Transcript
Page 1: Formalising the Safety of Java, the Java Virtual and Java Card

������������ �������������������������� �"!��$#��&%'���&�(!)�*#)��+,�-�.��/0�213�)4��������5��768!��$#��:9;� �<63=

>)?A@CBD@FE�GIHJG�K.ELBD@NMPO [email protected]\[U\K.EZS^]`_Ya�bJ_.c.cTd

e,f0g�hTikj l$hmonqprnLsutvnLw\xzy{nqn-|}t�~�xztv�{���vt�xznLp��^xr�{prn �C�V�N�Ds^��~z����n-x��C�Yn����{y����~�tv��t��������Npz���C�J���{�{pr�N�N��y{n�~L�T�C���oxzy�n�tv�����C�-x�C���C�Ds^�7~z����n-x���C�0~z�����v�.���F�Cxz�{prtv�Fx��{nLsut��-n�~�~z����y0�C~�~����Cp�x��L�Cpr�{~L���*y{n'�-�C�{��-�v��~ztv�C�otv~)xzy���xqw�y�t��vn��0�v�Cx����P�N�F�}��w$�Cpr�Iy��C~'��n�nL� �}�N�{n�������Cprn)�-�N���-n�p�xrn��7nL¡.�Np�x�t�~��{nLnZ�}n��7xr���{�{tv���0���L�Cy{n�pzn��Nx�~�nLx���*���C��y{tv�{n'pznZ�C�{�C�{�vn����Npz���C�¢���u�{nL��~����$xzy{n�w�y��C�vn'�C���N�Ds^�������t�xr~�t�������n���nL�Fxr��xztv�C�<���*y{t�~�t�~$�)���Npz��t��{�C�{�vn*xr�C~z�£�{�}x�w$n��n��vt�n�sCn¤t¥x*t�~*n�~r~�n��Fxzt�����xz�£�{�{tv���}tv�{��xzpr��~�x�tv���N�Ds^�'~r�^��nLx������C���xzy{n����-n$xr�)�C��y{tvnLsNnJ¦��P§}¨*©ª�vnLsNnL�}«��Cp�©��C�����N�q©�pzt�xrnLprtv�P��n�sCn��¬'�-nLpzxzt�­����^xrt��N�����Cp��N�Ds^����pz�N�Cp�����~L�®n��uw��Npr�{~k¯T°��²±}� ³§u����x�w*��prnD´�µJpr�C�Cp����2¶kn�pzt�­����^xrt��N�·�Z°��²¸}�v¹

º{�Npz���C�<°�nL­��{t�xztv�C��~P�����0�*y�nL�Cpr����©��²¸�§u�.n��-t��C�¥�»�{�{pr�.�N~zn��C������{����t����^xztv�N�}�A���C~zn��£~��}~�xzn���~�¼A§u����pzx��L��p��{~�½

¾ ¿�À h¢ikÁ�ÂÄÃ7l$h¢Å�Á À����t��v�v��~�xzp��^xrn�w�y���x�w$nJ��n��C���u�~z����n-x������� ~zn��L�{prt¥x����-�N��~�t��}n�p�N�Ct���t������C�L�Ln�~r~�xr�����{�{tv���}tv�{�{��*y{n�­�pr~�x��L�C���LnLpr�Äw��N�{���7��n�C�{p�~r�^��nLx����2º{�Cp�nL|{�����{�vn��J�N�{n7���¤xzy{n7y{tv�{�Nn�~q���¤xzy{nÄ�}�u�Np��tv�CyFx��.n��{pr�C�NnL�·��~z��xzy���x��7��n�pr~z�C�onL�FxrnLprt�����xry{n��{�{tv���}tv�{��-�N�{���&�Nn-x�yu�{pzx��N��n��{tv�{�£xzy{n'�}�u�Cp���Æ$�VÇLÈ�É-Ê�ËÍÌD�Yxzy�nLprn-���Cprn w$n��n��C�Îxzy���x��{�Cxzy{tv�{�Ï���C�Ðw�t��v�¤y����{�.nL�<�ÒѤ�{p�~zn��L�C���"�-�C�{��-n�pz��w$�C�{���o�.n�xzy{n�~�nZ�-�{prt�x��I�C�$xry{n����{tv�v�{t����{���*y�tv~)��n�����~xzy���x�n�sCnL��t��Yxzy�n¤y{tv�{�Nn�~J�Cpzn�t����N�u�u���L�C���{t¥xrtv�C�·��xr�����C�Cn$xzy{n�{�{tv���}tv�{��~�nZ�-�{prn��Y���v�}�����C�Äxzy{nq�}�u�CpPt�~Pprn�ÓF�{tvprn��&xz�&�-�C�Fxrpz�N��C���-n�~r~�xz�oxzy{n7�{��t����}tv�{��� Æ$�ÎÇ-Ê�ÔLÕ}Ö�×�ËÍÌoxry{nLprn-���NpznC��w$n&��nZ���xzy���x¤xry{nLprn�t�~¤�C�L�Ln�~r~��L�C�Fxzpr�C��xz�&pznZ~��N�{pr�Ln�~L��§u�{�����F~�tv�{��xzy���x�C���-n�~r~�xz��xzy�n��{�{tv���}tv�{��t�~¢~z����n������q~�nZ�-�{prn��Cxzy{n$xzy�t�p��q�-�C���-nLpr�w��N�{��� �.n�xry��^xkw$n$������n��FxznLp�xzy�n$���{tv�v�{t����Pw�y{nL��nLsCn�p�w$n$w�tv~zyxz����Æ$�ÄØÙ×�Ú^Ê-ÛYÊ�Ç�Ç)w$n ��n����&xzy��^xPnLsNnL�Fxz�����v�v�£~z�C��nLxzy{tv�{�q�C�u�}�w�tv���Ty��C�{��n��·��º�tv���C�v����y{�^wÜ�L���Vw�nqxrpz��~�xxzy���xxzy{�F~�n£nL�FxrnLpz�tv�{�7xzy{n&�{�{tv���}tv�{�7��prn�tv���}nLnZ�ªnL�Fxzt�xr��nZ�Vxz�I�}�V~��uÝÞ�*y{t�~)�L�C���n�C��y�t�n�sCnZ�����Np*n-|{�����{�vn��u�£�{�}xzxztv�{�£��~z�{pzsNnLtv�v�������Ln$������nLp���{n��CpTxzy{nP�}�u�NpL�¢�*y{nLprn-���NpznC�^xz�xzpr��~�xk�C�{pk�Cxzy{n�p¢�Cpzp������CnL��n��Fxr~w�n�prn�ÓF�{tvprnqxzy{n��C�{tv�vt¥x���xr� È^Õ�ß^×�Ë ~r�^��nLx��o�C���ª~�nZ�-�{prt�x����7Ѥ��n��tv�CyFx'�C~z���^xqxzy{t�~q~�x����Nn�¯�mÐy���x£�{�FnZ~£���v��xry{t�~�y��DsCn�xr�o�{�àrá·âDã²äkå·æ�çéè åYê�ä¢ë¥ìDíDîDï�î'ã í�ð^ê�çéñkòLó)á}ï�ôAâDí^æ�õ æ�ö�ó�÷TçAæ�ìZð�ørù�æ�ë·ñéâ^ïú)ûTüoý æ�çéðCæ�çAê�ñéïkþ�ï�äéï�ê�çéôAâÿ�çAæ�ö�çéê����*ï� ü ï ðDñ�� æ�ë ý æ���ðDìDñéï�ç���ô ã²ï í^ô�ï���íDã � � æ�ë&á·å·ï í�ñéï������*ê�ã õ��ðDã ï�ñéï�ç��Tô�ä�� ìZñ�å·ï í�ñéï�� íDõ� ü ï ðDñ�� æ�ë���õ²ï�ô ñAçéæ�íDã²ô�ä ê�í^î ý æ��$ðDìDñéï�ç���ô ã²ï í^ô�ï����íDã � � æ�ë��æ�ìZñéâ^ê���ðDñAæ�í������*ê�ã õ������ ú æ�çéï�ê�ì��Tï�ô�ä�� äAæ�ñéæ�í�� ê�ô�� ìDè

w�t¥xry7�N�Ds^�NÝ�N�Ds^� t�~&�{n�~zt��N�{n��2xz�Î~��{�����Np�x���}t�~�xzprtv�{�}xznZ�Ð�����Ðtv�"���Cp��

xzt��-�{���Cp ¦ �NxrnLpr�{n-xq���{�{�vt��L��xztv�C��~-���N�Ds^�0�{pr�C�Npr�C��~¤���D�Äxzp��DsCnL�xzy{nP¦ �FxrnLpr�{n-x��u�C���£���D�)�.n�n-|}nZ�-�}xrn��£�C������~���~��.n��-xztv�{� ��~znLp! ~�-�C�����}xzn�pr~L�#"�~znLp�~Pw$�C�{�����vtv�Cnxz�&��nq~���pzn xry��^x�s^���v��������n prn-�~��N�{pr�Ln�~���prno�N�}n�ÓF����xzn����Î���C�����Nn��Ð�C���"��pz�Cxzn��-xznZ�Y�$"¤~�n�pr~���D�&nL|u�.n��-x ��nLx�xzn�p)~z����n-x�����pr�C� �N�DsD���{pr�C�Cp�����~�xzy��C�Ä��pr�C����u�¤�Cxzy{n�p��utv������{���N�{tv�vn��{pr�C�Npr�C��~-����nZ�L����~�n*�C�Ds^�*t�~��*x��u�.n-�~z����n�C���&��nL���Cpr�F�»~r�^��n��{pz�N�Cp�������tv�{� �������C���C�Cn��%0n����Cpr�'~r�^��nLx��q��nZ����~kxzy���x��N�Ds^� �{pr�C�Cp�����~¢�����{�{�Cx����Npz�Nn

���Nt��FxrnLp�~-�Y�Cp��^sCn�pzpr�{�Ä��prp��D�u~L��N�Ds^���C¡.n�pr~¤pznL��nLprnL���Ln�~�xz���C�}�& n���x�~*w�y{t���y��L�C�{�{�Cx$�.n�����u�}�Í�C�-xz�{prn����F�£xry{n���~�n�p*�{�}x��C�{�v��F�7xry{n£~��}~�xznL�7�(' prn-��nLprnL���-nqtv~¤nLt�xry{nLp��{tv���Np¤t�x���Ntv�Nx�~¤��x�sD�C�vtv�I�C� & nZ��x���°����{�N��tv�{�&���Ntv�NxrnLp�~ �C~ tv� © �����{����x)�}�L�L�{p)tv��C�Ds^�}��"�~znLp�~P��prn �{�Cx�pznZ~��.�C��~�tv�{�vn¤���Cp¤�{n-� ���v�v�u���^xrt����)�C� & nZ��x�~-���nZ�L����~�n)�N�DsD�q~z�{�{�.�Cpzxr~����{xz�C����xzt��P�F��pr�����Nn��L�C�v�vn��-xztv�C�·����u��nÄ~r�^��nLx�� ��n��C��~qxzy��^x�xry{nV�N�DsD�ª�L�C���{tv�vnLpqt�~����{�vn�xz�

nL��~z�{prn£xzy���x'��n-xry{�}�{~��C���ª�C�.nLp��^xr�Cp�~w�tv���k�N�{�v�I�.n&�C�{�{�vtvn��xz���C�.nLp������{~����¢xry{n��-�Npzprn��-x*x��F�.n��P�N�DsD�qt�~P��~�xzpr�C�{�N�v��x��u��nZ��v�C�{�C�����CnC�F�vtv�Cn�µk�C~r�L�C�Y�C���)'��{�{�������&�{�{�vtv�Cn)©2�C���Ä©+*,*���N�Ds^��t�~����{t�ÓN��n�tv�0xzy��^x ���CxzyIxzy{n��-�N���{tv�vnLpP�����0xzy�n'pr�{�}�

xztv��nÐnL�usutvpz�N�{��nL�Fx n��}���Cp��-n"xzy{n`~z�C��n"~r�^��n-x��Þ�L�C���}t�xrt��N��~L��*y{t�~<��n��C��~·xry��^xTxr�C����n�pztv�{��w�t�xry'�-�N���{tv�vn����-�}�}n�w�tv�v�C�.n*�}n-�xzn��-xznZ�'t��.nL���{�C�{�Cn�pztv�{��x��u��nP�C���q��nL���Cpr� ~z����n-x��C�T�*y{t�~¢�{pr�C�}�nLpzx��0�����CnZ~¤�N�Ds^���&�C�u�}�Ä�����{�N�����Nn ���Cpw�prt�xztv�{���}t�~�xzprtv�{�}xznZ��-�}�}n��*���Np�mon��Ð�{pr�^wP~�n�pr~q�{�{x�����~z�I���Np&~z����pzx��L��p��{~L�\�*y{nÓN��n�~�xztv�C�Ixzy{n���pzn�����tv��~L¯¤xr��w�y��^x)n-|uxrnL�Fx��L�C�ow$n£xzpr��~�x xzy{n~z����n-x��Ä�C���N�Ds^�NÝ`�*y{n��C��~�w$nLp t�~tv�ª�����}t�xrt�����xry{n�~z����n-x��I�Cp��pr�C�{�Cn���nL�Fxr~L�F�u��~�xz���}�ut����'xry{n���Cpr�����·~znL���C�Nxrt��L~J�C�k�N�Ds^�}�mÐy{tv�vnVx��F�.n ~r�^��n-x��X�����\��nL���Npz�2~r�^��nLx��"��prnª�{n��Ln�~r~z�Cpz�C�

xzy{n�����prn¤����x�~z�.-��-tvnL�Fx$xz�£�����Nn��N�DsD�'�{pr�C�Npr�C��~�~zn��-��pzn0/²¬u¹^�³C³21A��º{�Np¤���N�Ds^�£�{pz�N�Cp���� xz���.n'~zn��L�{pzn�w�n)���C�Cn�x�w$������tv�pznZÓN��t�prnL��n��Fxr~3/ ¸F¬!1A���*y{n¤­�p�~�x*t�~Jxry��^x��N�DsD���{pr�C�Cp�����~��L������npznZ~�xrpzt���xrn��Ixz�Ä�N�L�-nZ~z~ztv�{�7�C�{�v�I�LnLpzxr�Ct��oprn�~z�C�{p��-nZ~-���N~��}nL­��{nZ��F�Ï���2���{��pz�N�{pzt���xzn&~zn��L�{prt¥x����.�C�vt��-�4/²¬�521é�2mÐy{tv�vn0~��N��n&prn-�~��N�{pr�Ln�~��Cpznn��N~���xz���-�N�Fxzpr�C�A�}��tv�Nn¤��~zn ���Txzy�n)pz���Nxrtv��n�~�xr�N������Cp��N�L�Ln�~r~<xr�¤�-n�p�x���tv�(67"P¦�nLsCn��Fxr~L�D�Cxzy{n�p�prn�~z�C��pr�Ln�~��Cpzn�y���p��}nLpxz�0�-�N�Nxrpz�N�A�Y�vtv�Cn'n-|}n��L�}xztv�N�Äxztv��n)/ ³�821A�£�*y{n�~zn��L�C���IpznZÓF�{tvpznL���nL�Fx tv~ xzy���x�~�nZ�-�{prn�~��}~�xzn���~ �L���ª�.n������}t�xzn��·��9P�Ä~z�}~�xrnL��L���V��n'xzpr��~�xznZ�Äxr�&�.nq~zn��L�{prn'�{����nZ~z~¤t�x�t�~¤���F~z~ztv�{�vn xz�7�����}t�xxzy{n�.nLy��Dsutv�C�{p$����xzy{n ~z�}~�xrnL�7�¢mÐy{tv�vn��L�{pzprnL�FxP�C�Ds^�'~��}~�xznL��~y��DsCnq���C�}n'�C�u�}�I��pz�N�Cprn�~r~�xz�^w*��p��{~�~z��xzt�~����Ftv�{�&�C�{p�­�p�~�xprn-�ÓN��t�prnL��n��FxL�Nw$n�}�'����x*�F���^w2�����C�F��w$�Cpr�£�}�C�{n��C�������{t¥xrtv�{�~�nZ�-�{prt�x����:'Î���Npzn$�}n-x���tv�vn��)tv�Fxzpr�}�}���-xztv�C� xr��xzy{n�prnL�vnLs^�C�Nx�xzn�p��¹

Page 2: Formalising the Safety of Java, the Java Virtual and Java Card

��tv�{�C�v�C�N�)�������-�C���-nL�{xr~�����~r�^��n-x����C����~zn��-��pzt�x��qt�����pz�N�Cp����£���tv�{�P�����{�N�����Nn�~·���D���.n����N�{���)tv�)¶k�N�v�����{�������'§u��t�xzy;/¥¹!<>=?1é�mon�~�y��C�{���ª����~z�0��tv�Nn'xr�I�.�Ctv�Fx)�C�}x'xzy���x�xry{n��.�C�{���{��pr�V�.n-�x�w�n�nL�q~z����n-x��)�����'~zn��L�{pzt�x��t�~�~z�C��nLxztv��n�~��¤�vt�x�xr�vnJs^���C��n@/¥¹D¬^³21é�¦ �Ixry{t�~�����.nLpw$n£�C�{�v�0��nL�Fxrt��N�I~zn��-��pzt�x��7�{prt�nBA����·xry{n�����tv����}�-��~*t�~*�C�0�N�DsD�q~r�^��n-x��C�Æ$�;t�xr~znL��� �7�N�Ds^� ��¡YnLp�~ �vtv��t�xznZ� ~r�^��nLx���� º{�CpÏn-|{��������nC�

�{pr�C�Cp�������tv�{�2�`�-prn��{t¥x��L�Cpr�Ü�����{�vtv���^xrt��N� tv�Ü�N�DsD�Xw$�C�{����{��x7�C����p����Fxzn�n0xzy���x7xzy{nª�-prn��}t�x���tv��t�x��-�N�{���2�{n�sCnLp��.nVnL|F��-n�n��}nZ�Y�;µ�pz�N�Cp���� sCnLprt�­��L��xztv�C�ÏxznZ��y{�{t�ÓF�{n�~���prnÄ�{n�n��}nZ�2xr�pznZ�C~z�C�����.�C�}x�~z����y7y{tv�Cy}�»�vnLsNnL�Y~z����n-x�����pz�N��n�p�xrt�nZ~-�J�*y{n�pznL���Cprnw�n ~z�{prsCnL�£xry{n)�����{�vtv���^xrt��N�����k~�����y�xrn���y{�{t�ÓF�{nZ~�xr���C�Ds^�{�¦ ��xzy{n¤pzn�����tv�{tv�{�~�nZ��xztv�N��~k���·xry{n������.nLp�w$n¤~z�{prsCn��'���v�.�C~��

��nZ��x�~k���.���Cpr�����vt�~�tv�{�*xry{nP~r�^��n-x��'���<�C�Ds^�{�Ct�xr~¢tv���{�vnL��n��Nx��^xrt��N����C~zn����C��xry{n)�C�Ds^� ¶¤tvp�xr������%Ä�C��y�t���n'¼é�C¶C%V½���������t�xr~$��~zn¤tv�xzy{n sNnLprt�­��L��xztv�C���C���{pr�C�Npr�C��~-��*y�pz�N�{�Cy{�N�}x*xzy{n������.nLpPw$n)y��DsNn�xzprt�nZ�&xz�£���}�-��~�t�~*�C��xzy{n

�{�^sCn��}�C~z��nZ��xr~¢�L�C���.�C�{n��Nx�~��C�Y�N�Ds^�¤�C����t�x�~�tv���{�vn���nL�Fxr��xztv�C�·�mon�y��DsCn ���N�}n ���0n-¡Y�CpzxP�{�CxPxz���v�F~�n ~zt��NyFxP���Txzy{n��Í�C��x�xzy���xxzy{�F~�n��{�^sNnL�Y�-�C���.�C��nL�Fxr~��'��~�x*tv�NxrnLp��C�-x�y��Cpz���N�{tv�C��~z�v� w�t¥xryxzy{n �Cxzy{n�pL�}xrpztvnZ��������xrn�~�xznZ���L�C���.�C�{n��Fxr~L�¦ �7§un��-xztv�C��±)w$n¤��pznZ~�n��Nx*���&�^sCnLprsutvnLw ����xry{n��p���y{t�xzn��-xz�{prn

�����N�DsD�{��§un��-xztv�C� ¸�prnLsutvnLwP~·�P�F���'�.nLp·�C�u��nLxzy{�}�{~��-�C�����N�{�v����C�v�v�^w�nZ��xr��pznZ�C~z�C�&���Cpr�����v�v�����.�C�}xPxry{n'~r�^��nLx����C�¢��pz�N�Cp�����~�������{pr�C�Cp�������tv�{��������C���C�Cn�~L�T�*y�n����Npz���C��t�~r�^xrt��N�'nL¡.�Np�x�~$����C�Ds^�V����� t¥x�~�tv���{�vn���nL�Fxr��xztv�C�o��prn&~z�{pzsNnL�Nn���tv�ϧunZ��xrt��N��~'³¼��N�7�N�Ds^�N½���5�¼Í�C��xzy{n��C¶C%V½*������«7¼��C��xry{n)�-�N���{tv��n�p�½��§}n���xrtv�C�'¬*tv�usCnZ~�xrtv�N�^xrn�~�xzy�n$�C�{�{�vt��L�^xrtv�C���C�}���Cpr�����N��n-xzy��u��~

xz�u�C��~������£xrn���y{��tvÓF�{nZ~kxr��xry{n�sNnLprt¥­.�L�^xrtv�C�£�����N�Ds^� �{pr�C�Cp�����~L�§un��-xztv�C�D<�{prn�~znL�Fxr~�� �}n-x���tv�vn��q�L�C~zn�~�xr���}�q���Yxzy�n����{����t����^xztv�N���� �C�Ds^�Ixz��~����Cp�x£�L�Cpr�{~L� �*y�n����N~�x�~�nZ��xrt��N�Ï�L�C���L�����}n�~�xzy{n�����.nLp���*y�n������.nLpJ�L�C�Fxr�Ct���~�xry{prnLn$xr�C�{�vn�~¢w�y{t���yq�{pz�^sut��}n$���£tv���}n-|

tv�Nxr�qxzy{n prnL�vnLs^�C�Nx��vt�xzn�pr��xz�{prn��J�*y{nZ~�n)�Cpzn �T���{�vn£¹�¼��N�0�N�Ds^�N½�����C�{�vn±�¼Í�C��xzy{n��C¶C%V½����C���&�T������n ¸7¼��N��xry{n)�-�N���{tv�vnLp�½��

E FHG�IKJ j+L j�e,ikl G Å�h I l$h¢Ã7i I'����-�Cp��}tv�{�0xr�ª§}�{�M ²~0N�n-��n�pzn����-n�tv���{�vnL��nL�Fx��^xztv�N�·�<xzy�n0�N�Ds^��{pr�C�Cp�������tv�{�'�����{�N�����Nn tv~��-�N���{tv�vn��&�F��xry{n£�N�Ds^���L�C���{tv�vnLptv�Nxr�*�F�Fxrn��-�}�}nZ~·xzy��^x��������n�t��FxrnLpr�{pznLxznZ�¤�u��xzy{n��N�Ds^�*¶�tvpzxz���C�%Ä�C��y�t���nq¼A��¶@%I½���Æ$�Fxzn �L�u�{n�~���prn~�xr�Cprn���tv�7�-���C~r~�­��vn�~L�k�*y�n��¶@%5t�~�������nxr���v�N�N���L���C~r~$­��vn�~P�C����xz�&n-|}n��L�}xzn)�u�Fxzn'�-�}�}n�~�u����{pr�u�Ln�~r~<�C��tv�NxrnLpr�{prn-xr��xztv�C�<�·Æ$�Fxzn*�-�}�}nZ~��Cpzn���p���y{t�xzn��-xz�{prn�{nL�{xzp������C���7�L���7�.n pz�����u������¶@%5�C�7���u�&�Cpr��y{t�xrn���xr�{prn�xr�w�y{t���y����C¶C% y��N~J�.nLn������Np�xrn��Y�ON�nZ�-n��Nx���¶@% tv���{�vnL��n��Nx��^�xztv�C��~P~����{���Np�x����~�x��»¦ �}� �*tv��n£¼A��¦��P½P�-�C����t��vn�pr~$���{�vnxr�&�-�N�£��{tv�vnP�v�N�C�{n��£�u�Fxzn¤�L�}�}n�~�tv�Nxr������xztvsCn¤�C~r~�n��'�{�v���L�}�}n��{�}tvprn���xr�v�n-|}n��L�}xr�C�{�vn¤�u����pz�}�-nZ~z~z�Cp�~L�¦ � xzy{n&pznZ~�x��C��xzy{t�~'~�nZ��xztv�N�·�Tw$n�prnLsutvnLw xzy�n�s^��prtv�C��~�����{�

�C���C�Cn7��nZ�^xz��pznZ~����C�����2tv�Îxzy{no�-�Npzn0�C�'�C�Ds^�}�P�C��� xzy{n��Ðw$n~���������prtv~zn7~��N��nÄ�{�^sCn��¤�N~��.n��-xr~��C�)xzy�no�N�DsD� ��p���y{t�xzn��-xz�{prn~�����y��N~*�F�Fxrn)�-�}�}nsCn�pzt�­����^xztv�N�·�F�}�u���C��t��¤�L�v�N~z~��v�N�N�}tv�{�'�C���~�x��C����tv��~z��nZ��xrt��N�·�

P�QSR TVUXW#YOZCUXYO[]\+[^U`_.Z3a�[cb�*y{n��C�Ds^�£�����7�C¶C% �������C���C�Cn�~$y��DsNn �'�u�{�q�.nLp����ktv�Fxzn�pznZ~�xz�t����'��nZ�^xr�{pznZ~-�*§u�C��n �����{�v���C�{�v��xr���C�Ds^�{��~��N��n¤xr�£xzy{nq��¶@%�����ª~z�C��nqxz�0�.��xry·���*y{n����F~�x tv���.�Cpzxr���Fx �C~z��nZ��x�~)��prn£xzy{n���C�v�v�^w�t����{�C'��Itv����n�pr��xztvsCn)�L�Cprn'�L�C��~zt�~�x�~P�������C~zt��)�{�^x��}�·n-|u��{pznZ~z~ztv�C��~¤�����o~�xr�^xrnL��n��Nx�~-�q�*y{n£�C� & nZ��x��»�CprtvnL�FxznZ�0����xz�{prn'�C��C�Ds^�Ät�~q���N~�nZ� �N�Ï�N� & n��-xr~L���-���C~r~zn�~L��tv�NxrnLpz�Í�C�Ln�~q�����Ï��prpr�D�}~L��C�Ds^�)t�~$�'~�xzpr�C���C�v��x��u�.n����v�C�{�C�����Cn¤��������~�nZ~*�)x��u�.n�~z�}~�xrnL����Cxzy0�^x�xry{n��C�Ds^�'�����{�N�����Nn¤�����7�C¶C% �vnLsNnL��~L�X'¤�{�}t�xztv�C�����v�v����C�Ds^�ª~����{���Np�x�~�nL|}�LnL�}xrtv�C��~��C���Î�'���¥xrt��éxry{pznZ�C�}tv�{���к�tv���C�v���C��C�Ds^�'tv~��q�F��pr�����Nn¤�-�N�v��nZ��xrn����������C���C�Cn��%0�F~�x¤pznZ~�nZ��p���y{nLp�~$t���xry{n)­�n����&���}�}n������Cp�x�~������N�Ds^�. ²~�tv�£�

��n�pr��xztvsCn*�-�NpznC�N�����q���C�F�)�C��~���}n��C�{w�t�xzyq�C� & nZ��xJ�NpztvnL�Fx��^xztv�N�·�mon¤w�t��v��~r�D���vt�x�xr�vn����Cprn*�C���N�}x�xry{t�~��L�Cprn��F�N~Jt�x�t�~Jp��^xry{nLp�w�n�����{���}n�pr~�xz�u�}�Y�k¦ ��~�xzn��N�Y�}w�n�w�tv�v���-�N���-n��Fxzp��^xzn¤�C��xzy{n��{�^sCn��.�N~����nZ��xr~P���¢�N�Ds^�qt��&w�y��^x����N�v���^wP~L�mªn£y��DsCn'�{��x �.nLnL�o���{�vn'xz�&­����o���u�0w$�Cpr���N�I���}�}n����vtv�{�

�N��pr���C�Cn)�-�N�v��nZ��xrt��N�&tv�Ixzy{n£�-�N�Nxrn-|ux¤�C��~�xz���}�utv�{�&nLt�xzy{n�p��N�Ds^��Cpkxry{n��C¶C%ª�}�*y{t�~kt�~J� ��pz�N�{�vnL� �.n�������~znP�F��pr�����NnP�-�C�v�vn��-xztv�C�tv~J�{��xJxrpr�C��~z����prnL�FxJ~�tv���LnP�}n��C�v���}���^xztv�{�������N� & n��-xJxzprtv�C�Cn�pr~Tt�xr~­������vtv�Ln�p���nLxzy{�}�Y�

P�QdP egf+W#UXhji�kmlonSUpb�bqTVrOUps#[Ma'�~J�N�{�.�N~zn��'xz�)�Cxzy{n�pJ�{pr�C�Npr�C����t����P�����{�N�����Nn�~¢~�����y��C~�© �Cp©+*,*��¢�u�Fxzn��-�}�}n�­��vn�~q��prn��{��xq�vt����Cn��otv�Fxz�I�C� n-|}nZ�-�}x����{�vn��¦ ��~�xrn��N�Y��xry{nI�C¶C% tv�NxrnLpr�{prn-xzn�p'prnL�vtvn�~'�C�2�o�v�N�N�}nLp�������n&xz����F�C�&�-���C~r~�nZ~*�}�u������t��L�C�v���C�Ot:uZÈCß^×�Û�v&ÖzÊÍÉ-ÊLÖ�Ç�Ëwu�Ëyx{Ê+z.Ö�uZÔ�Ê�Ç�Ç{u�É| Û.ß�×�Û�vVË�x�Ê�}-×�ÛYÈ^Ö�Ì�Éu�Ö�~�u�É�ÈoÔ-Ø¥È^Ç�Ç�u^Ö�×�Û�Ë»ÊLÖ�É-ÈCÔ�Ê7ËÍÌ�z�Ê;�k×�Ë�xÈ�z�È^Ö-Ëé×ÍÔ-Õ}Ø�È^ÖIÛYÈ2~�Ê��Vz�ÊLÖ�x{È�z.Ç�}LÌÏÔ�u2~#z.Õ{Ëé×�Û�v ×�Ë0u^Û`Ëyx{Ê��$Ì!�}-Õ{Ë(~Du�ÖzÊIËéÌ�z.×ÍÔ�È�Ø�ØÙÌ�}LÌ�ÖzÊ�ËÍÖ�×ÍÊLÚ�×�Û�vÏÈ�}L×�Û.È^Ö�Ì�ÖrÊwzYÖzÊ�ÇLÊLÛ�Ë»È�Ëé×�u^Ûz.ÖzÊLÚ�×�u�ÕuÇ�ØÙÌ7Ô�u�~3zYÕ{ËAÊ�ߤÉ�Ö�u2~ ÇBu^Õ}ÖrÔrÊ£Ô�uZßCÊ0}LÌ�È7Ô�u2~#z.×�Ø¥ÊLÖ���È�Û.ßÔ�u�Û{Ç-ËéÖ�Õ�ÔLËé×�Û�v*É�Ö�u�~ Ëyx{È�ËO}L×�Û.È�Ö�Ì�Éu^Ö�~ È7�.��������u>}��LÊ�Ô�ËJËwuqÖzÊwz��ÖzÊ�ÇLÊLÛ�Ë�Ë�x�Ê'ÔLØ¥ÈDÇ�Ç(u^Ö ×�Û.ËAÊLÖ�É-ÈCÔ�Ê�/ ¬�8u�Y©�yª¹Z±}�²±21é�Ѥ���Ln ~��N��n��u�Fxzn �L�u�{n y��C~*�.nLn��0���F�C�}nZ�Y�uxzy{n)�L���C~r~��v�F�C�}n�p

�����CnZ~~��{prnqxzy���x��-�}�}n�t�~��{pr�C�.nLpr���0�vtv�{�Nn��Äw�t�xryIxry{n�prn�~�x�C�xzy{nVpz�{�Fxrt���nC��t¢×�Û.�^×�Û�v ×vÇoË�x�Ê0zYÖ�uZÔrÊ-Ç�Ç�u�ÉVËAÈ��^×�Û�v Èg}L×�Û.È�Ö�ÌÉu^Ö�~�u�ɤÈqÔLØ¥È^ÇrÇ7u^ÖP×�Û.ËAÊLÖ�É-ÈCÔ�ÊËéÌ�z{ÊÈ^ÛYߣÔ�u�~D}L×�Û�×�Û�v'×�Ë�×�Û.Ë�uqËyx{ÊÖ�Õ}Û�Ëé×y~£Ê)Ç-ËAÈCËAÊ�u�É'Ë�x�Ê(�`�^����ÇBu&Ë�x�È�Ë$×�Ë�Ô�È^Ûo}�Ê£Ê��FÊ�ÔLÕ{ËAÊ�ßo/²¬28u�©�yo¹D±u�²¸21A��N�Ds^�tv~J�{��x�xzy{n¤�C�{�v�����C�{�C���C�Cn$xz�'~��{�����Np�x*�}�u������t��$�v�N�C�}�

t����{¯¢©��N�����C�(��tv~z�'�C��~��¤y��C~k~z����y£���Í�N�-tv�vt�x����^�����'���N~�xT���}�u�nLpr���C�.nLp��^xrt����)~��}~�xznL��~�����~��'~��{�����Np�x*�}�u������t��*�v�N�N�}tv�{����<�vt���{pr�CpztvnZ~-�Φ �Îxzy{n0��pznZ~�n����-n7��� �}�u���C��tv�����v�v�I�v�N�N�}n�� �-�}�}nC�*��F���'�.nLp������y{nZ���u~�q��~�x��.n��.nLpz���Cpr��n��Äxz�7nL��~z�{prnqxzy���x)xzy{npztv�CyFx��L�}�}n�w�t�xzy)xzy{n$pztv�NyNx�~ztv�C����xz�{prn�~<y��C~���n�nL�'���F�C�}nZ�Y�T§u����y��y{n����}~P�Cpzn �.nLpz���Cpr��n��&�u��xry{n)�u�Fxzn��L�u�{n sCnLprt�­�nLp��{w�y{t���y7w�n�}n�~r�-prtv��ntv�ħun��-xztv�C�ıu�²¸}�P�N�DsD���{t¥¡YnLp�~$��pr�C�Ò��xzy�nLpP�{pr�C�Npr�C�£���t����������{�N�����Nn�~¤��nZ�L�C��~�n£t�x ��n�p����Npz��~�~z����yo��y�n����}~ �^x �vtv�{�F�xztv��n)�C~��C�{�.�N~zn��7xr��n-|}nZ�-�}xrt��N�7xztv��n��Y~�����yI���0�N�}xztv��t�~z��xztv�C��C���Cpr�C�NxrnLnZ~ xzy��^x���y{n����}~q��prn��.nLpz���Cpr��n����N�{�v�o�N���-nC��'��{�{t¥�xztv�C���C�v���C��xry{n��C¶C%Ò�v�N�C��~T�L�}�}n�tv�q�������� �����{��nLp���w�y{nL���-�}�}ntv~prn�ÓF�{tvprn��Vtv�o��n����Cpr�����Cp�nL|}n��-�{xztv�C�Vxz�0�.n�������n£�{pr�}�-n�n��Y�©��C��~zn�ÓF�{n��Nxr�v���C�^xJpr�{�Fxztv��nC�Dw$nP�L�C�'�N��~znLprsCn�xzy{nPtv�Fxzn�pz�vnZ�DsFtv�{�

±

Page 3: Formalising the Safety of Java, the Java Virtual and Java Card

�����}t�¡.n�pzn��Fx��C��xrtvsFt�xrt�nZ~¤~z����y��C~��-�}�}n�nL|unZ�-�}xrtv�C�·�¢�-�}�}n��v�N�N�u�tv�{�Ä�����ª�vtv�{�utv�{���¢�-�}�}n��vtv�{�utv�{��tv~�t�xr~znL���$�L�C���.�N~zn��o���*xzy�pzn�n�}t�~�xrtv����xk�C�-xztvsut¥xrtvn�~L¯<�F�FxrnP�-�}�}n*sCn�pzt�­����^xztv�N�·�^�{pzn�����p��^xrtv�C���C���pznZ~��N�v�}xztv�C���C�¢~z�u�'�.�C�vt���prn-��n�pzn����-nZ~@/²¬28}�Y©�yª¹Z±u�²¸21A��*y�n¤pr�C�vn��C�<xzy�n�L���C~r~��v�N�N�}nLp�tv���N�DsD��t�~��L�C���{�vn-|Y¯T��nZ~�t��}nZ~

�v�N�C�{t������{nLw �L���C~r~�nZ~-�.t¥x ����~z���-�N�Nxrpz�N��~P���C��n�~����C�-nZ~¤~z�&xzy���x�{nLw��v�7�v�N�N�}n��Ä�C�{�{�vn-x�~{/²¬u¹1J�Cp ���{����t����^xztv�N��~,/ ¹N¹�¸?1k���D�7�C�����~�n�n�xzy{n prn�~z�C�{p��-nZ~�xzy{n���y��DsCn�xry{n pztv�NyNx$xz��~znLnC�ºTtv���C���v�C���}�u������t����v�N�N�}nLp�~P�L�C�Ä�.n��{pr�C�Npr�C����n����C���Ä�L��~��

xz�N��tv~zn��\�C���-�Npr�}tv�{� xr�Ðxzy�nÏ�����{�vtv���^xrt��N��~B *��nLn���~-� º��CpVt��{�~�x������Ln��k�u�Fxzn&�L�}�}n����D�V��n&���F�C�}nZ�V��pz�N� s^�Cpztv�C��~ �v�u���^xrt��N��~�Cp¤���C�v�v�^w�tv�{�q�{t¥¡YnLprnL�Fx~�xrpr��xznL�Ntvn�~L��n-|}�{�vt��-t�xr�����{pz�N�Cp��������C�{�vn�u��xzy{n ��~�n�pL�P�Qd�  of�_�[]l�r+s3[¢¡£[^a�i�¤@k�U`_.iSrOW�*y{nqxr�N~��Ä�C��xry{n£�F�Fxrn£�L�}�}n�sCn�pzt�­�n�p�t�~¤xz�0��y{n����o��¶@% �L�u�{n���CpTx��u��nP�L�C��~zt�~�xrnL���L� �����q~��N��n��Cxzy{n�p¢�{pz�N��n�p�xrtvn�~L�T�*y{n*����tv���y{n����}~���n�p����Npz��nZ���u�'xry{n ��¶@%,�u�Fxzn�-�}�}n�sNnLprt�­�nLp$��prnPxzy��^xL¯¥ §Fx��C���q��pr�C��n�~��}�'����x������}nLpz�k�Cp$�^sCn�p�A��^w�$¼é§Fx��C���}~$���D�~�xztv�v���^sCnLp�A��^w �.n�������~znÄ�C����N��� ���)~z���C�Ln7���Cp�xry{nI�{nL|ux��p�����nZ½��

¥ ¨JsNnLpr���u�Nxrn �-�}�}n t�~$sD�C�vtv�·�¥ �C�{����~��vn��N�Ïxz� �vnL�F����tv��~�xzpr����xrtv�C��~7¼Í�C���2�{�Cx�tv�Fxz�oxzy{n��t��{�}�vn��C�Ttv��~�xzpr���-xztv�C��~�½��¥ %0nLxzy{�}�Ä~ztv�C����xz�{prn�~ ¼Íté� n��P������n��C����x��u��n'���J����n-xry{�}�������t�xr~��Cpz�N�{��nL�Fx�~r½��-�N�Nx���tv��s^���vt���tv�}���Npz����xztv�C�<�¥ Ѥ�.nLp������{~�xr�����v�Yt���~�xrpz���-xztv�C��~��Cpzn���Txzy�n)�-�Cprprn���x$x��u��nC�¥ '����-nZ~z~��L�C�Fxzpr�C�*t�~£�C�.nL�Nn��\¼�n�� �{�����V��pztvs^�^xrn���nLxzy{�}�Ït�~�L�C�v��nZ�0�C�����7��pr�C� w�t¥xry{tv�Äxry{n��-���C~r~�w�y{nLprnqxzy{n£��n-xry{�}�t�~*�}n-­���n���½��

¥ Ѥ� & nZ��xr~��Cpzntv�{t�xzt��C��t�~zn��'��nL���Cprn ��~zn��¥ §u�{��pz�N�}xztv�{nZ~ ��~zn�� xr��tv���{�vnL��n��Nx n-|{�LnL�}xrt��N��~,�C����2¦>§�¨2©�ª�«�§�¬�­.®�¯�~�xr��xznL��n��Fxr~*��prn¤��~�nZ�&tv�7ºT¦�ºTÑ`�Npr�{nLp��

P�Q�° ±²[ck�Z#a�i�_�f´³�UXW#UXYO[Ma�*y{n ~�nZ�-�{prt�x����������C�Cn�p�t�~��qpz���Nxrtv��n��L�C���.�C�{n��Nx$xzy��^xPy{n�����~xz�Ätv���{�vn���nL�Fx �N�Ds^�Ä~zn��-��pzt�x��Ä�.�C�vt��-tvn�~B�T���Cp�tv��~�xr�C���-nC�¢�N�L�Ln�~r~xz��xry{n ­��vn�~z�}~�xrnL�Ò���D���.n��{pr�Cy{tv�{t�xrn��Y���L�C�{�{nZ��xrt��N��~P�����7��n���C�}n'�C�{�v�7xr���LnLpzxr��tv�V�{n-x�w$�Cpr�0�C�{�}prn�~r~zn�~L�Y�Np ���ª���{�{�vnLx��Np���{����t����^xztv�N���L�����{pr�}�-n�~r~$�C�{�v���LnLpzxr�Ct��&w�tv���}�^w�tv�{�)n�sCnL�Fx�~-�Æ$���}nL�Í���{��xL�{�N�DsD��pzn��vt�nZ~¢�C���C�oÈNÔrÔ�Ê-Ç�ÇÔ�u^Û.ËÍÖ�u�Ø�Ø¥ÊLÖxz�'�{n-xzn�p��

��tv�{nkw�y{n-xry{nLpT��prn�ÓF�{n�~�x<���Np���� �N��n�pr��xztv�C�~zy{�C�{�����.n��Cp����Fxrn���Cp)����xL�7mªn�n-|}�{���Ct��oy{n�pzn£xry{n��{�Cxztv�C�ª���P�N�L�-nZ~z~��-�C�Fxrpz�N���vn�pL���n�pz��t�~r~�tv�N��~��C���'~�xr�N���)tv��~z��nZ��xztv�N����~zn��'tv��xry{t�~¢�{pz�}�Ln�~r~-�¢º{�Cpxzy{n�~z�C�Cn��C�<t��v�v��~�xzp��^xrt��N�·�D��nLx���~$�-�N��~�t��}n�pk�C�.nLp��^xrt��N��~k�N�£­��vn�~B����.nLpr��t�~z~ztv�C�q���Cp�~z����y&�C���N��n�pr��xztv�C���L�C��~zt�~�x�~��C����­��vn¤���C��n�����2xzy{nV�C�.nLp��^xztv�N�Î�{n�~r�-prt��{xztv�C� ¼�prn��N�Y�Pw�prt¥xrnÄ�Cp�n-|}nZ�-�}xrnZ½��

