[论文解读] A Temporal Logic for Hyperproperties

Bernd Finkbeiner, Markus N. Rabe+1 more|arXiv (Cornell University)|Jun 27, 2013

Security and Verification in Computing参考文献 32被引用 7

一句话总结

该论文提出了 HyperCTL*，一种带有显式路径量词（$\forall\pi$，$\exists\pi$）的时序逻辑扩展，用于推理超性质——即关联多个执行路径的性质。该逻辑支持对非干扰性、降级和信息流等性质进行统一规格说明，对于交替深度为1的情况，其模型检测具有 PSPACE 复杂度的可判定性。

ABSTRACT

Hyperproperties, as introduced by Clarkson and Schneider, characterize the correctness of a computer program as a condition on its set of computation paths. Standard temporal logics can only refer to a single path at a time, and therefore cannot express many hyperproperties of interest, including noninterference and other important properties in security and coding theory. In this paper, we investigate an extension of temporal logic with explicit path variables. We show that the quantification over paths naturally subsumes other extensions of temporal logic with operators for information flow and knowledge. The model checking problem for temporal logic with path quantification is decidable. For alternation depth 1, the complexity is PSPACE in the length of the formula and NLOGSPACE in the size of the system, as for linear-time temporal logic.

研究动机与目标

• 解决标准时序逻辑在表达关联多个执行路径的超性质方面的局限性。
• 为线性时间与分支时间超性质提供统一的逻辑框架。
• 支持对非干扰性、降级和定量信息流等安全性质的正式验证。
• 证明路径量化可涵盖时序逻辑中现有的信息流与知识运算符。
• 建立 HyperCTL* 公式模型检测的可判定性与复杂度边界。

提出的方法

• 在 CTL* 中扩展显式路径变量 $\pi$ 和量词 $\forall\pi$，$\exists\pi$，以形成 HyperCTL*。
• 定义带有路径的 Kripke 结构，并利用路径量化表达多条路径之间的关系。
• 将标准时序运算符（如 $\mathcal{U}$，$\square$）提升为作用于含路径变量的路径公式。
• 使用全称与存在路径量化编码超性质，如观测确定性与非干扰性。
• 使用路径等价关系（$=_{U\setminus G_H}$，$=_{O,G_L}$）表达路径之间的观测等价性。
• 证明 HyperCTL* 的模型检测是可判定的，且在公式长度上为 PSPACE 复杂度，在系统规模上为 NLOGSPACE 复杂度（当交替深度为1时）。

实验结果

研究问题

• RQ1 时序逻辑能否被扩展以表达关联多个执行路径的超性质？
• RQ2 HyperCTL* 中的路径量化是否可涵盖现有信息流与知识运算符？
• RQ3 HyperCTL* 公式的模型检测的计算复杂度是多少？
• RQ4 HyperCTL* 能否以统一方式表达关键安全性质（如非干扰性与降级）？
• RQ5 HyperCTL* 的模型检测问题是否具有可判定性且复杂度边界可接受？

主要发现

• HyperCTL* 在 CTL* 的基础上引入路径量词 $\forall\pi$ 与 $\exists\pi$，使对执行路径集合的直接推理成为可能。
• 该逻辑涵盖了 SecLTL（信息流）与知识逻辑中的运算符，提供统一的框架。
• HyperCTL* 的模型检测是可判定的，其复杂度在公式长度上为 PSPACE，在系统规模上为 NLOGSPACE（当交替深度为1时）。
• 非干扰性与降级可通过路径量化与观测等价关系优雅地表达。
• 该方法可在无需系统自组合的情况下验证观测确定性与定量信息流。
• HyperCTL* 中对超性质的编码避免了以往工作中所需的复杂转换或非反应式系统假设。