MASC：一种基于变异的静态密码 API 误用检测器评估工具
密码学与安全
2023-08-15 v2 软件工程
摘要
尽管软件工程师正乐观地在软件开发周期中采用密码 API 误用检测器（或称 crypto-detectors），但这一势头必须伴随对 crypto-detectors 在实践中发现密码 API 误用的有效性的严格理解。本演示论文介绍了我们的工具——用于评估静态密码 API 误用检测器的变异分析（Mutation Analysis for evaluating Static Crypto-API misuse detectors, MASC）——的技术细节与使用场景。我们开发了 个可泛化的、基于用法的变异算子与三种变异范围，即主范围（Main Scope）、相似范围（Similarity Scope）和穷举范围（Exhaustive Scope），可用于富有表现力地实例化可编译的密码 API 误用案例变体。利用 MASC，我们评估了九款主流 crypto-detectors，并发现了 个独特的、未文档化的缺陷。我们将 MASC 设计为可配置且用户友好；用户可配置参数以改变所生成变异的性质。此外，MASC 同时提供命令行界面与基于 Web 的前端，使其对不同专业水平的用户均具实用性。
引用
@article{arxiv.2308.02310,
title = {MASC: A Tool for Mutation-Based Evaluation of Static Crypto-API Misuse Detectors},
author = {Amit Seal Ami and Syed Yusuf Ahmed and Radowan Mahmud Redoy and Nathan Cooper and Kaushal Kafle and Kevin Moran and Denys Poshyvanyk and Adwait Nadkarni},
journal= {arXiv preprint arXiv:2308.02310},
year = {2023}
}
备注
To be published in Proceedings of the 31st ACM Joint European Software Engineering Conference and Symposium on the Foundations of Software Engineering