Æ�nL���Cprn'prn��N�}tv�{�&�&­��vnC�T�C�Ds^�&w�tv���¢prn�ÓF�{nZ~�xt�xr~ ~zn��-��pzt�x��7�����}����Cn�pPxr�&�}nLxznLpr��tv�{n w�y{nLxzy{n�p�xry{n'�.nLpr��t�~z~ztv�C�&���Jprn��C�{t�����xzy{n­��vnJt�~<�Cp����Fxrn���tv�xzy{n$�-�{prpzn��Fx��-�N�Nxrn-|uxB���u� �}nL�Í���{��xL�Dxry{n��N�L�-nZ~z~�-�C�Fxrpz�N���vn�p��.nLpz���Cpr��~��'Ç-ËAÈNÔ���×�Û�Çdz�Ê�ÔLËé×�u^Û�xzy���x��}n-xrnLpr��t���n�~�xzy{n����~zw�n�p$xz�qxzy{n)ÓF�{nZ~�xrtv�C�·�'��F� ~�x��C��� ��p�����nÜpznZ~����¥x�~X��pz�N� xzy�n �C��xrtvsD��xztv�C� ��� �

��n-xzy��u�·�Ct�xr~znL���.�}nL­��{nZ�'tv����-���C~r~L��tv�{nL�Fxzt�­�nZ���u��t�x�~k�-�}�}nL���C~zn¼�xzy�nP�{pr�v~Txry��^x$� �-���C~r~T���F�C�}n�p¢��~�nZ�qxz� �v�N�N�)xry{n��L�v�N~z~�½������£t�xr~�-nLpzxzt�­����^xrn��'�*y{n��L�u�{nL���N~�n£�����o�-n�p�xrt�­��L��xzn£�C~r~��}�-t���xzn��7w�t�xry�o�L���C~r~q�Cpzn0�����v�vn�� t�x�~ÄÔ�uZßCÊÄÇBu^Õ}ÖzÔ�ÊC�`�N�Ds^�V�N~z~z�}�-t��^xrn�~qn��N��y�-�}�}n'~z�C��pr�Ln)w�t�xzyI��~zn-x���J�.nLpr��t�~z~ztv�C��~L��§Fxr�Cp�xrtv�{����pr�C�Òxzy{n���N~�x)pznZ�-nL�Fx'~�xr�N���I��p�����nC��xry{n&~�xr�N���Itv��~z��nZ��xrt��N�����v�C�Npzt�xzy���}n-xrnLpr��t���n�~�t¥��xzy{n)�L�u�{n~z�C��pr�Ln¤�C��n��N��y&~�xr�N���£��pr�C��n¤y��N~$xzy{n��n�pz��t�~r~�tv�C�ªxr����n�p����Npz� xzy{nI�C�.nLp��^xztv�N�·�2¦»��xry{nÄ~zn���p���y nL�}��-�C���NxrnLp�~��ª��p�����n0w�y{�F~�nV�-�}�}nI~z�C�{p��-nÄ�{�FnZ~��{�Cx�y��DsNn0xzy{n��n�pz��t�~r~�tv�C� xz� ����prpz�Ï�C�}x&xzy{nV�C�.nLp��^xrt��N�·�$xzy{n��2xzy{no~�nZ��p���yxznLpr��tv���^xrn�~L¯Jxzy�n��C���-n�~r~Pt�~*���Npz��tv���}nL�0�����0��~�nZ�-�{prt�x���nL|}�LnL�}�xztv�C�Ät�~�xzy{pr�^w��·��¦ �Fxr�{t�xztvsCn����C��xry{n£��n�pz��t�~r~�tv�{�vn�C�.nLp��^xrt��N��~P�C����În-|}n��L�}xztv�N�Ï�-�N�Fxzn-|ux��Cpzn0�}nL­��{n��Î�u� xzy{n�×�Û.ËAÊLÖ�ÇLÊrÔ�Ëé×�u^Û"�C����v���.nLpr��t�~z~ztv�C��~�nLxr~'�Cp����FxznZ�ªxz�Ixzy{n0�L�u�{n&~z�C�{p��-nZ~�t�x'prn-��n�pr~xz�{�¦ �I��pr�N��xzt��Ln���xry{t�~���tv�-xz�{prn�t�~¤~��vtv�CyFxz�v�����Npzn'�-�C������nL|&�.n-��L����~�n£�C�Ds^��y��C~¤xzy{n£nZÓN��t�s^�C��n��Fx����Jxry{n£µ�~z�{�.nLp��~znLp�¶����}�}n��w�y{t���yVtv�ªn-¡Yn��-x��-�C��~�t�~�xr~���*tv�FxznLprpr�{�}xztv�{�&xzy�n�~�x��C���Ätv��~z�.n����xztv�C� �C�v�C�Cprt�xzy{� xz�ª�V��pr�C��n�xry��^x�t�~����Cpz�Nn�� �N~q�{pztvsutv�vnL�CnZ����C�usut��N��~z�����}nL­��{tv�{����pztvsutv��n��Cn¤�C�.nLp��^xztv�N��~*t�~�t�xr~znL���T�L�C�Fxzpr�C�v�vn���F��xzy{n)~r����n~�nZ�-�{prt�x�����n���y��C�{t�~��7��*y{n�pr�C�vn£���$xzy�nDz�u�ØÙ×ÍÔLÌ£~�È^Û.È!vNÊLÖ7t�~�xz�Ä�}nLxznLpr��tv�{n£w�y{t���y

��n�pz��t�~r~�tv�C�0t�~ �Npr�C�Fxzn��Ixz�Ä�0�L�}�}n�~��N�{p��-n��7�C�Ds^�&�{pz�^sut��}nZ~���-��~�xz�N��tv~r������n����N�vtv�L���������C�Cn�pL���C�{�vnTxz�P�{pr�}�-nZ~z~·~zn��L�{pzt�x���­���nZ~-����F�C�{�C�{�vnk��pr�C� �}t�¡YnLprnL�FxT�v�}�L��xztv�C��~-��¨��C��y'~zn��L�{prt¥x���­��vn$�Cp����Fxr~��n�pz��t�~r~�tv�C��~�xr�'�L�u�{nL���N~�nZ~�������~�tv�N�{nLp�~-�¢�*y{n¤�N��xr��������n�pz��t�~��~�tv�C��~$xzy���x���prn �Cp����Fxrn��&xz�����CtvsCn����L�u�{n�~��N�{p��-n)��prn��}nL­��{nZ��F��xzy{n�Õ}Û�×�u^ÛÄ�C�T���v�·�.nLpr��t�~z~ztv�C��~k�NtvsCnL��xz��t�xr~*�L�u�{nL���N~�n �����~�tv�C��nLp�~-��%0�N~�x£pznZ�-nL�Fx£tv���{�vnL��nL�Fx��^xztv�N��~����Pxry{n7�C¶C%���¡YnLp~�x��C��� tv��~z��nZ��xrt��N� xr� ���v�v�^w �}t�¡.n�pzn��Fx)·²�{prtv���-tv���C��~ k�C���-n�~r~qxz��}t�¡.n�pzn��Nx�prn�~z�C�{p��-nZ~-�

P�Qd¸ e4i�b�k�ZCb�b�iSrOW�<tv�{�F�éxrtv��n\�u�Fxzn;�-�}�}n sCn�pzt�­����^xztv�N�·�V������� �v�F�C�}tv�{���V���C��n~����N�-nZ~-���C��� ��~�n�p��»�{pr�C�Cp��������C�{tv�¥t¥x��2�����Nn �{�F������t��Ï�L���C~r~���F�C�}tv�{�����{�^sCn���nL�vn���nL�FxP���kxry{n£�N�Ds^����p���y{t�xznZ��xr�{pznC��©��C��~zn-�ÓN��nL�Fxz�v���Zxzy�n��-���N~z~·�v�F�C�}n�p<�����xry{n��u�Fxzn��-�}�}n�sNnLprt�­�nLp<�CpznJ�Lpzt�x��tv�����TnL�vnL��n��Fxr~��N~¤�Í��p �C~~r�^��n-x��0t�~��-�N���-n�pz�{nZ�Y�{'¤�{�}t�xztv�C�����v�v���xzy{n��L�C���{�vn���nL�Fxr�Cpz��pz�N�vn'�C�$xry{n�~zn��L�{pzt�x��0���C�����NnLp �^x)pr�{�}�xztv��n)�-�N��~�xrt�xz�}xrn�~*xry{n)xry{tvpr�7�{tv�v����p$���Jw�y���x�t�~���~z�����v�v�������v�vn��xzy{n¹�}È^Ú^È£ÇLÈ�Û.ß }�u!��/¥¹C¹!<21é�°¤�u������t����-���N~z~k�v�F�C�}tv�{�q×vǤÛ�u�Ëk� ���Npz�Ü���<�N�}xztv��t�~r�^xztv�N�)�����

��nLprn��Ï�F�Î�C�Ds^�{���{�}x�t�x�t�~���� n�~r~�n��Nxrt����*nL�vnL��n��Fxq�C�¤t�xr~£�{y�t¥����F~��N�{yu��� ¦»xÄ���v�v�^wP~�xry{nÐß^×vÇ-ËéÖ�×�}-Õ{Ë»Ê�ß"�}n�sCn����N�{��nL�Fx��C�'�{pr����Cp�����~L�Nw�y{n�pzn��{pr�C�Cp�������n�pr~¢prnL��~�n��vt���pr�Cpztvn�~J��¡YnLprn����u���Cxzy}�nLp�~-�Fw�t¥xry{�C�{x�y��Dsutv�{�xz�)prn��L�C���{tv�vn�xzy{n��7�T¦»x*����~��)�C�v���^wP~T�{n�w����p��C�}tv�N��~�~z����y0�C~����N�{tv��n����NnL�Fxr~L���C���-�Cp��}tv�{��xz��w�y{t���y�xzy{n�}n��Ltv~ztv�C�q���<w�y{n�pznPxz�)nL|unZ�-�}xrn¤�L�u�{nPt�~J���C�{nP�}�u������t��L�C�v����u�

¸

Page 4: Formalising the Safety of Java, the Java Virtual and Java Card

�{pr�C�Cp�����~L�º��^w�n�sCn�pL��w$nIw$�C�{���2��pr�C��n7xzy���x��.nLpz���Cpr��tv�{�����v�¤��y{nZ���}~

�^x��vtv�{�F�Axztv��n't�~'�����C�{xztv��t�~z��xztv�C�·�<w�y�tv��y�prn�ÓF�{tvprn�~�xry{n&�L�u�{nxz� ��nª��y{nZ���Cn��Ð�C�{�v� �C���Ln�� Ѥ�}xztv��t�~r�^xztv�N� �Cpzno� �-�N�����C��L�C��~�n��C��nLprpz�Npr~0/ 5}¹�1A�ktv�ª�L���C~r~���F�C�}n�pr~L���u�Fxzn��L�}�}n�sCn�pzt�­�n�pr~L������Ïtv�Ï����pzxzt��-�{���Cp�tv� xry{nÄ�-�N���{�vn-|�tv�FxznLpr�{���D�ª��nLx�w�n�nL�Ïxzy{n�-���C~r~.�v�N�C�{nLp��Lxzy�nJ�u�NxrnJ�-�}�}nJsNnLprt�­�nLp·������xry{nJpr�{�Fxztv��nk~��}~�xzn��7�¨��N��yÏ~zt����C�vn�nLprpr�Cpqtv~£�ª~r�^��n-x�� ���u�N�{y{�C�vnC��mo�Npr~zn&�Nn-x��$nZ�C��ynLprpz�Np<���D���NtvsCnJprt�~�n¢xr�¤�P���{�P­{|Y�C�C���)~z�u~�xzn�� �C�}��tv�{t�~�xzp��^xz�Npr~w�tv���Y~z�F�N���Npz�^wÎxrt�prn������Tt���~�x����v�vt���� �Cn-xP�C�{��xry{nLp*�{�{�q­{|o/ «N«?1é�"��}���Cpzxz�����^xrnL�v���}w$n¤y��DsNn¤����x*���C�{���&�C�F��~�xr��xzt�~�xzt��L~J���Cp$xzy{n

��n�p����Npz���C���-n�.nL�{nL­{xr~¤��¡YnLprn��7�u���vt����N�Axztv��n��u�Nxrn��-�}�}n�sCnLprt��­��L��xztv�C�<�{xzy{�N�{�Cy0t�xPt�~�y��Cpr��xr��tv�����Nt���nPxzy��^x¤~z����yÄ~�xr�^xrt�~�xrtv��~w��N�{��� �{�Cx�n-|}t�~�x��\©��C���{tv�vn�xrtv��n&xrn���y{��tvÓF�{nZ~'xzy���x�pzn����^sCn�{�{�{nZ�-nZ~z~r��pr���}�u������t��Px��F�.n)��y{nZ���u~$w$nLprn ~�y{�^w��&xz�£tv���{pr�^sCnxzy{n��^sCnLp����v�Fn-|}n��L�}xztv�N�'�.nLpz���Cpr�������Ln��C��§}��y{nL��n*�{pr�C�Npr�C��~��u��{��xr� ¹!=�� ± =�»¼/ ¹?5�<u�*¹!8>=�1é���*y{t�~ ­��N�{prn�t�~����Ï���{�{pr�D|}tv���^xzntv���}t��L��xztv�C���C�kw�y��^xP���D���.n)�F��tv�{n��&�u�&�vtv�{�F�Axztv��n��u�Fxzn)�L�u�{nsCn�pzt�­����^xztv�N�·����)�-���¥xrtvsD��xzn�xzpr��~�x�tv��xry{n�~r�^��n-x��'���<�C�Ds^��t�xktv~¢��n��-nZ~z~r��pr� xr�

~�xr���}��xzy{n xry{prnLn �{�^sNnL���N~��.n��-xr~��C�k�N�Ds^�'tv�0�}nLxr��tv�A�½ºP�^w$nLsNnLp��~�xr���}�utv�{��nZ�C��y�tv�&tv~z�C����xztv�C�qt�~��{�Cx*~z�.-��-tvn��Nx*�C~�xzy�nLprn��Cpzn¤t��{�xzn�pr�N��xztv�N��~Tw�t¥xryqxznPprn�~�xJ���.xzy{n¤~��}~�xznL�7�Nt����-�v���}tv�{��xzy{nPtv���.nLpz��^xrt�sNn �-�Cprn �����N�Ds^�}��t�xr~��C� & nZ��x�~z�}~�xrnL�Òn-xr���¤§utv���-nxry{n)���^xzxzn�p��prn'tv�ª~��N��nq~znL��~�n£w$nL�v�¢�{���}n�pr~�xz�u�}�Y��t�x)~�y��C�{���Ä�.n��.�N~r~�tv�{�vnxz�£�C�{�C�}x*n-|}t�~�xrt���� xzy{n��Cprtvn�~Jtv��xzy{n ~�xz���}���C�<xzy�n�tv�Fxzn�pr�N��xrt��N��~���¢���v���C�Ds^�q�-�N�����N�{nL�Fxr~L�

¾ ¿ I h G Á�Â0Á{À�Á(ÁVÂ�*y{nq¦��P§}¨$©`~�xr�C���{�Cpr�q/ 8�5�1J�����Äxzy{n£���Cprn�prn��LnL�Fx ©��N�����C�©�pzt�xrnLprtv�o/¥¹L³>=21����Np�nLs^�C�����^xztv�{�&xzy�n&~zn��-��pzt�x��I�C�P¦��Ü�{pz�}�}����xr~~�xrtv�{�{���^xrn�xry��^x)���Npxzy{n�y{tv�Cy{nZ~�x �vnLsNnL��~��C�$n�s^���v���^xrtv�C�Ä���Npz���C�~��.n��Lt�­��L��xztv�C��~T�q��~�x¢�.nP�{pr�^sut��}n��'���.xzy{n¤~��}~�xznL� xz� �.nPnLs^�C���{��^xrn��Y�¢�*y{n���pz�}�-nZ~z~������{nLsCn��v�C�{tv�{�P�C�{�{pr�C�{prt��^xznk~z��nZ�-t�­����^xztv�N��~�L�C�&�.n �{pr�C�Cn��&�}�^w���tv�Fxz�qxzy{n���N�v���^w�tv�{�)~�xzn���~L¯¥ ©��C��~�xrpz���-x'�-�vnZ��p)����� �-�N���-t�~zn'���Npz���C��~z��nZ�-t�­��L��xztv�C��~���xzy�n pzn���n�s^���Fx*�L�C���.�C�{n��Fxr~L�¥ ¶J���vt��{��xznkxry{n�~��.n��Lt¥­.�L�^xrtv�C��~��F� nL|}n��-�{xztv�{�Pxry{nL�7�C�C���)�u�~�xr�^xrtv�{�Ä�����ª��pz�^sutv�{�7pzn��vnLs^���Fx)�{pr�C�.nLpzxztvn�~)����xzy�n&�-�N�£��.�C�{n��Nx�~-�`¨k|{��������nZ~�tv���L�v���}n�x��u��nÄ~z�C�{���}�{n�~r~ļÍté� n��\��{pr�C�Npr�C� xry��^x�t�~qw�n����$x��u�.n��Ïw�t��v���{��x��C�ow�pr�C�{�Vw�t¥xry�qx��u�{tv�{��nLprpr�CpP�^xPpr�{�Fxztv��nD½����C���0�-�N���{tv��n�p$�L�CprpznZ��xr�{n�~r~¼�tA� n��ª�-�C����t��vtv�{���V�N�DsD�Ä�{pz�N�Cp���� xz�V�o��¶@%:�{pr�C�Npr�C�~zy{�C�{�����{pznZ~�n�pzsNn�xry{n ��n��C�{tv�{���C��xry{n �{pr�C�Npr�C��½��

¥ N�nL­��{n2xry{n"~z��nZ�-t�­��L��xztv�C��~Vtv�Fxz�`tv���{�vnL��n��Fxr�^xrtv�C��~L�'�Np����xrnLpr���^xrt�sNnL�v�0tv���{�vnL��n��Nx xry{n7~��.n��Lt¥­.�L�^xrtv�C�ª�u� �C�u�»y{�}���n-xry{�}�{~*w�t�xzy7���7�^�»���F~�xrnLprtv�Cprt��-�Npzprn��-xz�{nZ~z~$�{pr�u��� �

¥ ©�prn��^xrn$�C�v�u~z�.n��-t�­����^xrt��N��~<tv�q���C��y{tv�{nL�Aprn��N�{������nT���Npz�7�C~z�xzy��^x xzy�nL�ª�L���ª�.n���~zn����C~tv�{���}x xz�7xry{nL�Npzn�� �{pr�^sCn�pr~L����}�}nL�<��y�n����Cn�pr~L�}��������xry{nLp*xr�u�C��~7/ ¹^¬u¹�1A�

9���xÄ���v���{pr�N��xrt¥xrtv�C�{n�pr~�t��"xzy{no­�n����Ðw$�Cpr�2w�t¥xry"���N��y{tv�{npznZ�C�{�C�{�vnP~��.n��Lt¥­.�L�^xrtv�C��~L�N������nLsNnL��xry{�N~znPxry��^x*�}�'w$�Cpr��w�t�xry���{�vn-xry{�Cp��$�����}t�¡YnLprnL�Fx������tv���L�C������xztv�{�vn����Cpr���^xr~L�Lxr�u�C��~<������{��x��^xztv�N��~-���QSR \+rpa�h�UXnSi�b�iSW#YHÃ�UMÄXU���2nZ~�x����{�vt�~�y"xzy{n ��n�����t����Ï�C�£��pz�N�Cp�����~&t¥xÄt�~0��n��L�Ln�~r~z�Cpz�xz�on�~�xr������t�~zyªxzy{n7��nZ���{tv�{�0�C��xzy�n&�{pr�C�Npr�C����tv�{�7�v�C�{�C�����CnC��*y{nLprn-���NpznÄw$nV�N�}sC�}���^xznÄxzy{nV���Cpr������~��.n��Lt¥­.�L�^xrtv�C�Î���'�N�Ds^��-�C��~�t�~�xztv�{���C� ¯¥ �*y{n)~znL�����Fxrtv��~J�C�k�N�Ds^�}�¥ �*y{n)~znL�����Fxrtv��~J�C��xry{n���¶@% �v�C�{�C�����CnC�¥ �*y{n��N�DsD��xz���C¶C%5�-�N���{tv�vnLp��¥ �*y{npz���Nxrtv��n�~z�{�{�.�CpzxL�O' ~z��nZ�-t�­��L��xztv�C������xry{n pr�{�Fxztv��n~����{�{�.�Cpzx$t�~��{nLnZ�}n�����nZ�L����~�n����Cp*n-|{��������nP~�xr�Cp�xrtv�{�������~�xr�C�{��t���� xzy{prn��N�{~$t�~Jn-¡Yn��-xz����xznZ��sut��xzy�n �N�Ds^�V'�µ�¦�������{��x�sut�����¶@% tv��~�xzpr����xrtv�C��~L�

N�n��N�Cpr�}�vnZ~z~����¤�N�Ds^�. ²~)�-���Ct���~��C�*�.nLtv�{�V�Ä~����C�v�J������~ztv�£��{�vn0�v�C�{�C�����CnC��w�y{t���y �u� �L�C�����Cpzt�~z�C��xr� ©+*,* t�x�t�~L���N�Ds^�tv~¤xr�F�7�-�N���{�vn-|Ä�����0xz�u�7����pr�Cn�xz�������Cn't�xnZ�C~z�7���Cp �7�-�N�£��{�vn-xznI���Cpr������~��.n��Lt¥­.�L�^xrtv�C�Îxz� �.no���{tv�¥x��Þ¦»x7�C�v~z� �L�C�Fxr�Ct���~~��N��n��{�^sCn����-�N�'�{tv����xztv�C��~��C�*���C�{�C���C�Cnq��n���xz�{prn�~ xzy���x'y��DsNn�{��x��.nLnL�0~�xz���{t�nZ���.n-���NpznC���*y{n �{prtv���-tv���C�.�}t�-��-���¥xrtvn�~$��prn�¯¥ %Ä���u���}t�¡YnLprnL�Fx���nZ�^xz��pznZ~��{n�n���xz�q��n����}�}nL�v�vn��Y�u~�����y&�C~�'���¥xrt��éxry{pznZ�C�}tv�{���F�}�u���C��t��¤�L�v�N~z~$�v�N�N�}tv�{�{�}�����&�F��pr�����Nn�-�N���vnZ��xztv�N�·�

