💻 computer science

Access Hoare Logic

Dit paper introduceert Access Hoare Logic, een nieuw formeel raamwerk voor het redeneren over toegangsbeveiliging in computerprogramma's, en bewijst de geldigheid en volledigheid ervan terwijl het fundamentele verschillen met bestaande methoden zoals Hoare Logic en Incorrectness Logic worden aangetoond.

Oorspronkelijke auteurs: Arnold Beckmann, Anton Setzer

Gepubliceerd 2026-04-01

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Arnold Beckmann, Anton Setzer

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een zeer strenge conciërge bent in een groot hotel. Je taak is om te controleren of gasten hun kamer binnen mogen.

In de wereld van computersoftware bestaat er al heel lang een beroemde methode om te controleren of programma's goed werken. Dit heet Hoare-logica (naar de uitvinder Tony Hoare). Het werkt als een voorspellende kristallen bol:

De oude manier (Hoare-logica): "Als de gast nu een geldig pasje heeft (voorwaarde), dan zal hij later de deur openen (gevolg)."
Dit is handig om te zien of een programma werkt, maar het is niet perfect voor beveiliging. Want wat als de deur per ongeluk open gaat, zelfs als de gast geen pasje heeft? De oude logica zegt dan: "Nou, als hij een pasje had, ging hij open. Dat klopt." Maar voor beveiliging is het cruciaal dat de deur alleen open gaat als er een pasje is.

De auteurs van dit paper, Arnold en Anton, zeggen: "Wacht even, voor beveiliging moeten we de logica omdraaien."

Ze introduceren Access Hoare Logic (Toegang-Hoare-logica). Dit is als een detective die niet naar de toekomst kijkt, maar terug in de tijd.

De Detective-Analogie

Stel je voor dat je een detective bent die een misdaad onderzoekt.

De oude logica (Voorspelling): "Als de verdachte een mes had, dan is er bloed op de vloer." (Dit is waar, maar het zegt niets over of de verdachte alleen met een mes bloed kon maken. Misschien viel er iemand van een trap en maakte ook bloed.)
De nieuwe logica (Access Hoare Logic - Terugblik): "Er is bloed op de vloer. Wat moet er nodig zijn geweest om dit te veroorzaken?"
- Het antwoord moet zijn: "De verdachte moest een mes hebben gehad."
- Als de vloer bloed heeft, maar de verdachte had géén mes, dan is het bewijs niet geldig. De beveiliging is gebroken.

In de taal van het paper:

Hoare-logica vraagt: "Is de voorwaarde voldoende?" (Hebben we genoeg reden om te denken dat het goed gaat?)
Access Hoare-logica vraagt: "Is de voorwaarde noodzakelijk?" (Moet dit echt gebeurd zijn om dit resultaat te krijgen?)

Waarom is dit belangrijk? (De Voorbeelden)

De auteurs geven drie leuke voorbeelden om hun punt te maken:

De Digitale Sleutel voor Hotelkamers:
Stel, een hotel gebruikt slimme kaarten. Als een nieuwe gast komt, krijgt hij een kaart met twee sleutels. De oude gast heeft de eerste sleutel, de nieuwe heeft de tweede.
- Het probleem: Als de programmeur een foutje maakt in de code, kan het zijn dat de deur altijd open gaat, of dat de oude gast nog steeds binnen kan komen.
- De oplossing: Met Access Hoare Logic kunnen we bewijzen: "De deur gaat alleen open als de sleutel op de kaart exact overeenkomt met de sleutel in het slot." Als de code toestaat dat de deur open gaat zonder de juiste sleutel, faalt de test.
Bitcoin en Crypto:
Bitcoin is een digitaal geldsysteem. Om geld over te maken, moet je een "slot" openen met een digitaal sleutel (een handtekening).
- Het probleem: Hackers proberen soms om geld te stelen door de code te manipuleren.
- De oplossing: Access Hoare Logic helpt om te bewijzen dat het "slot" (de beveiliging) nooit open gaat, tenzij de juiste handtekening wordt getoond. Het garandeert dat je geld niet zomaar weg kan, zelfs niet als er een bug in het systeem zit die anders zou leiden tot een open deur.
De Lijst met Toegangscodes:
Stel je hebt een lijst met toegangsnummers. Een programma kijkt of jouw nummer op die lijst staat.
- Het probleem: Soms loopt een programma door een lijst heen en geeft per ongeluk toegang, zelfs als jouw nummer niet op de lijst staat (bijvoorbeeld omdat het programma te vroeg stopt).
- De oplossing: Access Hoare Logic dwingt het programma om te bewijzen: "Ik geef alleen toegang als je nummer echt in de lijst staat." Als het programma toegang geeft zonder dat het nummer erin staat, is de logica niet geldig.

