プログラム圧縮によるソースコード流用の検出

Size: px

Start display at page:

Download "プログラム圧縮によるソースコード流用の検出"

ぜんぺいこいたばし
4 years ago
Views:

1 複合圧縮度によるソースコード流用の検出奈良先端科学技術大学院大学情報科学研究科田中智也門田暁人松本健一

2 背景近年, オープンソースソフトウェア (OSS) を流用したソフトウェア開発が増えている. 開発コストの削減, 高信頼性の確保開発の外注などにより OSS のソースコードが混入し, ライセンス違反を犯してしまう事例がある. SCEI が開発した PS ゲーム ICO のライブラリ [1] Microsoft が外注した Windows7 への Upgrade 支援ツール [2] 法的リスクを負う可能性を下げるための対策が必要であると考えられる. ソフトウェアを出荷する前に, ソースコード流用の有無を検出する. [1]: USB 版 Windows 7 作成ツールにGPLコード Microsoftが謝罪, [2]: 2011/11/27 PlayStation 2 Game ICO Violates the ソフトウェア信頼性研究会 GPL, 2

3 プログラム圧縮による流用の検出プログラムAがライブラリBを流用しているか否かを調べたい. プログラム A ライブラリ B? ライブラリ B Hemel らの提案 [3] プログラム A がライブラリ B を流用しているならば, A の圧縮サイズと,A+B の圧縮サイズはほぼ等しくなるはず. [3]Armijn 2011/11/27 Hemel, Kark Trygve Kalleberg, Rob ソフトウェア信頼性研究会 Vermaas, Eelco Dolstra, 3 Finding Software License Violations Through Binary Code Clone Detection," MSR 2011, May

4 目的とアプローチ目的プログラム圧縮による流用検出の実用性を明らかにする. アプローチプログラム圧縮の度合いの尺度 ( 複合圧縮度 ) を提案する. 複合圧縮度による流用検出の精度を実験的に明らかにする. 2011/11/27 ソフトウェア信頼性研究会 4

5 複合圧縮度の提案複合圧縮度 :2 つのプログラムを結合した場合の圧縮度合い 2 つの尺度 Consize: 複合圧縮度のサイズによる表現 ConRate: 複合圧縮度の割合による表現 2011/11/27 ソフトウェア信頼性研究会 5

6 評価尺度の提案 : 複合圧縮度のサイズによる表現 ConSize ConSize Comp( A) Comp( B) Comp( A B) ただし A,B はプログラム A B は A,B を連結したプログラム Comp(X) は X の圧縮後のサイズ流用がある場合, ( Comp( A) Comp( B)) Comp( A B) なるため,Consize の増加が期待される. と 2011/11/27 ソフトウェア信頼性研究会 6

7 評価尺度の提案 : 複合圧縮度の割合による表現 ConRate ConRate Comp( A) Comp( B) Comp( A Comp( A) Comp( B) B) ConSize に比べて, 個々のファイルサイズで除算しているため, ファイルサイズによる影響を受けにくいことが期待される. 2011/11/27 ソフトウェア信頼性研究会 7

8 評価実験 : 実験環境設定実験目的各評価尺度の, 流用の判別精度の評価を行う. 実験環境実験対象のソフトウェア 105 組の, オープンソースソフトウェアのペア開発言語 :C/C++ クローン検出ツール ( 流用の正解集合を求めるため ) CCFinderX[4] 圧縮ツール Lzip 辞書式圧縮法であるLZMAアルゴリズムを用いている. 重複が多いほど高い圧縮率が得られる. [4]: 2011/11/27 CCFinderホームページ, ソフトウェア信頼性研究会 8

9 評価実験 : 実験手順以下の手順により, 評価実験を行った. 各 OSS ペアに対し, 人手による分析を行い, 正解集合を作成する. 105 組中,29 組が流用あり,76 組が流用なしであった. 各 OSS ペアについて, 個々に圧縮した場合のサイズと結合して圧縮した場合のサイズを記録する. 記録したサイズに基づき,ConSize,ConRate を算出する. 各評価尺度について, 正解集合を用いて Precision, Recall を算出する. 2011/11/27 ソフトウェア信頼性研究会 9

10 評価実験 : 手順 1 正解集合の作成以下の手順により, プログラム A,B 間の流用の有無を調査した. CCFinderX を用いて,A,B 間のコードクローンを全て検出する. 最長コードクローンに対し, 目視で流用であるかどうかを確認する. 流用でないと判断した場合, 次に長いクローンに対し同様の作業を行う. クローン長が 30 トークン以下になった場合, 流用なしと判断する. 2011/11/27 ソフトウェア信頼性研究会 10