¥ ©$��prn-���{���-�C��~�t��}n�pr��xztv�C��y��N~*xz���.n)�Nt�sNnL��xz�£xzy�n)tv�NxrnLp��C�-�xztv�C� ���Pxry{n�~zn���nZ�^xr�{pznZ~-�Jtv� ����pzxzt��-�{���Cp)w�y{nL�Ïpzn����^xztvsNnL�v��{�^sCn��Y��n���xz�{prn�~��Cpzn �-�N���-n�pz��n��Y��~z����y7�C~��u�Fxzn �-�}�}n sNnLprt��­��L��xztv�C�<�

¥ �*y{nÄ� -��Lt�����§u�{�2prn-��n�pzn����-nZ~�/²¬2<u��¹C¹L³?1��prnÄ~��N��n-xrt���nZ~���q�{tv�C�{�N��~L�{t����-�C��~�t�~�xznL�FxP�����0tv���-�N���{�vn-xznC��§}nLn ���Np�n-|u������{�vn�Æ$n�p�xrnL��~�n���/ ±�=?1A�{w�y{�q�{pr�^sFt��}nZ~��q�v�C�{�'�vtv~�x��C�����£��{tv�C�{t�xrt�nZ~Jtv�&xzy{n��C¶C%5~z��nZ�-t�­��L��xztv�C�<�

¥ �*y{nÄprn-��n�pzn����-nÄtv���{�vn���nL�Fxr��xztv�C��t�~��L�C���{�vn-|\¼�xzy�no§u�{��C°�®)½��.�����7�{�Cx����vw*�D�u~$�-�N��~ztv~�xzn��Fx*w�t�xry&xry{n��}�}�L�{��nL�}�xr��xztv�C�·�

'$xzxzp��C��xrn��0�u�&xzy{nq�.��xzn��Fxzt�������n��{n-­{x�~-�<�C���Ä��y��C���vn��{�CnZ���u�xzy{n��}t�-��-���¥xrtvn�~L�Y���C�u�7�C�}xzy��Cp�~y��DsCn'���Cpr�����vt�~�nZ�7�C~z��nZ��xr~�C��C�Ds^�}�P�C����´D�Np�t�xr~�tv���{�vnL��n��Fxr�^xrtv�C�·�Å'$x�xry{nÄxrtv��n��C� w�pzt�x��t����0w�n��L�C�{�Fxrn��ª���Cprnqxzy��C��5�=7xrn��C��~ ����prn�~zn���p���y{n�pr~¤��pr�C����v�¢�^sCnLp�xry{n�w$�Cpr�v�·�D%Ä�C�u�Ä���$xzy{�F~�n�y��DsCn£~��.n��Lt¥­�n��Ixzy{n�~zn-������Fxzt��L~)����~z�{��~zn-xr~'����C�Ds^�}� Ñ�xzy{n�pr~�y��DsCn&w��Npz�Nn��o�C� xzy{n~�n������Fxzt��L~�����~z�{��~zn-x�~*����xzy{n)�C¶C% �v�C�{�C�����CnC�T§u�N��n��C�}xzy{�Npr~y��DsCn�w$�Cpr�CnZ�V�N� �.��xzy<�J����xzn�� tv� ��� ��x�xzn����}x�xr�ÄprnL���^xrn�xzy{nx�w����Jw�t¥xry�xzy�n����¥xrtv���^xzn��N�N�C���C���{pr�^sFtv�{�7xry{n7~��.n��Lt¥­.�L�^xrtv�C����$�Ä�N�Ds^�&�L�C���{tv�vnLp��-�Npzprn��-xL�����7�N�{p �u�{�^w��vn��}�Nn��<�{�0~zt����C�vn

³

Page 5: Formalising the Safety of Java, the Java Virtual and Java Card

�^xzxznL���{xqy��N~q��n�nL� ���N�}n7�^x�~��.n��Lt¥���utv�{�0�������P�N�Ds^�}�kxzy�n&���������¶@%ª���Npxzy{n��������J�L�C���{tv�vnLp��0'�~�Í�Cp��C~w$n�y��DsCn£�.nLn��ª�C�{�vnxz�0nZ~�x����{�vt�~�y<���C�{�v�Ix�w��7�Cpr�C����~ y��DsNnq���}�}n��v��nZ�I~z�����v�k���Cp�x�~����xzy{n��N�Ds^��'¤µJ¦�¯T©��N~r�-t��&�����oN�nL�N�Ctv��/ ³u¬�1������Vxzy�nD�¢Ñ Ñ�µxznZ���Æ/¥¹L³N³21é��¼A§unLn�§}n���xrtv�C�7¬u� ¸F½���*y�n0sD�N~�x���� & �Cprt¥x��o����xzy�nÄ~�xr���}tvn�~qxry��^x�w$n7y��DsCn����C�����

�����Nn�sD�Cpztv�N��~��N~z~z�{���}xrt��N��~�xz�ª����~�xrpr�N��x'�Dw*�D�V�}nLxr�Ct��A�¢xzyu��~�����utv�{�qxzy{n£~z��nZ�-t�­��L��xztv�C��~����Cprn)���������CnZ���{�vnC��µ¢�N�{�{����p¤�C~��~������}xztv�C��~�tv���L�����}n�¯¥ �*y{n�pznt�~$�{�{�vtv��t¥xrn�����n����Cpr���¥ ¦ ���}tvsut��}���C�~�xz�Npr�C�Cno�v�u���^xrt��N��~��L���`y{�N���X�C��� ��pztv��t�xztvsCn�{��xr�'x��u��nZ~ ¼�tA� nC�XÇ�¦�È�®£�N~*w�n����·�N~+¯�«�É�Ç���®F½��¥ ¦ ���}tvsut��}���C����¶@%5�{pz�N�Cp���� �v�}�L��xztv�C��~$�����7y{�N�v�7�C�����F�Fxrn�-�}�}ntv��~�xzpr����xrtv�C��~L�

mÐy�t��vn�~z����y ����~�xzp��C�-xztv�C��~)y{nL�v� xr�Vprn��{���-n��-�v�}x�xrnLpqtv��xzy{n~��.n��Lt�­��L��xztv�C��~L�Fxzy{n��&����~z�'���C�Cn�t�x*tv���.�N~r~�tv�{�vn�xr�����}�}nL�<�LnLpz�xr�Ct���~r�^��nLx��'��pz�N�{�vnL��~L�N~�����y��C~ & �{���{tv�{�)tv�£xzy�n¤��t��{�}�vn*�����C�tv��~�xrpz����xztv�N�·��¦»x*t�~��C����pzx�xr�'���}�}n��.~z�}~�xrnL��~J��pznZ�-t�~�n��v�'�^x�xzy{npztv�NyNx)�vn�sCnL�����¤�C��~�xzp��C��xrtv�C�·�¢w�t�xzy & ��~�x£nL�{�N�{�Cy �{n-xr�Ctv�Jxz�V��n���{�vn¤xz���}t�~r�-��~r~�xzy{n��nZ�^xr�{pznZ~*���Tt��FxrnLprn�~�xL���QdP ±Ê_�f+nS[:b�rOË�±�[^h�U`W²_.i�kMb�*y{n)~�x��F�vnZ~*���J~�n������Fxzt���~���~�nZ�0��prn7'���~�xzp��C��x§Fxr��xznV%Ä�N��y{tv�{n§unL���C�Fxzt��L~o¼�'�§.%I½��7'�|}tv�C����xzt��I§un������Fxzt��L~o¼�'�§{½��)©��C�FxznL|uxN�nLw�prt�xztv�{� ~znL���C�Fxzt��L~o¼A©²N�½���©��C�Fxztv�u����xztv�C�2�Np0���C���N�"§un-������Fxzt���~ ¼A©*§{½��·°¤nL����xr��xztv�C������§un������Fxzt���~ ¼Í°§{½��^9���xz�{p����¢§un-������Fxzt���~ ¼�9�§{½���Ѥ��n�pr��xztv�C���C�q§un������Fxzt���~ ¼Aѧ�½��'§Fxrpz���-xz�{p����Ѥ��n�pr��xztv�C������§un������Fxzt��L~�¼A§�ѧ{½��¢�Np��I~znL���C�Fxzt��qnL�q��nZ�{�}tv�{�tv���qy{tv�Cy�nLp*�}�}pr�{nLp*�v�C�Ct��'¼�º�Ñ@�T½��mªnpznL��nLp$xzy�n pznZ�C�}n�p�xr�D9�tvnL��~��N�������;9Ptvn��v~z�C��/ ¹Z¸N±�1·���Np*�C�

tv�Nxrpz�}�}����xztv�N�Vtv�Fxz�0�{pr�C�Npr�C����tv�{�������{�N�����Nn�~�n������Fxzt��L~L���C���xz��9�tv�{�C�^w5ÊLË£È^ØÍÌ,/¥¹�¸�5!1����Np&�ª�{prtvn-�t��Fxrpz�}�}���-xztv�C� tv�Fxz�oxzy{n�{��xrtv�C�q���YnL�q��nZ�{�}tv�{�¤xzy{nP~znL���C�Nxrt��L~T���·���{pz�N�Cp�������tv�{�������{��C���C�Cn�tv�Nxr��xry{n �v�C�Ntv�����k�'xzy{n��CprnL� �{pr�^sCn�pL�

Î FHG�IKJ j+L jÐÏ j À ÁqÃ7j,Á I�*y{t�~'~zn��-xztv�C� pzn�sFtvn�wP~)xry{n&�vt�xzn�pr��xz�{prn��N� ���Cpr�����*�C~z�.n���x�~q���xzy{nq�C�Ds^�£�����{�N�����Nn��$mon'��n��Ctv�0�}t�~z�L��~r~�tv�{�qxzy�n�~�n������Fxzt���~*���xzy{n��N�DsD���-�Cprn��<~zy{�^w�tv�{�£xzy��^x�xzy{nq��� & �Npzt�x����C�Jw��Npz�7tv�0xry{t�~��prn��Vt�~q�L�C���LnLpr�{n��Ïw�t�xzy �{pr�^sFtv�{�Ixzy���x�xzy{n7x��u�.nÄ~��}~�xzn��(t�~~��N�{���Y� �*y{n&���C�v�v�^w�tv�{�0~�����~�nZ��xrt��N��~q�}t�~z�L��~z~)xzy{n��{�^sNnL����n��^�xz�{prn�~¤�����N�Ds^��tv�I�}nLxr��tv�A¯P�}�u������t�� �L�v�N~z~��v�N�C�{t����{�{xry{n'��n��£��Cpr�����}�}n���w�t�xzy��q�{��xzt��Axzy{prn��N�}tv�{�¤�C����~�x��C���'t���~��.n��-xztv�C�·��mon�-�N���-�v���}n¤xzy�n)~�nZ��xztv�N��w�t�xzy7�£�Cn��{nLp����·�}t�~r�-��~r~�tv�N�·�mªn2t��}nL�Fxrt¥���`xry{nÐ��nLxzy{�}�}�N���N�Ct��L�C�������{pz�F�C��y{nZ~ª����� xzy{n

�C�Ds^�P~z�{��~zn-x�~��.nLtv�{�¤~�xr���}tvn��Y�¢�*y{n$pznZ�C~z�C�t�~<xry��^x¢~��N��n�~��.n��Lt��­��L��xztv�C����n-xry{�}�{~L�D�C���tv������pzxzt��-�{���Cp�xry{n��N�L�-�N�������u�utv�{��~z�{�}����Np�xxr�F�N��~-�<��prnq��n�pzy��C��~���Cprn'�C�{�{pr�C�{prt��^xrn ���Cpxry{nqxr�C~z�Ätv�y������0xzy����I�Cxzy{n�pr~L� mªn£�Cpznq����~z���Cn�nL�Äxr�&t��}n��Fxzt����7��n-xzy��u��~

�����'xz�u�N�v~Txry��^x��CpznP�C�{�vn$xz�)�-�N��n�w�t�xry'xry{n�����pr�CnZ~�xk�����N�{�Fx¢�C��-�C������nL|}t¥x���t��Ixzy{n��N�Ds^�������{�N�����Nn��.w�t¥xryÄxry{n'���F~�x¤��n���xz�{prn�~xr���NnL��tv�Nxr�q�N�L�L�C�{�FxL��T���{�vn ¹\~z�{������prt�~�nZ~ª�C�{pÏ­����{t����N~Ï�C�Ò�N�Ds^�}�Ä~zy{�^w�tv�{�

w�y{n-xry{nLpqxzy�n�w$�Cpr�ªt�~����Cp�xrt��-�{����pr�v�ÄprnL�vnLs^���Fx)xr�o~z�����v�����F�Cx���{pztv�Fx)�}nLsut��-nZ~-��xzy{n��{�{pr���F~�n£���*xry{n��C�-xztvsut�x������7prn-��nLprnL���-n£xz�w��Npz���N�0w�y{t���y�xzy{n��L�{prpzn��NxPw$�Cpr��t�~*���N~�nZ�Y��xry{n xr�F�N��~���~zn��Y�����y��Cpr�N��xzn�pzt�~r�^xrt��N������xzy{n£~�����~�nLx�~�xz���{t�nZ�Y�<���Ätv���{tv���^xrt��N�&�C�xzy{n)~�x��u��n����¢~�n������Fxzt���~���~zn��·�������&w�y{nLxzy{n�p����u���{pr�u���Í~*y��DsNn��n�nL�7pzn����Np�xrn��Y�°3QSR l�rpa�[]±²[^h�UXW²_�i�kMbmon �.nL�Nt��7�N�{pP~���pzsNnL��w�t�xzy7���C��n�pr~�xzy���x��}t�~z�L��~z~����{�F������t��~�n������Fxzt��L~����q�N�Ds^�}�Ñ'P�vsCnZ~�� º{�F~z~��C���Å�����Ò/¥¹!=?1 �{prn�~znL�Fx���}nL�{�Cxr��xztv�C���C��~znL�����Fxrtv��~k�����'�C�Ds^�)~z�{��~zn-x ¼�nL|}�L�v���}tv�{� �q�{��xzt��xzy{prn��N�}tv�{�P�����)�N��pr���C�Cnk�-�N���vnZ��xztv�N�·�L�{�}x¢tv���-�v���{t����*�L���C~r~·�v�N�C�}�t����F½��2�*y{nÄ~z��nZ�-t�­����^xztv�N� �CtvsCnZ~'�L�C��~zt��}nLp�������n&�}n-x���tv�*�C� xzy{nsD�Cpztv�N��~)���N~�t��&�{�^x��Äx��u�.n�~£tv� �N�Ds^�}�Ï�*y{n7~znL�����Fxrtv��~)t�~q�{��x��~�nZ�2���Np��C�F�Î���Cp�xrt��-�{����p��{�{pr���F~�nC�Ñ'��\�C��xznLpr����xztvsCn0�}n��{���xr�^xrtv�C���C�P~�n������Fxzt��L~qt�~��C¡.n�pznZ�Ï�u�Щ�nL���Lt���prnL�v�vt@/ ¸>5�1���~zt����ª����C���N�}t��)~�x��u�vn xr��y������}�vn'�'�{��xrt¥�Axzy�pznZ�C�}tv�{�£�����In-|{�-n��}xztv�N��~�t���§unZ��xztv�N��5}��w�n�~zy��C���k~znLnqxzy��^x�~z����y��&���N���C�{tv�'~�x��u�vnqy��C~����~����.nLn��X�N�}�C�}xrn��2�u��ÓJnL�v�������Ô/ ¹�8{¹�1 �����X���N�{n�~o/ ¹�=N±!1xz����u�{nL�Yxzy�n)~�n������Fxzt��L~����¢�u�Nxrn �-�}�}n�~L�'$xzxr���vt�Ê�Ë&È�ØÍÌD/ ¹Z«?1'�}t�~r�-��~r~0�ÎpznZ�C~z�C���C�{�v�2�-�C������nLxznon-|}n-�

�-�}x����{�vn��Z�C�.nLp��^xrt��N�����^~znL���C�Nxrt��L~.�����N�DsD�$�{��t���x<��~ztv�{�$xzy{n*©�nL�}�xr����p¤~z�u~�xzn��7�P�*y{n'~z��nZ�-t�­����^xztv�N�&tv���L�����}n�~P�L�C���L�{prpzn����-�C���{�}xt¥x&�C��t�xr~£nL|}�LnL�}xrtv�C��~L����prpr�D�}~L�*�C���Î���N���D�C�CnZ~-� �*y{nV��tv� �C�xzy{t�~Jw$�Cpr�qtv~Jxz�'��~�n�xzy{n)©�nL�Fx����{p*~��}~�xzn�� xr�'�NnL�{n�pr��xzn��C�����}��{pz�N�{prtv��xzn��{pr�C�Npr�C����tv�{��n��Fsutvpr�C�{��n��Nx ��pr�C��~z�u�Nx��C�-xzt��������~�n������Fxzt���~z�.n��-t�­����^xrt��N��~����¢�N�Ds^�}�'�����pzn�����tv�{tv�{�����C��n�pr~��}t�~z�L��~z~zn��Itv�Vxry{t�~)~zn���xrtv�C�o�{pznZ~�n��Fx

�Ä~�x��^xrtv���C~)w$nL�v���N~��Ä�{�F������t���~�n������Fxzt���~¤�C�¤�C�Ds^�{�T���F~�xr���w�t¥xry�xry{n �Cn��{nLp����·�Ct�� ������pz�^sutv�{�)x��u�.n)~��N�{���}��n�~r~-�Õ^Ö�×�Ö�× ØCÙMÚ½Û�ÜcÝ�Þ`ß:à`ß`Û�á�á�*y{nI�C�Ds^�o�����{�N�����Nn��{pr�^sut��}n�~q�{�Cx��C�{�v� ~ztv�{�C�vn�tv�{y�nLprt¥x������Ln�{�}x�����~z��tv�Fxzn�p��Í�N�-n�~L�<w�y{t���yV�C�v���^w`�N� & n��-xr~�xz�0~z�{�{�.�Cpzx��-�N�£����C� ��n�y��Dsut��N�{p w�t�xzy{�N�}x ~zy���prtv�{� ���u� tv���{�vnL��n��Fxr�^xrtv�C�·�°�pr�N~r~��N���N�{�v�C���C���£¨Jt�~znL�u���C��y����u�{nL�v�vn��xry{n�~zn*��n���xz�{prn�~3/ « =21é��F�Î�Nt�sutv�{� � ~�x��^xrtv�V~�n������Fxzt���~������"�Ï~z�����v���»~�xzn�� �{�F������t��~�n������Fxzt��L~ ���V� �Í��tvpr��� ����pr�Cn"~z�{��~zn-xÎ���V~zn�ÓF�{n��Fxzt����7�C�Ds^�}�°�pr�N~r~��N���N�{�v�C�`����� ¨Jt�~�n��u���C��y\xzy�nL� ~�xr��xzn xry{nÎ~��N�{���}�{nZ~z~�����Vx��u�.n7~z�}~�xrnL�(���C~zn��Ï�C�Î~�tv���{�vn�~z�{�}x��u�{tv�{�o��~zt����o~z�{�}�& n���xªprn��}���-xztv�C�<� ¦ � �X~�n�����p��^xrn �����.nLp���°�pr�N~r~��N���N�{�v�C�`n-x���O/ 5�<21�n-|uxzn����&xzy{n�t�pP~z�{��~zn-x�xr��tv���-�v���}n�n-|{�LnL�}xrt��N�&y������}�vtv�{���N�n�~z�{��xr~Vw�n�pzn �{pr�^sCnZ� �u� y������ �{�}x �{n�t�xzy{n�pV���C��n�pª�CtvsCnZ~�{pz�u�C�Í~-�Þ¦ ��~�xznZ�C�X§}�F��n�/ ¹^¬u¹�1 n����-�}�}nZ~&~z�C��nV���)xry{nV���}�u�nL��~P�C��°�pr�N~r~z�C�.�C�{�v�C��Ê�Ë�È^ØÍÌ<t��Iy{t�~¤°�¨$©²�:'#NP¨X~��}~�xznL�7�·������CtvsCnZ~)�{pr�u���Í~L�Ï�*y{n���nLprn&�C�-xztvsut�x��V�C�¤nL���-�}�}tv�{�Iy������ �{�{tv��x~��.n��Lt¥­.�L�^xrtv�C��~�tv�&�£��n���y����{t�~zn���~z�u~�xzn�� t�~$pzn����Np�xrn���xz�£y��DsNn�{���-�^sNnLprn��o³>=ÄnLprpz�Npr~ ���N�}n��}��pztv�{�7xry{n�xrpr�C��~z�v��xztv�C�<�â%Ä�Cprnt����.�Cpzxr�C�Fxz�v���T§}�F��n�y��C~'����~������N�{���ªx�w$�Ä�{�N�}�éxrpztvsut����¢nLprpr�Cp�~

