Un Survol des Méthodes Formelles pour Java Card TM

Transcription

1 Réunion PROGSI : Sécurité Java Card TM Un Survol des Méthodes Formelles pour Java Card TM d.rouillardserma.com sauveronlabri.fr 21 novembre 2002

2 Plan L architecture Java Card : vue générale des aspects ciblés. Projets orientés plate-forme : prouver des propriétés liées au langage et la JCVM (typage, gestion mémoire, BCV). Projets orientés applications : prouver qu un programme particulier satisfait des propriétés données (invariants sur les données, séquencement des transactions). Page 2

3 L architecture Java Card Station de travail (hors carte) Carte Firewall Niveau Applicatif Java Card Applet A (Paquetage 1) Applet B (Paquetage 1) Applet C (Paquetage 2) Installateur Fichier(s) exp Fichier(s) class Fichier exp Fichier CAP APIs spécifiques à l industrie (OP,...) APIs Java Card Niveau Applicatif Java Card Communication I/O Classes systèmes Gestion des Transactions Gestion des Applets et divers Niveau JCVM Convertisseur Interpréteur Niveau JCVM JCRE Bibliothèque native nécessaire à Java Card Programme d installation Bibliothèque native Composants systèmes Niveau Applicatif Natif CAD Communication I/O Gestion de la mémoire Divers Processeur Niveau Hardware Hardware & OS natif Page 3

4 Projets orientés plate-forme Le projet CertiCartes (Inria Sophia-Antipolis : G. Barthe, G. Dufay, B. Serpette...) Formalisation du langage de bytecode en C oq. Le projet Bali (Münich : G. Klein, T.Nipkow,...) Formalisation du langage JavaCard en I sabelle. Ces projets sont inclus dans VerifiCard. (Université de Nijmegen, INRIA, Universités de Münich et Kaiserslautern, Swedish Institute of Computer Science, SchlumbergerSema.) Page 4

5 Bali et CertiCartes s appuient sur un assistant de preuve (logique d ordre supérieur). Définition de types et de constantes : type primitif, accès, classe, methode, programme... Preuve de lemmes. Des techniques pour prouver plus facilement des propriétés : règles de réécritures, règles de raisonnement. Page 5

6 Le projet Certicard Contient une formalisation de la plate-forme au niveau bytecode. formalisation d un programme (format CAP). formalisation de la machine virtuelle embarquée. formalisation des instructions et leur sémantique (opérationnelle). Page 6

7 Formalisation d un programme R e c o r d j c p r o g r a m : S e t : = { c l a s s e s : ( l i s t C l a s s ) ; m e t h o d s : ( l i s t M e t h o d ) ; i n t e r f a c e s : ( l i s t I n t e r f a c e ) }. R e c o r d I n t e r f a c e : S e t : = { s t a t u s s h a r e a b l e : b o o l ; s u p e r _ i n t : ( l i s t c a p _ i n t e r f _ i d x ) ; I n t _ i d : c a p _ i n t e r f _ i d x }. R e c o r d M e t h o d : S e t : = { s i g n a t u r e : ( s i g n a t u r e _ t y p e t y p e ) ; l o c a l : n a t ; b y t e c o d e : ( l i s t I n s t r u c t i o n ) ; s t a t u s s t a t i c : b o o l ; h a n d l e r _ l i s t : ( l i s t h a n d l e r _ t y p e ) ; m e t h o d _ i d : c a p _ m e t h o d _ i d x ; o w n e r : c a p _ c l a s s _ i d x }. Page 7

8 Formalisation de la JCVM D e f i n i t i o n j c v m _ s t a t e : = s t a t i c _ h e a p h e a p s t a c k. I n d u c t i v e o b j : S e t : = I n s t a n c e : t y p e _ i n s t a n c e > o b j A r r a y : t y p e _ a r r a y > o b j. D e f i n i t i o n h e a p : = ( l i s t o b j ). D e f i n i t i o n s t a t i c _ h e a p : = ( l i s t v a l u ). D e f i n i t i o n s t a c k : = ( l i s t f r a m e ). Page 8

9 Formalisation des instructions j c v m _ s t a t e o p e r a n d s > r e t u r n e d _ s t a t e I n d u c t i v e r e t u r n e d _ s t a t e : Set := N o r m a l : j c v m _ s t a t e >r e t u r n e d _ s t a t e A b n o r m a l : xcpt >j c v m _ s t a t e >r e t u r n e d _ s t a t e. D e f i n i t i o n NOP : = [ s t a t e : j c v m _ s t a t e ] C a s e s s t a t e of ( sh, ( hp, ( ( cons h lf ) as s ))) = > ( u p d a t e _ f r a m e ( u p d a t e _ p c ( S ( p _ c o u n t h ) ) h ) s t a t e ) _ => ( A b o r t C o d e s t a t e _ e r r o r s t a t e ) end. Page 9

10 Application de Certicard Description et vérification d un vérificateur de bytecode (BCV). A démontrer : A tout point du programme, les variables locales et les opérandes de pile sont correctement typées pour l instruction à exécuter. Ce qui est prouvé : Le BCV termine. Si la vérification de bytecodes est un succès AbortCode ne sera pas appelée. Page 10

