[논문 리뷰] JSAI: Designing a Sound, Configurable, and Efficient Static Analyzer for JavaScript

Vineeth Kashyap, Kyle Dewey외 6명|arXiv (Cornell University)|2014. 03. 17.

Security and Verification in Computing참고 문헌 27인용 수 3

한 줄 요약

JSAI는 새로운 추상 도메인을 사용하여 다수의 정적 분석 기법—형식 추론, 포인터 분석, 문자열 및 정수 분석, 제어 흐름 분석—을 결합한 신뢰할 수 있고 구성이 가능하며 효율적인 자바스크립트를 위한 추상 해석기이다. 주요 기여는 간단한 API를 통해 컨텍스트, 경로, 힙 민감도의 모듈러 구성 가능성을 제공함으로써 핵심 논리 구현을 변경하지 않고도 다양한 분석 민감도에 대한 빠른 실험을 가능하게 하며, 구체적인 자바스크립트 의미론에 대해 형식적으로 타당성을 유지한다.

ABSTRACT

We describe JSAI, an abstract interpreter for JavaScript. JSAI uses novel abstract domains to compute a reduced product of type inference, pointer analysis, string analysis, integer and boolean constant propagation, and control-flow analysis. In addition, JSAI allows for analysis control-flow sensitivity (i.e., context-, path-, and heap-sensitivity) to be modularly configured without requiring any changes to the analysis implementation. JSAI is designed to be provably sound with respect to a specific concrete semantics for JavaScript, which has been extensively tested against existing production-quality JavaScript implementations. We provide a comprehensive evaluation of JSAI's performance and precision using an extensive benchmark suite. This benchmark suite includes real-world JavaScript applications, machine-generated JavaScript code via Emscripten, and browser addons. We use JSAI's configurability to evaluate a large number of analysis sensitivities (some well-known, some novel) and observe some surprising results. We believe that JSAI's configurability and its formal specifications position it as a useful research platform to experiment on novel sensitivities, abstract domains, and client analyses for JavaScript.

연구 동기 및 목표

• 구체적인 의미론에 대해 증명 가능하게 타당한 전체 자바스크립트를 대상으로 하는 정적 분석기를 설계함으로써 기존 도구들에서의 형식적 타당성 부족 문제를 해결한다.
• 핵심 분석 구현을 변경하지 않고도 제어 흐름 민감도(컨텍스트, 경로, 힙 민감도)의 모듈러 런타임 구성 가능성을 제공한다.
• 새로운 추상 도메인과 민감도에 대한 실험을 위한 탄력적인 연구 플랫폼을 제공한다.
• 실제 애플리케이션, Emscripten에 의해 생성된 코드, 브라우저 애드온을 포함한 다양한 자바스크립트 워크로드에서 다양한 민감도 구성의 정밀도와 성능 간 상호 교환 관계를 평가한다.
• TAJS와 유사한 정밀도와 성능를 갖추고 있으면서도 더 강력한 형식적 보장과 구성 가능성을 제공함으로써 JSAI를 기존 도구들과의 경쟁 가능한 대안으로 위치시킨다.

제안 방법

• JSAI는 추상 해석을 사용하여 추상 의미론을 구체적인 자바스크립트 의미론과 형식적으로 연결함으로써 타당성을 보장한다.
• 형식, 포인터, 문자열, 정수, 불리언, 제어 흐름 분석 도메인을 포함한 다수의 추상 도메인의 축소된 곱을 계산한다.
• 민감도 구성(예: k-CFA, 객체 민감도, 속성 시뮬레이션)은 플러그인 API를 통해 구현되어 핵심 분석과 독립적으로 구성 가능하다.
• 문자열 및 숫자 추상 도메인은 교체 가능한 구성 요소로 설계되어 새로운 실험적 도메인으로 쉽게 대체할 수 있다.
• 분석은 형식 명세와 밀접하게 일치하는 실행 가능한 의미론으로 구현되어 정확성과 유지보수성을 향상시킨다.
• JSAI는 전체 자바스크립트(에 val 제외, ECMA-3 기반)를 지원하며, 타입이 지정된 배열과 같은 확장 기능도 포함하며, 추상 해석을 위해 특별히 설계된 형식적 의미론을 갖춘다.

실험 결과

연구 질문

• RQ1 다양한 제어 흐름 민감도 구성(예: 컨텍스트 민감도, 경로 민감도, 힙 민감도)이 자바스크립트 정적 분석의 정밀도와 성능에 미치는 영향은 어떠한가?
• RQ2 민감도와 추상 도메인에 대한 모듈러이고 플러그인 기반의 아키텍처는 실제 자바스크립트에서 새로운 분석 기법에 대한 실용적인 실험을 가능하게 하는가?
• RQ3 TAJS와 같은 최신 기술 수준의 도구들과 비교했을 때 JSAI의 정밀도와 성능는 어떠한가? 특히 TAJS가 알려진 타당성 버그와 완전하지 않은 API 지원을 가지고 있음에도 불구하고.
• RQ4 민감도가 증가할수록 항상 정밀도가 향상되는가, 아니면 수익 감소 또는 도메인 특화 변동성이 존재하는가?
• RQ5 전체 자바스크립트를 대상으로 하는 형식적으로 명시된 타당한 정적 분석기가 실생활 애플리케이션에 대해 효율적이고 실용적인가?

주요 결과

• JSAI의 구성 가능성 덕분에 단 5~20줄의 코드로 10여 개가 넘는 민감도를 쉽게 구현할 수 있었으며, 이는 높은 모듈성과 확장성의 증거이다.
• 대부분의 경우 더 높은 컨텍스트 민감도가 정밀도를 향상시킨다. 예를 들어, linq_enumerable 벤치마크에서 5.4스택 민감도는 컨텍스트 민감도가 없는 분석 대비 거짓 긍정을 한 단계 낮춘다.
• 성능는 벤치마크에 따라 크게 달라지며, 유사한 워크로드에서 JSAI의 분석 시간은 TAJS 대비 0.3배에서 1.8배 수준이었으며, 이는 경쟁 가능한 효율성을 보여준다.
• JSAI는 TAJS보다 최대 104개 더 많은 형식 오류를 보고하지만, 이들의 대부분은 TAJS의 알려진 타당성 버그로 인한 RangeError이다. 이들을 제외하면 JSAI는 최대 20개 더 많은 오류를 보고한다.
• 모든 벤치마크에서 동일한 민감도 구성이 우월하지는 않으며, 정밀도 향상 정도는 애플리케이션 도메인에 따라 다르므로 최적의 민감도는 맥락에 따라 달라진다.
• 애드온 도메인은 정밀도의 변동이 매우 적어, 이와 같은 짧은 콜 시퀀스 도메인에서는 성능을 정밀도보다 더 좋은 최적화 목표로 삼는 것이 타당하다.