11 流用の例 xalloca_free (ctx.y); xalloca_free (ctx.next); xalloca_free (ctx.notfirst); xalloca_free (ctx.oddflag); xalloca_free (x); free(e_inv.c); free(e_res.c); free(e_con.c); free(e_post.c); free(e_fil.c); 引数の数が同じため検出されているコメントが一致しているため流用と判断した 2011/11/27 ソフトウェア信頼性研究会 11

12 クローンではあるが流用ではない例 2011/11/27 ソフトウェア信頼性研究会構文が一致しているためクローンとして検出されるが流用とはいえない 12

13 評価実験 : 評価精度確認に用いる指標 Precision,Recall を用いて評価精度を確認する. Precision Recall 流用ありと判断したもののうち, 実際に流用があったものの割合実際に流用があったもののうち, 流用ありと判定できたものの割合 ConSize,ConRate の各評価尺度に対して, これ以上の値であれば流用ありとみなすという基準値を設定し, その値を変動させることで Precision,Recall がどのような値を取るかを確認する. 2011/11/27 ソフトウェア信頼性研究会 13

14 Precision/Recall 実験結果 : 流用あり (ConSize) Precision Recall ConSize の基準値 2011/11/27 ソフトウェア信頼性研究会 14

15 Precision/Recall 実験結果 : 流用あり (ConRate) Precision Recall ConRate の基準値 2011/11/27 ソフトウェア信頼性研究会 15

16 Precision/Recall 実験結果 : 流用あり ( 多重ロジスティックモデル ) Precision Recall 多重ロジスティックモデルによる判別値 2011/11/27 ソフトウェア信頼性研究会 16

17 参考実験 : バイナリファイルを対象とした複合圧縮度の比較実験バイナリファイルを用いた圧縮による流用検出実験 5 個の MP3 タグエディタを用いた比較 STEP は SuperTagEditor を改変したもの Tuyutag, Teatime, MP3tag は SuperTagEditor とは全く独立に開発されたもの 2011/11/27 ソフトウェア信頼性研究会 17

18 参考実験 : 実験結果 Project_A Project_B A_FileSize (Byte) B_FileSize (Byte) A_Comp B_Comp (A+B) A_Comp(%) B_Comp(%) Size(Byte) SIze(Byte) Comp(%) AB_Comp AB Size(Byte) Comp(%) ConSize ConRate SuperTag Editor STEP 724, , , , , , SuperTag Editor Tuyutag 724, , , , , , SuperTag Editor Teatime 724,992 1,006, , , , , SuperTag Editor MP3tag 724,992 4,731, ,983 1,650, ,913, , STEP Tuyutag 819, , , , , , STEP Teatime 819,200 1,006, , , , , STEP MP3tag 819,200 4,731, ,991 1,650, ,936, , Tuyutag Teatime 957,952 1,006, , , , , Tuyutag MP3tag 957,952 4,731, ,109 1,650, ,010, , Teatime MP3tag 1,006,080 4,731, ,460 1,650, ,999, , /11/27 ソフトウェア信頼性研究会 18

19 まとめまとめ圧縮によるプログラム流用流用検出の実用性について検討した. 複合圧縮度の尺度として ConSize,ConRate を提案した. 105 組の C/C++ プログラムを用いて実験した. ConSize,ConRate を組み合わせて用いることで, Precision = 0.8, Recall = 0.8 程度を達成できる. 10 組のバイナリプログラムを用いて同様の実験を行った. 流用が明らかである SuperTagEditor と STEP の間には, 他の組み合わせと比べて高い ConSize,ConRate が観測された. 2011/11/27 ソフトウェア信頼性研究会 19

20 今後の課題今後の課題評価尺度の精度向上について検討する. 実験対象プログラム数を増やす. プログラムサイズが及ぼす影響について検討する. 2011/11/27 ソフトウェア信頼性研究会 20

21 ご清聴ありがとうございました 2011/11/27 ソフトウェア信頼性研究会 21

Protexご紹介

Protexご紹介 OSS コード検出ツール Black Duck Protex を用いた OSS ライセンス違反対策 2012 年 1 月 NEC Contents 1. OSS とライセンス 2. 違反事例 3. リスク対策のご提案 4. Black Duck Protex 活用のすゝめ Page 2 NEC Corporation 2012 Contents 1. OSS とライセンス 2. 違反事例 3. リスク対策のご提案

プログラム圧縮による ソースコード流用の検出

プログラム圧縮によるソースコード流用の検出