5

Page 6: Formalising the Safety of Java, the Java Virtual and Java Card

ã ä åæçèêéçëíì å

î ïð�ñ

òÍóôõõ öéå÷ìæï

ø ôæïù ììõ

ú ûüýþùò ï óô ÿçä �æöåììð

� è � åôë� ô ó�þíéóó� ��

÷åì �ïý ìô åïõíì�ä �æì éÿ

ÿìÿìïæ�ò

ïæ

è õ �ïæ �ã ìææ

� � �

æç é æï óô ÿçä �æ

ïæïæÿì�ò

ÿì

è ççôõ ä

� ���

ï �ï�éçô�õ ïæ ÷ï�ä� �ôçä ì ÿ

ú ï ÿç ô éå

ÿìÿìïæ�ò �ò�òÿì

ø ï åç ïõ æïÿ

� ���

æç é æï óô ÿçä �æ

ïæÿìÿì�ò

ÿì

ø � ì å�ï å

� ���

æç é æï óô ÿçä �æ

ÿìïæïæè òþ

ÿì

ú ï ÿ�ä ô åïõõ ä

� ���

æç é æï óô ÿçä �æ

ÿìïæïæò�ò

ïæ

ú ï ÿ�ä ô åïõõ ä

� ���

æç é æï óô ÿçä �æ

ÿìÿìïæ�ò

ÿì

ú ìæ�ä ô

� � ������

�ï åä� �ôçä ì ÿ

� ���

ÿìïæÿì�ò �ò�òïæ

� ï óô åçäÿä

� ���

�ï åä� �ôçä ì ÿ

ò ö��

ïæïæïæï ó� ï

ïæ

� åìææì ÷ì éõíì é

� � ���� ��� ����

÷åì �ïç ÷ïæìéÿ ÿïææ

ÿìïæÿìú î

ÿì

� åìææì ÷ì éõíì é

� �� ����

æç é æï óô ÿçä �æ

� � �

ÿìÿìÿìú î

ïæ

� åìææì ÷ì éõíì é

� ���

æç é æï óô ÿçä �æ

ïæÿìÿìè ò

ïæ

� õ ïæ ÿï å

� � ��

æç é æï óô ÿçä �æ

ÿìÿìÿì�ò

ÿì

� ì ÿç óô� ï å

� � ��

óïóì åóì ïõ

� ��

ÿìÿìïæè ò

ïæ

ýô �ïõ éÿ

� ���

�ï åä� �ôçä ì ÿ

ò ö��

ïæÿìïæï ó� ï

ïæ

� �ô åôæë ä

� ���

÷åì �ïç ÷ïæìéÿ ÿïææ

ÿìÿìÿì�ò

ïæ

� �ô åôæë ä

� ���

�ôõ � éõ éæ

ÿìÿìÿìò�ò

ïæ

ô�ì� æ

� ���

�ï åä� �ôçä ì ÿ

ö!ò

ïæïæÿìï ó� ï

ïæ

ï ÿæï ÿ

� � ��

�ï åä� �ôçä ì ÿ

ÿìÿìÿìò�ò

ÿì

" ôææô�

� � ��

æç é æï� éåä ç

ÿìÿìïæý� û

ÿì

û ïäÿì

� ����

�ï åä� �ôçä ì ÿ

� ���üòú# ô �ô

ïæïæïæï ó� ï

ïæ

þ ôïææï ÿ

� ����

óïóì åóì ïõ

ÿìÿìïæôõ �ï� åôä �ÿì

þ ô ÿæì ÿ

� ����

óïóì åóì ïõ

ÿìÿìïæ�ò

ÿì

� ä ÷� ì $

� ����

÷åì �ïç ÷ïæìéÿ ÿïææ

� æô� ïõõ ï# ý� û

ÿìÿìÿì�ò

ïæ

öìïç æ�ë �ý ï% ç ï å� �� ��

÷åì �ïý ìô åïõíì�ä �æì éÿ

� æô� ïõõ ï# ý� û

ÿìÿìÿì�ò

ïæ

ò � ôõ� ô

� �� �

æç é æç ô�� ä ÿæ ÷ï�çä ì ÿ

ÿìÿìÿì�ò

ÿì

ò ç� ô å�

� ����

æç é ìð æï óô ÿçä �æ&��ïåä� �ôçä ì ÿ� ���è æ ó� ìð ï å

ïæïæïæè òþ

ïæ

ò óï

� �� ��

÷åì �ïç ÷ïæìéÿ ÿïææ

� ����üú ûè îü

ÿìïæÿìò�ò

ïæ

�ô ÿ ï ÿø ï å�� ����

�ï åä� �ôçä ì ÿ

� ��� ö!ò �� æô� ïõõ ï# ý� ûïæïæÿìï ó� ï

ïæ

�ì ÿ� ë ïäó�

� ����

÷åì �ïç ÷ïæìéÿ ÿïææ

� ���� �æô� ïõõ ï#ý� û

ÿìïæÿì�ò

ïæ

�ì ÿ� ë ïäó�

� ����

æì éÿ ÿïææ&��ì ó÷õ ïç ïÿïææ

� ���� �æô� ïõõ ï#ý� û

ÿìïæÿìè ò

ïæ

' ôõõô�ï

� ����

æç é æï óô ÿçä �æ

ÿìïæïæè òþ

ÿì

' ôõõô�ë

� ����

æç é æç ô�� ä ÿæ ÷ï�çä ì ÿ

� ��

ÿìÿìÿìóì ôõõíì�ä �ïæ

' ôõõô�ë

� ����

æç é æç ô�� ä ÿæ ÷ï�çä ì ÿ

ÿìÿìÿìç åô ÿæõ ôçä ìÿïæ

���C�{�vn'¹C¯��C�Ds^�D���C�{�C���C�Cn)(&º{�Cp��vn��CnL����~znLn ���C�{�vn�¸

«

Page 7: Formalising the Safety of Java, the Java Virtual and Java Card

tv� xry{nÄy��C��� w�pzt�x�xrnL�Î�{pr�u���Í~£��� °¤pz�F~z~z�C�.�C�{�v�N�Ï����� ¨�t�~�n��}����C��y<�°¤pr�N~r~��N���N�{�v�C�I�C���I¶J�C�v�CnLsu�}��yq/ «{¹1��{pr�C�.�N~znq�0~znL���C�Nxrt��L~

�����£�N�DsD��~��{��~�nLx$w�t�xzy&���Cxzy���y{n����Nn����C�����{����y{n����Nn���nL|}�LnL�}�xztv�C��~-���*y�n�~�n������Fxzt���~�prnL�vtvn�~Y�N�)º{n����vn�tv~znL�^ ~Y�-�N�Fxzn-|ux�prnLw�prt�xztv�{�xznZ��y{�{t�ÓF�{nPxr�q���}�}n���xry{n �}�u������t�����n�y��Dsut��N�{p��C��n-|{�LnL�}xrt��N��~L�'�~*�Í�Cp��C~�x��F��t����qt�~P�L�C���LnLpr�{n��·�{n-|{�-n��}xztv�C��~���prn pzn��N��p��}nZ�&�N~µ�nL¡.nZ��xr~�¶0/¥¹D¬^¸21d�Fx�w��x��u�.n�~���prnP�C~r~��}�-t���xzn��'w�t�xzy£n��N��y£n-|}�{prn�~��~�tv�N�·¯Ä�ª�{�Cpr������x��u��nI�{n�~r�-prt��.n�~'xry{n7x��u��nÄ�C�¤xry{n0�{pr�C�Npr�C�tv�7xzy{n£����~znL���-n��C�Jn-|{�-n��}xztv�N��~�¼Í�Cp����Cprn �{pznZ�-t�~znL�v���.w�y{nL�I�C�v�n-|{�-n��}xztv�N��~ ��prn��L�C�{�CyFx�½��T�C�������������{�Cpr�����¢x��u�.n��}n�~r�-prtv��nZ~xzy{n�x��F�.n��C�*�����L�C�{�CyFx�nL|}�LnL�}xrtv�C��~L�����u��n�~z�C�����}�{nZ~z~�tv~nZ~��xr�C�{�vtv~zy{nZ���u�&~z�{� & n��-x�pznZ�}����xrtv�C���{��xz�qx��u��n w�t��}n��{tv�{�{�6��vnZ~��{n�p������+*.tv����nLpr��������/ ¬�¸?1T~z��nZ�-t�����xry{n x��u��n)~z�}~�xrnL�

���Cp���~z�����v�.��p����C��n��Fx*�C���C�Ds^�£�C~P�C�7n-|{�����{�vn����¢xzy�nLtvp�w��Npz��C� ���C�F�¤~��Np�xrn����v�C�Ct����·�*y�nLtvp<��n-xry{�}� ���v�v�^wP~��P�CnL��nLprtv�¢~�xr��xzt��~�n������Fxzt���~kxz�£�.nt���~�x����Fxzt��^xrn��£xr����x��u�.n ~��}~�xznL�7�}�Np*�£~�xr��xzt�������C�v�u~zt�~-�¦ �F��p��C~zy{t¤�C���"µ�tvnLp��-n�/ 8C¸�1�NtvsCnI� ~�x��^xrtv�V~�n������Fxzt���~����q�

~����C�v�$~z�{��~zn-x���� �C�Ds^�Vw�t�xzy & ��~�x�tv�{��nLp��-���C~r~zn�~q�����Ïtv�{y{nLprt��xr�C���-nC�2�*y�nL� ~zy{�^wÞxry��^x�xry{t�~q~znL���C�Fxzt��L~q�-�Nt����-t��}n�~�w�t�xzyÎ�~�n������Fxzt���~��NtvsCnL�7�u�&xzp�����~z���^xztv�N�������N�Ds^�£w�t�xzy0tv�{�{n�pr�L�v�N~z~�xr��C�Ds^�*w�t�xzy & ��~�x�xz�C� �vn�sCnL�N�-���C~r~�nZ~-�D�C~�~�xrt����{���^xznZ���F�¤xzy�n���-��Ltv�C�§u�{�0�}�}�-����nL�Fxr��xztv�C�·�9�tv�{�C�^wÐ�C����sN�C�ÄѤy{nLtv�q��/ ¹Z¸�³21<�{pr�^sCn�x��u��n ~z�C�{���{�{n�~r~$���

xzy{n�tvp��N�Ds^�-,/.103254�~z�{��~zn-x��{w�y{t���y�t�~*~�tv��tv����p¢xz�qxry{n)~�����~�nLx���~�nZ��u�7°¤pr�N~r~��N���N�{�v�C� ÊLˤÈ^ØÍÌÊ/ «>=?1é�Vº��^w�n�sCnLp��.xzy{n'���Cpr��nLp¤��~�n'¦�~�����.nL�v�vnD´�º�Ñ@��xz�'���C��y{tv�{nL�»��y�n���� xry{n¤��pz�u���Í~���pr�C�Üxzy{n��C�{xr~zn-xL��Ctvsutv�{�q��y{tv�Cy{n�pP�}nL�Npzn�n)���J�-�N�}­��}n����-n�t���xry{n'�L�CprpznZ��xz��n�~r~*���xzy{nV~��.n��Lt¥­.�L�^xrtv�C��~£����� xzy{nÄ��pz�u���Í~L�\mÐy{tv��n�xry{nV~znL���C�Nxrt��L~��prn�sNnLprt¥­�n��7��~ztv�{���&�{pz�u�C����y{n����NnLp���9�t����C�^w �����0sC�N�ªÑ¤y{nL�tv�'�'w�n�pzn��{�Cx����{�vn$xz� s^�C��t��{��xzn�xzy{n¤~��.n��Lt¥­.�L�^xrtv�C��~¢�}�{n*xr�xzy{n���C���q����~z�{�{�.�Cpzx����Np��NnL�{n�pr��xztv�{� n-|}nZ�-�}x����{�vn�~znL���C�Nxrt��L~3/¥¹!<F±�1é�Ѥ�{n)�-�N���-�v��~ztv�C�&���¢xzy{n�tvpPw��Npz��tv~�xzy���xPxzy{n��CprnL� �{pz�^sNnLp�~���prnxz�u��~�n���~zt¥xrtvsCn�xr�'xry{n�{prn��-t�~zn����Npz�q�{���^xrtv�C�£���¢�'~z��nZ�-t�­����^xztv�N�·�������xzy��^xk���Cprn�~z�{�{�.�Cpzxkt���xzy{n���pz�^sNnLp�~<t�~T�{nLnZ�}n���xz� ~z�{�{�.�Cpzxxzy{n��}nLsNnL�v�C�{��n��Fx.�C�F�{pr�C�Npr�C����tv�{�k�����{�N�����NnT~znL���C�Nxrt��L~X/ ¹�<N±F�µk���Nn&¹?5}¹1A�����Ä�-�N���{�vnL��n��Nx¤xzy{n��C�.nLp��^xztv�N�����k~znL�����Fxrtv��~�����C�Ds^�6,&.703284Ê/ ¹�<N±!1A�NsC�N��Ѥy�nLtv�'���{pznZ~�n��Fxr~k���£�^|}tv�C����xzt��J~znL���C�}�xzt��L~{/ ¹�<{¹�1A�<�����0��pz�^sNn�~*xry{n'~z�C�{���}�{n�~r~������0�L�C���{�vn-xrnL�{nZ~z~P���xzy{n ����x�xzn�p*w�t¥xry&prn�~z�.n���x*xr�£xzy{n �N��n�pr��xztv�C���C�.~znL���C�Fxzt��L~L�

Õ^Ö�×�Ö:9 ;=<?>A@ ÞB>DCFE�ÝHGJIK<ML?<¦ �N�Cpr�N~�y{tA��µJtvnLp��-nÄ�C���Îm��C�}�vn�p�/ 8�³21�{prn�~znL�Fx�º�n��^xry{nLprw$nLtv�CyFx�C�Ds^�&¼Íºk�N½$�N~��q�L�C�v�L�{�v��~k���NpP�C�Ds^�}�u�vtv�Cn�xry{n�v�C�'�Y�{���»�������-�{�v��~t�~��)�������-�{�v��~k���Cp����C�{�C���C�CnZ~k~�����y&�C~½%£�I�����¹º��N~��NnL�v�A�:%0tv�{t�������vt�x�����.xzy{n��������-������~�t�~k��NnL� ��nZ�^xz��pzn��C�.xry{nLtvpJ�}nZ~�tv�N�M�C�C�����xzy{nJ���C�v�v�^w�t������-�N��~�xrpz����xr~���prn¢~z�{�{�.�CpzxznZ�Y¯<prn��-��pr~ztvsCn¢�-���C~r~·�}n-���tv�{t�xztv�C�·���C� & nZ��x��-prn���xztv�C�<�J­�nL���Î�C���-nZ~z~£��nLxzy{�}�Ït��usN�u���^xrt��N�·���n-xry{�}���^sNnLprpzt��}nC�N��n-xry{�}��prn��L�{p�~�tv�C��xzy{pr�C�{�Ny�xry{t�~-��~z�{�}x��u�}�tv�{���C���q�L�C~�xztv�{���:'�~k�N~z~ztv�C�{��n��Fx�t�~�����xk����pzxk����xzy{n��L�C���-�{�v��~L�ºk���v�u�C�}~Y�vt��NnT��µr���{���-xztv�C�����y¶�sNnLp�~�tv�N�������N�Ds^�}���*y{n�tvp<�L�����L�{�v��~t�~$~z�����v�vnLpJxzy��C�ONQPSRUTVT3WDXZY[RS\[RV�{pz�N���F~�nZ���u��ºT���^x)ÊLË$È^ØÍÌX/ «�³21

�C~P�£���Npz���C�·���C�����{�^xrtv�C�����CpP��t�|}tv��~L�����ut����&�C�k���{���-xz�Cp¤�^sCn�p�-���C~r~�nZ~-�

Õ^Ö�×�Ö^] _#Ý`>�Ùba�Ý�G?ÚdcUCdá5amÐy{tv��n&xzy�nÄ�{prnLsutv�C��~q���C��n�pr~��Cpzn0�-�N���-n�pz��n��Ïw�t¥xry xzy{nÄ�L�Cprn~�n������Fxzt��L~������C�Ds^�}�~��N��no�C�}xzy��Cp�~��{�Cxznoxzy��^x0xzy�no���N��� �C����N���u���Npz�{y�tv~z� tv� �C�Ds^�7t�~)����xq�L�C���{���-tvsCn£xr�I~r�^��n-x��.¯�w�t�xzy}��C�}xP�{pr�C�.nLp*�.�C�v�u���Cpr�{y{t�~z�7�F�C�Ds^�q�{pr�C�Npr�C����nLp�~k�'��~�x������Nnn-|}�{�vt��-t�x$��~�n �C�Tx��u�.n��L�N~�x�~-�.�-prn��^xrtv�{��~z�L�C�.n���CpPn�pzpr�Cp�~-�P©��C�}�~�t��}n�p'���Np�n-|{��������n&xzy�nÄ�-�C�v�vn��-xztv�C� �L���C~r~�nZ~�tv�2�C�Ds^��±u�"�*y{n�-���C~r~ ����xzy{n�t�xznL��~���n�tv�{�I~�xz�Cprn�� ����� �����{tv�{�{����xzn��V�u�ªxzy{n�-�C�v�vn��-xztv�C�ª�-���N~z~zn�~�tv~fe2ÇHg�®.¨ È.��§}�Iw�y{n�� ~�xz�Npztv�{�Ä�C� �C� & n���x����~��N��no��nZ���{tv�{�C���{��x��u��nC�'~z�D�ih�¦�e2ÇHg�®�¨ È.�¤�N�{n��q��~�xÄprn-���nL�q��n�p xz�o�L�C~�x�xry{n�pr�Dw;�C� & n���x£���N���Vtv�Fxz�0xry{n���~�n�pq�L���C~r~h�¦�e2ÇHg�®�¨ ÈÎw�y{n��\prn-xrpztvn�sFtv�{� xzy{n t��{���Cpr���^xztv�N�·� ¨�pzpr�C��nL�C��~x��F�.n����C~�xr~)w�tv�v�knLsNnL�Fxz�����v�v�I�L�C��~�n����{n-|}�.n���xrn���pr�{�Fxztv��n£n-|u��-nL�{xztv�C��~L�¢�N�Ds^�n-|uxzn���~zt��N��~J~z����y��C~�µJtv�L�Z�D/ ¹Z¸F¬!1Y�����¹6�n��{nLprt���C�Ds^� / ¸F±?1£�C�{�}prn�~r~�xzy�n�~zn �{pr�C�{�vnL��~7�u�X�{pz�^sut��}tv�{�4vNÊLÛ.ÊLÖ�×ÍÔËÍÌ�z�Ê�Ç'���Cp �C�Ds^�{�·����n���y��C�{t�~��Ò�u�7w�y{t���yI�-���C~r~zn�~��C���Ä��nLxzy}��u��~����D�£�.n ����~�xzp��C�-xzn���w�t¥xry�prn�~z��nZ��x*xz�'x��u��n �}���Cp*tv��~�xr�����-n���{pz�N�Cp�������n�pr~����D�0�}nL­��{nZ�VsNn��-xz�Cp�~����jh�¦�e2ÇHg�®�¨ È.��6�n��{nLprt��x��F�.n�~�Cpzn£�-�N���{tv��nZ��t��Fxr�7�N�Ds^����~ztv�{�&�&��n-xry{�}�I�L�C�v��nZ� ËéÌ�z{ÊÊ-ÖzÈ^Ç�Õ}ÖzÊqpzn����^sut����'x��u�.n'����p�����n-xrnLp�~P�����I���{xz�C����xzt��L�C�v����tv�}�~�n�p�xrt����Pxzy�n$prn�ÓF�{tvprn���x��u�.n*���C~�xr~B��6�nL��nLprtv�$�C�Ds^��xzy{n��'�N����p����{�xznLnZ~·xry��^x������L�N~�x�tv��~znLpzxznZ���F�¤xzy�n��-�N���{tv��n�pYw�t��v�D�Í�Ct��A�:6�n��{nLprt���C�Ds^�'�{pz�N�Cp�����~�tv�NxrnLpz�Aw$�Cpr�£��n�p���nZ��xr����w�t¥xry&�vn��N�C�L���-�}�}nC�{xzy{n�-�C����t��vn�p$t�~�nLsCn��Ä���{�vn xr�����C�Cn �vnL�F�C�-�7�C�Ds^���L�u�{n'�Ds^��tv�����{�vn���Cp¢��~zn$w�t�xry'�NnL�{n�pzt��-t�x���w�t�xzy{�N�}x�xry{n��{n�n���xz�nLsNnL�qpznZ�-�C����t��vnxzy{n��vnL�F�C�L�Ä�-�}�}n��)'�~)�C�o�C�{�{�vt��L�^xrtv�C�Ä�C��xry{nLtvp ºk�0�L�C�v�L�{�v��~L�¦ �N��p��C~zy{t�Ê�ËqÈ�ØÍÌV/ 8�³21~�y��^w y{�^wÒxr� �-�N���{tv��n7º{nZ�^xry{nLprw�n�tv�CyFx6�nL�{n�pzt��0�C�Ds^�μͺ`6 �N½qtv� xz� ºk�{��w�y{n�pznĺ`6 �ªt�~��}n-­���n��2�C~xzy{nq�L�����L�{�v��~�sCn�pr~ztv�C�7���Ê6�n��{nLprt����N�DsD�{�PmÐy{tv�vn����u�{�q�.nLp��C����{�{pr�N�N��y{n�~w�t�xry ~�tv��tv����p��C�N�C��~y��DsCn��.nLn�� �{pr�C�.�N~zn��Y�k~�����y�C~�x��u��n ���Cpr�C��n-xrnLprtv~r�^xrtv�C��/ ¬?1é��9�n-|�6�nL��/ ¸C¸?1A��µ¢�C�v�{�¹/¥¹Z±C«?1A�{t¥xpzn�����tv��~ �Ä��y��C�v��n��{�Cnqxr�I�}n�~ztv�C��nL|FxrnL��~ztv�C��~��������N~z~z�}�-t��^xrn���-�C����t��vn�pr~L�Nw�y{t���y7�}���{�CxPpznZÓN��t�prn��y����{�Nn�~$xr�'xry{n'�C¶C%5������{pznZ~�n�pzsNn ���C���uw*��p��0�����0���Cprw$�Cpr�7�-�N�����^xrtv�{tv��t�x��£w�t�xzyÄnL|}tv~�x��t���� ��tv�{p���prtvn�~L��Ѥ�{�v�)xzy�n�x��u��nPn�pr�N~���pzn*xrn���y{�{t�ÓF�{n�t�~J�L�{pzprnL�Fxr������{�vnJxr� �}� ~����C�{�}xkt�xky��C~¢���qtv�����Np�x����Fx��vtv��t�xr�^xrtv�C� �}�{n$xz�t�xr~�v�N�����C��~����{���Np�x����Cp$����p�����nLxzn�pzt�~r�^xztv�N���^sCn�p��{prtv��t�xztvsCn�x��u��nZ~-�

