[論文レビュー] Extracting and Verifying Cryptographic Models from C Protocol Code by Symbolic Execution

Mihhail Aizatulin, Andrew D. Gordon+1 more|arXiv (Cornell University)|Jul 6, 2011

Security and Verification in Computing被引用数 13

ひとこと要約

本稿では、記号実行を用いて記号的モデルを抽出し、ProVerifを用いて検証することで、暗号プロトコルのC実装における弱い機密性および認証の完全に自動的で計算的に整合性のある検証手法を提示する。本手法は、事前定義されたプロトコル仕様や手動によるアノテーションを一切不要とし、ポインタや動的メモリを含む低レベルCコードの検証を可能にし、単一実行パスに限定される。

ABSTRACT

Consider the problem of verifying security properties of a cryptographic protocol coded in C. We propose an automatic solution that needs neither a pre-existing protocol description nor manual annotation of source code. First, symbolically execute the C program to obtain symbolic descriptions for the network messages sent by the protocol. Second, apply algebraic rewriting to obtain a process calculus description. Third, run an existing protocol analyser (ProVerif) to prove security properties or find attacks. We formalise our algorithm and appeal to existing results for ProVerif to establish computational soundness under suitable circumstances. We analyse only a single execution path, so our results are limited to protocols with no significant branching. The results in this paper provide the first computationally sound verification of weak secrecy and authentication for (single execution paths of) C code.

研究の動機と目的

• 形式的プロトコル検証と実際のC実装の間のギャップを埋めるために、事前定義された仕様が不要なCコードの直接的検証を可能とすること。
• 暗号モデルに関して形式的に整合的であることを保証するように、Cソースコードに対して直接的に計算的セキュリティ特性を定義すること。
• ポインタや動的メモリ操作を含むCコードから高水準プロトコルモデルを自動的に抽出する、自動的でスケーラブルな手法を開発すること。
• 抽出されたモデルが計算的整合性のもとでセキュリティ特性を保持することを保証し、既存のツール（例：ProVerif）を用いた検証を可能とすること。
• 明示的にモデル抽出段階でメモリ安全を検証することで、レガシーやメモリ安全でないCコードをサポートすること。

提案手法

• ビットストリング値をとる記号的変数を用いてCプログラムを記号実行し、メモリ状態を過剰近似することで、すべての可能な実行パスの解析を可能にする。
• 記号実行トレースを、低レベルのメモリ操作や破壊的更新を抽象化した中間言語に変換する。
• 代数的書き換えを適用して、抽出されたモデルをProVerifと互換性のあるプロセス計算記法表現に変換する。
• 先行研究における計算的整合性の結果を用い、ProVerifにおける記号的検証をCプログラムにおける計算的セキュリティ定義と結びつける。
• CILを用いてCコードを単純なスタックベースの中間言語（CVM）にコンパイルし、記号実行の簡略化とコンパイルの正しさを保証する。
• 複雑さを管理するため、単一実行パスに制限するが、動的メモリ割り当てやポインタ演算を依然としてサポートする。

実験結果

リサーチクエスチョン

• RQ1 事前定義されたプロトコル仕様に依存せずに、Cソースコードに対して（例：弱い機密性および認証）形式的にセキュリティ特性を定義することは可能か？
• RQ2 ポインタや動的メモリを含むCコードから、セキュリティ意味論を保持する高水準プロトコルモデルを自動的に抽出する方法は何か？
• RQ3 記号実行に基づくモデル抽出は、計算的セキュリティ定義に関して整合的か？
• RQ4 ProVerifのような既存のプロトコル検証ツールを用いて、抽出されたモデルのセキュリティ特性を計算的整合性のもとで検証することは可能か？
• RQ5 複雑な制御フローを含むCコードに本手法を適用した際の制限事項は何か。それらはどのように緩和できるか？

主な発見

• 本手法により、プロトコル仕様や手動アノテーションを必要とせず、単一実行パスにおけるCコードの弱い機密性および認証の計算的に整合的な検証が初めて可能になった。
• 記号実行エンジンはビットストリング値をとる記号的変数を用いるため、従来のツールが各バイトを個別に扱うのとは異なり、長さが不明または可変のメッセージの解析が可能である。
• モデル抽出プロセスはセキュリティ意味論を保持しており、抽出されたモデルはProVerifで直接検証可能な形に簡略化される。
• 本手法はポインタや動的メモリ割り当てを含むCコードをサポートし、抽出段階で明示的にメモリ安全を検証する。
• 本手法は非分岐コードパスに限定されるが、これは多くの認証プロトコルが本質的に非分岐的であるため、十分な範囲をカバーする。
• 検証失敗時には、ソースコードの位置情報を含む記号的実行トレースを公開することで、デバッグを支援する具体的なフィードバックを提供する。