DE112010003979T5

DE112010003979T5 - System und Verfahren für das statische Erkennen und Kategorisieren von Informationsfluss-Herabstufungseinrichtungen

Info

Publication number: DE112010003979T5
Application number: DE112010003979T
Authority: DE
Inventors: Roee Hay; Guy Podjarny; Adi Sharabani; Omer Tripp; Omri Weisman; Yinnon Haviv; Marco Pistoia; Takaaki Tateishi
Original assignee: International Business Machines Corp
Current assignee: International Business Machines Corp
Priority date: 2009-10-08
Filing date: 2010-07-30
Publication date: 2013-04-25
Also published as: CN102741837B; GB201207223D0; US20160156650A1; WO2011043856A1; GB2486864A; CN102741837A; US20110088023A1; US9275246B2; US10742666B2

Abstract

Ein System und ein Verfahren zum statischen Erkennen und Kategorisieren von Herabstufungseinrichtung des Informationsflusses enthalten das Transformieren (502) eines Programms, das in einer Speichereinheit gespeichert ist, durch statisches Analysieren von Programmvariablen, um eine einzige Zuweisung zu jeder Variable in einer Befehlsmenge zu erreichen. Die Befehlsmenge wird in Produktionsregeln mit Zeichenfolgenoperationen übersetzt (504). Eine kontextfreie Grammatik wird aus den Produktionsregeln erzeugt (508), um eine endliche Menge von Zeichenfolgen zu erkennen. Eine Funktion der Herabstufungseinrichtung des Informationsflusses wird durch Vergleichen der endlichen Menge von Zeichenfolgen mit einer oder mehreren Funktionsbeschreibungen erkannt (510).

Description

HINTERGRUND
Technisches Gebiet
Die vorliegende Erfindung bezieht sich auf die statische Programmanalyse und insbesondere auf Zeichenfolgenanalysen, die ohne Ausführung eines Programms während der Laufzeit auftretende Zeichenfolgenwerte ableiten, um eine Funktionsanalyse für das automatische Erkennen und Kategorisieren von Informationsfluss-Herabstufungseinrichtungen bereitzustellen.
Beschreibung der verwandten Technik
Die Prinzipien der Informationsfluss-Sicherheit legen fest, dass in einem Programm kein ”unerlaubter Fluss” von Informationen zulässig ist. Ein Fluss ist unerlaubt, wenn er ermöglicht, dass nichtvertrauenswürdige (untrusted) Informationen in einer vertrauenswürdigen (trusted) Berechnung verwendet werden (eine Verletzung der Unverfälschtheit) oder wenn er ermöglicht, dass geheime Informationen unberechtigten Benutzern vollständig oder teilweise preisgegeben werden (eine Verletzung der Vertraulichkeit). Unverfälschtheit (integrity) und Vertraulichkeit (confidentiality) können als duale Probleme betrachtet werden, indem einfach festgelegt wird, dass es keinen Informationsfluss von ”hoch” nach ”niedrig” geben sollte, wobei ”hoch” in Bezug auf Unverfälschtheit ”nichtvertrauenswürdig” und in Bezug auf Vertraulichkeit ”geheim” bedeutet und ”niedrig” in Bezug auf Unverfälschtheit ”vertrauenswürdig” und in Bezug auf Vertraulichkeit ”öffentlich” bedeutet.
Informationen können mit Informationsfluss-Kennzeichen markiert werden. Informationsfluss-Kennzeichen bilden üblicherweise eine teilweise geordnete Menge oder sogar ein Netz. Wenn die Informationsfluss-Sicherheit streng durchgesetzt und kein unerlaubter Informationsfluss zugelassen werden würde, würden die meisten Programme nicht funktionieren. Damit ein Informationsfluss sicher wäre, müsste ein Programm ”partitioniert” werden, so dass Informationen, die mit einem bestimmten Kennzeichen ”/” markiert sind, lediglich zu Programmpunkten fließen können, die mit Kennzeichen markiert wurden, die höher als oder gleich ”/” sind. Es ist sehr unwahrscheinlich, dass ein Programm mit diesen Einschränkungen nützlich wäre. Vom Standpunkt der Unverfälschtheit wird z. B. angenommen, dass eine Netzanwendung Eingaben von potentiell nichtvertrauenswürdigen Benutzern akzeptiert und diese Eingaben bei vertrauenswürdigen Berechnungen verwendet. Ein Programm zum Online-Banking verwendet z. B. als Eingabe die Kontonummer und das Passwort eines Benutzers (potentiell nichtvertrauenswürdige oder fehlerhafte Informationen) und leitet sie zu dem nachgestellten Datenbanksystem, wo sie in einer vertrauenswürdigen Umgebung verwendet werden. In einem anderen Beispiel verwendet eine Online-Buchhandlung die Benutzerkennung und das Passwort des Kunden und den Titel des Buchs, das der Kunde kaufen möchte (alles potentiell nichtvertrauenswürdige oder fehlerhafte Informationen), und verwendet sie, um eine Transaktion auszuführen usw.
Vom Standpunkt der Vertraulichkeit gibt eine Netzanwendung häufig Daten aus, die auf der Grundlage von geheimen Informationen berechnet wurden und daher ebenfalls als geheim betrachtet werden sollten. Eine Banking-Anwendung kann z. B. die letzten vier Ziffern der Sozialversicherungsnummer eines Benutzers für jeden Bankangestellten einsehbar machen, eine Online-Buchhandlung kann die letzten vier Ziffern der Kreditkartennummer eines Kunden für jeden Verkäufer einsehbar machen usw. Unter der Voraussetzung, dass alle diese Programme Informationsflüsse enthalten, die zulassen, dass ”höherwertige” Informationen zu ”niederwertigen” Programmpunkten fließen, würden alle diese Programme zurückgewiesen werden, wenn die Sicherheit des Informationsflusses einfach durchgesetzt würde. Damit diese Programme funktionieren können, können ”höherwertige” Informationen ”herabgestuft” und in ausreichendem Maße ”niederwertig” werden, damit sie in ”niederwertigen” Programmpunkten verwendet werden können.
