スマートコントラクト脆弱性検知ツールの体系的評価

• Item type: Symposium(1)
• 公開日: 2024-10-15
• タイトル / 言語: ja
• タイトル: スマートコントラクト脆弱性検知ツールの体系的評価
• タイトル / 言語: en
• タイトル: Systematic Study of Smart Contract Vulnerability Detection Tools
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: スマートコントラクト, ブロックチェーン, 脆弱性検知, 精度評価
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_5794
• 資源タイプ: conference paper
• 著者所属: デロイトトーマツサイバー合同会社／早稲田大学
• 著者所属: デロイトトーマツサイバー合同会社
• 著者所属: デロイトトーマツサイバー合同会社
• 著者所属: デロイトトーマツサイバー合同会社
• 著者所属: デロイトトーマツサイバー合同会社
• 著者所属: 早稲田大学／情報通信研究機構／理化学研究所
• 著者所属(英): en
• 著者所属(英): Deloitte Tohmatsu Cyber LLC / Waseda University
• 著者所属(英): en
• 著者所属(英): Deloitte Tohmatsu Cyber LLC
• 著者所属(英): en
• 著者所属(英): Deloitte Tohmatsu Cyber LLC
• 著者所属(英): en
• 著者所属(英): Deloitte Tohmatsu Cyber LLC
• 著者所属(英): en
• 著者所属(英): Deloitte Tohmatsu Cyber LLC
• 著者所属(英): en
• 著者所属(英): Waseda University / NICT / RIKEN
• 著者名: 佐古, 健太郎; 森, 博志; 高田, 雄太; 熊谷, 裕志; 神薗, 雅紀; 森, 達哉
• 著者名(英): Kentaro, Sako; Hiroshi, Mori; Yuta, Takata; Hiroshi, Kumagai; Masaki, Kamizono; Tatsuya, Mori
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: スマートコントラクト(SC)プログラムは一度ブロックチェーンに展開すると改変が不可能であるため，デプロイ前の脆弱性診断が極めて重要である．これまでに多くのSCプログラムの脆弱性検知ツールが開発されてきたが，これらのツールや既存の評価研究が対象とする脆弱性の種類は限定的であった．また，既存研究ではこれらのツールの検知精度の評価をファイル単位で実施しており，精度が粗い問題があった．本研究では，SCプログラムの脆弱性を網羅的に列挙したリストを基に，6種類の脆弱性検知ツールが対応する脆弱性の範囲を体系的に調査する．さらに脆弱性を含むSCプログラムのデータセットを構築して，行単位で検知率および誤検知率を評価する．その結果，脆弱性リストの32%がツールの検知対象外であり，7%は検知対象であるにもかかわらずツールが正しく検知できていないことを明らかにした．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: Smart contract (SC) programs, once deployed on the blockchain, cannot be modified, making pre-deployment vulnerability assessments critically important. Although many vulnerability detection tools for SC programs have been developed, the range of vulnerabilities these tools and existing evaluation studies address is often limited. Furthermore, existing research typically evaluates the detection accuracy of these tools at the file level, leading to coarse evaluations. This study systematically examines the coverage of vulnerabilities by six different detection tools based on a comprehensive list of SC program vulnerabilities. Additionally, we constructed a dataset of SC programs containing vulnerabilities to evaluate detection and misdetection rates at the line level. Our findings reveal that 32% of the vulnerabilities on the list are not detectable by the tools, and 7% are not correctly detected despite being within the tools' intended detection capability.
• 書誌情報: コンピュータセキュリティシンポジウム2024論文集; p. 1799-1806, 発行日 2024-10-15
• 出版者 / 言語: ja
• 出版者: 情報処理学会