Abstract-Vi presenterar ASPIER - det första ramverket som kombinerar programvara modellkontroll med en standard protokoll säkerhet modell för att automatiskt analysera autentisering och sekretess egenskaper protokoll implementeringar i C. Det tekniska tillvägagångssättet utökar iterativ abstraktion-raffinering metodologi för programvara modellkontroll med ett domänspecifikt protokoll och symbolisk angripare modell. Vi har implementerat ASPIER-verktyget och använt det för att verifiera autentisering och sekretessegenskaper hos en del av ett industriellt styrkeprotokoll - handskakningen i OpenSSL - för konfigurationer som består av upp till 3 servrar och 3 klienter. Vi har också implementerat två olika metoder för att resonera om angriparens budskapsderivat och utvärderat dem i samband med OpenSSL-verifiering. ASPIER upptäckte sårbarheten "version-rollback" i OpenSSL 0.9.6c källkod och verifierade framgångsrikt genomförandet när klienter och servrar bara är villiga att köra SSL 3.0.
REF tillämpar programvarumodellkontroll på OpenSSL-kod för att verifiera sekretess och autentisering för konfigurationer på upp till tre servrar och kunder.
ASPIER: An Automated Framework for Verifying Security Protocol Implementations
{'venue': '2009 22nd IEEE Computer Security Foundations Symposium', 'journal': '2009 22nd IEEE Computer Security Foundations Symposium', 'mag_field_of_study': ['Computer Science']}