Vérification formelle de la plate-forme Java Card

Transcription

1 Vérification formelle de la plate-forme Java Card Guillaume Dufay INRIA Sophia Antipolis

2 Vue d ensemble Certicartes : Vérification de la plate-forme Java Card Jakarta : Support automatisé pour la spécification et la vérification de machines virtuelles Réunion Castles mardi 3 février p.1/23

3 Architecture Java Card Java source Class file Cap file package fr.inri import javacar public class no public Object Java compiler Class File Converter Cap File Builder Chargement Liaison Vérification de bytecode Applet Applet Applet Extensions spécifiques pour l Industrie APIs Machine Virtuelle (JCVM) Environnement d Exécution (JCRE) Réunion Castles mardi 3 février p.2/23

4 Méthodes formelles Outils adéquats pour la modélisation et le raisonnement sur les cartes à puces intelligentes Garantie d un logiciel sûr par la détection d incohérences Nécessité de solutions dédiées pour obtenir un coût compétitif Réunion Castles mardi 3 février p.3/23

5 Méthodologie Vérification d une propriété statique P. Machine P -défensive proche des spécifications P vérifié à l exécution Machine P -offensive proche de l implémentation suppose P déjà vérifié Machine P -abstraite vérifie P uniquement Réunion Castles mardi 3 février p.4/23

6 Méthodologie Vérification d une propriété statique P. Machine P -défensive Abstractions Machine P -offensive Machine P -abstraite Analyse statique P -BCV Réunion Castles mardi 3 février p.4/23

7 Méthodologie Application à la sûreté du typage. Machine T ype-défensive manipule : valeurs typées types : vérifiés à l exécution Machine T ype-offensive manipule : valeurs non typées correction typage assuré par BCV Machine T ype-abstraite manipule : types comme valeurs Réunion Castles mardi 3 février p.4/23

8 CertiCartes Formalisation en COQ de la JCVM et du JCRE. Intégralité des instructions (sémantique opérationnelle à petit pas) Environnement d exécution (sauf méthodes natives) Spécifications fonctionnelles et exécutables Comparable aux machines virtuelles de référence. Réunion Castles mardi 3 février p.5/23

9 Valeurs Valeurs typées et vérification des types à l exécution. Inductive valu_prim : Set := vbyte : Z valu_prim vshort : Z valu_prim vint : Z valu_prim vboolean : Z valu_prim vreturnaddress : bytecode_idx valu_prim. Réunion Castles mardi 3 février p.6/23

10 Exemple d Instruction Definition IF_COND := [b:bytecode_idx][st:state] Réunion Castles mardi 3 février p.7/23

11 Exemple d Instruction Definition IF_COND := [b:bytecode_idx][st:state] Cases (stack st) of nil (AbortCode state_error st) (cons f lf) Cases (head (opstack f)) of None (AbortCode opstack_error st) (Some v) Réunion Castles mardi 3 février p.7/23

12 Exemple d Instruction Definition IF_COND := [b:bytecode_idx][st:state] Cases (stack st) of nil (AbortCode state_error st) (cons f lf) Cases (head (opstack f)) of None (AbortCode opstack_error st) (Some v) Cases v of (vprim (vshort vx)) _ (AbortCode type_error st) Réunion Castles mardi 3 février p.7/23

13 Exemple d Instruction Definition IF_COND := [b:bytecode_idx][st:state] Cases (stack st) of nil (AbortCode state_error st) (cons f lf) Cases (head (opstack f)) of None (AbortCode opstack_error st) (Some v) Cases v of (vprim (vshort vx)) Cases (compare vx 0 ) of true (update_pc b... st) false (update_pc (S (p_count f))... st) end _ (AbortCode type_error st) end end end. Réunion Castles mardi 3 février p.7/23

14 JCVM offensive Manipule des valeurs non typées. Definition valu := Z. Réunion Castles mardi 3 février p.8/23

15 Exemple d instruction Definition IF_COND := [b:bytecode_idx][st:state] Cases (stack st) of nil (AbortCode state_error st) (cons f lf) Cases (head (opstack f)) of None (AbortCode opstack_error st) (Some v) (* Cases v of *) (* (vprim (vshort vx)) *) Cases (compare v 0 ) of true (update_pc b... st) false (update_pc (S (p_count f))... st) end (* _ (AbortCode type_error st) *) (* end *) end end. Réunion Castles mardi 3 février p.9/23

16 Validation croisée Assurer la correction de l abstraction réalisée. Fonction d abstraction α do dstate α do ostate dexec oexec dstate α do ostate Le diagramme commute si la VM défensive ne lève pas d erreurs de typage. Réunion Castles mardi 3 février p.10/23

17 JCVM abstraite Manipule pour valeurs des types. Inductive valu_prim : Set := vbyte : (* Z *) valu_prim vshort : (* Z *) valu_prim vint : (* Z *) valu_prim vboolean : (* Z *) valu_prim vreturnaddress : bytecode_idx valu_prim. Réunion Castles mardi 3 février p.11/23

