La présentation est en train de télécharger. S'il vous plaît, attendez

La présentation est en train de télécharger. S'il vous plaît, attendez

Premier ministre – SGDN / DCSSI Why You Ought To Use Formal Methods: a 3-Pages 11-Slides Illustration Eric Jaeger, UPMC / LIP6 Réunion.

Présentations similaires


Présentation au sujet: "Premier ministre – SGDN / DCSSI Why You Ought To Use Formal Methods: a 3-Pages 11-Slides Illustration Eric Jaeger, UPMC / LIP6 Réunion."— Transcription de la présentation:

1 Premier ministre – SGDN / DCSSI Why You Ought To Use Formal Methods: a 3-Pages 11-Slides Illustration Eric Jaeger, UPMC / LIP6 Réunion SSURF du 5 avril 2007

2 Réunion SSURF du 5 avril 2007 Premier ministre – SGDN / DCSSI 2 Introduction Objectif de la présentation –Convaincre de lintérêt des méthodes formelles Démarche –Présenter un problème concret et simple –Proposer un algorithme pour répondre à ce problème –Analyser lapport dune conception réfléchie –Analyser lapport du test –Analyser lapport des méthodes formelles Présentation élémentaire, non destinée à des spécialistes

3 Réunion SSURF du 5 avril 2007 Premier ministre – SGDN / DCSSI 3 Présentation du problème A lorigine du problème, un cas concret relatif à lanalyse de configuration dun garde-barrière (firewall) –Des commandes Accept ou Drop, associée à des conditions sur les adresses, les ports, les flags, et exécutées séquentiellement –On veut comparer des configurations (Sont elles égales ? Lune est-elle strictement plus permissive que lautre ?) La conception mène à la définition dintervalles dentiers et dunions dintervalles dentiers –Un intervalle dentier représente une plage dadresses ou de ports ; cest un ensemble convexe –Une union dintervalles représente un ensemble de plages ; elle permet de représenter des ensembles non convexes –On se pose la question de légalité de deux unions dintervalles

4 Réunion SSURF du 5 avril 2007 Premier ministre – SGDN / DCSSI 4 Représentation et sémantique Un intervalle est représenté par un couple dentiers –[a,b], on définit x (a,b) axb (fermé, car on veut pouvoir représenter [#0,#FFFF]) –[a,b] avec a>b représente un intervalle vide Une union dintervalle est représentée par une liste dintervalles –(I 1,I 2,…,I n ), on définit x (I 1,I 2,…,I n ) k, 1kn x I k –Légalité extensionnelle nest pas légalité structurelle ab ba a1a1 b1b1 a2a2 b2b2 b3b3 a3a3 a4a4 b4b4 a1a1 b1b1 a2a2 b2b2 b3b3 a3a3 a4a4 b4b4 a1a1 b1b1 a4a4 b4b4 EXT STR

5 Réunion SSURF du 5 avril 2007 Premier ministre – SGDN / DCSSI 5 Problèmes des représentations multiples Pour les intervalles comme pour les unions dintervalles, on peut avoir de multiples représentations dun même ensemble –Nombreuses représentations dun intervalle vide : [3,2]=[5,1]=[10,8] –Nombreuses représentation de toute union dintervalles (on peut changer lordre, décomposer ou fusionner des intervalles, ajouter des intervalles vides) Ceci pose des problèmes dencombrement et defficacité –Mémoriser des intervalles vides ou des intervalles redondants est un gaspillage de ressources –Les algorithmes ne peuvent pas être optimisés –Légalité extensionnelle est difficile à analyser : pour x allant de Min à Max, vérifier que x est dans lunion U 1 si et seulement si x est dans lunion U 2

