【ProVerif学习笔记】3：进程宏和进程书写的语法规则

最新推荐文章于 2022-04-12 13:27:12 发布

大桔骑士v

最新推荐文章于 2022-04-12 13:27:12 发布

阅读量1.9k

点赞数 10

分类专栏： # ProVerif 文章标签： ProVerif 形式化方法形式化验证协议验证

本文链接：https://blog.csdn.net/SHU15121856/article/details/107952903

版权

ProVerif 专栏收录该内容

8 篇文章 46 订阅

订阅专栏

1 进程宏

进程宏(Process Macros)用来定义子进程，因为在用ProVerif对协议进行建模时，直接一个大的主进程比较混乱，进程宏的形式为：
$\bold{let} \ \ R(x_1:t_1,...,x_n:t_n)=P.$

其中 $R$ 是宏的名字， $P$ 是子进程， $x_1,...,x_n$ 是 $P$ 里面的free变量，当使用这个宏时（原文叫macro expansion）就把使用时的参数传进去了。

例如：

free c:channel.

free Cocks:bitstring [private].
free RSA:bitstring [private].
query attacker(Cocks).

let R(x:bitstring) = out(c,x);0.

let R'(y:bitstring) = 0.

process R(RSA) | R'(Cocks)

第7行和第9行定义了两个过程宏R和R'，R将参数x从通道c输出，R'什么都不做。

第11行进行macro expansion，分别将定义的两个free变量作为参数传入，两个进程并发执行。

2 进程书写的语法规则

2.1 项和进程的语法

在这里插入图片描述
这里大部分都能和编程语言里的概念对应上，只有几个特别的部分需要说明。

$\ | \ Q$ 表示进程 $P$ 和进程 $Q$ 的并发组合执行，即parallel composition。

$! P$ 表示无限个 $P$ 进程的并发组合执行，即infinite parallel composition，称为replication。

$\bold{new} \ \ n:t;P$ 表示绑定进程 $P$ 中类型为 $t$ 的name $n$ ，即name restriction。

$\bold{if} \ M \ \bold{then} \ P \ \bold{else} \ Q$ 是条件选择， $M$ 必须是一个计算布尔值的项，条件为真时执行P，假时执行Q，但是要注意 $M$ 执行失败的情况，例如 $M$ 中存在一个析构器，并且找不到与之对应的重写规则(rewrite rules)，这个时候就是执行失败了，那么整个都不会执行。

$\bold{let} \ \ x=M \ \bold{in} \ P \ \bold{else} \ Q$ 是项求值，如果 $M$ 能执行成功，它的值会赋给 $x$ （ $x$ 进行自动类型推导，和 $M$ 的类型一致），然后执行 $P$ 。如果 $M$ 执行失败，那么执行 $Q$ 。

2. 2 模式匹配的语法

在这里插入图片描述
变量模式 $x : t$ 匹配类型为 $t$ 的任何模式，然后绑定给 $x$ ，常用在有显式或者隐式赋值的地方。

变量模式 $x$ 也是一样，但是要求 $x$ 的类型必须能通过上下文推导出来才行。

元组模式 $T_1,...,T_n)$ 匹配的就是和每个位置类型一致的元组 $M_1,...,M_n)$ 。

$= M$ 模式匹配的是一个与项 $M$ 相等的项 $N$ 。

2.3 作用域和绑定

这里主要讲了加括号和优先级的问题， $\ | \ Q$ 是最先结合的，然后是if-then-else和let-in-else，最后是一元操作，如 $! P$ 。所以 $\ | \ Q$ 将被视为 $\ | \ Q)$ ，这个和编程语言有挺大区别的。

还有就是省略 $\ 0$ 的习惯导致的意义不清晰，比如：
$\bold{if} \ M = M' \ \bold{then} \ \bold{if} \ N = N' \ \bold{then} \ P \ \bold{else} \ Q$

它将被视为：
$\bold{if} \ M = M' \ \bold{then} \ (\bold{if} \ N = N' \ \bold{then} \ P \ \bold{else} \ Q)$

即 $e l s e$ 总是和最近的没有匹配的 $i f$ 匹配，对于let-in-else也是一样。

2.4 标识符和注释

对于构造器和析构器，没有什么类型上的限制，只要是标识符就行。标识符是用字母、数字、下划线、单引号组成的序列，区分大小写，避开保留字，且必须以字母开头。

注释是用(*和*)括起来的部分，不支持嵌套注释。

2.5 保留字

among, axiom, channel, choice, clauses, const, def, diﬀ, do, elimtrue, else, equation, equivalence, event, expand, fail, for, forall, foreach, free, fun, get, if, implementation, in, inj-event, insert, lemma, let, letfun, new, noninterf, not, nounif, or, otherwise, out, param, phase, pred, proba, process, proof, public vars, putbegin, query, reduc, restriction, secret, set, suchthat, sync, table, then, type, weaksecret, yield.

另外，ProVerif有内置类型bitstring、bool、time，以及逻辑量true、false，它们不属于保留字，可以被当作标识符，但是不建议这样做。

3 示例：书写握手协议

这里实际要用到上一章示例中定义的对称加密、非对称加密和签名的内容，这里把那些部分省略了没有写出来。

free c:channel.

free s:bitstring [private].
query attacker(s).

let clientA(pkA:pkey,skA:skey,pkB:spkey) =
	out(c,pkA);
	in(c,x:bitstring);
	let y = adec(x,skA) in
	let (=pkB,k:key) = checksign(y,pkB) in
	out(c,senc(s,k)).

let serverB(pkB:spkey,skB:sskey) =
	in(c,pkX:pkey);
	new k:key;
	out(c,aenc(sign((pkB,k),skB),pkX));
	in(c,x:bitstring);
	let z = sdec(x,k) in
	0.

process
	new skA:skey;
	new skB:sskey;
	let pkA = pk(skA) in out(c,pkA);
	let pkB = spk(skB) in out(c,pkB);
	( (!clientA(pkA,skA,pkB)) | (!serverB(pkB,skB)) )

在process处开始的是主进程，可以看到为A生成了非对称加密用的私钥，为B生成了签名用的私钥，然后为它们都生成公钥，把公钥都从公共通道c发送出去（以使得攻击者能访问这些公钥），再调用两个进程宏clientA和serverB来实现两个进程的并发执行，这里用replication的方式让两个主体都以无限数量会话并发执行。

协议流程和笔记2里学习的一样。即A把自己公钥pkA发出去。B则是接收到这个公钥pkX，然后B创建了一个对称密钥k（起到会话密钥的作用），和自己的公钥pkB一起打包成元组，先用自己的私钥skB签名，再用收到的公钥pkX加密，然后发出去。A接受到这个发来的bitstring，然后用自己私钥解密，解密成功之后得到y，然后用B的公钥pkB验证签名，如果验证通过了那么第一项就是pkB（这里用=pkB来匹配），第二项就是对称密钥k了，A再用这个k给消息s进行对称加密然后发出去。B接收到发来的bitstring之后，用自己刚刚创建的对称密钥k解密就得到了内容z，这应该和s是一样的内容。