跳到主要内容
SpringerLink公司
登录

使用JavaSPI实现安全协议

  • 原始文章
  • 出版：
计算的形式方面

摘要

设计和编码安全协议是一项容易出错的任务。每年都会在协议实现和规范中发现一些缺陷。形式化方法可以通过对实现的行为进行严格的证明来支持实现，从而缓解这个问题。然而，基于形式的开发通常需要只有少数专家才能获得的领域特定知识，以及开发与实际实现相去甚远的抽象形式模型。本文提出了一个基于Java的协议设计和实现框架，在该框架中，用户可以使用与应用程序相对应的定义良好的语言子集，用Java编写安全协议符号模型π-微积分。这个Java模型可以在Java调试器中符号化地执行，用ProVerify进行正式验证，并进一步细化为协议的可互操作Java实现。提供了稳健性定理来证明，在一些合理的假设下，Java精化实现与ProVerif验证的符号模型之间存在一个模拟关系，因此，对于通常的安全属性，在Java精化实施中保留了ProVerify对符号模型验证的属性。通过对流行的SSL协议进行广泛的案例研究，评估了该框架的适用性。

这是订阅内容的预览，通过机构登录 以检查访问。

访问此文章

通过机构登录

价格包括增值税（中国）

即时访问全文PDF。

其他人正在查看的类似内容

工具书类

  1. Almeida JB、Bangerter E、Barbosa M、Krenn S、Sadeghi AR、Schneider T（2010）基于∑协议的知识零知识证明的认证编译器。In:第15届欧洲计算机安全研究会议（ESORICS 2010）。计算机科学课堂讲稿，第6345卷。柏林施普林格，第151-167页

  2. Almeida JB、Barbosa M、Barthe G、Dupressoir F（2013）《经认证的计算机辅助加密：来自高级实现的高效可证明安全的机器代码》。In:2013 ACM SIGSAC计算机和通信安全会议（CCS 2013），ACM，第1217–1230页

  3. Avanesov T、Chevalier Y、Mekki MA、Rusinovitch M（2012）《Web服务验证和谨慎实施》。In：数据隐私管理和自主自发安全。计算机科学课堂讲稿，第7122卷。柏林施普林格，第173-189页

  4. Abadi M，Fournet C：移动值、新名称和安全通信。ACM SIGPLAN非36(3), 104–115 (2001)

    第条 数学 谷歌学者 

  5. Al Fardan NJ，Paterson KG（2013）《幸运十三：打破TLS和DTLS记录协议》。摘自：2013年IEEE安全与隐私研讨会（标准普尔2013），IEEE，第526–540页

  6. Aizatulin M，Gordon AD，Jürjens J（2012）通过符号执行对C协议实现进行计算验证。在：2012年ACM计算机与通信安全会议（CCS 2012），ACM，第712–723页

  7. Apple goto fail bug（2014）CVE-2014-1266。https://web.nvd.nist.gov/view/vuln/detail？vulnId=CVE-2014-1266

  8. Avalle M、Pironti A、Pozza D、Sisto R:JavaSPI：安全协议实现框架。国际J安全软件工程2(4), 34–48 (2011)

    第条 谷歌学者 

  9. Avalle M、Pironti A、Sisto R：安全协议实施的正式验证：一项调查。表单Asp计算26（1） ，99–123（2014）

    第条 谷歌学者 

  10. Avalle M、Pironti A、Sisto R、Pozza D（2011）安全协议实施的JavaSPI框架。In:第六届可用性、可靠性和安全性国际会议（ARES 2011），IEEE计算机学会，第746-751页

  11. Albrecht MR、Paterson KG、Watson G（2009）针对ssh的明文恢复攻击。摘自：IEEE安全与隐私研讨会（S&P 2009），IEEE，第16–26页

  12. Bhargavan K、Corin R、Deniélou PM、Fournet C、Leifer JJ（2009）多方会话的密码协议合成和验证。摘自：第22届IEEE计算机安全基础研讨会（CSF 2009），IEEE计算机学会，第124-140页

  13. Bettasa Copet P、Pironti A、Pozza D、Sisto R、Vivoli P（2012），安全协议的可视化模型驱动设计、验证和实施。参见：IEEE第14届高保证系统工程国际研讨会（HASE 2012），IEEE，第62–65页

  14. Basin D，Doser J，Lodderstedt T：模型驱动的安全性：从UML模型到访问控制基础设施。ACM Trans Softw工程方法15(1), 39–91 (2006)

    第条 谷歌学者 

  15. Bhargavan K、Fournet C、Gordon AD、Tse S：验证了安全协议的互操作实现。ACM传输程序语言系统31(1), 1–61 (2008)

    第条 数学 谷歌学者 

  16. Blanchet B（2001）基于prolog规则的高效密码协议验证器。摘自：第14届IEEE计算机安全基础研讨会（CSF 2001），IEEE计算机学会，第82–96页

  17. Blanchet B：安全协议通信的自动验证。J计算安全17(4), 363–434 (2009)

    第条 谷歌学者 

  18. Bhargavan K、Lavaud AD、Fournet C、Pironti A、Strub PY（2014）《三重握手和饼干切割器：通过TLS打破和修复认证》。摘自：IEEE安全与隐私研讨会（S&P 2014），IEEE，第98–113页

