CN108830085A - 基于扩展UML的Web应用形式化建模及验证方法 - Google Patents

Abstract

本发明公开了一种基于扩展UML的Web应用形式化建模及验证方法，步骤(1)、提取所要设计的软件系统的功能性需求，进行需求分析；步骤(2)、进行UML建模；步骤(3)、使用XML表示上述的UML2.3模型；步骤(4)、生成形式化描述；步骤(5)、进行安全属性验证。本发明提供了由UML2.3模型到形式化语言进行自动转换的可行方法；对UML2.3中类图、时序图、状态图进行扩展，实现Web应用中协议的验证，以及实现UML模型到pi演算形式化语言的自动转换，极大的降低直接对协议进行形式化建模的难度；所用的形式化建模验证工具，并精化形式化验证模型；通过对验证结果的展示和攻击路径的分析，检测到形式化模型的漏洞，有助于快速精化模型，高效地进行缺陷检测。

Description

基于扩展UML的Web应用形式化建模及验证方法

技术领域

本专利涉及软件需求分析形式化技术领域，特别是涉及结合安全属性形式化分析与 验证领域的一种Web应用形式化建模及验证方法。

背景技术

随着软件工程规模不断扩大，软件的复杂性不断增加，软件系统更容易出现错误和 纰漏。此外，在整个软件生命周期中，修复系统漏洞的时间越滞后，其成本就越高昂。 因此，在软件系统早期设计和建模阶段就以软件开发方法与形式化方法相结合的方式进 行漏洞分析和缺陷检测、确保系统的可靠性，对提升软件质量具有重要的意义。

目前主要通过对软件需求的分析来实现对形式化方法进行建模。常用的形式化语言 有Z语言、B语言、CSP以及pi演算等。用于对安全需求工程建模的形式化和半形式 化常见方法有：Z语言、UML等。UML的发展主要基于面向对象的方法设计(OOAD)， 它结合并进一步发展了Booch的对象集合方法、JamesRumbaugh提出的对象建模技术 OMT以及Jacobson中对用例的定义和表示。UML规范中支持多种视图的建模，由于其 易用性和用户友好性，UML在工程行业迅速发展，并在事实上，已经成为了可视化建 模语言中的工业标准之一。

目前，通过形式化方法对安全协议进行建模及验证，可以及时在设计阶段找出协议 漏洞，保证了软件工程的Web应用中从设计到实现中的质量问题。形式化方法具有严 谨性和可验证的特点，适用于对安全攸关的系统和协议进行验证。另一方面，由于形式 化方法比较抽象，基于严格的数学理论和推导，对于软件工程师及开发者而言，有相对 较高的应用门槛，因此将形式化方法与常用的工程化建模方法结合，并进行建模和转换 是目前行之有效的一种方法。

然而，本发明针对上述现状，通过研究分析发现虽然结合UML及形式化的方法可以降低建模难度，并为系统提供形式化的语义和验证，但现有的方法依然存在很多不足 之处：1)缺少Web应用相关的协议的特点，只能针对部分安全协议进行建模，没有针 对相应的领域建模提出系统的框架；2)通常使用一种或两种视图对系统进行建模，由 于视图选取的局限性，在验证协议时，会出现状态爆炸的情况，同时使协议的转换过程 变得十分复杂。

发明内容

针对现有技术存在的上述问题，本发明提出了一种于扩展UML的Web应用形式化建模及验证方法，通过对UML2.3进行扩展建模，将UML方法和形式化方法的优势相 结合，并针对系统特点提出了轻量形式化框架，将系统模型的自动转换为形式化模型， 并进行安全属性验证。

本发明提出了一种基于扩展UML的Web应用形式化建模及验证方法，该方法包括以下流程：

步骤1、提取所要设计的软件系统的功能性需求，进行需求分析，

步骤2、进行UML建模，通过自然语言描述需求以实现建模；或者，对Web应用 独有的特征进行抽取，实现对软件系统的建模，其中：例图的建模表示软件系统中关键 角色的相应行为，而类图的建模表示软件系统中每个主要功能及系统中类之间的关系； 通过对UML2.3模型视图进行扩展，进行详细建模，从而为自动化转换做出准备，具体 包括：扩展的类图用于表示软件系统的类型和静态行为，扩展的时序图适用于对软件系 统间消息传递进行建模，而扩展的状态图对软件系统中行为对状态的迁移进行表示；

