[论文解读] The Applied Pi Calculus: Mobile Values, New Names, and Secure Communication

Martı́n Abadi, Bruno Blanchet+1 more|arXiv (Cornell University)|Sep 10, 2016

Cryptography and Data Security参考文献 54被引用 16

一句话总结

本文引入了应用pi演算（applied pi calculus），这是对pi演算的扩展，通过集成内建函数和方程来建模诸如加密密钥、随机数和数据结构等值。它通过统一、系统的框架支持移动值、新名称和安全通信，从而实现对安全协议的形式化推理，该框架支撑了ProVerif等工具的实现。

ABSTRACT

We study the interaction of the programming construct "new", which generates statically scoped names, with communication via messages on channels. This interaction is crucial in security protocols, which are the main motivating examples for our work, it also appears in other programming-language contexts. We define the applied pi calculus, a simple, general extension of the pi calculus in which values can be formed from names via the application of built-in functions, subject to equations, and be sent as messages. (In contrast, the pure pi calculus lacks built-in functions, its only messages are atomic names.) We develop semantics and proof techniques for this extended language and apply them in reasoning about security protocols. This paper essentially subsumes the conference paper that introduced the applied pi calculus in 2001. It fills gaps, incorporates improvements, and further explains and studies the applied pi calculus. Since 2001, the applied pi calculus has been the basis for much further work, described in many research publications and sometimes embodied in useful software, such as the tool ProVerif, which relies on the applied pi calculus to support the specification and automatic analysis of security protocols. Although this paper does not aim to be a complete review of the subject, it benefits from that further work and provides better foundations for some of it. In particular, the applied pi calculus has evolved through its implementation in ProVerif, and the present definition reflects that evolution.

研究动机与目标

• 为解决纯pi演算在建模整数、密码操作和安全通信等实际编程构造时的局限性。
• 提供一种系统化、统一的框架，用于推理安全协议，而无需依赖临时扩展或复杂编码。
• 形式化表达'new'构造（用于生成新名称）与值传递通信之间的交互，这在安全协议设计中至关重要。
• 为在实际编程语言上下文中推理过程等价性和协议正确性，建立坚实的语义和证明理论基础。
• 通过定义一个既表达能力强又适合形式分析的演算，支持自动化工具（如ProVerif）的开发。

提出的方法

• 通过引入内建函数和方程，将名称构造为值，从而扩展纯pi演算，以支持整数、对偶和密码原语等实际构造。
• 引入替换构造（类似于'let'），用于建模部分知识，并支持语义和证明技术中的推理。
• 定义操作语义，处理值传递、通过'new'创建名称以及函数应用，重点在于组合式推理。
• 开发基于 bisimulation 的证明技术（记为≈），用于建立过程等价性，这对验证协议性质至关重要。
• 采用改进的bisimulation概念（记为≈l），以处理过程间的复杂交互，特别是在存在新名称和函数应用的情况下。
• 使用带索引的转移系统来追踪过程的演化，并在归约过程中保持关系。

实验结果

研究问题

• RQ1 如何在不牺牲理论严谨性的前提下，扩展纯pi演算以支持整数、对偶和密码操作等实际编程构造？
• RQ2 如何为结合名称创建（'new'）与值传递通信的过程建立正确的语义基础？
• RQ3 如何正式验证使用加密原语（如加密、哈希和数字签名）的安全协议的正确性？
• RQ4 在支持函数、方程和新名称的演算中，哪些证明技术能有效建立过程间的等价性？
• RQ5 'new'与值传递之间的交互如何影响并发系统的表达能力和分析能力？

主要发现

• 应用pi演算为pi演算提供了一种系统化、统一的扩展，通过内建函数和方程支持整数、对偶和密码操作等实际编程构造。
• 该演算通过将新通道、随机数、密钥和密码操作作为由函数从名称构造出的值来建模，从而支持对安全协议的形式化推理。
• 对'new'与值传递交互的正式捕捉揭示了协议正确性和安全分析中至关重要的细微行为。
• 本文建立了可靠且完备的基于bisimulation的等价性（≈），支持在各种归约和替换下对过程行为进行推理。
• 该框架通过基于应用pi演算的工具（如ProVerif）支持安全协议的自动分析，这些工具已被用于验证复杂协议。
• 该演算在涵盖并改进早期工作（如spi演算）的基础上，为协议规格说明和验证提供了更通用且基础的理论支撑。