[論文レビュー] A Temporal Logic for Hyperproperties

Bernd Finkbeiner, Markus N. Rabe+1 more|arXiv (Cornell University)|Jun 27, 2013

Security and Verification in Computing参考文献 32被引用数 7

ひとこと要約

この論文は、実行パスの複数の関係を記述できるように拡張された時相論理、HyperCTL* を導入する。この論理は明示的なパス量化子（$orallackepsilon$, $orallackepsilon$）を備えており、非干渉性、デクラシフィケーション、情報フローといったハイパープロパティを扱える。代替深さ1の場合、モデルチェックイングの複雑性はPSPACEで決定可能である。

ABSTRACT

Hyperproperties, as introduced by Clarkson and Schneider, characterize the correctness of a computer program as a condition on its set of computation paths. Standard temporal logics can only refer to a single path at a time, and therefore cannot express many hyperproperties of interest, including noninterference and other important properties in security and coding theory. In this paper, we investigate an extension of temporal logic with explicit path variables. We show that the quantification over paths naturally subsumes other extensions of temporal logic with operators for information flow and knowledge. The model checking problem for temporal logic with path quantification is decidable. For alternation depth 1, the complexity is PSPACE in the length of the formula and NLOGSPACE in the size of the system, as for linear-time temporal logic.

研究の動機と目的

• 標準的な時相論理が複数の実行パスを関係付けるハイパープロパティを表現できないという制限を解決すること。
• 線形時相と分岐時相の両方のハイパープロパティを統一的な論理的枠組みで表現すること。
• 非干渉性、デクラシフィケーション、定量的情報フローといったセキュリティプロパティの形式的検証を可能にすること。
• パス量化子が、既存の情報フローおよび知識に関する演算子を包含することを示すこと。
• HyperCTL* の論理式に対するモデルチェックイングの決定可能性と複雑性の上限を確立すること。

提案手法

• CTL* をパス変数 $\pi$ と量化子 $\forall\pi$, $\exists\pi$ で拡張し、HyperCTL* を構築する。
• パスを含むKripke構造を定義し、パス量化子を用いて複数のパス間の関係を表現する。
• 標準的な時相演算子（例：$\mathcal{U}$, $\square$）をパス変数を含むパス論理式に拡張する。
• 観測的決定性や非干渉性といったハイパープロパティを、全称的および存在的パス量化子を用いて表現する。
• パスの観測的同等性を表す等価関係（$=_{U\setminus G_H}$, $=_{O,G_L}$）を用いる。
• 代替深さ1の場合、HyperCTL* のモデルチェックイングが、論理式長さに関してPSPACE、システムサイズに関してNLOGSPACEで決定可能であることを証明する。

実験結果

リサーチクエスチョン

• RQ1 時相論理を、複数の実行パスを関係付けるハイパープロパティを表現できるように拡張できるか？
• RQ2 HyperCTL* のパス量化子は、既存の情報フローおよび知識に関する演算子を包含するか？
• RQ3 HyperCTL* の論理式に対するモデルチェックイングの計算複雑性は何か？
• RQ4 HyperCTL* は非干渉性やデクラシフィケーションといった重要なセキュリティプロパティを一貫した方法で表現できるか？
• RQ5 HyperCTL* のモデルチェックイング問題は、扱いやすい複雑性上限のもとで決定可能か？

主な発見

• HyperCTL* は、実行パスの集合に対する直接的な推論を可能にするために、CTL* にパス量化子 $\forall\pi$ と $\exists\pi$ を拡張した。
• この論理は、SecLTL（情報フロー）および知識論理の演算子を包含し、統一的なフレームワークを提供する。
• HyperCTL* のモデルチェックイングは決定可能であり、論理式長さに関してPSPACE、システムサイズに関して代替深さ1の場合NLOGSPACEの複雑性を示す。
• 非干渉性やデクラシフィケーションは、パス量化子と観測的同等性関係を用いて洗練された形で表現可能である。
• このアプローチにより、システムの自己合成を必要とせず、観測的決定性や定量的情報フローの検証が可能である。
• 従来の研究で用いられる複雑な変換や非反応的システムの仮定を避けるために、ハイパープロパティをHyperCTL*に符号化する手法が有効である。