步骤3、使用XML表示上述的UML2.3模型；

步骤4、生成形式化描述，包括对模型的静态视图进行映射定义；对模型的动态视图即状态图和时序图进行转换，从而根据转换规则将模型自动转换为形式化描述，转换 规则分为两部分处理，一部分是对UML2.3模型导出为xmi模型，并分析模型的结构和 标签属性、提取出有用的信息，以树状结构保存；另一部分是对关键信息通过转换算法 实现重组，将相互关联的信息拼接为形式化语言；

步骤5、进行安全属性验证，调用集成的形式化验证工具，对软件系统涉及的安全属性进行验证。

与现有技术相比，本发明针对Web应用的特性，提出了基于UML2.3的形式化建 模框架，并依据此框架对UML2.3中的类图、时序图和状态图进行相应扩展，从而使其 自动化生成形式化语言。为安全协议的建模降低了难度，并保证了其安全属性。进一步 保证Web应用中软件设计和实现一致性，减少了漏洞发现的成本，有效提升了系统开 发的效率。预期的有益效果包括：

1.提出的基于Web应用特点的形式化框架，可以有效地根据Web应用的领域特点选取合适的UML2.3视图，并进行形式化建模。该框架满足Web应用中安全协议的特 性，降低了形式化的使用门槛，并发明出由UML2.3模型到形式化语言进行自动转换的 可行方法。

2.对UML2.3中类图、时序图、状态图进行扩展，要实现Web应用中协议的验证 方法。为了满足Web应用中的特有的安全特性，本发明需要在建模中对UML2.3模型 进行相应的扩展，并依据协议的复杂性选择合适的视图进行建模。本发明通过时序图描 述协议的核心进程，通过状态图约简重复的进程，并通过类图对协议静态信息进行建模。 此外，本发明还需实现UML模型到pi演算形式化语言的自动转换，极大的降低直接对 协议进行形式化建模的难度。

3.发明形式化建模验证工具，并精化形式化验证模型，高效地进行缺陷检测。本发明设计并实现了基于扩展UML2.3的形式化建模验证工具，从而为形式化框架提供了 有利支持，证明了方法的可行性。此外，通过对验证结果的展示和攻击路径的分析，可 以检测到形式化模型的漏洞，有助于快速精化模型，高效地进行缺陷检测。

附图标记

图1为基于UML2.3的Web应用形式化框架；

图2为本发明的基于UML2.3的Web应用形式化方法整体流程；

图3为形式化验证工具原型模块图；

图4为xmi文件解析结果(部分)；

图5为ConfiChair协议用例图模型；

图6为ConfiChair应用扩展类图模型；

图7为ConfiChair应用扩展时序图模型；

图8为ConfiChair应用扩展状态图模型；

图9为ConfiChair协议C_notify反例攻击路径。

具体实施方式

下面将结合附图对本发明的具体实施方式作进一步的详细描述。

如图2所示，本发明的基于扩展UML的Web应用形式化建模及验证方法，包括以 下流程：

步骤1、提取所要设计的软件系统的功能性需求，进行需求分析，

步骤2、UML建模，通过自然语言(例如需求规约等自然语言)描述需求以实现 建模；或者，对Web应用独有的特征进行抽取，实现对软件系统的建模，其中：例图 的建模表示软件系统中关键角色的相应行为，而类图的建模表示软件系统中每个主要功 能及系统中类之间的关系；通过对UML2.3模型视图进行扩展，进行详细建模，从而为 自动化转换做出准备，具体包括：扩展的类图用于表示软件系统的类型和静态行为，扩 展的时序图适用于对软件系统间消息传递进行建模，而扩展的状态图对软件系统中行为 由于事件的发生和约束，对状态的迁移进行很好的表示。本步骤中，根据构成应用的不 同的活动，选择不同的视图进行表示。以Web应用系统中的协议为例，在对系统协议 进行分析过程中，需要考虑其消息类型、密码原语、攻击者等元素的建模；该步骤的建 模集成了对UML2.3中类图、时序图和状态图三种主要视图的扩展；