°3QdP egf+W#UXhji�kmlonSUpb�bqTVrOUps#[Ma�*y{t�~�~zn��-xztv�C�V�-�^sCn�pr~��}�u���C��tv�'�-���C~r~¤���F�C�}tv�{����pz�N� xzy{n��N�Ds^����Nt��Fx��C��sutvnLw��§unZ��xrt��N��5u�²¸�prnLsut�~�t�x�~P�-���C~r~��v�N�N�}tv�{�£��pr�C�Òxzy{n��¶@% �.�Ctv�Fx*���¢sFtvn�w�'¤�L�-�Npr�{t����)xz�£xry{n��N�DsD�'�����{�N�����Nn¤~z��nZ�-t�­����^xztv�N�·�{�q��y����{�Nn

xz� �`x��u�.n2tv~ }-×�ÛYÈ^Ö�Ì Ô�u2~#z{ÈCËÍ×�}LØ¥ÊXw�t�xzyÞ�{prnLnL|}tv~�xztv�{�X�{tv���^�pztvn�~&t����{prnLnL|ut�~�xztv�{� ��t�����prt�nZ~�xry��^x0�{prnLsutv�C��~z�v� �vtv�{�CnZ�2w�t�xzy}��C�}x�nLprpz�Np�w�tv�v���-�N�Fxztv�u�{n xz�&�vt����&w�t�xzy��C�}x�nLprpz�Np'¼Í�-� �¹/ ¬�<u��¬28u�©�y·� ¹�¸�1�½�� %0�Npzn0~z��nZ�-t�­��L�C�v���C���ª�vtv~�x£���t����.�Cpzxr�C�Fxq�{tv���Cpz��-�C�����^xztv�{�vnq��y����{�Nn�~ ~z�{�{�.�CpzxznZ�V�u�ª�C�Ds^�7t�~nL�u�{��n�pr��xzn��Vtv�xzy{n)���C�{�C���C�Cn ~z��nZ�-t�­��L��xztv�C�<�$°¤pz�F~z~z�C�.�C�{�v�N�·��¨Jt�~znL�u���C��y7�����

¬

Page 8: Formalising the Safety of Java, the Java Virtual and Java Card

mop����N��/ «F±F�^5�8?1T�C��~znLprsCnxry��^x��{��x��N�{�v���{���{tv����pr�&�L�C������xzt���{�vn¤��y��C�{�CnZ~J�{�Cx$prn�ÓF�{tvprnPprn-� �-�C����t�����xztv�C�)�C����xry{nLp*�{��t¥x�~-�u�{�}x~�����y�prn-� �-�C����t�����xztv�C��~`~�È^Ì Û�u�ËX}rÊXz�u^Ç�Ç�×�}LØ¥ÊC��º{�NpTxzy{n*�{�{pr�.�N~zn���·tv�v����~�xrpr��xztv�C�·�Zxzy�nL�q�{pz�^sut��}n$xzy�n¤~z�C�{p��-n��-�}�}n����<�)�-���N~z~k�C���~��N��n���y����{�Nn��Cw�y�tv��y£t�~¢�{tv���Cpz���L�C������xztv�{�vn��N�L�L�Cp��}tv�{��xr�xzy{n�C�Ds^��~z��nZ�-t�­����^xztv�N�M��xry{nL�0~zy{�^w\xzy���x�xzy�nq��y��C�{�CnZ�0�-���C~r~P~�xztv�v����v�v�^wP~P�vtv�{�utv�{�������InL|unZ�-�}xrtv�C�I�C��xry{n��-�}�}n��T�{�}xxzy�n�~��N�{pr�Ln�-�}�}n$���Y���v�Cxry{n��-���C~r~zn�~�xr���NnL��xz�C�Nn-xry{nLp¢t�~������v�N�{�Cn�p<x��u��n��L�Cpz�pznZ��x��J©��N��~�nZÓF�{nL�Fxz�v�C�N~�n�����p��^xrnP�-�N���{tv�v��xztv�C�)�N~J~z�{�{�.�Cpzxzn��£�u��C�Ds^�¤t�~*Û�u�Ë�n�ÓF�{tvs^���vn��NxTxz� �L�C���{tv���^xrt��N����·���v�}�{�{t�xr~Txr�C�Nn-xzy�nLp�������Ixzy�nLprn-���Cprn£pznZÓF�{tvpznZ~¤�7~z��nZ�-t�­��£~�xr���}�C��Æ�tv���Cpz�Ä�L�C������xzt���{tv�vt¥x��7t�~ �����^w$nLpz���{�J�L�C���LnL�}x)�.n�������~zn�t�xt�~�{n�n��}nZ�V���Cp)�}t�~��xzprtv�{�}xznZ�&�{nLsCn��v�C�{��n��Nx����¢�{pz�N�Cp�����~L�N�{�{xPt¥x�t�~*����tv�����^xz��pzn�����{�N�����Nn*��n��^xr�{prn��}w�y{t���y��}nZ~�n�pzsNn�~$� ���Cpr�������{���}n�pr~�xr�C���}tv�{���°¤pr�N~r~��N���N�{�v�C�oÊ�Ë�È^ØÍÌp/ «N±?1T~�xz���}�&xzy�n)�{pr�C�{�vnL� ���J~�n�����p��^xrn

�-�N���{tv�v��xztv�C���C���Î�{tv����pr� �-�N�����^xrtv�{tv��t�x��V�C� xzy{nV~�tv�C��t¥­.�L���Fx~�����~�nLx'�C���C�Ds^�Ä�{n�~r�-prt��.n�� t�� / «>=?1é���C��� �u�ª��~ztv�{�0xzy�n&w$nL�v���x��u��nZ�}�{n�~r~ & ���}�C��n��Fx�xzy�nLprn��}nL­��{nZ�Y��9P�Cxztv�C��~����P��p����N��nL�Fx�-�N���L��xznL���^xztv�N� �C���2�-�N���{tv�v��xztv�C�Ï��prn0t��Fxrpz�}�}���Ln��Y�P�C��� xzy{n�-�N���-n��}x��C���vt����q�L�C������xztv�{�vnP��y������Cn�t�~��}n-­���n���~z�£�C~�xz�£�L���{�xz�{prnkxry{nJ�C����p����Fxzn�n�~.�CtvsCn��¤�u���{tv����pr���L�C������xztv�{tv�vt¥x��C��' ~zn-x�����{pr�C�.nLpzxztvn�~$���k�vtv�{���L�C������xztv�{tv�vt¥x��q��prn �{pr�^sCn��M�{t��7���Cp�xrt��-�{����p���vt����V�-�N�����^xrtv�{�vn£��y����{�Nn�~��Cpzn�~�y��^w����{��x'xz�ª~z��xzt�~����ª�Ä�}t�������C���&�{pr�C�.nLpzx����{w�y{t���y�n-|}�{����tv��~�w�yu���{pr�C�Npr�C����nLp�~J�L�C�{�{�Cx���{�����otv���}n���n����}nL�Fx��vtv�{�ª�-�N�����^xrt�����n£��y��C�{�CnZ~ xz�Ixzy{n�~z�C��n��pr�C�C��n��Nx������În-|}��nZ��x�xry{nÄ�vtv�{�ut����o�������C�{tv��t�xrt�nZ~xz� ��nÄ��pznL�~�n�pzsNn��Ô/ «N±�1A� �*y{nL�<��� ����xztv�N�2���)x��u�.nI�{prn�~znLprsut���� ��y����{�Nnt�~ �}n-­���n��ª�����V�{pr�^sCnZ�Äxr��tv���{�v�0�vtv�{�Ä�-�N�����^xrtv�{tv��t�x��C���*y{nL�~�y��^w xzy��^x'�C���k���}x��C��n����$xzy{n&��y����{�Nn�~n��F����nLp��^xznZ�Itv�Vxzy{n�����{�N�����Nn£~z�.n��-t�­����^xrt��N�o�Cpzn�x��F�.n���pznZ~�n�pzsutv�{���ktv�Fxzn�pznZ~�xrt����C�v���xzy{n0��y��C�{�Cn&xzy��^x�t�~'����x£x��u��n0�{prn�~znLprsutv�{�Äw*�C~q��~zn��Ït�� xzy{nn-|{��������n¤�CtvsCn����u��°¤pz�F~z~z�C�.�C�����N�VÊ�Ë�È^ØêÌ`/ «N±u��5�8?1A�¦ �'�-�C�Fxrpr�N~�x<xr�Pxry{nLtvp<­�pr~�x����Npz���C��t�~r�^xrt��N�����{�{tv���Cpz��-�N�����^xz�

tv�{tv��t�x��q���C~zn��&xry{n)�����{�N�����Nn��C���&x��u�{tv�{� & ���}�Cn���nL�Fxr~*�C�3/ «>=?1é�°�pr�N~r~z�C�.�C�{�v�C�`ÊLË£È^ØêÌ�tv�usCnZ~�xrtv�N�^xrn��C�2����xzn�pz����xztvsCn7�����{pz�F�C��y���C~zn��Ä�C�I��|utv�N���^xzt����}n-­��{t�xztv�C��~P���k��p����C��n��Fxr~L�.�-�N���{tv���^xztv�N������q�vtv�{�utv�{�{��w�y{t���y����v�v�^w�xry{nL� xz�)prnA�n���xJ�N�£xzy{nZ~�n�tv~r~z�{n�~k��x�q���Cprn��C��~�xrpr�N��x*�vnLsCn��p/ 5 8?1é���*y�n)���}xry{�Cp�~*�}t�~z�L��~z~*�q�u�{�q��n�p���tv�NxrnLpr�{prn-xr��xztv�C��~)����xzy�nÄ�����{�N�����Nn&~z��nZ�-t�­��L��xztv�C� / ¬�<}�*¬�8?1d�tv�0����pzxzt��-���v�CpL�}xry{nL�0�C�����v�}~�nxry{n�����xztv�N�0���J�v�}�L���vt�x������N�L�L�Cp��u�tv�{�Pxr�¤w�y{t���y)��pz�N��n�p�xrt�nZ~<nZ~�x����{�vt�~�y�n��tv�'�C��nL�usutvpz�N�{��nL�Fx��C�v~z�y{�C��� tv�q������pr�Cn�p��N�{n���ѤsCn�pr�C���C�{pz�N��n�p�xrtvn�~������vtv�{��-�N�����^xrt���t����t�x��'~zt���tv����p�xz�;/ «N±?1.��prn�n�~�xr�C�{�vt�~�y{nZ����~�tv�{��xzy�n��{n�wÎ��|}t��N���^xrtv��}n-­��{t�xztv�C��~L�¦ ����~z�{��~zn�ÓF�{n��Nx$�����.nLp��{°�pr�N~r~z�C�.�C�{�v�C��/ 5�«?1<�-�N��~ztv�{nLp�~¢xzy{n

�-�N���{�vn-xzn~zn�ÓF�{nL���-n�����N�DsD�q�-�N�����N�{nL�Fx�~*t��7��~zt����C�vn���p�����nL�w��Npz�.�$������n�����n�s^���v���^xrtv�C�·���v�F�C�}tv�{����sCn�pzt�­����^xztv�N�·���{prnL���Cpr���xztv�C� �C����prn�~z�C�v�}xrt��N�·��ºPn�p'w$�Cpr�o�{t¥¡YnLp�~ ��pr�C�5w$�Cpr�V�N�ªxzy{n��¶@% �}t�~z�L��~r~�nZ�Xtv� §unZ��xztv�N�Ô5}� ¸Î�.n�������~zn ~zy{n �L�C��~zt��}nLp�~7�~��N�{p��-n �����{�N�����Nn)�-�v�N~znxz�7�C�Ds^�â/ « =?1k�����0�{��x¤xzy{n'�u�Nxrn'�L�u�{n�����{�N�����Nn��,'��{�}t�xrt��N�����v�v���.~�y{n£�}�un�~��{�Cx�L�C��~zt��}nLp¤n��N��yV�-�N�£����N�{nL�Fxtv�It�~��N���^xztv�N�·���{�}xtv��~�xzn��N�0�{pr�C�.�N~zn�~��&~ztv�{�C�vn ��p�����nL�w��Npz��xz���{���}nLp�~�x�������xry{nLtvp�tv�Fxzn�pz�{���D�C�Ê'P�0tv�}���Npz���C�<�}n�~r�-prtv�}�xztv�C�ª�C�Py{nLp't��usNn�~�xztv�N��xztv�C�Ä���D�I��n�~��{�����Cpzt�~zn��V�C~ ���N�v���^wP~L�

¶knLprt¥­.�L�^xrtv�C� �}�un�~��{��x¢nL��~��{prnJxry{n$�{pznZ~�n����-n����}­�n����{~��Np���nLxzy}��u��~-�Ft¥x��C�{�v��n���~z�{pznZ~¢xzy��^x��C������n-xzy��u��~ktv���sCnLprt�­�n��£�L�v�N~z~¢prn-�~��.n��-x�xry{nLtvp*~�tv�C���^xz��pznZ~-�:NPn�~z�C�v�}xztv�N����y{n����}~k���Np$xzy{n��{prn�~znL���Ln���P­�n����{~��C��� ��nLxzy{�}�{~'�����NtvsCnL� ~ztv�C����xz�{prn�~L�o�*y�n&prn�~z�C�vsCn�p�����Vxzy�n�sCnLprt�­�nLp �Cpzn£�q�}xz���C�v���0�}n���n����}n��Nx�¯�xry{n�sCn�pzt�­�n�p�prn-���tvnZ~��N��prn�~z�C�v�}xrtv�C�£xz����tv����~z�C��n����Txzy�n ���F~z~ztv�{�vn�nLprpr�Cp�~-�{�����pznZ~��N���{xztv�C�7t�~¤~r�^��nq�C�ª�-�}�}nq�{prnLsutv�C��~z�v�&��y{nZ���CnZ�0�u�7xzy{n£sCn�p��t¥­�nLp��¶kn�pzt�­����^xrt��N�0���v�C�{n'�}�un�~��{��x�C����p��Ä���F��tv��~�x��vt����N�Axztv��nnLprpz�Npr~q�{�}x��N����p����FxrnLn�~'xry{n0tv�NxrnL�Npzt�x��ª����xzy{nÄ~z�}~�xrnL�7�"�*y{nt��FxrnL�Cprt�x��7���$xzy{n�~z�}~�xrnL� t�~�}n����C��~�xzp��^xrn��V�F�V�0~��{� & n���x)prn-��}����xrtv�C����n������}�}�����7t�x�prnL�vtvn�~$�C�&xzy{n�w�n������Ax��u��nZ�}�{n�~r~����¢xzy{nn-|}�{prn�~r~�tv�C�o�����o�{prnL����prn��ª�-�}�}nC���*y{t�~ w$�Cpr�I�}�un�~)�{��x'�L�C�}�~�t��}n�p$�q�{��xztv�{�vn��-���C~r~$���F�C�}n�pr~$�C~*�N�{�.�N~zn��&xz��/¥¹�5N±!1é���C���7�}�un�~�{��x�tv�FxznL�Npr��xzn¤xzy{n ����xztv�N�����¢�vtv�{���-�C�����^xztv�{tv�vt�x���/ «N±�1A�

°3Qd� ³�[^h�rpa�f´³¼r�s#[^n0UXWCs ³�ZCn�_.i/k!_[l#a�[^Ups3iSWCY�C�Ds^�&tv~¤xry{n£�C�{�v�0w�t��}n�~z�{prn��N�0�{pr�C�Cp�������tv�{�£�������C���C�Cn)xry��^x�{pz�^sut��}nZ~<�P��n����Cpr�P���}�}nL�N���CpT����p����v�vnL�^nL|}n��-�{xztv�C�·�T�*y{n$�N�Ds^��v�C�{�C�����CnÄ~z�.n��-t�­����^xrt��N�Ð���v�v�}�L�^xrn�~��Ïw�y{�C�vno��y����}xrnLp&xz�Ïxzy{n�-�C������nL| �N�DsD� ��nL���Cpr� ���}�}n��é�nm-Û �}È^Ú^È!�7Ê�ÈNÔ�xXËyxuÖzÊ�ÈCßgu�ÉÔ�u�Û�ËéÖ�u^Øcx�ÈDÇ£×�Ë�Ç0u2�kÛ�zYÖ�×�ÚDÈCËAʹ�½u^Ö���×�Û�vâ~�ÊB~Du�Ö�Ì!��×�Û��:xu×ÍÔ�xª×�Ë�CÊ�Ê�z�Ç�×�Ë�Ç;u��kÛ��½u^Ö���×�Û�voÔ�u�zYÌ�u�É�Ú^È^Ö�×ÍÈ>}-Ø�Ê�Ç�Ëyx{ÈCË�×�ËC~'ÕuÇ-Ë�ÕuÇLÊu^Ö�ÈDÇ�Ç�×ÍvCÛ�Ìpo�Ç�Ë�x�Ê�ËyxuÖzÊ�ÈCßVÊ��uÊ�ÔLÕ{ËAÊ-Ç£ÈDz.Ö�u�v�ÖrÈ2~V�×�ËCu�z{ÊLÖzÈCËAÊ-Çu^ÛªË�x�Ê�ÇLÊ{�½u^Ö���×�Û�v0Ô�u�zY×ÍÊ�ÇÌpq�x{Ê�~�È^×�Ûo~£ÊB~Du�Ö�Ì�Ô�u^Û.ËAÈ�×�Û{Ç�Ëyx{Ê~£È^Ç�Ë»ÊLÖ�Ô�u�z.Ì{u�É�ÊLÚDÊLÖ�Ì ÚDÈ�Ö�×ÍÈ }LØ¥Ê!Ìrq�x�Ê-ÖrʤÈ�ÖzʤÖ�Õ}Ø¥Ê�Ç�È>}�u�Õ{Ë^�:x�Ê-ÛÈ0Ë�x}ÖzÊ�ÈCß7×vÇ#z{ÊLÖ�~q×�ËéË»Ê�ß�u^Ö£ÖzÊtsLÕ}×�ÖzÊ�ß7Ë�u0ËéÖzÈ�Û{Ç�É-Ê-Ö£Ëyx{Ê�Ô�u�Û�Ë»Ê-Û.Ë�Çu�Éq×�Ë�Ç��½u^Ö���×�Û�vVÔ�u�z.Ì�u�É£È7Ú^È^Ö�×ÍÈ>}-Ø¥Ê�×�Û�Ëwu7Ëyx{ÊD~�ÈDÇ-Ë»Ê-Ö�Ô�u�z.Ì�u�ÉÚ�×ÍÔ�ÊB� ÚDÊLÖ�ÇLÈ=uwvVx?�zycx.Ì|{?v!Ì:{~}C��*y{nZ~�nqpr�{�vn�~���prn'�{�Cx)~�xrpr�Ct��NyFx����Cprw*��p���xr�&�����}nLp�~�xr�����I�.n-�

�L����~�n*xry{nL�qpzn��v�)�C��� �}�N�{�{�vn�tv���}tvprn���xrtv�C�·�D���Cp�xzy{nPxzp�����~���nLpJ�C�sD�C�v�{n�~��.n-x�w$nLn��Ä�qxzy{prn��N�7nL�{�Ntv�{n)�����7t�x�~�w��Npz�utv�{�£��nL���Npz�C������Ä���Cpxzy�n'xrpr�C��~���nLp�����s^�C����n�~¤��nLx�w�n�nL�ot¥x�~�w��Npz�utv�{����n��£��Cpr�������&xry{n)����tv�&��nL���Cpr����©�n����-t���prnL�v�vtkÊLË*È^ØÍÌp/ ¸C«21��{pr�C�.�N~zn��~�xzpr���-xz�{p����}�N��n�pr��xztv�C���C�F~znL���C�Fxzt��L~$¼é§�ѧ�½�xzy���xJtv~T���Cpr�C��n-xz�pzt��tv�I������xztv�N���C�JnLsNnL�Fx�~z���C�Ln��Y��~zn��7xr�����Cpr�����vt�~zn�xry{nq�L�C�}�~�xrpr�Ct��Fx�~��.n-x�w$nLn��Ï��n����Cpr�ª�N��xrt��N��~L��'�~��C�Ïtv�v�v��~�xzp��^xztv�N�o�C�xzy{n ���Cpr�C��n-xrpzt�������xz�{prn���Txzy{n�tvp*~znL���C�Fxzt��L~L�Nxry{n)���{xzy{�Npr~$n-|u��{pznZ~z~Pxzy{n£~zn-x¤�C���-�N��~�xrpr�Ctv�Nx�~P��y��Cpr�N��xzn�pzt�~ztv�{���{prn�~r�-tvn��Nx�~�xr�Cprn�C��xrtv�C��~L�k§}����y�~�xz�Npzn�C�-xztv�C��~-�}�}n-­��{n��&�u��xzy{n)�N�Ds^���������C���C�Cn~��.n��Lt¥­.�L�^xrtv�C�0/ ¬�8u�u©�y&¹D¬F�í<21A�^��~zn���~�nLxT�C�{pzn��v��|}n�� �-�N��~�xzp���tv�Fxr~L����v�v�^w�t������N�}xztv��t�~zt���� �N�Ds^���L�C���{tv�vnLp�~¢xz�q�.nLpz���Cpr� ~��N��n¤�-�}�}npznZ��prpr�C�{�Cn���nL�Fx�xry��^xI��pznZ~�n�pzsNnIxry{n ~znL�����Fxrtv��~������{pr�C�.nLpr���~��u����y{pr�C��tv~zn��V�{pr�C�Npr�C��~-�I©�nL���Lt���prnL�v�vt�Ê�Ë È^ØÍÌkxzy{n�� n�~�xr�C�{�vtv~zyxzy���x����u����pz�N��n�pz�v��~z�u����y{pr�C�{t�~zn��¤�{pz�N�Cp����Ðw�t�xry{�C�}x��{pznZ~z�LtvnL�Fx~�xr�Cprn��N��xztv�N��~�t�~$n�ÓF�{tvs^���vn��Nx�xz�£t�xr~znL����tv��xry{n�{prn�~znL���Ln��C���{prn-�~z�Lt�n��Fx�~�xr�Cprn��C�-xztv�C��~L�$¼é�*y{n�nZÓF�{tvsD�C�vnL���Ln���~�nZ��tv�£xzy{n¤�{pr�F�C�·tv~�'��tv~ztv�'���v��xztv�C�<�²½6��N�Nxr�����NnLpV�C��� §{��yF��~�xrnLpot��usNn�~�xztv�N��xznªxzy�n2�N�Ds^�Ð��n��£�

�Cpr�����}�}nL��t��0t�~z�C���^xrtv�C�I¼Ít����}nL�.nL���{nL�Fxz�v���C�kxzy{n��v�C�{�C�����Cnt�x��~�n��¥��½�/²¬^«21é�2�*y{nL� �{pz�^sut��}n��o�{�N�}�»�C�.nLp��^xztv�N�����A�Txzp��C�-n����N~�nZ���y���p��C�-xznLprt�~z��xztv�C�7�C��xry{n���nL���Npz�7���}�}n��é��w�y{t���yIxry{nL�ª�-�N�£�����prn�w�t�xzyÏn-|}t�~�xrtv�{�0��nL���Npz�o���}�}nL��~¹/ <21A��6��C�Fxr�����Cn�p������§}��yu��~�xrnLp! ~)t��usNn�~�xztv�N��xztv�C�o�-�C��~�t��}n�pr~�xry{n��{pr�C�Npr�C����nLp! ~������

<

Page 9: Formalising the Safety of Java, the Java Virtual and Java Card

xzy{n&tv���{�vnL��nL�Fxr�Cp! ~¤���Ntv�Nx�~)�C�*sutvnLw�Iº��Cp�xzy{n&�{pz�N�Cp�������n�pL��{���}n�pr~�xr�C���}tv�{���nL���Npz� ���}�}n���~¢���D���C~r~�t�~�xkt��qxry{n�~znL�vn��-xztv�C����<���v�N�Cprt¥xry{��~��C���qxzy�nLtvpJ�.�Cpzxztv�{�xz�q�C�Ds^�}�¢�*y{nP�{pr�C�Npr�C����nLp�L�C��prnL�v���N�V©$�C��y{n'©��N��~ztv~�xzn����-�V¼A©��Cy�nLprnL���LnZ½7/ <21T�C���7~��N��nw�nZ���Äs^�Cpzt��^xrtv�C�I�C�P©$�C��~r���vt�x��&���Np)prnL�C���v�CpsD�Cpzt��C�{�vn�~L�<�C� §un-�ÓF�{nL�Fxzt��C�}©��N��~�t�~�xzn����-����NpTsN�C���^xrtv��nks^�Cpzt�������nZ~-�^�������N��N�n��vn��C~zn©��C��~zt�~�xrnL���L��w�y{n��Ä��~ztv�{��xzy�n¹�2¦>§�¨2©�ª�«�§�¬�­.®£�-�N��~�xzpr����x��Ѥ�xzy{n���xry{nLpqy��C���Y�Jxry{n&tv���{�vn���nL�Fxz�Np�y��C~�xz�o�{pz�^sut��}n��C� tv�£��{�vnL��n��Nx��^xrt��N�Î���)xry{nª�C¶C% xzy���xÄ~��{�����Np�x�~&�C�����u�Fxznª�-�}�}n�~xzy���x¤�-�N���{�v��w�t�xzy�xzy{nq�C�Ds^�£~��.n��Lt�­��L��xztv�C�M�uxry{n)��nL���Npz���.n-�y��Dsutv�C�{p'tv~£~zy{�^w�� xr�ª��n0�ª�-�N�'�{tv����xztv�C�ªs^��prt����Fx'�C� ©$�N��y{n©��C��~zt�~�xrnL���L�������0©$����~z�C��t�x��C��N�Ds^�Ä�}nZ~�tv�C��nLp�~ tv�NxrnL���{n��ªxry��^x��ÄprnL���^|{��xztv�C�o����xry{n7�N�Ds^�

��nL���Npz�Ï���u�{nL��w��N�{���2��non-|}�{�v�Nt¥xrn��Î�u�2tv���{�vnL��n��Nxr�Cp�~q�������p����v�vnL�T�Cp)�{tv~�xzprtv�{�}xrn��V�N�Ds^�7~��}~�xznL��~L���*y{n¹ºP�u�.nLprtv�C�ª~��}~��xzn��Æ/ ¹D±�1<t�~*�£�N�Ds^�)tv���{�vnL��n��Fxr�^xrtv�C�q�C�&xz�C�����¢�'~z�.n��-t�­������v�v��}n�~ztv�C�{nZ��°¤t�~�xrpztv�{�}xrn��£§uy��CpznZ��%ÄnL���Cpr��¼Í°§.%I½��Nw�y{t���yq�CtvsCnZ~xzy{n��{pz�N�Cp�������n�pPxzy�n�tv���v��~ztv�C�7xry��^x'�0�L�v��~�xrnLp �C�$�{pr�}�-nZ~z~z�Cp�~�C�.nLp��^xrn�~$�C~*�'~ztv�{�C�vn¤�C¶C%���'P��t��{���Cpr�������{tv~r�-��~z~ztv�C���C�&y{�^w�C�Ds^�7©��C��~zt�~�xrnL���L��t�~�C��y�t�n�sCnZ�0�L���V��nq���N�{���Vt��Ixzy{n£���C��n�pL¯��xzy{prn��N�� ²~k�C� & nZ��x����C��y{n*t�~XA���~zy{nZ�£�{���N�£nL�Fxzpr�)xr������C�{t�xr�Cp���������}���������}�}t�­����^xrt��N��~Txz�q�L�N��y{n��£�N� & n��-xr~$��prnPxzp�����~���t�x�xrn��xz��xzy{n$����tv���nL���Npz�Pw�y�nL�'�Pxzy{prn��N� n-|}t�xr~��P���N�{t�xz�Cp��c'����}t��xztv�C�����v�v����ºP�u�.nLprt��N��~zy��CpznZ�&��n����Cpr��t�~P������n�xr���{prt������-�C��t�nZ~���¢�C� & nZ��x�~�xz�£xry{n)�{�}�}n���~�tv�{�qxry{nL�7�.y{nLprnL�u���C¡.n�pztv�{�q�.n-x�xrnLp�v�u�����vt�x���xr�£xzy{nxry{prn��C��~��C�L�Ln�~r~�tv�{��xzy{nZ~�n �N� & n��-xr~L�$©�y{nL�0�C���'P�v������/ ¸ <?1��{n�~r�-prt��.n#%0���¥xrt��C�Ds£��������xzn�pz����xztvsCnP�L�v��~�xrnLp$tv���{�vn-���nL�Fxr��xztv�C�q���·xry{n��C¶C%��Cxzy�nL���}t�~z�L��~r~¢xzy{n�tvp�tv���{�vnL��n��Nx��^xrt��N����q§}n�ÓF�{nL�Fxrtv�C� ©��N��~ztv~�xzn����-� ���Np7~z�u����y{pr�C�{t�~r�^xrt��N�}�»�{pz�CxznZ��xznZ�~�y���prn��0�N� & n��-xr~�������N�nL�vn��N~�n£©��C��~zt�~�xrnL���L�����Np�sN�C���^xrtv��ns^��prt�����{�vnZ~-���Z��¶@% t�~T���{�Cxzy{n�p¢t�������n���nL�Fxr��xztv�C���{pr�^sutv�{t����P�¤~ztv�{�C�vn~��}~�xzn�� t����C�Cn �C�����C¶C% w�y{tv�vn)n-|}n��L�}xztv�{�&tv�V���{tv~�xzprtv�{�}xrn���Í�C~zy{tv�C�q�C�qxzy�n��{�}�}n�~k�C�<� �-�v��~�xznLp3/¥¹�¸}��¹L³21A�k¦ �����C¶C%ª�F��n-xzy{��}�{~J�L�C�v�v~T��prn*��n�p����Npz��nZ���N�qxzy{nP���u�{n*xzy���xJy{�C���{~Txry{nP���C~�xzn�p�-�N�F���J�C���}t�xztv�C���C�v���C�<~�n�sCnLp����J���C��y{tv�{��xrn���y{�{t�ÓF�{nZ~ y��DsCn£�.nLn���{pr�C�.�N~zn���xz��tv���{pr�^sCnPxry{n �.nLpz���Cpr�������Ln����*y{n ���C��n�pr~��C���^sNn�C��prnL���^|{��xztv�C�'���Yxzy{n�C�Ds^���n����Cpr� ���u�{nL�{xrnL�����C�{�v�)xr���}t�~���-��~r~¤t�������n���nL�Fxr��xztv�C��tv~r~z�{n�~¤�����Ä�{���{�Cx��{prn�~znL�Fx���{�{pr�C��pzt���^xrn¤���Npz���C�vtv~z��~J�C���&xzy{n��Cprt�nZ~-�}w�y{t���y�w��N�{�����.n pznZÓF�{tvpznZ�����Cp���L�C���{�vn-xrnP�{pr�u���<�����L�CprpznZ��xr�{n�~r~J�C�·xzy{nZ~�n�tv���{�vnL��nL�Fx��^xztv�N��~-�µ��{�Cy�/¥¹L³u¬�1<w�pz�Cxzn ���-prt�xzt�ÓF�{n��C��xry{n��C�Ds^�q��nL���Npz�£���}�}n��

�����"y{nª��pr�C�{nZ~�xry��^x7t�x�prn�ÓF�{tvprn�~�©��Ny{nLprnL���-nϼ»©$�C��y{n ©��C�{�~�t�~�xzn����-�{½�/ <?1é�¤w�y{t���y tv�}���Npz���C�v���o��n��C��~£xry��^x�xry{nI��n����Cpr�~�y��C�{���&��nq~�nZÓN��nL�Fxzt����v�v���-�N��~�t�~�xzn��Nx��N�7����n�p��»�v�u���^xrt��N�����N~�t�~L�ºPn�xzy{n��'~zy{�^wP~·xry��^xT�Í��tvpr�v�¤~�xr�����{��p��)�-�N���{tv�vnLp·�C�{xztv��t�~z��xztv�C��~��prn��{�Cx����F~z~ztv�{�vnPw�t�xzy�xry{n)�C�Ds^����nL���Cpr�q���u�{nL�A�u�C�������NpznL��^sCn�pL�C���C�u�q�C¶C% tv���{�vnL��n��Nx��^xrt��N��~��Cpzn�����x$�L�C���{�vt����FxTw�t¥xryxzy{n��N�DsD�&~��.n��Lt�­��L��xztv�C� ¼é��� �q�N�Ds^�C~z����x��{���&³u±^³F±N±^³N³F½��,'����}t��xztv�C�����v�v���·y{n�~zy{�^wP~�xzy���x�~��N��nq�N~z~z�{���}xrtv�C��~����C�{n'�u�o�N�Ds^��{pr�C�Cp�������n�pr~*���D�0�����v�N�{�Cn�p¤y{�N���Y¯¤���Npt���~�x������Ln��B�>È�ª�¬!§?�}~���D�ª�{��x��.n&xry{prn��C�Ï~z����n��*����� t¥x����D�ª�.n7�{tê-��L�{��x�xz�ªnB-q��-tvnL�Fxr����tv���{�vnL��n��Nx*xry{nLtvp¤xzy{prn��N�I~r�^��n-x��7�N�V~zy���prn��0��n����Cpr��'���¥xrtv�{pz�}�Ln�~r~��Npr~�w�t¥xry�w�nZ���V��nL���Cpr�0���}�}nL��~L�)'��¥xrnLpr���^xrtvsCn��nL���Npz�����}�}nL��~L�D��pz�N���F~�nZ�)�u�V%Ä����~��N�'�����'µ��{�Cy)/ ¹N¹D¬!1��C���

%Ä��nZ~z~znL� Ê�ËPÈ^ØÍÌp/¥¹C¹?5�1é�·����~�w$nLp�~z�C��n �C�¢xzy{n'�{pz�N�{�vnL��~*p���t�~zn���F�oxry{n7�N�Ds^�Ä��n����Cpr�I���}�}nL�A�ªÆ��Cxzy ��pz�N���F~z�C�v~)��nZ��p£~��N��n~�tv��tv����prt¥xrt¥nZ~P�C~)xzy{n��o�Cpzt�~zn£t����}nL�.nL���{nL�Fxz�v�Ä��pr�C�5�}t�~r�-��~r~�tv�N��~�C�)xry{n��C�Ds^�#%ÄnL���Cpr�7%0�}�}nL�u����tv�vtv�{�*�vtv~�xL��¦ ���.��xzy£�L�N~�nZ~<���Np�������{~znL�����Fxrtv��~��Cpzn���pz�N���F~�nZ����/ ¹N¹D¬!1.�-�C�Fx���tv��~¢���£�C�.nLp��^xrtv�C���C��}n�~r�-prtv�}xztv�C�V���P��n����Cpr�0pzn��v��xznZ�V�N��n�pr��xztv�C��~-��w�y�nLprn��C~;/ ¹N¹�5�1nL�u�{��nLp��^xrn�~'���v�Cn��{pr�Ct��'pr�{�vn�~q~z��nZ�-t����ut����0xzy{n��Cp��}n�p'�C�Pxzy{nZ~�n�C�.nLp��^xztv�N��~-� �*y{nÎ���{xzy{�Npr~Vy��DsCnÏ�{��x�prn-�»n�~�xr�C�{�vtv~zy{nZ�"xry��^xxzy{n��.nLy��Dsutv�C��p¤�C���{pr�C�.nLpr�v�7~z�u����y{pr�C�{t�~zn��0��pz�N�Cp�����~Pt�~�{prn-�~�n�pzsNn����^sNnLp*xry{nLtvp*�{pr�C�.�N~zn��&��nL���Cpr�£���}�}nL�J¼é�C~¤©�n����-t���prnL�v�vtÊLË*È^ØÍÌX/ ¸C«�1��}t��&���Cp*xzy�n'�C�Ds^�q��nL���Npz�����}�}n���½���ºTtv�����v�v���uxzy�nL�����~��V�}t�~z�L��~z~�xzy�n�s^�C��t��}t�x��V���¤�v�}���onL�vtv��t����^xztv�N�Ixrpr�C��~����Npz�����xztv�C��~L�Jw�y{t���y y��DsNn&�.nLn��Ï~zy{�^w�� xr�VprnL���^sNn������{pz�D|}tv���^xrnL�v�5�=�» �C��xzy�n���~�n���nZ~z~��v�u���utv�{�;/ 8u��±�³}�}³>=u�<¹�< 8�1A�{�{�}x����D�£�{pznZ���xzy{n�~znL�����Fxrtv��~<�C���{pr�C�Npr�C��~·�^sCn�p�xry{n*�{nLwÏ�{pz�N���F~�nZ�)��n����Cpr����u�{nL��~-�©��F~z�Ltv��������N�nL�N�Ctv�£/ ³><u�·³u¬�1J�{pznZ~�n��Fx���~�xrpz���-xz�{p����T�C�.nLp��^�

xztv�C���C�J~�n������Fxzt���~'¼A§�ѧ{½�C���N�Ds^�. ²~�'�{��xrt¥�Axzy�pznZ�C�}tv�{���q�*y{n�t�p��tv� t�~Pxzy{nq�}nLsNnL�v�C�{��n��Fx*�C�������N�{���{��xztv�C�7���Np��{pr�C�Npr�C� sCn�p��t¥­.�L�^xrtv�C�·���N�DsD�� ~Ppr��xzy{n�p��v�u�N~zn)�-�C���{�vt����q�C�kxzy{prn��N�{~L��sut��£xzy{n~�n�����p��^xrn��0w$�Cpr�ut����������V����tv�0��n����Cpr�&���}�}n��Tt�~¤t��}nL�Fxzt�­�nZ��C~ xry{n7~��N�{pr�Ln������{tê-��L�{��x��Itv� w�prt¥xrtv�{�Ä�-�Npzprn��-xL�k�-�C���-�{prpzn��Fx�C�Ds^�*�{pr�C�Npr�C��~-��©��N~r�-t��*�����,N�nL�N�Ctv����y���p��C�-xznLprt�~�n¢�P~z�{��~zn-x��C��C�Ds^�}�Zw�y{t���y��DsN�Ct��{~Y~z�C��n¢���Fxzy{n��-�C���-�{prpzn����-���{pz�N�{�vnL��~L�^"P�}����Cpzxz�{����xzn����C�Nxry{n¤~z�{��~zn-x��L�C�{�{�Cx��.n�~�xr��xzt��L�C���v����y���p��C��xrnLprt�~�nZ�Y��*y{t�~������Nn�~�t�x��vn�~r~*xry����I~�xzp���tv�NyNxz���Cprw$�Cpr�����Cp¤�{pz�N�Cp�������n�pr~xz�£xr�C�Cny{n�n������Txzy{n'�C�}sut��-n���¡YnLprn��Y��©��N~r�-t����C����N�nL�N�Ctv�'tv�}��-�v���}nq~����C��������pzxr~¤���Jxry{n��C�Ds^�¹'¤µJ¦Ptv�0xry{nLtvpP���Npz���C�vtv~r�^xrtv�C�·�������n����)xzy{n¤��n-xzy��u��~J�{nZ�-n�~r~r��pr� xz�q�-�C�Fxrpz�N�}xzy{prn��N�{~L�F~z����y��C~�?È��>ª�È.���2È�«-��n-xr����'��{pr�Cy ����£��%0�{��� �C��� �}n Æ$�unLp�/ ³�1q�{prn�~znL�FxI���`�C�.nLp��^�xztv�C���C�P�����2�C�Ð�^|}tv�C����xzt���~znL���C�Nxrt��L~q���)� ~z�{��~zn-x��C���C�Ds^�}��*y{n'���{pz�.�N~zn��C�Jxzy�nLtvp�w$�Cpr�7tv~�xz�&�{pr�^sFt��}n'����p�����nLw�pr�C�����Cp�{pz�^sutv�{�&�{pz�N��n�p�xrtvn�~¤�����q�{��xzt��Axzy{prn��N�}n��0�L�C�Fxzpr�C�`A��^w���*y{n�t�p~��{��~�nLx*t�~��C���C��~�xrpr�N��x�sCn�pr~ztv�C���C��xry{n��N�DsD�q�-�Npznw�t�xzy��q�{��xzt��xzy{prn��N�}tv�{�{��§}�C�{���{�{n�~r~��C���ª�-�C������nLxzn��{n�~r~��prn��{pz�^sNn��Vtv�ª�~�n�����p��^xrn�xrn���y{�{t������Ypzn����Np�x��® �N~z~r���ÏÊ�ˤÈ�ØÍ̲/ ¹�=C¸?1��LpznZ�^xzn���~�x��^xrnq���C~zn��o����~�xzp��C�-xztv�C�Ä�C�

�C�Ds^�'xzy{prn��N�{~��C���7~�nZ�-�{prt�x����.�C�vt��-tvn�~�xz�&~�xr���}�&xzy{n)n��{y��C���-nZ��C�Ds^�0±7~�nZ�-�{prt�x��0���}�}nL�A���*y{n����Ctv�Äxzy�pz��~�x)���$xzy�n������.nLp�tv~xzy{n$�-�C������nL|}t¥x��¤�����C���}~zt�~Y���}xzy�n�xry{pznZ�C� �C��~�xrpr�N��xrt��N�·�Dw�y{t���y tv~~�y{�^w��'�L�������{�vn��C���-�N�{tv�{��w�t�xry��Cn��{nLp����vt�~r�^xztv�N��~.���{xry{nP�C�Ds^�¤±~�nZ�-�{prt�x��'���}�}n��é�k�*y{n���}xry{�Cp�~$��prn¤�-�N���-n�pz��n���y{�^w$nLsNnLp��Nxry��^x�C�{�}tv�{�����{pzxzy{n�p7A�n-|}tv�{tv�vt¥x���xz��xzy{n��N�Ds^��~zn��-��pzt�x��7���}�}nL�¢w�tv�v������Cn�t�x*xz�u���}t�-��L�{��x�xr��tv���{�vnL��nL�Fx��L�CprpznZ��xr���C�

°3Q�° ±Ê_.Upk[���>WCbM�V[ck�_.iSrOW�*y{n�~�x��C���)tv��~z��nZ��xrt��N�����v�N�Cprt¥xry{�`~��{�����Cpzt�~zn��tv�q§}n���xrtv�C��±u� ³���v�v�^wP~Ïtv���{�vn���nL�Fxz�Npr~ xz� �L�C�Fxzpr�C�Ä�.nLpr��t�~z~ztv�C��~Ïtv�,�;­��{n�Cp���tv�{n��������{��nLp��¢§Fx��C����tv��~z�.n���xrtv�C�£�C~r~��{��nZ~k���£�C�.nLp��^xrtv�C���C����u�{nL�Jw�t�xzy��0~�xr�N���Äxzy��^x�t�~�{�Cx�sutv~ztv�{�vn'��x)xzy{n��C�Ds^���vnLsCn��A�¨JsCn��Vtv�}���Npz���C�¢pznZ�C~z�C�{tv�{�����.�C�}x�~�xr�N���Ätv��~��.n��-xztv�C�VpznZÓF�{tvpznZ~�����utv�{��xzy{n�~�x��C���qn-|}�{�vt��-t�x��^x����vnLsCn��{w�y{n�pzn�xzy{n�~�x��C���qtv~��{��x