De Magische Omkering

Het meest fascinerende aan dit paper is dat ze laten zien dat deze twee logica's (de oude en de nieuwe) eigenlijk twee kanten van dezelfde medaille zijn, maar dan gespiegeld.

Oude logica: Kijkt van Voorwaarde naar Resultaat. (Als ik dit doe, gebeurt dat.)
Nieuwe logica: Kijkt van Resultaat naar Voorwaarde. (Als dit gebeurt, moet ik dit hebben gedaan.)

Ze noemen dit "terugwaartse transformatie". Het is alsof je een film achterstevoren afspeelt om te zien hoe het begon.

Conclusie voor de Gemiddelde Lezer

Dit paper is een revolutionaire stap in het beveiligen van software. Waar we vroeger vooral keken of software "werkte" (de deur gaat open als ik de sleutel draai), kijken we nu met Access Hoare Logic of software veilig is (de deur gaat alleen open als ik de sleutel draai, en nooit andersom).

Het is een nieuwe taal voor programmeurs en beveiligingsexperts om te zeggen: "We garanderen niet alleen dat het werkt, we garanderen dat het nooit misgaat op een manier die onbevoegden toegang geeft."

Kortom: Het is de overstap van "Hopen dat het goed gaat" naar "Weten dat het onmogelijk fout kan gaan zonder de juiste sleutel."

Titel: Access Hoare Logic

Auteurs: Arnold Beckmann en Anton Setzer (Universiteit Swansea, UK)

1. Het Probleem

Hoare-logica, de standaard voor het redeneren over de correctheid van computerprogramma's, werkt volgens een "voorwaartse" richting: het stelt dat als een pre-conditie ( $P$ ) waar is voordat een programma ( $C$ ) wordt uitgevoerd, en het programma terminateert, dan zal de post-conditie ( $Q$ ) waar zijn. Formeel: $\{P\} C \{Q\}$ .

Het artikel identificeert een fundamenteel tekortkoming in deze benadering voor toegangsbeveiliging (access security), zoals toegangscontrole in blockchain-systemen (bijv. Bitcoin-scripts) of elektronische sleutels.

Bij toegangsbeveiliging is de kernvraag niet: "Zorgt deze invoer voor een succesvolle uitvoer?"
Maar eerder: "Is deze invoer noodzakelijk om toegang te krijgen?"
In andere woorden: Als een programma terminateert in een staat waar toegang is verleend (post-conditie waar), dan moet de invoer (pre-conditie) noodzakelijkerwijs aan bepaalde eisen hebben voldaan.

Standaard Hoare-logica kan dit niet direct modelleren omdat het zich richt op voldoende voorwaarden, terwijl toegangsbeveiliging noodzakelijke voorwaarden vereist. Bestaande alternatieven zoals "Incorrectness Logic" richten zich op het vinden van fouten in een voorwaartse richting, wat ook niet direct aansluit bij de achterwaartse redenering die nodig is voor beveiliging.

2. Methodologie

De auteurs introduceren Access Hoare Logic (aHl), een formeel raamwerk dat de richting van redenering omkeert.

Access Hoare Triples: In plaats van $\{P\} C \{Q\}$ , gebruiken ze de notatie $\langle P \rangle C \langle Q \rangle$ .
- Semantiek: Voor elke staat $s$ en $s'$ , als de uitvoering van $C$ $s$ naar $s'$ brengt en $Q$ geldt in $s'$ , dan moet $P$ hebben gegolden in $s$ .
- Formeel: $\forall s, s' [s \xrightarrow{C} s' \land Q(s') \rightarrow P(s)]$ .
- Dit betekent dat $P$ een noodzakelijke voorwaarde is voor $Q$ .
Het Kalkulus: De auteurs definiëren een directe calculus voor aHl, vergelijkbaar met die van Hoare, maar met aangepaste regels:
- Toewijzing (Assignment): $\langle P[E/V] \rangle V := E \langle P \rangle$ . (Vergelijkbaar met Hoare, maar gebruikt in de context van noodzakelijkheid).
- Consequentie: In tegenstelling tot Hoare-logica (waar je de pre-conditie kunt versterken en de post-conditie verzwakken), mag je bij aHl de pre-conditie verzwakken en de post-conditie versterken. Dit komt omdat we zoeken naar de sterkste noodzakelijke voorwaarden.
- Voorwaardelijke (Conditional) en While-regels: Deze regels gebruiken implicaties ( $\rightarrow$ ) in de pre-condities van de sub-branches in plaats van conjuncties ( $\land$ ), wat reflecteert dat de pre-conditie moet gelden als de post-conditie wordt bereikt.
Relatie met Standaard Hoare-logica:
- Er wordt een theoretisch verband gelegd via negatie: $\langle P \rangle C \langle Q \rangle$ is equivalent aan $\{\neg P\} C \{\neg Q\}$ .
- Echter, de auteurs pleiten voor een directe calculus omdat de transformatie via negatie (contrapositie) de verificatiecomplexiteit verhoogt en problemen kan veroorzaken in intuïtionistische logica (gebruikt in bewijsassistenten zoals Coq).