Herabstufung lässt sich in Bezug auf Unverfälschtheit als ”Aufwertung” und in Bezug auf Vertraulichkeit als ”Abwertung” übersetzen. Nachdem z. B. ein Programm festgestellt hat, dass die von Benutzer gelieferte Eingabe in eine Netzanwendung eine richtig formatierte Zeichenfolge ist, kann das Programm diese Eingabe aufwerten, die nun ausreichend sicher wird, damit sie in einer sicheren Berechnung verwendet werden kann. Nachdem ein Programm in ähnlicher Weise festgestellt hat, dass die aus einem Geheimnis gewonnenen Informationen nicht ausreichend sind, um das eigentliche Geheimnis preiszugeben, kann das Programm die gewonnenen Informationen abwerten, die nun in ausreichendem Maße öffentlich werden, damit sie für einen öffentlichen Empfänger einsehbar werden können. Tabelle 1: Sicherheit des Informationsflusses

Unverfälschtheit Vertraulichkeit

Hoch nichtvertauenswürdig geheim

Niedrig vertrauenswürdig öffentlich

Herabstufung Aufwertung Abwertung
Mit einem Programm sind viele Herabstufungseinrichtungen möglich. Ein Programm sollte keine ”höherwertige” Eingabe in eine ”niederwertige” Funktion akzeptieren, es sei denn, die ”höherwertige” Eingabe wurde zuvor herabgestuft. Eine Herabstufungseinrichtung ist ferner spezifisch für lediglich eine Teilmenge aus der Menge von ”niederwertigen” Funktionen. Eine ”niederwertige” Funktion in Bezug auf Unverfälschtheit, die z. B. eine Eingabe in Form einer Zeichenfolge akzeptiert, verknüpft diese Zeichenfolge zu einer Abfrage in einer strukturierten Abfragesprache (Structured Query Language – SQL) und übermittelt diese an eine Datenbank. Die Funktion wird fordern, dass ihre Eingabe keine Semikolons und Apostrophe enthält, da diese Zeichen durch die Datenbank als SQL-Befehle interpretiert werden. Deswegen sollten alle Eingaben in diese ”niederwertige” Funktion einer Bereinigung oder Aufwertung unterzogen worden sein, um sicherzustellen, dass keine derartigen unzulässigen Zeichen vorhanden sind.
Nur wenn eine vertrauenswürdige Bereinigungseinrichtung feststellt, dass keine derartigen unzulässigen Zeichen auftreten, wird diese anfangs nichtvertrauenswürdige Zeichenfolge für eine Verwendung in der SQL-Abfrage akzeptiert. Wenn jedoch die ”niederwertige” Funktion nicht für das Ausführen von SQL-Abfragen, sondern für das Verknüpfen ihrer Zeichenfolge-Eingabewerte im Code der HyperText Markup Language (HTML) verantwortlich ist, ist eine andere Bereinigung erforderlich. Das Problem besteht nicht mehr darin, SQL-Injektionen zu verhindern, sondern Angriffe im so genannten Cross-Site Scripting (XSS) zu verhindern. In diesem Fall muss die Bereinigungsfunktion prüfen, ob spezifische JavaScript-Markierungen wie etwa <script> und </script> nicht vorhanden sind.
Herabstufungseinrichtungen stehen häufig in Bibliotheken zur Verfügung und werden anhand der Beschreibung der entsprechenden ”niederwertigen” Funktionen kategorisiert. Bei Netzanwendungen kommen jedoch häufig deren eigenen Herabstufungsfunktionen zum Tragen. Das macht eine statische Analyse der Sicherheit von Netzanwendungen sehr komplex. Eine statische Analyse der Sicherheit des Informationsflusses sollte tatsächlich als Eingabe die Signatur der Herabstufungsfunktionen sowie Regeln, die Herabstufungsfunktionen auf die entsprechenden ”niederwertigen” Funktionen abbilden, empfangen. An diesem Punkt kann die statische Analyse feststellen, ob die Eingabe für eine ”niederwertige” Funktion bereits einer geeigneten Herabstufung unterzogen wurde, ohne dass ein Weg zu einer ”niederwertigen” Funktion führt, es sei denn, ihre Eingaben sind in geeigneter Weise herabgestuft worden. Wenn bei Netzanwendungen deren eigene Herabstufungseinrichtungen realisiert werden, ist es leider sehr schwierig, diese Herabstufungseinrichtungen zu erkennen und sie in einer solchen Weise zu kategorisieren, dass die statische Analyse der Sicherheit des Informationsflusses sie nachfolgend berücksichtigen kann.
Zu den Schwierigkeiten kann Folgendes gehören: 1. Wenn eine manuelle Codeprüfung verwendet wird, steht unter Umständen nicht der gesamte Quellencode zur Verfügung. Ein bestimmter Code kann von einer dritten Stelle hergestellt und verkauft worden sein. Deswegen ist eine manuelle Codeprüfung für ein Erkennen und Kategorisieren von Herabstufungseinrichtungen des Informationsflusses eventuell nicht möglich. Selbst wenn der gesamte Quellencode verfügbar ist, ist die manuelle Codeprüfung gegebenenfalls keine durchführbare Option, wenn ein großer Umfang des Codes geprüft werden muss. Eine manuelle Codeprüfung ist im Allgemeinen fehleranfällig, schwierig, zeitaufwändig und unzuverlässig. 2. Eine dynamische Analyse oder Prüfung könnte verwendet werden. Die Abdeckung der dynamischen Analyse hängt jedoch von der Vollständigkeit der verwendeten Prüffallfolge ab. Wenn die Folge von Prüffällen unvollständig ist, ist nicht garantiert, dass eine dynamische Analyse alle möglichen Herabstufungseinrichtungen, die von einer Anwendung verwendet werden, erkennt, sodass das Kategorisieren der Herabstufungseinrichtungen unvollständig sein wird.
ZUSAMMENFASSUNG
Ein System und ein Verfahren für das statische Erkennen und Kategorisieren von Herabstufungseinrichtungen des Informationsflusses enthalten das Transformieren eines Programms, das in einer Speichereinheit gespeichert ist, durch statisches Analysieren von Programmvariablen, um eine einzige Zuweisung zu jeder Variablen in einer Befehlsmenge zu erreichen. Die Befehlsmenge wird in Produktionsregeln bei Zeichenfolgenoperationen übersetzt. Eine kontextfreie Grammatik wird aus den Produktionsregeln erzeugt, um eine endliche Menge von Zeichenfolgen zu identifizieren. Eine Funktion einer Herabstufungseinrichtung für einen Informationsfluss wird durch Vergleichen der endlichen Menge von Zeichenfolgen mit einer oder mehreren Funktionsbeschreibungen erkannt.
Ein Verfahren für das statische Erkennen und Kategorisieren von Herabstufungseinrichtungen des Informationsflusses enthält das Transformieren eines Programms, das in einer Speichereinheit gespeichert ist, durch statisches Analysieren von Programmvariablen, um eine einzige Zuweisung zu jeder Variablen in einer Befehlsmenge zu erreichen. Die Befehlsmenge wird in Produktionsregeln mit Zeichenfolgenoperationen übersetzt. Eine Zeigeranalyse wird an den Produktionsregeln mit Zeichenfolgenoperationen ausgeführt, um die Genauigkeit zu verbessern. Eine kontextfreie Grammatik wird aus den Produktionsregeln erzeugt, um eine endliche Menge von Zeichenfolgen zu identifizieren. Die kontextfreie Grammatik wird mit einer Beschreibung einer sicherheitsempfindlichen Funktion verglichen, so dass dann, wenn die Grammatik der Beschreibung entspricht, die Eingabe als in geeigneter Weise herabgestuft betrachtet wird. Eine Zeichenfolge wird gekennzeichnet, um Zeichenfolgen manipulierende Funktionen zu lokalisieren, die eine Eingabe modifizieren und die Eingabe beschreibungskonform machen würden, um eine Funktion einer Herabstufungseinrichtung für einen Informationsfluss zu identifizieren und zu kategorisieren.