11 Application de Bali p a c k a g e j a v a _ l a n g p u b l i c i n t e r f a c e H a s F o o { } p u b l i c B a s e f o o ( B a s e z ) ; p u b l i c c l a s s B a s e i m p l e m e n t s H a s F o o { s t a t i c b o o l e a n a r r [ ] = n e w b o o l e a n [ 2 ] ; p u b l i c H a s F o o v e e ; p u b l i c B a s e f o o ( B a s e z ) { r e t u r n z ; } } p u b l i c c l a s s E x t e x t e n d s B a s e { p u b l i c i n t v e e ; p u b l i c E x t f o o ( B a s e z ) { ( ( E x t ) z ). v e e = 1 ; r e t u r n n u l l ; } } BaseCl :: class "BaseCl == ( access=public, cfields=[(arr, ( access=public,static=true,type=primt Boolean.[] )), (vee, ( access=public,static=false,type=iface HasFoo ))], methods=[base_foo], init=expr(arr_viewed_from Base Base :=New (PrimT Boolean)[Lit (Intg 2)]), super=object, superifs=[hasfoo] )" Page 11

12 Exemples de propriétés p a c k a g e j a v a _ l a n g p u b l i c i n t e r f a c e H a s F o o { } p u b l i c B a s e f o o ( B a s e z ) ; p u b l i c c l a s s B a s e i m p l e m e n t s H a s F o o { s t a t i c b o o l e a n a r r [ ] = n e w b o o l e a n [ 2 ] ; p u b l i c H a s F o o v e e ; p u b l i c B a s e f o o ( B a s e z ) { r e t u r n z ; } } p u b l i c c l a s s E x t e x t e n d s B a s e { p u b l i c i n t v e e ; p u b l i c E x t f o o ( B a s e z ) { ( ( E x t ) z ). v e e = 1 ; r e t u r n n u l l ; } } 1. La seule interface est HasFoo 2. foo est déclarée dans Ext 3. Ext foo surcharge Base foo Page 12

13 A quoi cela peut-il donc servir? Évaluation de plate-forme : prouver la correction de certains aspects (BCV, firewall, transaction) en établissant une abstraction avec la formalisation de référence. complexe à mettre en oeuvre sans outil (projet Jakarta) Évaluation d application : un compilateur.cap jcprogram est fourni par le projet Jakarta. des outils de traduction spécification théories I sabelle/c oq reste à identifier les propriétés à vérifier et le niveau le plus approprié : solde 0 ; min val max ; vérification de type énuméré. Page 13

14 Projets orientés applications Extended Static Checker ESC/Java (Compaq System Research Center) vérifie à la compilation les assertions ESC/Java ou JML JML : Java Modeling Language (Université de l Iowa) compilateur LOOP (Université de Nijmegen) traduit le code annoté en JML PVS ou Isabelle). projet Bandera un langage de spécification des propriétés (logique temporelle) des outils pour extraire un modèle à état fini à partir des programmes. un langage d abstraction et un moteur d abstraction. JavaPathFinder. Page 14

15 JML : Java Modeling Language Développé par l université de l état de l Iowa. Il permet d exprimer des assertions à inclure dans le code Java en spécifiant, par exemple : les pré-conditions et post-conditions, les invariants, etc. Se rapproche de Eiffel (vérification à l exécution pour le debug) et de l approche Design by Contract. Super ensemble de ESC/Java. Utilisation = annotation du source Java ou Java Card précédée de // ou entourée par /* et */ directement dans le.java ou dans un fichier.jml Page 15

16 JML : Java Modeling Language Préconditions et Postconditions en JML / normal behavior r e q u i r e s : < precondition >; ensures : < p o s t c o n d i t i o n >; / Exitence des quantificateurs universels (\forall) existentiels (\exist) Page 16

17 JML : Java Modeling Language Traitement des exceptions / b e h a v i o r r e q u i r e s : < precondition >; ensures : <p o s t c o n d i t i o n >; s i g n a l s : ( Exception1 ) < condition1 >;... s i g n a l s : ( Exceptionn ) < conditionn >; / normal_behavior = behavior avec signals: (java.lang.exception) false; Page 17

18 JML : Java Modeling Language invariant et modifiable Pour la classe APDU (Application Protocol Data Unit), voici un invariant / i n v a r i a n t : b u f f e r!= n u l l && b u f f e r. l e n g t h == APDU.BUFFERSIZE; / modifiable:x spécifie qu une méthode peut changer seulement le champ x. Page 18

19 JML : Java Modeling Language modifiable p u b l i c s t a t i c n a t i v e byte a r r a y C o m p a r e ( byte [ ] src, s h o r t srcoff, byte [ ] dest, s h o r t destoff, s h o r t l e n g t h ) t h r o w s A r r a y I n d e x O u t O f B o u n d s E x c e p t i o n, N u l l P o i n t e r E x c e p t i o n ; / normal behavior r e q u i r e s : s r c!= n u l l && d e s t!= n u l l && s r c O f f >= 0 && d e s t O f f >= 0 && l e n g t h >= 0 && s r c O f f + l e n g t h <= s r c. l e n g t h && d e s t O f f + l e n g t h <= d e s t. l e n g t h ; m o d i f i a b l e : \ nothing ; ensures : t r u e / Page 19

