软件安全性测试

1、软件安全性测试software safety testing徐仁佐软件工程国家重点实验室(武汉大学)软件的问题大多是因为“异常”引起软件中的“边界值”问题 控制参量 循环次数不少的事故是因为对“异常”注意不够 试飞时的操纵杆问题设计异常 输入时的小数点问题行为异常 数据类型错误使用异常出现故障以后,人们总爱说: “哎呀,真没想到!”为什么事先没想到呢?事后人们的表现后悔、懊恼人类总习惯于“正常思维”总是忽略对“异常”的警惕 其实,“异常”是“正常”的对立统一, 是比“正常”范畴更大的、在设计、实现、测试软件时应给予更多关注的方面.“正常”范畴aba: 正常域b

2、: 全域b-a: 异常域软件是什么? 软件是将人类目前认为正确的知识,按计算机能理解的方式、按一定的语法规则,转换成计算机可执行的一系列指令,让计算机代替人进行某些脑力劳动(如:计算、判断、信息的存取与变换、信息交换,等). 如果将计算机的硬件及其外围设备比做一个人的躯体和四肢，那么，计算机软件就好比是人的神经、思想和灵魂. 我们能够想象,如果一个人的身体某些器官工作不可靠，他还能够应付外来的侵害吗？ 中文的“安全”一词,在english中主要有两个词和它对应:safety: the condition of being safe; freedom from danger, risk, or

3、injury.security: freedom from risk or danger. 可见,仅用“security”不能涵盖“安全”的全部含义. 必须增加“safety”的相应概念.safety: the condition of being safe 可靠性是其基础 (修炼深厚内功)security: freedom from risk or danger robust是其基础 (外习上乘武功)严重故障的后果: 生态环境的破坏财产的重大损失宝贵生命的伤亡软件安全性证明的两个方面: 表明软件的故障不可能发生,即,在采取 措施之后,软件不可能进入不安全状态或不可能导致系统进入不安全状态(s

4、ecurity). 表明即使发生软件故障,该故障也不是危险的(safety).软件安全性测试的任务:排除软件中可能引发严重后果的错误.软件安全性测试技术: 顶事件驱动的故障树分析法.顶事件与顶事件表: 处于故障树顶层的、严重后果的软件故障,称为顶事件. 所有顶事件的集合,称为顶事件表.要求: 顶事件表中的每一个顶事件将有一个故障树与之对应.软件规模较小的故障树的作法： 根据程序中各语句的逻辑关系，分析顶事件的发生主要可能是哪些语句或模块所造成的; 并进一步往下进行分析直到某条语句或某个条件时为止; 根据所有的逻辑关系就可以画出它的故障树. 根据故障树确定顶事件的发生是由哪条语句发生错误或哪些条

5、件组合而引起的，我们就可以根据这些分析的结果着重设计软件可靠性稳定增长测试和软件安全性测试的测试计划，并进一步选取合适的测试用例集合。对大型软件的安全性分析采取的办法： 采取分层构造软件故障树的方法，也就是对程序的各个子功能模块进行分析，这样不仅建树和分析比较容易，而且可以找出软件的关键功能模块，以便对其进行重点分析。 大型软件由很多个功能模块组成，软件要执行一定的任务，根据用户的不同操作，软件将调用不同的模块。因而，应以功能模块作为底事件进行故障树分析。 采取“分而治之”的办法，在不同的层次上进行分析和建立故障树。“底事件”是针对整个软件系统的模块结构而言的，处于最下层的模块均为底事件。 在

6、以功能模块作为底事件进行分析时，同样要确定一个系统的顶事件表。最后得出的故障树也很大，不能直接看出哪个是关键的功能模块。此时可采用最小割集法（一个最小割集代表系统的一种故障模式，即只要最小割集的事件发生，就会导致顶事件的发生），求出故障树的最小割集，从而在最小割集中找出系统的关键功能模块。 下一步是对关键功能模块进行分析。 利用前面所提到的代码分析或其它软件分析技术进行分析，找出可能导致关键功能模块失效的原因。 根据故障重新计算顶事件的发生概率，达不到预定要求，则重新分析，根据变化了的情况重建故障树（由于程序改动以及某些关联的因素发生变化，因而第二次建的树可能和第一次不一样），对它进行分析，找

7、出另一个可能引起顶事件发生的关键功能模块。 有时需要反复多次。 例：某应用软件中，其中的一个部件由 七 个 模 块 组 成 ， 分 别 设 为x1,x2,x3,x4,x5,x6,x7。 各 模 块 的 失 效 概 率 为 ：fx1=fx2=0.01、fx3=0.004、fx4=0.007、fx5=fx6=0.02、fx7=0.03(此数据可由软件可靠性分配或通过软件可靠性预计得到),经过采用上述的方法进行分析，得到故障树，如下图所示。 从以上的分析可以看出，k2割集的故障发生概率最大，其次为k1，这和定性分析的结果有一定的相似性。由于各底事件的故障较小，因而系统的故障概率可近似计算为各最小割集故障概率之和，即p