18 Exemple d instruction Definition IF_COND := [b:bytecode_idx][st:state] (* Cases (stack st) of nil (AbortCode state_error st) (cons f lf) *) Cases (head (opstack st)) of None (AbortCode opstack_error st) (Some v) Cases v of (vprim vshort) (* Cases (compare vx 0 ) of *) true (update_pc b... st) false (update_pc (S (p_count f))... st) (* end *) _ (AbortCode type_error st) end end (* end *). Réunion Castles mardi 3 février p.12/23

19 Exemple d instruction Definition IF_COND := [b:bytecode_idx][st:state] (* Cases (stack st) of nil (AbortCode state_error st) (cons f lf) *) Cases (head (opstack st)) of None (cons (AbortCode opstack_error st) (nil?)) (Some v) Cases v of (vprim vshort) (* Cases (compare vx 0 ) of *) (cons (update_pc b... st) (cons (update_pc (S (p_count f))... st) (nil?))) (* end *) _ (cons (AbortCode type_error st) (nil?)) end end (* end *). Réunion Castles mardi 3 février p.12/23

20 Validation croisée Fonction d abstraction α da dstate dexec dstate α da astate aexec α da astate Le diagramme commute si l exécution reste dans le même contexte et ne lève pas d exceptions. Réunion Castles mardi 3 février p.13/23

21 Vérification de bytecode Analyse de flot de données du code d un programme. Utilisation des valeurs avec des types corrects Pile d opérande ayant la taille attendue Initialisation des registres et objets avant utilisation Bonne formation du programme Assurer un comportement correct lors de l exécution. Réunion Castles mardi 3 février p.14/23

22 Résultats Cadre générique et modulaire réalisé en Coq Paramétré par un type d analyse Théorèmes obtenus : s:dstate. (check s) (reaches err dexec s). s:dstate. (check s) (α do (dexec s))=(oexec (α do s)).q Réunion Castles mardi 3 février p.15/23

23 Jakarta Outil pour la génération automatique d abstractions et de preuves de correction. Format de spécification spécifique (avec passerelles) Moteur d abstraction par traduction syntaxique Outil de génération d énoncés de lemmes et de preuves Langage de script pour diriger l abstraction Réunion Castles mardi 3 février p.16/23

24 Abstractions Définition pour chaque type de données σ de ˆσ et. σ : σ ˆσ Transformation de chaque fonction f : σ τ, définie par l 1 r 1,..., l n r n g d en ˆf : ˆσ ˆτ définie par l 1 r 1,..., l n r n g d Adaptation au format de règle : substitution et nettoyage Réunion Castles mardi 3 février p.17/23

25 Langage de Spécification Types polymorphes de premier ordre Termes algébriques du premier ordre E := V E == E c E f E Fonctions définies par des règles de réécriture conditionnelles l 1 r 1,..., l n r n g d où r i sont des motifs avec des variables fraîches Spécifications déterministes traductibles vers langages avec filtrage de motifs (CAML, Coq, Isabelle, PVS) Réunion Castles mardi 3 février p.18/23

26 Automatisation de preuve Principalement de l analyse de cas et du raisonnement équationnel Par Spike : nouvelles stratégies Par Coq : nouvelles tactiques, analyse de cas, réécriture (faiblesse) Génération de principes qui réduisent des buts de la forme x. φ( x, f x) en des sous-buts de la forme x : σ. y : σ.l 1 = r 1... l n = r n g = d φ ( x, f x) Réduction des preuves de correction à du raisonnement équationnel Réunion Castles mardi 3 février p.19/23

27 Scripts d abstraction Description de l abstraction : commandes globales Pas non uniformes d abstraction : commandes locales Utile pour l automatisation de preuves Ajout de lemmes auxiliaires Ajout de préconditions, tactiques et/ou stratégies, et autres commandes reliées aux preuves Centralisation des infos d abstraction et de preuve Réunion Castles mardi 3 février p.20/23

28 Jakarta Utilisateur VM Défensive Analyse Polyvariante Fonctions d abstraction Jakarta VM Abstraite Analyse Monovariante Analyse Hybride BCV pour VM Défensive Preuves de correction invocation Validation croisée Abstractions réalisées par des scripts d environ 50 lignes pour la VM offensive et 200 lignes pour la VM abstraite. Réunion Castles mardi 3 février p.21/23

29 Perspectives Application de la méthodologie à d autres propriétés Initialisation des objets Non-interférence Disponibilité des ressources Raisonnement équationnel Raffinement Génération de test Réunion Castles mardi 3 février p.22/23

30 Conclusion Spécifications formelles et vérification de la plate-forme Java Card possibles mais coûteuse en temps Nécessité d outils génériques, adaptés aux langages typés de bas niveau Réunion Castles mardi 3 février p.23/23