Ein System für das statische Erkennen und Kategorisieren von Herabstufungseinrichtungen des Informationsflusses enthält eine Programmspeichereinheit, die so eingerichtet ist, dass sie ein Programm speichern kann. Die Programmspeichereinheit ist so eingerichtet, dass sie in Verbindung mit einem Prozessor arbeiten kann, um Programmbefehle auszuführen, um Herabstufungseinrichtungen des Informationsflusses in dem Programm zu erkennen und zu kategorisieren. Eine statische Analyserahmenstruktur ist so eingerichtet, dass sie ein Anwendungsprogramm analysieren und eine statische Zeichenfolgenzuweisung an dem Anwendungsprogramm ausführen kann, um Programmvariable zu transformieren, um eine einzige Zuweisung für jede Variable in einer Befehlsmenge zu erreichen. Die Rahmenstruktur ist so eingerichtet, dass sie die Befehlsmenge in Produktionsregeln mit Zeichenfolgenoperationen übersetzen und eine kontextfreie Grammatik aus den Produktionsregeln erzeugen kann, um eine endliche Menge von Zeichenfolgen zu identifizieren. Ein Vergleichsmodul ist so eingerichtet, dass es die endliche Menge von Zeichenfolgen durch Vergleichen der endlichen Menge von Zeichenfolgen mit einer oder mehreren Funktionsspezifikationen erkennen und kategorisieren kann, um eine Funktion einer Herabstufungseinrichtung des Informationsflusses zu erkennen.
Diese und weitere Merkmale und Vorteile werden aus der folgenden genauen Beschreibung ihrer veranschaulichenden Ausführungsformen deutlich, die in Verbindung mit den beigefügten Zeichnungen zu lesen ist.
KURZBESCHREIBUNG DER ZEICHNUNGEN
Die Offenbarung liefert Einzelheiten in der folgenden Beschreibung bevorzugter Ausführungsformen unter Bezugnahme auf die folgenden Zeichnungen, worin:
1 ein Ablaufplan in Blockform ist, der ein System/Verfahren zur Zeichenfolgenanalyse gemäß einer veranschaulichenden Ausführungsform zeigt;
2 ein Transducer-Schaubild für einen veranschaulichenden Transducer substring(_,2) ist;
3 ein Ablaufplan in Blockform ist, der ein System/Verfahren zur Zeichenfolgenanalyse gemäß einer weiteren veranschaulichenden Ausführungsform zeigt;
4 ein Aufruf-Graph zum Aufrufen einer Nappend-Routine gemäß einer veranschaulichenden Ausführungsform ist;
5 ein Ablaufplan in Blockform ist, der ein System/Verfahren zum Erkennen und Kategorisieren von Herabstufungseinrichtungen gemäß einer veranschaulichenden Ausführungsform zeigt; und
5 ein Blockschalt-/Ablaufplan ist, der ein System zum Erkennen und Kategorisieren von Herabstufungseinrichtungen gemäß den vorliegenden Prinzipien zeigt.
GENAUE BESCHREIBUNG BEVORZUGTER AUSFÜHRUNGSFORMEN
Ausführungsformen gemäß den vorliegenden Grundgedanken verwenden eine statische Zeichenfolgeanalyse zum automatischen Erkennen und Kategorisieren von Herabstufungseinrichtungen des Informationsflusses. Die Verwendung einer statischen Zeichenfolgeanalyse identifiziert Herabstufungseinrichtungen und kategorisiert sie anhand ihrer Verwendungszwecke. In einer veranschaulichenden Ausführungsform läuft die Analyse folgendermaßen ab. Für jede sicherheitsempfindliche Funktion in dem Programm wird die Zeichenfolgeanalyse verwendet, um die Grammatik(en) der Zeichenfolgeneingabe(n) für die Funktion zu erkennen. Dann wird die Grammatik mit einer Beschreibung der sicherheitsempfindlichen Funktion verglichen. Wenn die Grammatik der Beschreibung entspricht, bedeutet das, dass die Eingabe ordnungsgemäß herabgestuft wurde. In diesem Fall ist es unter Verwendung des Kennzeichnungsmerkmals der Zeichenfolgenanalyse möglich, die Zeichenfolgen manipulierenden Funktionen zu lokalisieren, die die Eingabe modifizieren und beschreibungskonform machen würden. Diese Funktionen bilden eine Herabstufungseinrichtung für die sicherheitsempfindliche Funktion. Die Beschreibung der sicherheitsempfindlichen Funktion kann ferner verwendet werden, um die neu entdeckte Herabstufungseinrichtung zu kategorisieren, was ein wichtiges Merkmal darstellt, vorausgesetzt, dass eine Herabstufungseinrichtung für eine sicherheitsempfindliche Funktion nicht für eine andere sicherheitsempfindliche Funktion funktionieren kann.
Es wird von einem Fachmann anerkannt, dass Aspekte der vorliegenden Erfindung als ein System, Verfahren oder Computerprogrammprodukt ausgeführt werden können. Dementsprechend können Aspekte der vorliegenden Erfindung die Form einer vollständigen Hardware-Ausführungsform, einer vollständigen Software-Ausführungsform (darunter Firmware, residente Software, Mikrocode usw.) oder eine Ausführungsform, die Software- und Hardware-Aspekte kombiniert, besitzen, die hier alle im Allgemeinen als ”Schaltung”, ”Modul” oder ”System” bezeichnet werden können. Ferner können Aspekte der vorliegenden Erfindung die Form eines Computerprogrammprodukts besitzen, das sich auf einem oder mehreren computerlesbaren Medien befindet, die computerlesbaren Programmcode aufweisen, der darin enthalten ist.
