43、超越 k - 安全的软件超属性验证

超越 k - 安全的软件超属性验证

在软件验证领域，许多重要的属性需要结合全称量词和存在量词来描述。本文将介绍一种新的验证方法，用于处理无限状态系统中超越 k - 安全的超属性验证问题。

1. 超越 k - 安全的属性

在信息流动控制等应用中，一些感兴趣的属性需要全称量词和存在量词的组合。例如，考虑一个反应式程序，其中 ⋆N 表示自然数的非确定性选择。假设 h 、 l 和 o 分别是高安全输入、低安全输入和低安全输出。该程序违反了简单的 2 - 安全非干扰属性，因为非确定性会影响输出。但从攻击者无法从低安全输入输出推断高安全输入信息的意义上来说，该程序是“安全”的。为了形式化描述这种安全性，引入了广义非干扰（GNI）的概念。

GNI 可以用以下时态逻辑表示：
[
\forall\pi.\forall\pi’.\exists\pi’‘. [o_{\pi} = o_{\pi’‘} \land l_{\pi} = l_{\pi’‘} \land h_{\pi’} = h_{\pi’‘}]
]
这个属性要求对于任意两个轨迹 π 和 π' ，存在一个轨迹 π'' ，它在全局上与 π 的低安全输入输出一致，但与 π' 的高安全输入一致。也就是说，对低安全输入输出行为的任何观察都与每个可能的高安全输入兼容。

GNI 属于 ∀∗∃∗ - 安全