6 Réunion SSURF du 5 avril 2007 Premier ministre – SGDN / DCSSI 6 Notion de forme normale On cherche donc à définir pour les intervalles et les unions une « forme normale », compacte, unique Forme normale dun intervalle –[a,b] avec ab est lensemble des valeurs x tel que axb –[1,0] est la forme normale de lintervalle vide –La génération de la forme normale est triviale Forme normale dune union dintervalles –Trier, éliminer les intervalles vides, fusionner les intervalles –La génération de la forme normale est non triviale, mais simple Conjecture : légalité extensionnelle de deux unions se ramène à légalité structurelle de leur forme normale –Egalité extensionnelle : U 1 =U 2 (x U 1 x U 2 ) –Egalité structurelle : (I 1,I 2,I 3 …I n )=(J 1,J 2,J 3 …J m ) n=m et I k =J k pour tout k

7 Réunion SSURF du 5 avril 2007 Premier ministre – SGDN / DCSSI 7 Génération de la forme normale dune union a1a1 b1b1 a2a2 b2b2 a3a3 b4b4 a5a5 b5b5 a4a4 b4b4 a1a1 b1b1 a2a2 b2b2 a3a3 b4b4 a5a5 b5b5 a1a1 b1b1 a5a5 b2b2 Tri selon le critère [a,b][a,b] aa Elimination des intervalles vides Sil y a intersection entre I k et I k+1 [a,b][a,b] ab Alors fusionner I k et I k+1 [a,b][a,b]=[min(a,a),max(b,b)] On cherche à trouver la forme normale dune union, i.e. la liste « optimale » dintervalles avec les mêmes éléments

8 Réunion SSURF du 5 avril 2007 Premier ministre – SGDN / DCSSI 8 Propriété de la forme normale dune union On note U la forme normale de U (obtenue par cet algorithme) Quelques propriétés « simples » et prouvables –U contient moins dintervalles que U –Deux intervalles successifs [a,b] et [a,b] de U vérifient ab

9 Réunion SSURF du 5 avril 2007 Premier ministre – SGDN / DCSSI 9 Conjecture sur légalité Notre conjecture affirme aussi que légalité extensionnelle implique légalité structurelle des formes normales –(x U1 x U2) U1=U2 Informellement, on peut avoir confiance dans lalgorithme conçu avec soin Le test ne permet pas, a priori, daugmenter notablement le niveau de confiance La preuve, par contre, permet dobtenir une réelle confiance En pratique, on ne peut pas prouver ce résultat… car il est faux. Où est lerreur ?

10 Réunion SSURF du 5 avril 2007 Premier ministre – SGDN / DCSSI 10 Génération de la forme normale dune union a1a1 b1b1 a2a2 b2b2 a3a3 b4b4 a5a5 b5b5 a4a4 b4b4 a1a1 b1b1 a2a2 b2b2 a3a3 b4b4 a5a5 b5b5 a1a1 b1b1 a5a5 b2b2 Tri selon le critère [a,b][a,b] aa Elimination des intervalles vides Sil y a intersection entre I k et I k+1 [a,b][a,b] ab Alors fusionner I k et I k+1 [a,b][a,b]=[min(a,a),max(b,b)] On cherche à trouver la forme normale dune union, i.e. la liste « optimale » dintervalles avec les mêmes éléments

11 Réunion SSURF du 5 avril 2007 Premier ministre – SGDN / DCSSI 11 Contre-exemple à la conjecture Il y a des cas où la fusion est possible (nécessaire), même en labsence dintersection entre les intervalles –Raisonnement sur les dessins erroné : nest pas dense Cette erreur peut-elle être détectée par des tests ? Cette erreur est identifiée par les méthodes formelles ac a ab b Union U 2 de deux intervalles non vides, disjoints et triés, U 2 =U 2 Union U 1 dun unique intervalle non vide, U 1 =U 1 (x U1 x U2) mais pourtant U1U2 b+1


Télécharger ppt "Premier ministre – SGDN / DCSSI Why You Ought To Use Formal Methods: a 3-Pages 11-Slides Illustration Eric Jaeger, UPMC / LIP6 Réunion."

Présentations similaires


Annonces Google