Alle Kombinationen aus einem oder mehreren computerlesbaren Medien können verwendet werden. Das computerlesbare Medium kann ein computerlesbares Signalmedium oder ein computerlesbares Speichermedium sein. Ein computerlesbares Speichermedium kann z. B. ein elektronisches, magnetisches, optisches, elektromagnetisches, Infrarot- oder Halbleitersystem, Vorrichtung oder Einheit oder jede geeignete Kombination des Vorhergehenden sein, ohne darauf beschränkt zu sein. Zu weiteren spezifischen Beispielen (einer nicht erschöpfenden Liste) des computerlesbaren Speichermediums gehören: eine elektrische Verbindung mit einer oder mehreren Leitungen, eine tragbare Computerdiskette, eine Festplatte, ein Arbeitsspeicher (RAM), ein Festwertspeicher (ROM), ein löschbarer programmierbarer Festwertspeicher (EPROM oder Flash-Speicher), ein Lichtwellenleiter, ein tragbarer Kompaktdisk-Festwertspeicher (CD-ROM), eine optische Speichereinheit, eine magnetische Speichereinheit oder jede geeignete Kombination des Vorhergehenden. Im Kontext dieses Dokuments kann ein computerlesbares Speichermedium jedes materielle Medium sein, das ein Programm für eine Verwendung durch oder in Verbindung mit einem System, einer Vorrichtung oder Einheit zur Ausführung von Befehlen enthalten oder speichern kann.
Ein computerlesbares Signalmedium kann ein verbreitetes Datensignal enthalten, wobei darin z. B. im Basisband oder als Teil einer Trägerwelle computerlesbarer Programmcode enthalten ist. Ein derartiges verbreitetes Signal kann eine von einer Vielfalt von Formen, darunter eine elektromagnetische Form, eine optischen Form oder jede geeigneten Kombination hiervon besitzen, ohne jedoch auf diese beschränkt zu sein. Ein computerlesbares Signalmedium kann jedes computerlesbare Medium sein, das kein computerlesbares Speichermedium ist und ein Programm zur Verwendung durch oder in Verbindung mit einem System, einer Vorrichtung oder Einheit zur Ausführung von Befehlen übertragen, ausbreiten oder transportieren kann.
Programmcode, der sich auf einem computerlesbaren Medium befindet, kann unter Verwendung eines geeigneten Mediums, zu dem drahtlose, leitungsgebundene, Lichtwellenleiterkabel-, HF-Medien usw. zählen oder jede geeignete Kombination des Vorhergehenden übertragen werden.
Computerprogrammcode zum Ausführen von Operationen für Aspekte der vorliegenden Erfindung kann in jeder Kombination aus einer oder mehreren Programmiersprachen geschrieben sein, darunter eine objektorientierte Programmiersprache wie Java, Smalltalk, C++ oder dergleichen und herkömmliche Prozedur-Programmiersprachen wie die Programmiersprache ”C” oder ähnliche Programmiersprachen. Der Programmcode kann vollständig auf dem Computer des Benutzers, teilweise auf dem Computer des Benutzers, als ein selbstständiges Softwarepaket teilweise auf dem Computer des Benutzers und teilweise auf einem entfernt angeordneten Computer oder vollständig auf dem entfernt angeordneten Computer oder Server ausgeführt werden. In dem letzteren Szenario kann der entfernt angeordnete Computer mit dem Computer des Benutzers über jeden Typ von Netzwerk verbunden sein, darunter ein Lokalbereich-Netzwerk (LAN) oder ein Weitbereich-Netzwerk (WAN), oder die Verbindung kann (z. B. über das Internet unter Verwendung eines Internet-Dienstanbieters) mit einem externen Computer erfolgen.
Aspekte der vorliegenden Erfindung werden im Folgenden unter Bezugnahme auf Ablaufplan-Darstellungen und/oder Blockschaubildern von Verfahren, Vorrichtungen (Systemen) und Computerprogrammprodukten gemäß Ausführungsformen der Erfindung beschrieben. Es ist klar, dass jeder Block von Ablaufplan-Darstellungen und/oder Blockschaubildern und Kombinationen von Blöcken der Ablaufplan-Darstellungen und/oder Blockschaubildern durch Computerprogrammbefehle ausgeführt werden kann. Diese Computerprogrammbefehle können an einen Prozessor eines Mehrzweck-Computers, eines speziellen Computers oder einer anderen programmierbaren Datenverarbeitungsvorrichtung geliefert werden, um eine Maschine zu bilden, so dass die Befehle, die über den Prozessor des Computers oder einer anderen programmierbaren Datenverarbeitungsvorrichtung ausgeführt werden, Mittel zum Umsetzen der Funktionen/Wirkungen, die in dem Block oder den Blöcken des Ablaufplans und/oder des Blockschaubilds angegeben sind, erzeugen.
Diese Computerprogrammbefehle können außerdem in einem computerlesbaren Medium gespeichert sein, das einen Computer, eine andere programmierbare Datenverarbeitungsvorrichtung oder andere Einheiten anweisen kann, in der bestimmten Weise zu funktionieren, so dass die in dem computerlesbaren Medium gespeicherten Befehle einen Herstellungsgegenstand produzieren, der Befehle, die die Funktion/Wirkung umsetzen, die in dem Block (den Blöcken) des Ablaufplans und/oder des Blockschaubilds angegeben sind, enthält.
Die Computerprogrammbefehle können außerdem auf einen Computer, andere programmierbare Datenverarbeitungsvorrichtungen oder andere Einheiten geladen werden, um zu bewirken, dass eine Reihe von Operationsschritten auf dem Computer, den anderen programmierbaren Vorrichtungen oder anderen Einheiten ausgeführt wird, so dass die Befehle, die auf dem Computer oder den anderen programmierbaren Vorrichtungen ausgeführt werden, Prozesse zum Umsetzen der Funktionen/Wirkungen, die in dem Block/den Blöcken des Ablaufplans und/oder des Blockschaubilds angegeben sind, bereitstellen.
Die Ablaufplan- und Blockschaubilder in den Figuren veranschaulichen die Architektur, Funktionalität und Betriebsweise von möglichen Realisierungen der Systeme, Verfahren und Computerprogrammprodukten gemäß verschiedener Ausführungsformen der vorliegenden Erfindung. In dieser Hinsicht kann jeder Block in den Ablaufplan- oder Blockschaubildern ein Modul, ein Segment oder einen Abschnitt von Code repräsentieren, die einen oder mehrere ausführbare Befehle zum Ausführen der spezifizierten logischen Funktion(en) umfassen. Es sollte außerdem angemerkt werden, dass in einigen alternativen Ausführungsformen die in dem Block angegebenen Funktionen außerhalb der in den Figuren angegebenen Reihenfolge auftreten können. Zum Beispiel können zwei Blöcke, die nacheinander gezeigt sind, tatsächlich im Wesentlichen gleichzeitig ausgeführt werden, oder die Blöcke können gelegentlich in Abhängigkeit von der beteiligten Funktionalität in umgekehrter Reihenfolge ausgeführt werden. Es wird außerdem angemerkt, dass jeder Block der Blockschaubilder und/oder der Ablaufplandarstellungen oder jede Kombinationen von Blöcken in der Blockschaubild- und/oder Ablaufplandarstellung durch auf spezielle hardwaregestützte Systeme realisiert werden kann, die die angegebenen Funktionen oder Wirkungen oder Kombinationen aus spezieller Hardware oder Computerbefehlen ausführen.