  19. Bierman G，Parkinson M，Pitts A（2003）MJ：Java和Java的命令式核心演算及其效果。剑桥大学计算机实验室技术报告563

  20. Cade D，Blanchet B（2012）《从计算证明的协议规范到实现》。摘自：第七届可用性、可靠性和安全性国际会议（ARES 2012），IEEE计算机学会，第65-74页

  21. Dupressoir F，Gordon AD，Jürjens J，Naumann DA：指导通用C验证器证明密码协议。J计算安全22(5), 823–866 (2014)

    第条 谷歌学者 

  22. Dolev D，Yao A：关于公钥协议的安全性。IEEE跨信息理论29(2), 198–207 (1983)

    第条 数学科学网 数学 谷歌学者 

  23. GnuTLS证书验证问题（2014）CVE-2014-0092。https://web.nvd.nist.gov/view/vuln/detail？vulnId=CVE-2014-0092

  24. Gorrieri R，Versari C（2015）《过渡系统和行为等效性》。柏林施普林格，第21–79页

  25. 心跳错误（2014）CVE-2014-0160。https://web.nvd.nist.gov/view/vuln/detail？vulnId=CVE-2014年6月

  26. Heintze N，Tygar JD:安全协议及其组成的模型。IEEE Trans软件工程22(1), 16–30 (1996)

    第条 谷歌学者 

  27. Jürjens J（2001）保密精炼。摘自：Fiadeiro J，Zave P（eds）欧洲正式方法国际研讨会。计算机科学课堂讲稿，第2021卷。柏林施普林格，第135–152页

  28. Jürjens J：使用UML进行安全的系统开发。柏林施普林格出版社（2005）

    数学 谷歌学者 

  29. Kiyomoto S，Ota H，Tanaka T（2008）生成C源代码的安全协议编译器。In:信息安全与保证，IEEE，第20–25页

  30. Montrieux L、Jürjens J、Haley CB、Yu Y、Schobbens PY、Toussaint H（2010）《从umlsec属性生成代码的工具支持》。In:IEEE/ACM自动化软件工程国际会议（ASE 2010），ACM，第357-358页

  31. O'Shea N（2008）使用elyjah分析加密协议的Java实现。在：关于计算机安全基础、安全协议分析的自动推理和安全理论问题的联合研讨会，第221–226页

  32. Pironti A，Sisto R（2007）使用自动代码生成实现互操作加密协议的实验。IEEE计算机与通信研讨会，第839-844页。电气与电子工程师协会

  33. Pironti A，Sisto R：正式安全协议模型中数据编码的安全抽象。表单Asp计算26(1), 125–167 (2014)

    第条 数学科学网 数学 谷歌学者 

  34. Rescorla E、Ray M、Dispensa S、Oskov N（2010）传输层安全（TLS）重新协商指示扩展。副本请求5746

  35. Song DX、Perrig A、Phan D（2001）AGVI：安全协议的自动生成、验证和实施。参加：第十三届计算机辅助验证国际会议（CAV 2001）。计算机科学课堂讲稿，第2102卷。柏林施普林格，第241-245页

  36. 蹦西城堡军团。Bouncy castle加密API。https://www.bouncycastle.org/java.html

下载参考资料

作者信息

作者和附属机构

  1. 意大利都灵都灵理工大学自动化与信息学院

    里卡多·西斯托（Riccardo Sisto）、皮尔吉乌塞佩·贝塔萨·科佩特（Piergiuseppe Bettassa Copet）和马特奥·阿维尔（Matteo Avalle）

  2. IOActive，西班牙马德里

    阿尔弗雷多·皮隆蒂

作者
  1. 里卡多·西斯托
    查看作者出版物

    您还可以在中搜索此作者公共医学 谷歌学者

  2. 皮尔吉乌塞佩·贝塔萨·科佩特
    查看作者出版物

    您还可以在中搜索此作者公共医学 谷歌学者

  3. 马特奥·阿维尔
    查看作者出版物

    您还可以在中搜索此作者公共医学 谷歌学者

  4. 阿尔弗雷多·皮隆蒂
    查看作者出版物

    您还可以在中搜索此作者公共医学 谷歌学者

通讯作者

与的通信里卡多·西斯托.

其他信息

Mark Ryan、Feng Hao和Eerke Boiten

权利和权限

转载和许可

关于本文

检查更新。通过CrossMark验证货币和真实性

引用这篇文章

Sisto，R.、Bettasa Copet，P.、Avalle，M。等人。使用JavaSPI正式实现安全协议。表单Asp Comp 30, 279–317 (2018). https://doi.org/10.1007/s00165-017-0449-8

下载引文

  • 收到以下为：

  • 认可的以下为：

  • 出版以下为：

  • 发布日期以下为：

  • DOI程序以下为：https://doi.org/10.1007/s00165-017-0449-8

关键词

搜索

导航