步骤3、使用XML表示上述的UML2.3模型；

步骤4、生成形式化描述，即通过对不同视图定义映射规则和转换算法，系统可以生成相应的形式化描述，本发明选取应用pi演算语言作为系统主要的描述。

该步骤分为两部分处理，一部分是对UML2.3模型导出为xmi模型，并分析模型的结构和标签属性，提取出有用的信息，即通过对固定标签的识别，使用 node.getAttribute(AttributeName)函数提取出节点标签中的属性值，该结果以树状结构保 存。具体来讲是对模型的静态视图(类图)进行映射定义，主要定义了类图中元素到形 式化语义之间的映射规则。通过将扩展的构造型<<Type>><<Global>>等进行规则定义， 将其中定义的变量映射为形式化变量的定义或声明。根据映射规则的定义，可以通过从 UML2.3类图模型中自动提取出关键信息，如函数、变量和密码原语等，并将其转换成 形式化描述。对类图进行上述扩展后，相应转换规则如表1所示；

另一部分是对模型的动态视图(状态图和时序图)进行转换算法的描述，从而根据转换规则将模型自动转换为形式化描述。具体来讲是对状态图中的状态、转换及扩展的 标记值变量，时序图中的消息集合，参数集合等关键信息通过转换算法实现重组，将相 互关联的信息拼接为形式化语言，从而得到完整的模型。

在时序图中，每条消息都需要维护一个参数列表L，参数列表在参与者进行消息传递时，通过加解密的过程，维护参数列表的变化，自动获取参数列表的前后状态，对其 进行增加或删除。在每个进程P中，都存在消息列表L，进程P发送消息时，首先对L 中的信息进行加密，再将其发出。另一名参与者收到消息后，需要通过自身所持密钥对 消息进行解密，此时消息列表需要进行相应的更新。参数列表更新算法如算法1所示。 时序图参数列表的传递算法中，主要包含对称加密的参数列表传递和非对称加密的参数 列表传递两部分。其中对称加密中所用密钥为对称密钥，即shkKey变量，而非对称加 密中所用密钥分别为公钥pubKey和私钥priKey两个变量。

考虑到子进程部分有些角色的行为较为固定，可以在建模时对其行为进行抽象，将 抽象行为的状态图中所涉及的状态、转换关系以及行为、触发器等转换成ProVerif语法中的子进程，除此之外，对状态图中常见的顺序状态、分支状态、并行状态以及复合状 态等四种装配机制向Proverif语法进行映射，具体转换规则如表2所示。此外，对于状 态图中的动态信息传递情况，单纯通过四种转换机制无法覆盖形式化语义的内容，因此 需要通过转换算法的设计来处理状态图中的转换情况和消息传递情况，可以通过消息的 自转换验证形式化与一种进程是否为循环执行的。对于状态图的自转换消息识别算法如 算法2所示。状态机图的转换算法中，主要由生成自循环转换集合和找出自循环转换所 属节点集合这两部分组成。第一步骤首先通过比对转换t中的sourceid和targetid是否相 等，找出存在自循环的转换；第二步骤将上一步找出的自循环转换和状态机图中的状态 节点进行依次比对，找出自循环转换对应的状态节点，并放入集合W中，从而便于在 形式化转换过程中对包含自循环的状态进行识别。

步骤5、进行安全属性验证，调用集成的形式化验证工具，对软件系统涉及的安全属性(数据私密性、不可连接性等)进行验证，例如通过对系统进行漏洞检查，明确的 证明软件系统的建模是否可靠；例如对于云安全协议来说，验证数据的私密性和权限管 理等性质。在验证的具体流程中，并输出反例，便于系统的修复和精化。通过集成形式 化验证工具，对形式化模型进行灵活的验证，对系统安全中涉及的均有很强的验证能力。

验证工具的选取主要和形式化语言的转换有关，对于应用pi演算模型的验证，一般使用ProVerif集成工具，ProVerif被广泛的用于安全协议的验证，主要通过定理证明 等方式来证明消息传递的可靠性和可达性等。此外，对于CSP等形式化语言的验证， 可以通过PAT工具进行分析，PAT通过对系统的状态进行模拟，可以有效地检测死锁， 并给出相应的反例，十分有利于研究人员精化模型，即根据反例，快速得到形式化模型 的漏洞，针对攻击路径等结果，对模型进行改进，实现模型精化，从而达到在早期检测 漏洞，消除安全隐患的目的。