In den Zeichnungen, in denen gleiche Bezugszeichen gleiche oder ähnliche Elemente repräsentieren, und anfangs in 1 ist ein Ablaufplan in Blockform veranschaulichend gezeigt, der übersichtsmäßig Schritte zum Ausführen einer Zeichenfolgenanalyse gemäß den vorliegenden Grundgedanken zeigt. Zuerst wird im Block 102 ein Programm in eine kontextfreie Grammatik (CFG) mit Zeichenfolgenoperationen übersetzt (siehe z. B. Yasuhiko Minamide, "Static approximation of dynamically generated web pages", "Proceedings of the 14th international conference an World Wide Web (WWW'05), 2005). Dann werden im Block 104 durch Anwenden von Funktionen über CFGs die Zeichenfolgenoperationen aus den Produktionsregeln entfernt. Diese Funktionen, die als angenäherte Zeichenfolgenoperationen bezeichnet werden, entsprechen jeweils den Zeichenfolgenoperationen in dem Programm. Die Anwendung der angenäherten Zeichenfolgenoperationen erfolgt iterierend, bis keine Zeichenfolgenoperationen in den Produktionsregeln vorhanden sind. Schließlich erhält man im Block 106 die kontextfreie Grammatik, die die Produktionsregeln ohne Zeichenfolgenoperationen enthält.
Es soll das folgende Java-Programm betrachtet werden, das an die der Variable a zugewiesene Zeichenfolge nach dem Initialisieren mit ”a” dreimal ”a” anfügt.
Man erhält die folgende CFG durch Übersetzen jeder Programmvariable v in ein nichtletztes S_v und = in → wie in Produktionsregeln, wobei einfach die Zeichenfolgenverknüpfung durch + als die Zeichenfolgenverknüpfung in der CFG betrachtet wird.
S_a → a
S_a → S_aa
S_r → S_a
Die CFG mit dem Anfangssymbol S_a repräsentiert z. B. eine Menge möglicher Zeichenfolgenwerte, die der Programmvariablen a zugewiesen sind, die zu der Menge von Zeichenfolgen {”a”, ”aa”, ”aaa”, ”aaaa”, ...} führt, und S_r repräsentiert gleichfalls eine Menge möglicher Zeichenfolgenwerte, die der Programmvariablen r zugewiesen sind. Sie enthält Zeichenfolgen, die niemals der Variablen a und r zugewiesen sind, da die Zeichenfolgenanalyse die Bedingung für die Anweisung „for” ab sofort ignoriert.
Wenn im Block 104 ein Programm vorhanden ist, das im Voraus definierte Zeichenfolgenoperationen wie etwa String.substring wie im folgenden Programm gezeigt, verwendet, wird für jede Zeichenfolgenoperation zum Übersetzen einer CFG in eine CFG eine Komplettnäherung verwendet.
Komplettheit bedeutet, dass eine resultierende CFG, die durch die Zeichenfolgenanalyse berechnet wird, alle gegenwärtigen Zeichenfolgen enthält, die zur Laufzeit auftreten. Komplettheit kann formal wie folgt definiert werden: f ist eine Komplettnäherung für eine Zeichenfolgenoperation f, wenn S' ⊆ f(S), wobei S' = (s'|s' = f(s), s ∊ S). Eines der Verfahren zum Annähern im Voraus definierter Zeichenfolgenoperation besteht in der Verwendung eines Transducers, der ein Automat mit Ausgabe ist. Es ist allgemein bekannt, dass die Abbildung eines Transducers ebenfalls eine CFG ist. Weitere Verfahren sind Homomorphismen auf (Σ, +), wobei Σ eine Menge von Zeichen ist und + eine Verknüpfungsfunktion bezeichnet, die stets zur gleichen CFG zurückkehrt, was alle möglichen Zeichenfolgen ergibt, die durch die entsprechenden im Voraus definierten Zeichenfolgenoperationen zurückgeführt werden usw. Die folgenden Produktionsregeln mit der genäherten Zeichenfolgenoperation substring(_, 2) sind diejenigen, die aus dem obigen Programm erhalten werden.
S_a → xxa
S_a → S_aa
Sr → substring(S_a, 2)
In 2 ist ein Transducer 200 erläuternd dargestellt. Eine genäherte Zeichenfolgenoperation substring(_, 2) ist durch den Transducer 200 definiert und ist eine Komplettnäherung für die Zeichenfolgenoperation _.substring(2). Durch Anwenden dieses Transducers 200 auf die Grammatik erhält man die folgende CFG, die die Menge {”a”, ”aa”, ”aaa”, ”aaaa”, ...} repräsentiert.
S'_a → a
S'_a → S'_aa
S_r→ S'_a
In 2 repräsentiert A ein beliebiges Zeichen, während A/ε eine Transformation jedes Zeichens zum Leerzeichen repräsentiert, was ein Entfernen des Zeichens bedeutet.
Im Block 106 gibt es keine Zeichenfolgenoperation in den Produktionsregeln. Somit ist eine kontextfreie Grammatik, die die resultierenden Produktionsregeln enthält, das Ergebnis der Zeichenfolgenanalyse.
In 3 wird eine bevorzugte Ausführungsform zum Ausführen einer statischen Zeichenfolgenanalyse (SSA) gemäß den vorliegenden Grundgedanken beschrieben. Die angegebene Beschreibung beschäftigt sich mit einer innerprozeduralen Zeichenfolgenanalyse und erklärt anschließend, wie diese auf eine interprozedurale Zeichenfolgenanalyse zu erweitern ist. Bei den dargestellten Einzelheiten der Ausführung wird angenommen, dass die Zeichenfolgenanalyse auf einer Rahmenstruktur der statischen Analyse realisiert wurde. Bei der verwendeten Rahmenstruktur der statischen Analyse kann es sich um jede bekannte Rahmenstruktur handeln, und sie kann z. B. die Watson-Bibliotheken zur Analyse (WALA) enthalten, die als Produkt einer offenen Quelle von http://wala.sourceforge.net zur Verfügung stehen.
