、特にそれらのNP完全性に焦点を当てる。
• 既存のSMTソルバーを用いて効率的な充足可能性解法を実現するため、文字列制約をビットベクタ論理に符号化する「バイトブレースト」アプローチを動機づけ・正当化すること。
• 実際のセキュリティ応用におけるスケーラビリティを向上させるために、長さ抽象化や位置抽象化といった、文字列制約に特化した抽象化・精錬技術を検討すること。

提案手法

• C や Java に由来する一般的な文字列操作および述語（例：extract-i-j および contains-at-position-i）に基づく文字列理論を定義する。
• 3-CNF SAT を文字列制約に還元することで、理論の非自明なフラグメントのNP完全性を証明する。この還元にはブール符号化の原則を用いる。
• 文字列変数をビットベクタとして表現し、操作を論理制約として符号化することで、文字列制約をビットベクタ論理にブール符号化する。
• 2段階の還元を実施：まず基本的な操作を有するコア文字列理論に還元し、次にビットベクタ論理に還元することで、STP や Z3 といった既存の SAT/SMT ソルバーの利用を可能にする。
• 実際のセキュリティ解析における探索空間の削減を目的として、長さ抽象化および位置抽象化といった抽象化技術を提案する。
• 先行のSMT研究にインspiredされた抽象化・精錬ループを統合し、充足不可能なコア（unsat cores）を用いて文字列制約の過剰および過小近似を精錬する。

実験結果

リサーチクエスチョン

• RQ1 ソフトウェアセキュリティに用いられる実用的フラグメントの文字列理論における充足可能性解法の計算複雑性は何か？
• RQ2 SATベースのバイトブレーストアプローチは、文字列制約をビットベクタ論理に還元することで、効果的に文字列制約を解けるか？
• RQ3 extract-i-j や contains-at-position-i といった操作の存在は、文字列制約解法の複雑性にどのように影響を与えるか？
• RQ4 長さ抽象化や位置抽象化といった抽象化・精錬技術は、実際の文脈における文字列制約解法のスケーラビリティを向上させられるか？
• RQ5 ユニオンやスターバイアス（star）演算が存在しない場合でも、文字列論理の一部のフラグメントが依然としてNP完全のままであるか？

主な発見

• extract-i-j や contains-at-position-i を含む、いくつかの小さな実用的フラグメントの文字列理論は、NP完全であることが証明された。
• ユニオンやスターバイアス演算が存在しない場合でもNP完全性が成立しており、複雑性は正規言語の表現力に起因するのではなく、根本的な文字列操作に起因することが示された。
• 3-CNF SAT から文字列制約への還元により、これらの文字列フラグメントの充足可能性解法が一般のSAT問題と同等に難しいことが示され、NP困難性が立証された。
• 基礎となる問題がNP完全であるため、文字列制約をビットベクタ論理に符号化するバイトブレーストアプローチは、実用的かつ効果的な戦略であると正当化された。
• 長さ抽象化や位置抽象化といった抽象化技術は、実際のセキュリティ解析におけるソルバーの探索空間削減を支援する実用的な手段として提案された。
• 本研究の理論で表現可能な制約は、HAMPI と完全には比較できないことが示された。なぜなら、その理論には HAMPI の正規言語ベースのフレームワークでは表現できない位置固有の述語が含まれているからである。