本发明的形式化验证工具包括以下流程：

1、总体设计及架构分析

本发明设计该验证工具的目的是实现上文中提出的形式化验证方法，并对实例进行 相应的分析处理，使该方法能够被更广泛的接受。工具的设计主要分为xml文件解析模块，形式化语言生成模块，安全属性验证模块及结果输出模块。如图3所示，为形式化 验证工具原型模块图。

2、XMI格式模型解析模块

本发明在设计形式化验证工具的解析模块中，对UML2.3的XML模型进行如下分 析流程的拆解：首先通过读取XML文件，将其中的节点以树的形式存储在程序中，再 从根节点开始进行遍历，通过对固定标签的识别，使用node.getAttribute(AttributeName) 函数提取出节点标签中的属性值。之后将标签属性进行分类和初步整合，如状态图中的 状态、转换及扩展的标记值变量，时序图中的消息集合，参数集合等。UML2.3导出 生成的XMI文件的其示例图(部分)如图4所示，XMI文件提取结果(部分)如图5 所示。

3、形式化模型转换及安全属性验证模块

形式化模型转换分为静态信息的映射和动态信息的转换两部分，主要通过以上方案 叙述的算法和映射关系进行转换，并将xmi模型的分析结果自动转换为应用pi演算语句，从而便于使用形式化验证工具ProVerif对协议的安全属性进行验证。

此外，为了更加方便的验证形式化协议的属性，本工具在属性验证部分集成了ProVerif中的执行命令，可以通过工具直接验证安全属性，而无需使用命令行调用ProVerif进行验证。根据ProVerif的帮助说明，通常使用如下命令对形式化模型的相关 属性进行验证：

proverif-in pi paperSecrecy.pi

其中pi参数代表无类型应用pi演算语言，工具中支持有类型、无类型pi演算语言及horn子句等多种形式化描述类型，因此使用者可以根据不同的类型对执行命令进行 调整。工具将验证后的结果用户可以分析和查看。

4验证结果展示及分析模块

验证结果展示及分析模块首先通过图形界面对工具进行可视化展示，之后通过对反 例中攻击路径的分析和推导，得出协议的漏洞。

结果分析模块主要通过对ProVerif中输出的验证结果进行分析，从而快速找出协议 漏洞，便于统计和修复。在ProVerif的验证过程中，如果验证结果正确时，则通过RESULT[Properties]is True/False来代表验证属性和验证结果之间的关系。验证结果正确时，系统将提供一个协议正确执行的流程。当验证结果错误时，系统会根据验证步骤，给出错 误的验证流程，并给出推导出的攻击路径。

通过对反例中攻击路径的分析，可以发现攻击路径可以通过正则表达式进行分析， 并提取相关因素，得出攻击执行的关键路径，并获取关键路径中相应的消息发送者、执行者，以及主机名称等信息。攻击路径的正则表达式构造如下：

(in|out)([a-z]+,\s*([^\s]*)\s*at\s{([1-9]*[0-9]*)}

\s(mes_[1-9]*[0-9]*)

以分析对象为基于云的管理系统中如EasyChair等存在的安全和隐私性风险而设计 的ConfiChair协议为具体实施例，对本发明的基于扩展UML的Web应用形式化建模及 验证方法整体流程进行整体的描述：

一、需求分析阶段

根据ConfiChair应用的概要设计，可以确定其功能性需求，隐私性需求和可用性需 求，分别有如下几点：

(1)功能性需求分析：

云平台的作用主要有以下几点：

·收集并存储会议相关数据

·保证访问控制，避免会议中审稿人审阅到自己投递的论文

·管理会议中数据产生的信息流程

·需要对论文被接受的作者发送通知

(2).隐私性需求：

保证云平台不能获取以下信息：

·作者所提交论文的具体内容

·审稿人所提交论文评论的具体内容

·审稿人为论文提交的分数评价

·此外，云平台不能具备识别某一篇论文所对应审稿人的能力

(3)可用性需求：

·系统应该具备当前市场上会议管理系统所具有的易用性，例如EasyChair，iChair 或是OpenConf等系统。

·系统保证安全性的同时，不能牺牲其响应时间等性能，也不能需要用户在客户端安装相关插件。

根据上述系统需求，结合系统的执行阶段，可以绘制出系统的用例图，表示ConfiChair应用中的关键行为和其与不同角色之间的关系。用例图可以明确不同角色的关键动作，从而进行区分。关键动作使用时序图，非关键动作使用状态图。其具体表示 如图7所示。