Um die innerprozedurale Zeichenfolgenanalyse zu beschreiben, soll ein Nappend-Verfahren in Java^TM wie folgt betrachtet werden:
Im Block 302 erfolgt eine Übersetzung eines Programms in die Form der statischen Einzelzuweisung (SSA, Static Single Assignment), bei der Pseudo-Notationen für Befehle verwendet werden. Eine beispielhafte Übersetzung wird veranschaulichend wie folgt gezeigt:
Ein Aufruf-Graph für dieses Programm ist in 4 dargestellt. Pseudo-Notationen, die für Befehle in dem obigen Programm verwendet werden, enthalten v = val für eine Zuweisung eines Werts val zu einer Variable oder einem Feld v, v = vobj.func(v1, ..., vn) für einen Verfahrensaufruf mit Argumenten v1, ..., vn, goto N für einen unbedingten Sprung zum Kennzeichen N, goto N if v für einen bedingten Sprung zum Kennzeichen N durch die Bedingung V. Außerdem führt die SSA-Transformation neue Variable und eine ϕ-Funktion ein, die durch phi (v1, v2) bezeichnet wird, um ein Programm zu erhalten, das lediglich eine Zuweisung zu jeder Variable aufweist. Diese Eigenschaft der SSA-Form ist geeignet, Daten-Abhängigkeiten zu finden.
Im Block 304 werden die Zuweisungen in SSA-Form in eine Menge von Produktionsregeln mit Zeichenfolgenoperationen 306 mit Ausnahme von bedingten und unbedingten Sprüngen in der gleichen Weise wie oben beschrieben (1) übersetzt. Insbesondere wird v = phi(v1, v2) in zwei Produktionsregeln S_v → S_v1 und S_v → S_v2 übersetzt, damit sie eine Vereinigung der beiden Mengen von Zeichenfolgen repräsentieren, die v1 bzw. v2 zugewiesen sind. Gemäß dieser Übersetzung erhält man die folgenden Produktionsregeln aus der Pseudo-SSA-Form des Nappend-Verfahrens.
S_v1 → S_xS_y
S_r ¹ → nappend(S_v1, S_y, n – 1)
S_r1 → S_x
S_r → S_r1
S_r → S_r2
Für die interprozedurale Zeichenfolgenanalyse wird die innerprozedurale Zeichenfolgenanalyse mit den Informationen des Aufruf-Graphen, der durch WALA aufgebaut ist, erweitert, deren Kontextempfindlichkeit durch bekannte Verfahren flexibel kontrolliert werden kann. Man annotiert jede Variable in dem SSA-Programm mit einem Knoten des Aufruf-Graphen. Man kombiniert alle Produktionsregeln nach dem Entfernen von Produktionsregeln, die aus Verfahrensaufrufen übersetzt wurden wie z. B. S_r ¹ → nappend(S_v1, S_y, n – 1). Man führt Produktionsregeln ein, die Abhängigkeiten zwischen den Parametern und dem Rückkopplungswert eines Verfahrens des Aufgerufenen und den Variablen eines Verfahrens des Aufrufenden repräsentieren. Es werden z. B. die folgenden Produktionsregeln eingeführt, wenn ein kontextunempfindlicher Aufruf-Graph 400 wie in 4 gezeigt vorhanden ist, wobei der obere Index jedes nichtletzten Zeichens den entsprechenden Knoten des Aufruf-Graphen repräsentiert. Die Produktionsregeln lauten:
Eine vollständige Menge der Produktionsregeln mit Zeichenfolgenoperationen 306, die vom Programm erhalten werden, enthält:
Eine optionale Zeigeranalyse kann ausgeführt werden, um den Zeichenfolgenanalysator oder die Lösungseinrichtung 308 zu unterstützen, um zu erkennen, wie konstante Zeichenfolgen über Verfahren zu Variablen fließen und um zu erkennen, ob gleiche Objekte in potentiell verschiedenen Verfahren unterschiedlichen Variablen zugewiesen sind, selbst wenn diese Objekte dynamisch erzeugt werden. Im Block 310 erhält man dann die folgende CFG, die mögliche Zeichenfolgen vorhersagt, die in dem Hauptverfahren der Variable r zugewiesen sind, wobei das Anfangssymbol S_r ¹ ist.
S_r ¹ → a|S_r ¹b
In 5 stellt ein Ablaufplan in Blockform ein System und Verfahren für ein statisches Erkennen und Kategorisieren von Herabstufungseinrichtung des Informationsflusses gemäß den vorliegenden Grundgedanken erläuternd dar. Im Block 502 wird ein in einer Speichereinheit gespeichertes Programm durch statisches Analysieren von Programmvariablen transformiert, um eine einzige Zuweisung zu jeder Variable in einer Befehlsmenge zu erreichen. Dies beinhaltet das Transformieren des Programms durch die Verwendung von Pseudo-Notationen für die Zuweisung von Programmvariablen.
Im Block 504 wird die Befehlsmenge in Produktionsregeln mit Zeichenfolgenoperation übersetzt. Im Block 506 wird optional eine Zeigeranalyse an den Produktionsregeln mit Zeichenfolgenoperation ausgeführt, um die Genauigkeit zu verbessern. Im Block 508 wird eine kontextfreie Grammatik aus den Produktionsregeln erzeugt, um eine endliche Menge von Zeichenfolgen zu erkennen. Ein Kleene-Stern-Operator kann verwendet werden, um die endliche Menge von Zeichenfolgen zu erkennen.
Im Block 510 wird eine Funktion der Herabstufungseinrichtung des Informationsflusses durch Vergleichen der endlichen Menge von Zeichenfolgen mit einer oder mehreren Funktionsbeschreibungen erkannt. Die eine oder mehreren Funktionen enthalten vorzugsweise eine sicherheitsempfindliche Funktion in dem Programm. Diese kann das Erkennen und Kategorisieren der Funktionen der Herabstufungseinrichtung anhand eines Zwecks der Funktion der Herabstufungseinrichtung enthalten.
Im Block 512 wird die kontextfreie Grammatik vorzugsweise mit einer Beschreibung einer sicherheitsempfindlichen Funktion verglichen, so dass dann, wenn die Grammatik der Beschreibung entspricht, die Eingabe als ordnungsgemäß herabgestuft betrachtet wird. Im Block 514 wird eine Zeichenfolge gekennzeichnet, um Zeichenfolgen manipulierende Funktionen zu lokalisieren, die eine Eingabe modifizieren und die Eingabe beschreibungskonform machen würden, um die Funktion der Herabstufungseinrichtung des Informationsflusses zu identifizieren und kategorisieren. Die eine oder mehreren Funktionsbeschreibungen werden verwendet, um die Funktion der Herabstufungseinrichtung zu kategorisieren. Die Funktion der Herabstufungseinrichtung kann durch eine Netzanwendung oder jede andere Entität erzeugt werden, die Sicherheitsstufen verwendet, um ihre Netztransaktionen zu behandeln.