20 JML : Java Modeling Language modifiable p u b l i c s t a t i c n a t i v e s h o r t a r r a y C o p y ( byte [ ] src, s h o r t srcoff, t h r o w s A r r a y I n d e x O u t O f B o u n d s E x c e p t i o n, / b e h a v i o r byte [ ] dest, s h o r t destoff, s h o r t l e n g t h ) N u l l P o i n t e r E x c e p t i o n, T r a n s a c t i o n E x c e p t i o n ; r e q u i r e s : s r c!= n u l l && d e s t!= n u l l && s r c O f f >= 0 && d e s t O f f >= 0 && l e n g t h >= 0 && s r c O f f + l e n g t h <= s r c. l e n g t h && d e s t O f f + l e n g t h <= d e s t. l e n g t h ; m o d i f i a b l e : d e s t [ d e s t O f f.. d e s t O f f+l e n g t h 1]; ensures : t r u e ; s i g n a l s : ( TransactionException ) t r u e ; / Page 20

21 JML : Java Modeling Language Exemple 1 setincomingandreceive 2 receivebytes 3 setoutgoinglength 4 sendbytes setoutgoing setoutgoingnochaining 5 setoutgoinglength 6 sendbytes setoutgoingandsend 7 // p u b l i c model i n t APDU state ; // p u b l i c i n v a r i a n t : 1 <= APDU state && APDU state <= 7; // p u b l i c model i n t Lr ; Page 21

22 JML : Java Modeling Language Exemple p u b l i c s h o r t s e t I n c o m i n g A n d R e c e i v e ( ) t h r o w s A P D U E x c e p t i o n ; / p u b l i c b e h a v i o r r e q u i r e s : APDU state == 1; m o d i f i a b l e : APDU state, b u f f e r [5..5+\ r e s u l t 1]; ensures : APDU state == 2 && ( data r e c e i v e d in b u f f e r [5..5+ \ r e s u l t 1 ] ) ; s i g n a l s : ( APDUException ) t r u e ; / Page 22

23 JML : Java Modeling Language Exemple p u b l i c s h o r t r e c e i v e B y t e s ( s h o r t boff ) t h r o w s A P D U E x c e p t i o n ; / p u b l i c b e h a v i o r r e q u i r e s : APDU state == 2 && 0 <= boff && boff+g e t I n B l o c k S i z e () <= BUFFERSIZE; m o d i f i a b l e : APDU state, b u f f e r [ boff.. boff+\r e s u l t 1]; ensures : APDU state == 2 && 0 <= \ r e s u l t && boff+\ r e s u l t <= BUFFERSIZE && ( data r e c e i v e d in b u f f e r [ boff.. boff+\r e s u l t 1 ] ) ; s i g n a l s : ( APDUException ) t r u e ; / Page 23

24 JML : Java Modeling Language Exemple p u b l i c s h o r t s e t O u t g o i n g ( ) t h r o w s A P D U E x c e p t i o n ; / p u b l i c b e h a v i o r r e q u i r e s : APDU state = = 1 APDU state == 2; m o d i f i a b l e : APDU state ; ensures : APDU state == 3; s i g n a l s : ( APDUException ) t r u e ; / Page 24

25 JML : Java Modeling Language Exemple p u b l i c void s e t O u t g o i n g L e n g t h ( s h o r t len ) t h r o w s A P D U E x c e p t i o n ; / p u b l i c b e h a v i o r r e q u i r e s : ( APDU state == 3 && 0 <= l e n && l e n <= 256) ( APDU state == 5 && 0 <= l e n && l e n <= getoutblocksize () 2); m o d i f i a b l e : APDU state, Lr ; ensures : APDU state == \ o l d ( APDU state)+1 && Lr == l e n ; s i g n a l s : ( APDUException ) t r u e ; / Page 25

26 JML : Java Modeling Language Résultats sur l ADPU A permis de redécouvrir des idées de design de la classe qui avaient disparues dans les spécifications informelles. A permis de lever des problèmes dans l implémentation de référence. A permis de rendre plus compréhensible les spécifications informelles. Page 26

27 Annexe R e c o r d f r a m e : S e t : = { ( o p e r a n d s t a c k ) o p s t a c k : ( l i s t v a l u ) ; ( l o c a l v a r i a b l e s ) l o c v a r s : ( l i s t v a l u ) ; ( l o c a t i o n o f t h e m e t h o d ) m e t h o d _ l o c : c a p _ m e t h o d _ i d x ; ( c o n t e x t i n f o r m a t i o n ) c o n t e x t _ r e f : P a c k a g e ; ( w h e t h e r t h e m e t h o d i s b e i n g a n a l y z e d ) a n a l y z e d : b o o l ; ( p r o g r a m c o u n t e r ) p _ c o u n t : b y t e c o d e _ i d x }. Page 27