基于SMV滑动窗口协议形式化建模与分析.pdfVIP

基于SMV 的滑动窗口协议的形式化建模与分析 赵也非，杨宗源，谢瑾奎 华东师范大学计算机科学技术系，上海 (200241) E-mail: yefeizhao@163.com 摘 要：本文采用模型检测的方法，在理想信道、信道可能丢失报文、受到入侵攻击这 3 种情况下，给出了滑动窗口协议的形式化模型，对协议的信息一致性、系统活性、信息完整 性等系统属性，进行验证，最后根据实验结果，得出结论：该协议在不同情况下，各系统属 性的表现是不同的；协议设计者可以通过SMV 提供的反例，找到协议的漏洞，提出应对方 案。 关键词：网络协议；滑动窗口；模型检测；SMV；协议分析 中图分类号：TP393 1. 引言 模型检测(Model Checking)技术，把时态逻辑和自动机理论有机结合起来，是一种形式 化验证方法。CTL (Computation Tree Logic，计算树逻辑) 由卡耐基大学的E. Clarke 给出。模 型检测已经在硬件验证，通信协议分析，临界安全系统验证中，取得了令人瞩目的成就。 用SMV 对网络协议进行建模分析，是一种有效的方法。国内在这个方向上做过一些研 究，其中包括：对无线认证协议的验证分析[4] ，对安全支付协议的设计与验证，对 ABP(Alternating Bit Protocol)协议[3]进行建模和验证等。 在ABP 协议中，发送方给接受方的信息帧号，和接收方给发送方的应答帧号，都只是 0 或1，使用模型检测工具能够很好的描述；但是在滑动窗口协议中，信息帧号、应答帧号、 滑动窗口的大小，可能是任意整数，在使用模型检测工具进行验证时，需要做进一步的抽象， 并考虑到系统的并发性。本文使用SMV 工具，对滑动窗口协议进行建模，分析，验证和漏 洞检测。 本文的结构是：首先介绍了SMV 和滑动窗口协议；其次，用SMV 输入语言，建立协 议的发送者、接收者、入侵者的有限自动机模型；再次，在理想信道、信道可能丢失报文、 受到入侵攻击3 种情况下，分别验证了协议的信息一致性、系统活性、信息完整性，给出实 验结果，对结果进行分析；最后是结论和展望。 2. 符号模型检测(Symbolic Model Verifier) SMV 基本原理框图如图 1 所示。 图1 基于CTL的符号模型检测基本原理框图 SMV 的4 个基本步骤是：(1) 用 SMV 检验器的描述语言，给出系统的形式化模型，包 括系统状态和状态间的迁移关系；(2) 用 CTL 给出待验证的系统属性；(3) 在模型检测器内 部，用 BDD 表示系统状态，状态间的迁移关系，待验证的系统属性；(4)应用符号模型检测 - 1 - 算法，给出检验结果。 SMV 使用Kripke 结构表示系统状态和状态间的迁移关系，使用CTL 表示系统的待验 证属性。有关Kripke 、CTL、SMV 的详细说明，可以参考苏开乐[5]和Michael Huth[1] 的相 关文献。 3. 滑动窗口协议的建模 滑动窗口协议由3 个实体组成{发送者，接收者，信道}。滑动窗口协议运行如下： message (1).发送者⎯⎯⎯⎯→接收者 {message 是在发送窗口内的任意信息帧} (2).接收者 Ack ⎯⎯→⎯ 发送者 {接收者收到信息帧后，若此信息帧在接收窗口内，则给发送者 返回该页的确认(Ack)} (3). 若发送窗口内的所有信息帧都收到了确认，则发送窗口向前滑动。 (4). 若接收方收到了所有接收窗口内的信息帧，则接收窗口向前滑动。 (1) 、(2)步是异步执行的，即发送方可以选择任意在发送窗口内的信息帧进行发送；接收方 可以接收任意在接收窗口内的信息帧，并返回该页的应答。 有关滑动窗口协议的详细规范，可以参考Tanenbaum 的“Computer Networ