In 6 ist ein System 600 für ein statisches Erkennen und Kategorisieren von Herabstufungseinrichtungen des Informationsflusses veranschaulichend dargestellt. Eine Programmspeichereinheit oder Speichereinheit 602 kann ein Computer-Festplattenlaufwerk oder andere Computermedien enthalten und ist so eingerichtet, dass sie ein Programm speichern 604 kann. Die Programmspeichereinheit 602 ist ferner so eingerichtet, dass sie in Verbindung mit einem Prozessor 606 in einer Computereinheit 601 arbeiten kann, um Programmbefehle auszuführen, um in dem Programm 604 Herabstufungseinrichtungen des Informationsflusses zu erkennen und zu kategorisieren. Eine Rahmenstruktur 608 zur statischen Analyse, die einem Server, einem Großrechner oder jeder anderen Datenverarbeitungseinheit zugehörig sein kann, ist so eingerichtet, dass sie ein Anwendungsprogramm analysieren und eine statische Zeichenfolgenzuweisung an dem Anwendungsprogramm ausführen kann, um Programmvariable zu transformieren, um eine einzige Zuweisung für jede Variable in einer Befehlsmenge zu erreichen. Die Rahmenstruktur 608 ist so eingerichtet, dass sie die Befehlsmenge in Produktionsregeln mit Zeichenfolgenoperationen übersetzen und aus den Produktionsregeln eine kontextfreie Grammatik erzeugen kann, die einen Kleene-Stern-Operator verwenden kann, um eine endliche Menge von Zeichenfolgen zu identifizieren. Ein Vergleichsmodul 610 ist so eingerichtet, dass es die endliche Menge von Zeichenfolgen erkennen und kategorisieren kann, indem die endliche Menge mit einer oder mehreren Funktionsbeschreibungen verglichen wird, um eine Funktion der Herabstufungseinrichtung für einen Informationsfluss zu erkennen.
Das Vergleichsmodul 610 vergleicht die kontextfreie Grammatik (CFG) mit einer Beschreibung 612 einer sicherheitsempfindlichen Funktion, so dass dann, wenn die Grammatik der Beschreibung entspricht, die Eingabe als ordnungsgemäß herabgestuft betrachtet wird. Eine Bezeichnungseinrichtung 614 ist eingerichtet, um eine Zeichenfolge zu kennzeichnen, um Zeichenfolgen manipulierende Funktionen zu lokalisieren, die die Eingabe modifizieren und die Eingabe beschreibungskonform machen würden. Diese Funktionen bilden eine Herabstufungseinrichtung für die sicherheitsempfindliche Funktion. Ferner kann die Beschreibung der sicherheitsempfindlichen Funktion verwendet werden, um die neu entdeckte Herabstufungseinrichtung zu kategorisieren, was unter der Voraussetzung, dass eine Herabstufungseinrichtung für eine sicherheitsempfindliche Funktion für eine andere sicherheitsempfindliche Funktion nicht funktionieren kann, ein wichtiges Merkmal darstellt. Die Funktionen der Herabstufungseinrichtung, die durch eine Entität wie etwa eine Netzanwendung, sichere Netzeinheiten, zugangsgesteuerte Einheiten usw. erzeugt werden, werden dadurch erkannt und kategorisiert.
Das analysierte Programm kann mit dem System 600 gemeinsam angeordnet oder von dem System 600 entfernt angeordnet sein. Ein Programm 603 kann nach Herabstufungseinrichtungen analysiert werden, die über ein Netz von einem Server oder einer Netzanwendung 620 bereitgestellt werden. Die Server oder Netzanwendungen können an einem einzigen Ort angeordnet oder über ein gesamtes Netz 622 verteilt sein.
Nachdem bevorzugte Ausführungsformen eines Systems und Verfahrens zum statischen Erkennen und Kategorisieren von Herabstufungseinrichtungen des Informationsflusses beschrieben wurden (die veranschaulichend und nicht einschränkend sein sollen), wird angemerkt, dass Modifikationen und Variationen im Licht der obigen Erkenntnisse durch einen Fachmann auf dem Gebiet gemacht werden können. Es sollte deswegen klar sein, dass an den beschriebenen bestimmten Ausführungsformen, die im Umfang der Erfindung liegen, der durch die beigefügten Ansprüche hervorgehoben wird, Änderungen ausgeführt werden können. Nachdem auf diese Weise Aspekte der Erfindung mit den Einzelheiten und Besonderheiten, die durch die Patentgesetze gefordert werden, beschrieben wurden, wird das, was beansprucht und durch die Patentschrift geschützt werden soll, in den angefügten Ansprüchen dargestellt.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Nicht-Patentliteratur

Yasuhiko Minamide, ”Static approximation of dynamically generated web pages”, ”Proceedings of the 14th international conference an World Wide Web (WWW'05), 2005 [0031]

Claims

Verfahren zum statischen Erkennen und Kategorisieren von Herabstufungseinrichtungen eines Informationsflusses, umfassend: Transformieren (502) eines Programms, das in einer Speichereinheit gespeichert ist, durch statisches Analysieren von Programmvariablen, um eine einzige Zuweisung für jede Variable in einer Befehlsmenge zu erhalten; Übersetzen (504) der Befehlsmenge in Produktionsregeln mit Zeichenfolgenoperationen, um eine endliche Menge von Zeichenfolgen zu erkennen; Erzeugen (508) einer kontextfreien Grammatik aus den Produktionsregeln; und Erkennen (510) einer Funktion der Herabstufungseinrichtung des Informationsflusses durch Vergleichen der endlichen Menge von Zeichenfolgen mit einer oder mehreren Funktionsbeschreibungen.
Verfahren nach Anspruch 1, wobei das Erkennen (510) das Erkennen und Kategorisieren der Funktionen der Herabstufungseinrichtung anhand eines Zwecks der Funktion der Herabstufungseinrichtung enthält.
Verfahren nach Anspruch 1, wobei die eine oder mehreren Funktionen eine sicherheitsempfindliche Funktion in dem Programm enthalten.
Verfahren nach Anspruch 1, das ferner das Vergleichen (512) der kontextfreien Grammatik mit einer Beschreibung der sicherheitsempfindlichen Funktion umfasst, so dass dann, wenn die Grammatik der Beschreibung entspricht, die Eingabe als ordnungsgemäß herabgestuft betrachtet wird.
Verfahren nach Anspruch 4, das ferner das Kennzeichnen (514) einer Zeichenfolge umfasst, um Zeichenfolgen manipulierende Funktionen zu lokalisieren, die die Eingabe modifizieren und die Eingabe beschreibungskonform machen würden.
Verfahren nach Anspruch 1, wobei die eine oder mehreren Funktionsbeschreibungen verwendet werden, um die Funktion der Herabstufungseinrichtung zu kategorisieren.
Verfahren nach Anspruch 1, wobei das Transformieren (502) des Programms das Transformieren des Programms durch das Verwenden von Pseudo-Notationen für Zuweisungen von Programmvariablen enthält.
Verfahren nach Anspruch 1, wobei die Funktion der Herabstufungseinrichtung durch eine Netzanwendung erzeugt wird.
