Anais - Engenharia de Redes de Comunicação - UnB

Dado um sistema especificado em PROMELA, o SPIN gera o código de um verificador.
O verificador consiste basicamente de um autômato de Büchi, construído a
partir da especificação, e procedimentos para verificação de propriedades fornecidas em
PLTL. Estas propriedades são também transformadas em autômatos. A intersecção dos
autômatos da especificação e das propriedades determina a satisfação (ou não) destas propriedades
pelo sistema descrito.
A partir da verificação podemos obter três tipos de resultados: a propriedade pode
ser satisfeita no modelo; violada e, sendo assim, o SPIN irá fornecer o contraexemplo
como prova dessa violação; ou pode não haver memória suficiente para a verificação
completa do modelo.
6. Especificação com SPIN
A especificação completa consiste em quatro processos principais: Alice, Bob,
Eve e init [Vieira 2011]. O processo init é responsável pela inicialização dos outros
processos. Aqui iremos descrever as estruturas utilizadas e mostrar dois trechos da
especificação: do processo Alice (Figura 1) e do processo Bob (Figura 2).
As variáveis usadas na especificação consistem em um conjunto de constantes
simbólicas do tipo mtype que identificam as mensagens do protocolo, chaves públicas
dos agentes, identificação dos agentes e os nonces. A estrutura Pkt, que corresponde ao
conteúdo da mensagem cifrada, é composta por três constantes (key, content1 e content2).
Na Figura 1 apresentamos o início da descrição do processo Alice (no label MEN-
SAGEM1) que escolhe, não-deterministicamente com quem irá se autenticar (linhas 3 e
4). Em seguida, o processo envia pelo canal network1, que liga os agentes ao servidor de
chaves públicas, a sua identificação e a de quem está solicitando a chave pública. Na linha
7, o processo aguarda a resposta do servidor com o identificador msg2, sua identificação
e os dados contendo a chave pública requisitada.
A Figura 2 mostra um trecho do processo Bob. Inicialmente, o processo aguarda
o recebimento da mensagem 3 do protocolo (linha 1). Uma vez que as variáveis msg3
e agentB sejam instanciadas, o dados da variável data são extraídos (linhas 2 e 3). O
operador -> é uma guarda, ou seja, os comandos apresentados à direita só serão executados
caso o comando (ou expressão) à esquerda seja executável (satisfeita). Na linha
4, o agente Bob requisita a chave pública de quem o enviou a mensagem e aguarda pela
resposta (linha 5). Em seguida, se receber uma resposta do servidor, o protocolo é continuado
passando à execução do código da MENSAGEM6; caso contrário, o processo passa
a um estado inválido.
1 MENSAGEM1:
2 if
3 :: partnerA = agentB; network1 ! agentA,agentB;
4 :: partnerA = agentI; network1 ! agentA,agentI;
5 fi;
6
7 network ? (msg2,agentA,data);
Figura 1. Trecho do Processo Alice
325