3. Belangrijkste Bijdragen

Definitie van Access Hoare Logic: Een formeel systeem specifiek ontworpen voor het verifiëren van toegangsbeveiliging, waarbij redenering plaatsvindt van post-conditie naar pre-conditie.
Kalkulus en Bewijzen: De auteurs presenteren een complete set van axioma's en regels voor aHl en bewijzen de geluidheid (soundness) en compleetheid (completeness) ervan.
Verband met Zwakste/Strongste Pre-condities:
- Ze tonen aan dat voor programma's die op alle inputs terminateert, de zwakste pre-conditie (weakest pre-condition) van Hoare-logica overeenkomt met de sterkste pre-conditie (strongest pre-condition) van Access Hoare Logic.
- Dit betekent dat aHl de "omgekeerde" versie is van de standaard correctheidsverificatie voor terminateerde programma's.
Vergelijking met Incorrectness Logic: De auteurs demonstreren dat aHl fundamenteel verschilt van Incorrectness Logic. Incorrectness Logic is een voorwaartse benadering voor het vinden van fouten (onder-benadering), terwijl aHl een achterwaartse benadering is voor het garanderen van beveiliging (boven-benadering in de context van achterwaartse transformatoren).
Praktische Toepassingen: Het systeem wordt toegepast op drie concrete voorbeelden:
- Elektronische Sleutels: Het verifiëren van een hotel-deursysteem waarbij de logica van het updaten van sleutels correct moet zijn om te voorkomen dat oude gasten toegang houden.
- Bitcoin Scripts: Het formele bewijzen dat het scriptPubKeyP2PKH (een standaard Bitcoin-transactie) alleen succesvol is als een geldige handtekening en publieke sleutel worden aangeleverd.
- Toegangslisjes: Een programma dat toegang verleent op basis van een lijst van wachtwoorden, waarbij wordt bewezen dat toegang alleen wordt verleend als het wachtwoord inderdaad in de lijst staat.

4. Resultaten

Soundness en Completeness: Het bewezen is dat elke afleidbare access Hoare triple geldig is (soundness) en dat elke geldige triple afleidbaar is binnen het systeem (completeness).
Validatie van Voorbeelden: De auteurs tonen aan dat hun systeem onderscheid kan maken tussen programma's die in standaard Hoare-logica correct lijken, maar in toegangsveiligheid kwetsbaar zijn (zoals het voorbeeld met de elektronische sleutel waar een foutieve parser-structuur leidt tot onbeperkte toegang).
Intuïtieve Logica: Alle bewijzen in het artikel (behalve een specifieke stelling over contrapositie) zijn geldig in intuïtistische logica. Dit is cruciaal omdat het betekent dat aHl direct kan worden gebruikt met moderne bewijsassistenten (zoals Agda of Coq) zonder dat er complexe transformaties nodig zijn die de logica verstoren.

5. Betekenis en Impact

Nieuw Paradigma voor Beveiliging: Het artikel biedt een fundamenteel nieuwe manier om over beveiliging na te denken. In plaats van te vragen "Wat gebeurt er als ik dit doe?", vraagt het "Wat moet er waar zijn om dit resultaat te krijgen?". Dit is essentieel voor beveiligingssystemen waar het voorkomen van ongeautoriseerde toegang centraal staat.
Blockchain en Smart Contracts: Gezien de toename van smart contracts (zoals in Bitcoin en Ethereum) die digitale activa beheren, biedt aHl een robuust theoretisch fundament om de veiligheid van deze contracten te verifiëren.
Complementair aan Bestaande Methoden: Het vult de bestaande toolset aan. Waar Hoare-logica correctheid garandeert en Incorrectness Logic fouten opspoort, garandeert Access Hoare Logic dat toegang alleen wordt verleend onder de juiste, noodzakelijke voorwaarden.
Praktische Implementatie: De auteurs verwijzen naar een patent dat is aangevraagd voor het genereren van verificatievoorwaarden voor aHl, wat suggereert dat dit niet alleen theoretisch, maar ook praktisch toepasbaar is in industriële verificatietools.

Kortom, dit artikel introduceert een krachtig, formeel raamwerk dat de kloof overbrugt tussen traditionele programmacorrectheid en moderne toegangsbeveiligingseisen, met name in de context van gedistribueerde systemen en blockchain.