Computerlesbares Speichermedium, das ein computerlesbares Programm für das statische Erkennen und Kategorisieren von Herabstufungseinrichtungen des Informationsflusses umfasst, wobei das computerlesbare Programm, wenn es auf einem Computer ausgeführt wird, den Computer veranlasst, die folgenden Schritte auszuführen: Transformieren (502) eines Programms, das in einer Speichereinheit gespeichert ist, durch statisches Analysieren von Programmvariablen, um eine einzige Zuweisung für jede Variable in einer Befehlsmenge zu erhalten; Übersetzen (504) der Befehlsmenge in Produktionsregeln mit Zeichenfolgenoperationen; Erzeugen (508) einer kontextfreien Grammatik aus den Produktionsregeln, um eine endliche Menge von Zeichenfolgen zu erkennen; und Erkennen (510) einer Funktion der Herabstufungseinrichtung des Informationsflusses durch Vergleichen der endlichen Menge von Zeichenfolgen mit einer oder mehreren Funktionsbeschreibungen.
Computerlesbares Speichermedium nach Anspruch 9, wobei das Erkennen (510) das Erkennen und Kategorisieren der Funktionen der Herabstufungseinrichtung anhand eines Zwecks der Funktion der Herabstufungseinrichtung enthält.
Computerlesbares Speichermedium nach Anspruch 9, wobei die eine oder mehreren Funktionen eine sicherheitsempfindliche Funktion in dem Programm enthalten.
Computerlesbares Speichermedium nach Anspruch 9, das ferner das Vergleichen (512) der kontextfreien Grammatik mit einer Beschreibung der sicherheitsempfindlichen Funktion umfasst, so dass dann, wenn die Grammatik der Beschreibung entspricht, die Eingabe als ordnungsgemäß herabgestuft betrachtet wird.
Computerlesbares Speichermedium nach Anspruch 12, das ferner das Bezeichnen (514) einer Zeichenfolge umfasst, um Zeichenfolgen manipulierende Funktionen zu lokalisieren, die die Eingabe modifizieren und die Eingabe beschreibungskonform machen würden.
Computerlesbares Speichermedium nach Anspruch 9, wobei die eine oder mehreren Funktionsbeschreibungen verwendet werden, um die Herabstufungseinrichtung zu kategorisieren.
Computerlesbares Speichermedium nach Anspruch 9, wobei das Transformieren (502) des Programms das Transformieren des Programms durch das Verwenden von Pseudo-Notationen für Zuweisungen von Programmvariablen enthält.
Verfahren zum statischen Erkennen und Kategorisieren von Herabstufungseinrichtungen des Informationsflusses, wobei das Verfahren Folgendes umfasst: Transformieren (502) eines Programms, das in einer Speichereinheit gespeichert ist, durch statisches Analysieren von Programmvariablen, um eine einzige Zuweisung für jede Variable in einer Befehlsmenge zu erhalten; Übersetzen (504) der Befehlsmenge in Produktionsregeln mit Zeichenfolgenoperationen; Ausführen (506) einer Zeigeranalyse an den Produktionsregeln mit Zeichenfolgenoperationen, um die Genauigkeit zu verbessern; Erzeugen (508) einer kontextfreien Grammatik aus den Produktionsregeln, um eine endliche Menge von Zeichenfolgen zu erkennen; Vergleichen (512) der kontextfreien Grammatik mit einer Beschreibung einer sicherheitsempfindlichen Funktion, so dass dann, wenn die Grammatik der Beschreibung entspricht, die Eingabe als ordnungsgemäß herabgestuft betrachtet wird; und Bezeichnen (514) einer Zeichenfolge, um Zeichenfolgen manipulierende Funktionen zu lokalisieren, die die Eingabe modifizieren und die Eingabe beschreibungskonform machen würden, um eine Funktion einer Herabstufungseinrichtung des Informationsflusses zu erkennen und zu kategorisieren.
Verfahren nach Anspruch 16, wobei das Transformieren (502) des Programms das Transformieren des Programms durch Verwenden von Pseudo-Notationen für die Zuweisung von Programmvariablen enthält.
Verfahren nach Anspruch 17, wobei die Funktion der Herabstufungseinrichtung durch eine Netzanwendung erzeugt wird.
System zum statischen Erkennen und Kategorisieren von Herabstufungseinrichtung des Informationsflusses, wobei das System Folgendes umfasst: eine Programmspeichereinheit (602), die so eingerichtet ist, dass sie ein Programm speichern kann, wobei die Programmspeichereinheit ferner so eingerichtet ist, dass sie in Verbindung mit einem Prozessor (606) arbeiten kann, um Programmbefehle auszuführen, um Herabstufungseinrichtungen des Informationsflusses in dem Programm zu erkennen und zu kategorisieren; eine Rahmenstruktur (608) zur statischen Analyse, die eingerichtet ist, dass sie ein Anwendungsprogramm analysieren und eine statische Zeichenfolgenzuweisung an dem Anwendungsprogramm ausführen kann, um Programmvariable zu transformieren, um eine einzige Zuweisung für jede Variable in einer Befehlsmenge zu erreichen, wobei die Rahmenstruktur so eingerichtet ist, dass sie die Befehlsmenge in Produktionsregeln mit Zeichenfolgenoperationen übersetzen und eine kontextfreie Grammatik aus den Produktionsregeln erzeugen kann, um eine endliche Menge von Zeichenfolgen zu erkennen; und ein Vergleichsmodul (610), das so eingerichtet ist, dass es die endliche Menge von Zeichenfolgen erkennen und kategorisieren kann durch Vergleichen der endlichen Menge von Zeichenfolgen mit einer oder mehreren Funktionsbeschreibungen, um eine Funktion der Herabstufungseinrichtung des Informationsflusses zu erkennen.
System nach Anspruch 19, wobei die Funktionen der Herabstufungseinrichtung anhand eines Zwecks der Funktion der Herabstufungseinrichtung kategorisiert werden.
System nach Anspruch 19, wobei die eine oder mehreren Funktionen eine sicherheitsempfindliche Funktion in dem Programm enthalten.
System nach Anspruch 19, wobei das Vergleichsmodul (610) die kontextfreie Grammatik mit einer Beschreibung einer sicherheitsempfindlichen Funktion vergleicht, so dass dann, wenn die Grammatik der Beschreibung entspricht, die Eingabe als ordnungsgemäß herabgestuft betrachtet wird.
System nach Anspruch 23, das ferner eine Bezeichnungseinrichtung (614) umfasst, die so eingerichtet ist, dass sie eine Zeichenfolge bezeichnen kann, um Zeichenfolgen manipulierende Funktionen zu lokalisieren, die die Eingabe modifizieren und die Eingabe beschreibungskonform machen würden.
System nach Anspruch 19, wobei die Funktion der Herabstufungseinrichtung durch eine Netzanwendung erzeugt wird.