[论文解读] A Spatial-Epistemic Logic for Reasoning about Security Protocols

Bernardo Toninho, Luı́s Caires|Feb 28, 2011

Advanced Authentication Protocols Security参考文献 15被引用 5

一句话总结

本文提出了一种基于应用π-演算变体的动态空间-认识逻辑，用于推理安全协议中的知识分布与信息流。该逻辑通过结合空间组合与认识算子，能够直接、精确地指定涉及多个参与方（包括各方参与者和攻击者）的性质，并证明了在具有Dolev-Yao攻击者的协议类上模型检测的可判定性，已在SLMC工具的扩展中实现。

ABSTRACT

Reasoning about security properties involves reasoning about where the information of a system is located, and how it evolves over time. While most security analysis techniques need to cope with some notions of information locality and knowledge propagation, usually they do not provide a general language for expressing arbitrary properties involving local knowledge and knowledge transfer. Building on this observation, we introduce a framework for security protocol analysis based on dynamic spatial logic specifications. Our computational model is a variant of existing pi-calculi, while specifications are expressed in a dynamic spatial logic extended with an epistemic operator. We present the syntax and semantics of the model and logic, and discuss the expressiveness of the approach, showing it complete for passive attackers. We also prove that generic Dolev-Yao attackers may be mechanically determined for any deterministic finite protocol, and discuss how this result may be used to reason about security properties of open systems. We also present a model-checking algorithm for our logic, which has been implemented as an extension to the SLMC system.

研究动机与目标

• 开发一个形式化框架，以实现对安全协议中参与方之间知识分布的直接推理。
• 解决现有工具间接处理知识属性或需额外模型修改的局限性。
• 提供一种同时支持空间推理（关于系统结构）与认识推理（关于参与方所知内容）的逻辑。
• 形式化表征并机械确定确定性有限协议的Dolev-Yao攻击者。
• 将该逻辑的模型检测算法作为SLMC工具的扩展进行实现。

提出的方法

• 在应用π-演算的一个变体上扩展出一种动态空间-认识逻辑，引入认识算子'knows'以表达对系统组件的知识。
• 引入一种空间组合机制以建模系统结构与子系统，支持对信息位置的推理。
• 为该逻辑定义语义，以追踪知识随时间与系统动态的演化。
• 提出该逻辑的模型检测算法，并证明其在具有有界消息大小的协议类上是可判定的。
• 将Dolev-Yao攻击者内化为系统内的一个进程，无需完整的行为规范。
• 作为概念验证，将模型检测器实现为SLMC工具的扩展，攻击者输出参数化为最大消息大小。

实验结果

研究问题

• RQ1 能否设计一种逻辑，结合空间与认识推理，以表达安全协议中复杂知识属性？
• RQ2 如何在不进行完整行为建模的情况下，机械地确定并集成Dolev-Yao攻击者到形式化模型中？
• RQ3 在有意义的协议类中，该逻辑的模型检测是否可判定？
• RQ4 该框架能否以直接且精确的方式表达如“P和Q学习v，但S和攻击者不学习”之类的属性？
• RQ5 该逻辑在多大程度上支持对应性断言以及开放系统中知识演化的推理？

主要发现

• 所提出的动态空间-认识逻辑对被动攻击者是完备的，且支持对涉及多个参与方的知识属性的直接表达。
• 该框架可对任意确定性有限协议机械地确定Dolev-Yao攻击者，而无需显式的行为建模。
• 该逻辑在具有有界消息大小的协议类上，其模型检测是可判定的，确立了理论可行性。
• 该逻辑支持如“最终，P和Q知道v，但攻击者永远不知道v”等表达性属性，这些在现有工具中难以表达。
• 模型检测算法已作为SLMC工具的原型扩展实现，尽管当前消息大小限制存在，仍展示了实际可行性。
• 该方法以统一、精确且可组合的方式支持对知识流动与空间分布的推理，区别于以往缺乏空间或认识表达力的逻辑。