二、设计建模及转换阶段

通过扩展轮廓图的结构，以及对ConfiChair应用的需求分析，可以对其分别进行UML建模，本发明使用开源StarUML对系统进行建模。协议中对变量和函数的定义可 以通过UML2.3类图来表示，ConfiChair应用扩展类图模型如图6所示，在扩展的类图 中，构造型<<Type>>和<<Global>>主要用于定义协议中的全局变量、函数名称等。构 造型<<cryptographic>>被用于表达进程中的对称加密和非对称加密等操作。构造型 <<Participator>>可以代表协议中的不同参与者。类图中定义的操作可以展示出类中包含的子进程，而标记值可以定义参数的类型。

其中ConfiChair应用中扩展的时序图如图7所示。部分扩展后的状态图的UML2.3模型如图8所示。状态图主要用于表示嵌套的动作，从而避免UML2.3过于复杂而产生 的状态爆炸。状态图的映射规则和转换算法如上文所述，在UML2.3中，为状态图中的 约束加入了OCL扩展，因此可以提供更加清晰的描述。在图8中，展示了系统协议主 进程的状态图。可以看到这些状态是并行运行的，并且子进程A和C是不断循环执行 的。根据转换算法，可以依据不同的转换机制对状态图进行分解，并得到其形式和描述。 标记值用于表示新变量的定义，例如图8中的变量cshkconf以及cpubconf。

三、属性验证及结果分析

将ConfiChair应用进行UML2.3建模，并转换为应用pi演算描述后，本发明使用ProVerif工具来验证系统是否符合数据私密性和不可连接性等特点。协议数据私密性和不可连接性的验证结果如表3所示。

对ConfiChair协议中数据私密性和不可连接性进行验证后，本发明还验证了在协议 的关键进程中，是否关键信息的可达性能够保证，验证结果如表4所示。

对于关键进程C_notify中的不满足可达性的结果，通过分析，可以找出其中存在中 间人攻击(man-in-the-middle attack)，并且攻击者成功伪装成论文作者，劫持了含有ntf信息的消息，并通过senc函数得到了secretE[]即私密信息。由于主要的交互进程中含有74条消息，因此摘取部分关键攻击路径如图9所示，图中带框线框起的参数列表 代表攻击者和其他参与者进行交互，并获取或者伪装消息，将其发送至其他参与者完成 消息传递。

表1、类图转换规则说明

表2、状态图四种常见装配机制的匹配映射转换规则表

表3、ConfiChair协议数据私密性及不可连接性验证结果

表4、ConfiChair协议关键进程可达性验证结果表

Claims (2)

1.一种基于扩展UML的Web应用形式化建模及验证方法，其特征在于，该方法包括以下流程：

步骤(1)、提取所要设计的软件系统的功能性需求，进行需求分析；

步骤(2)、进行UML建模，通过自然语言描述需求以实现建模；或者，对Web应用独有的特征进行抽取，实现对软件系统的建模，其中：例图的建模表示软件系统中关键角色的相应行为，而类图的建模表示软件系统中每个主要功能及系统中类之间的关系；通过对UML2.3模型视图进行扩展，进行详细建模，从而为自动化转换做出准备，具体包括：扩展的类图用于表示软件系统的类型和静态行为，扩展的时序图适用于对软件系统间消息传递进行建模，而扩展的状态图对软件系统中行为对状态的迁移进行表示；

步骤(3)、使用XML表示上述的UML2.3模型；

步骤(4)、生成形式化描述，该步骤包括两部分：一部分是对模型的静态视图进行映射定义，即定义了类图中元素到形式化语义之间的映射规则；另一部分是对模型的动态视图即状态图和时序图进行转换算法的描述，从而根据转换规则将模型自动转换为形式化描述，转换规则分为两部分处理，一部分是对UML2.3模型导出为xmi模型，并分析模型的结构和标签属性、提取出有用的信息，以树状结构保存；另一部分是对关键信息通过转换算法实现重组，将相互关联的信息拼接为形式化语言；

步骤(5)、进行安全属性验证，调用集成的形式化验证工具，对软件系统涉及的安全属性进行验证。

2.如权利要求1所述的基于扩展UML的Web应用形式化建模及验证方法，其特征在于，该方法还包括以下处理：

如果安全属性验证结果是错误，则输出反例；

进行模型精化。