8

Page 10: Formalising the Safety of Java, the Java Virtual and Java Card

sutv~ztv�{�vn�� §Fxr�N���Ïtv��~z��nZ��xrt��N�Ït�~&���v�^w �vnLsNnL�P�L�C���LnL�}x&xzy���x�t�xt�~¤��x��}�{�{~�w�t�xzyIxzy{n��C��~�xrpr�N��xrt��N��~��{pr�^sut��}n��0tv�I�&y{tv�CyI��n�sCn�������{�N�����Nn��

m����v���C��y������0º�nL��xzn���/ ¹�<C«?1¢�}nLsNnL�v�C�7���0����~�xrpr�N��xP���}�}nL�����~�x��C���tv��~z��nZ��xztv�N�)tv� xzn�pz��~T���.���.nL�vtvn-�{�v�C�Nt��^�D�F���^w��'�C~`'�Æ*µÊ�¼�'����C�}tA�JÆ$�{prpz�^wP~L�X��������~z�C� �C��� µ����Cxz�utv��½D/ ¸?1é� �N�DsD�� ~'�C�-��-nZ~z~$�-�N�Nxrpz�N�.�{n��-t�~ztv�C��~���prn¤~zy{�^w���xr�q�L�CprpznZ~��.�C���qxr�'��pz�^sutv�{�~�x��^xrnL��nL�Fx�~�tv��'�Æ*µ½�J�

�*y�nP~�x��C��� tv��~z��nZ��xztv�N�'�����{pz�F�C��yq~��}¡YnLp�~T��pr�C� ��u�{�q��n�p¢����{pr�C�{�vnL��~L�ĺTt�p�~�xL�¢xzy{n�~�x��C���otv��~��.n��-xztv�C���C���N�Cprt�xzy{�,nL|}��nZ��xr~�Î~��.n��Lt¥­.�V~�xr�N���Ð���D�C�C�{xL�¤w�y�tv��y<�¤xry{�C�{�Ny\~�xr�C���{�Cpr�}t�~zn��2�u�xzy{n0�C¶C%ª�¢�{prnLsCn��Fxr~'�C�}xrt���t�~r�^xrt��N��~¤xzy���x & ��~�x��»tv�}�Axztv��n��-�N�£��{tv�vnLp�~$�CpznnL|u�.n��-xznZ��xz���.nLpz���Cpr�7�$§un��L�C���·�{xzy{n�pznZ~��{��x����¢xry{t�~���v�C�Npzt�xry{� t�~����Cxzn��Nxrt����v�v�Ï~znL��~zt�xztvsCnIxz� �C�}xrt���t�~r�^xrt��N��~�~z����y�C~x���tv�Jprn��L�{pr~ztv�C�o�C�}xrtv��tv~r�^xrtv�C��~'¼�tv������pzxzt��L�{����ptv�Vxry{n&���C~zn�����q�}xr�����v�v��xr�Ctv�¥�»prn��-��pr~ztvsCn���n-xzy��u��~��.nL�v�C���Ctv�{�£xz�7�}t�¡YnLprnL�Fx�-���C~r~zn�~�½��k���£~��N�vsCn¤xzy{nZ~�n�{pr�C�{�vn���~-�Fmª�C�v�v�N��y�/ ¹�<>5�1<��pz�N���F~�nZ~�I��pz�N�Cp���� xzp�����~����Cpr���^xrtv�C�·�$ÇLÊrÔLÕ}Ö�×�ËéÌ2��z{È^ÇrÇ�×�Û�v ~�x��u��nC��w�y{t���y�vt��Nn&�L�C�Fxztv�u���^xrtv�C�}�»���C~r~zt����7~�x��u�vn��$�N�{�{~��C�ÏnL|Fxrpr�ª�Cpz�N�{��nL�Fxxz�)nZ�C��y£��n-xry{�}�������£nZ�C��y£��n-xry{�}�£tv�FsN�}�L�^xrtv�C�·�^w�y{t���y£t�~¢xzy{n�-�{prprnL�Fx�~�nZ�-�{prt�x�� �-�N�Nxrn-|ux�����xzy�nÄ�{pr�C�Cp����7�Ð�*y{t�~�y��C~£x�w$��C�}s^�C�Nx����Nn�~L� º�tvp�~�x���t�x£�{�FnZ~q�{��x�prn�~�xzprtv�-xq�L�C���{tv�vnLp)�N�}xztv��t��~z��xztv�C��~-�0§un��L�C���Y�J~zn��L�{pzt�x��F�»���C~r~�tv�{�&~�x��u�vn����v�v�^wP~¤xzy{n��N�L�Ln�~r~�-�N�Nxrpz�N�v��n�p�xr�Ä�.n�w�prt¥xzxzn��ª�N~)prnL�N�{����p��N�DsD�7�L�u�{n��J~��Äxzy���x�t�x�L�C�0��n'���Np�xrn���xz����¶@%Ä~Pxry��^x��}���{�Cx�tv���{�vnL��n��Nx$xzy�n'~�xr�C���tv��~��.n��-xztv�C�����v�C�Npzt�xry{�7�

§}�D�C�v�D���C���ħu��t�xzy�/¥¹�«>=�1T�{pr�C�.�N~zn)�£�����q�.���q�������-������~$���Cpz������vt�~�tv�{���N�Ds^�7~�x��C���Itv��~z�.n���xrtv�C�·�;�����q�.�{�&n-|}�{prn�~r~zt��N��~��prn���{����xr��xznZ���u�£xzy{n�������n����<xry{n¤��pztv���Lt������{xry{nL��µ���n��v�C�{�xr�>¶}��*y{n��C�{�{�vt��L�^xrtv�C�I�C���0�����q�.���&nL|}�{pznZ~z~ztv�C�on-|uxzn����{~q�Ä~�xr�C���w�t�xzyÄ���Ä�N~z~z�}�-t��^xrtv�C���.n-x�w$nLn��0�{prt����-tv������~*�����0��~�nLx����J��pztvsF�tv��n��CnZ~-�,'Ñ��®>ÈM��ª�¬��&n-|}�{prn�~r~�tv�N�Ä���v�v�^wP~P�C�{�{t������{prtvsFtv�vnL�Nn�~$xr�xzy{n��L�{pzprnL�Fx��{pztv���Ltv�����A�V' ¨?©�®.¨-�S�.ª�¬���nL|}�{pznZ~z~ztv�C�0�.nLpz���Cpr��~~�x��C����tv��~z�.n���xrtv�C��tv�7��~�tv��tv����pJw*�D���N~$xzy{n��N°¤®Ü�}�un�~L���*y{n��xzy{n$���}xry{�Cp�~T�}n-­���nPÇLÊ�Ô-Õ}Ö�×�ËéÌ�Ç-Ë»ÈCÔ���ÇLÈ�É-Ê�ËéÌ��N~<xry{n���pz�N��n�p�x���C�-��-�Npr�}tv�{�*xr��w�y{t���y �{�¤w�n��v�¥�Ax��u��nZ���{pz�N�Cp����\w�tv���CnLsCn�p�y��DsNn��C�F�~�x��C��� tv��~z�.n���xrtv�C�Ï�Í��tv�v�{pzn7�}�{prtv�{�ªpz���Nxrtv��n&nL|unZ�-�}xrtv�C�·�X�*y�nn�~r~�n����-nq����xzy{n�tvp¤x��u�.n�~��}~�xznL� tv~�xzy�n����{�{�Cxr��xztv�C�Ä�C��xry{n���pz�pz�^w x��u��n&w�t�xzyªxzy�n&~zn-x��C�P�{pztvsutv�vnL�CnZ~���n��-nZ~z~r��pr�Äxr�Än-|}nZ�-�}xrnxzy���x ���{���-xztv�C�·���*y{n��Än�~�xr�C�{�vt�~�y0xry{n�~r�^��n-x��V�����o~���� & n��-x)pznL��}���-xztv�C�7���kxry{n x��u�{tv�{��~z�}~�xrnL�7��w�t�xry0pznZ~��.n��-xPxz��xry{nLtvp¤�C�.nLpz��^xrt��N�����.~�n������Fxzt���~-�:'¤~$n-|}��nZ��xrn��&w�t¥xry���x��F�.n~��}~�xznL�7�Fxzy�nLprn��prn��{pr�C�Npr�C��~·xry��^xJ��prn��N��n�pr��xztv�C�����v�v��~z����n����}xk�{��x¢x��u��nZ���{�vn ���~�tv�N�{t�­��L�C�Nx$pznZ�C~z�C���CtvsCn����u��xry{n��C�}xzy{�Npr~*t�~$xry��^xPxry{n x��u�.n~��}~�xzn���tv~'���C���C���Cpr�{y{t����ª�*y{t�~'t�~'�V�{pr�C��t�~�tv�{�Ä�C�{�{pr�N�N��y·�w�y{t���y'���D��t�����pz�^sNn�n-��Lt�n����-�C�C�{�}x�t¥xk�{n�n��{~Jxz� �.nPn-|uxrnL���}nZ�xz��xzy�n����{�v�}�����{�N�����Nn��:'¤�{�}t�xztv�C�����v�v�����C�Ds^�¤�{pz�N�Cp�����~���prn*�C�{�vnxz�£xrn�~�x�xzy�nLtvp��{prt�sutv�vnL�Nn�~$�����7�C�-x¤�C���-�Npr�}tv�{�N�v���uxry{n x��u��n'~��}~��xzn�� �}�un�~$�{�Cx*�L�{pzprnL�Fxr���£~z�{�{�.�Cpzx�x��u�.n¤xry��^xP�}n���n����{~$�C��xzy{n�}�u������t��¤~�nZ�-�{prt�x�����n�sCn��.�C��xry{n n-|}nZ�-�}xrt��N�&�L�C�FxznL|Fx��

°3Qd¸ e4i�b�k�ZCb�b�iSrOW

�C�Ds^�0t�~ x��u�.n&~r�^��n������ ~z�{�{�.�Cpzxr~q�}�u���C��tv�£�v�F�C�}tv�{���T�{tv���Cpz��-�C�����^xztv�{tv�vt�x����^�)��n����Cpr�)���}�}nL�����Cp�����p����v�vnL�}nL|unZ�-�}xrtv�C�������~�nZ�-�{prt�x����������C�CnL��n��FxL�O'P�v�Yxzy�n�~znxz�C��tv��~*y��DsCn�.nLn��0t��usNn�~�xzt���N�^xrn�� �u�xry{n*pznZ~�nZ��p���y)�-�C���q�{�{t�x��C�Z�����)prn�~zn���p���y y��N~�y{n��v��nZ�xz���{���}n�pr~�xr�C���0xry{nL�7�q¦ �V~z�C��n'���C~zn�~L�<pznZ~�nZ��p���y0y��C~�y{n��v��nZ�xz��t��}nL�Fxrt¥���¹A��DwP~�tv��xzy{n)~z��nZ�-t�­����^xztv�N�&�C��xry{n)�����{�N�����Nn��{�����pznZ~��{��xrn���tv���{nLw`~z�C�v�}xztv�N��~-�%Ä�C�u�0t��usNn�~�xztv�N��xztv�C��~$x��u�{t������v�v�����}�-��~�C�V�7~z�{��~zn-x ����xzy{n

�v�C�{�C�����Cn��Cp �C�ª~z�C��n'~z�.n��-t�­��£�N~��.n��-xtv�Vtv~z�C����xztv�C�7���$��xry{nLp�-�C���.�C��nL�Fxr~L���*y{n�pzn�tv~T�¤�{nLnZ� ���Cp¢�{��t¥���utv�{����p�����n�w��Npz�}~Yxry��^xy{nL�v�o�{���}n�pr~�xr�C���Itv�Fxzn�pr�N��xrt��N��~P�.n-x�w$nLn����-�C���.�C��nL�Fxr~L�£�*y�tv~tv~��������q�{t�xztv�C��~<x��C~z�q�C���qt¥x�~J~zt���n�pznZÓF�{tvpznZ~���nZ��y�����tv�����Fxz�u�N�v~���{�vn¤xz��y��C���}�vn����Npz���C�vtv~r�^xrtv�C��~L�6�Cpz���C�Cn��L�C�v�vn��-xztv�C�Vtv~q��� t��FxrnL�Cp���������pzx'�C�¤�C�Ds^�Ä�C��� t�xr~'�µJ¦¤~�tv���Ln'�{pr�C�Npr�C����nLp�~*y��DsCn'xzy�nqprtv�CyFx�xr�7�{pz�N�Cp���� ­����C�¥�

t���nLp�~#/ <F¬!1<�C����y��DsNn¤�N�L�-nZ~z~Jxz�£�}t�¡.n�pzn��Fx��utv���{~�����w$n��C�qprn-��n�p��nL���Ln�~¤xzy{pr�C���CyÄxry{n£���C���^�C�Cnfg��M����������§?�F��ª.®S��� ©��N�}��nLprnL���-n�~~�����y7�C~P¦�§.%�%5�����ÄÑ Ñ�µ$§.�c'\prnL�C���v�Cpz�v�qtv���-�v���}n����C��n�pr~*�N��N��pr���C�Cn��-�N�v��nZ��xrt��N�o���Cp��C�Ds^�}�k�{�{xqxry{n�~zn��{�{�{�vt��L��xztv�C��~�xrnL���xz�ª���}�-��~��C�Îtv���{�vnL��nL�Fx��^xztv�N�ª~z�.n��-t�­���t�~r~��{nZ~-�"�*y�n0�{��xrt��N����£�C� & nZ��xIprn��N��y����{tv�vt�x��Ïy��C~0�.nLn�� ~�xr���}tvn��\tv� �Î�v�C�{�C�����CnL�t����}nL�.nL���{nL�Fxq���C�{�{n�p�/¥¹Z±C¸�1é�*�{�}x�w$n&y��DsCn���n�nL� �{��������n&xz�xzp��C�-n����u��w$�Cpr�otv�Fxzn��Cp��^xrt����Ä~�����y �Äx��u�.n&�C�P���Cpr�����vt�~r�^xztv�N�w�t¥xry�xry{n��N�DsD�q~znL�����Fxrtv��~-�Ñ�xry{nLpp'�µ�¦�~������'��n*prnL�N�Cpr�{n�� �C~T�������C���C�Cnkn-|uxrnL��~ztv�C��~L¯·���Cp

t���~�x������Ln��NprnL���Cxzn*��n-xry{�}�£tv�FsN�}�L�^xrtv�C�&¼dN3%0¦�½��C�{�{~��}t�~�xrpztv�{�{�xztv�C�'xz�'�N�Ds^�}�N~znLprt����vt�~z��xztv�C�t�~k��{pr�}�-n�~r~Txzy��^x�y��N~¢xz���{pznZ~�n�pzsNn~��N��nP~z����n-x���tv�us^��prt����Fxr~¢�C�Lpz�F~z~���¶@%Ä~-�}�������C�Ds^�. ²~J~z���C�Ln�~ktv�}�xzpr�u�{���-nxry{n�t��}nZ�'�C�J�-�u�Cp��}tv���^xrtv�C��xr�&�C�Ds^�{�$�*y{nZ~�n)w�tv�v�<����~z�y��DsCn¤xz���.n tv�FsNn�~�xztv�N��xznZ�£�F��xzy{n prn�~zn��Cpr��y��-�C���q�{�{t�x��C�Ѥ���LnP�C�Ds^�~z����n-x��)y��C~¢�.nLnL�£�{���}nLp�~�xr�u�u�·�Cw�pzt�xrt�����~r�^��n������

~�nZ�-�{prn��C�{�{�vt��L�^xrtv�C��~Yw�tv�v�N�.n*���{�Cxzy{n�p���� & �Cp���y����v�vnL�{�Nn������F�N��~��prn¤�{n�n��}nZ�&xz���{���{nLp�~�x�������xzy{n �.nLy��DsFtv�N�{p��C�T��pz�N�Cp�����~L¯<���Cpt���~�x������Ln����{���{nLp�~�x������}tv�{��xry{n�sutv~ztv�{tv�vt¥x��¤���·�{�^x�������'xzy�n���n�p����tv~r~zt��N��~TpznZÓF�{tvpznZ�)xr�'�C���-nZ~z~¢xry{nL�7�utv�£xzy{n¤�{prn�~znL���LnP���·���N���N����CnZ~-���{�F������t��o���F�C�}tv�{����C��� nL|u����t��Lt¥x0~zn��-��pzt�x��Ðt�~I�Î���C�}�xzprt�sut����Fx��C~z��¯¢���}xr�C����xzt��Jxr�u�C��~¢�C�}sut�~�tv�{���{pr�C�Npr�C����nLp�~·w��N�{�����n��~zn-���{�A�¢mÐy{tv�vn��������-����t.~�����y��N~$ºk�£�Cpzn¤nL��nLpr�Ctv�{�'�C~�xzy{n����pznLxzt��L�C�����N�{���{��xztv�C��~��C��xry{n��C�Ds^�'�����{�N�����Nn��Nw$n y��DsNn¤�{�Cx��Cn-x�C��~znLprsCnZ��xzy{n'x��u��n'����nZÓN���^xztv�N�����<prn��N~��N�{tv�{�£xzy��^x¤nL|}tv~�xr~P���Cp���{����xrtv�C���C�N�������C���C�Cn�~L¯Y�{��xrt��N��~<�C���C��~�n�pzs^�^xrtv�C���C�^n�ÓF�{tvs^���vnL���Ln�CpJ�{t�~ztv�'�{����xztv�C�)�Cpzn�p���prnL�v�)��n��Nxrtv�C�{nZ�&¼Ín-|{�-n��}x��u�D'P���N�}t:/ ±?1�����0©�nL���Lt���prnL�v�vtTÊ�Ë�È^ØêÌ`/ ¸C«21é��prn�~z�.n���xrtvsCnL�v�{½��mªn�y��DsNnq����x ���C�����ª�����u�Ä���C��n�pr~ ���u�L��~zt������N� �C�Ds^�&���Cp

~����C���F���u��xr�{prt��FxJ�}n�sFt��Ln�~L�N~�����yq�N~Jµ�°3'¤~-�F���C�{tv�vn���y{�C�{nZ~J�����~����Cp�x��L�Cpr��~-�¢ÓJn-x�nL�q��nZ�{�}n��Î~z�}~�xrnL��~��CpznÄ�ª���Cp�xrt��-�{����pr�v�t��FxrnLprn�~�xztv�{�'�C�{�{�vt��L��xztv�C���CpznZ�)���Np��C�Ds^�}���N~*w�t�xz�{nZ~z~zn������Cp�n-|u������{�vn7�u� xry{nV~z���L�Ln�~r~������¤tv�Fxzpr�}�}����xrtv�C� �����C�Ds^�ª���Np&~z����pzx�L��p��{~¼é§}nLn)~zn���xrtv�C��<F½��

¹!=

Page 11: Formalising the Safety of Java, the Java Virtual and Java Card

ã ä åæçè éçëíì åî ïð�ñ

òÍóôõõ öéå÷ìæï

ø ôæï

ù ììõ

ú ûüýþùò ï óô ÿçä �æö åììð

ø ï åç ïõ æïÿ� ���

æç é æï óô ÿçä �æ

ïæïæÿì�ò

ÿì

ø ï åç ïõ æïÿ� � �

æç é æï óô ÿçä �æ

� ���

ÿìÿìÿì�ò

ÿì

ø ä �õ äô å ä� ���

æç é æï óô ÿçä �æ

� ����

ÿìÿìïæ�ò

ïæ

ø � ì å�ï å

� ���

æç é æï óô ÿçä �æ

ïæÿìÿìè òþÿì

ú ì�õ ä ì

� � ��

÷åì �ïç ÷ïæìéÿ ÿïææ� ���

ò ÷ï�' ô åï

ïæÿìÿìï ó� ïÿì

ú ìë ïÿ

� � ��

æç é æï óô ÿçä �æ

è ú û�

ïæÿìÿìï ó� ïÿì

� ïô ÿ

� � �

æç é æï óô ÿçä �æ

ö!ò

ïæÿìÿìï ó� ïïæ

� ï ÿÿ

� ���

ïæ÷åì �ï�ìÿ �ï åç ï å�ì ååï�ç� ���

ú ì �

ÿìÿìÿì�ò

ïæ

ã ì ÿ�

� ���

æç é æï óô ÿçä �æ

ïæÿìÿìý� û

ÿì

ã åï éÿ

� ���

æç é æï óô ÿçä �æ

� ��� �� ����

ÿìïæÿì�ò

ÿì

ã åï éÿ

� �� �� �

æç é æï óô ÿçä �æ

� ����

ÿìïæÿì�ò

ïæ

� ìõ� ï å�� ���

÷åì �ïç ÷ïæìéÿ ÿïææ

ò ÷ï�' ô åï

ïæÿìÿìï ó� ïÿì

ýô�äô

� ���

æç é æï óô ÿçä �æ

� ����

ÿìïæÿì�ò

ïæ

ýô�äô

� ��� ��� ��

æç é æï óô ÿçä �æ

� ����

ïæÿìÿì�ò

ïæ

ýô åç ïõ

� ���

ïææç é æï óô ÿçä �æ

ûüù�ò

ïæÿìÿì�ò

ÿì

ï ÿæï ÿ

� � �

æç é æï óô ÿçä �æ

ïæÿìÿì�ò

ÿì

ì ÿïæ

� � ��

÷åì �ïç ÷ïæìéÿ ÿïææ

ýôæ� ïõõ

ÿìïæÿìúò

ÿì

"õ ïä ÿ

� � ��

ïæ÷åì �ïç ÷ïæìéÿ ÿïææ� ����

� æô� ïõõ ï

ÿìÿìÿì�ò

ïæ

û ô ÿïç

� �� �

ïæ÷åì �ï�ìÿ �ï åç ï å�ì ååï�ç� �� �

è ç ïõ äï åøÿìÿìÿìï ó� ïïæ

þ ìì åï

� ����

�ï åä� �ôçä ì ÿ

� � ��

è ú û�

ÿìÿìÿìï ó� ïïæ

� �úôõõ ôë ô ÿ� ����

æç é æï óô ÿçä �æ

� ����

ÿìïæÿìúò

ÿì

öìæï��ô� ���

ïæ÷åì �ïç ÷ïæìéÿ ÿïææ� ���

ò þ!

ÿìïæÿìç ììõ

ïæ

öéæ�ë

� ����

÷åì �ïç ÷ïæìéÿ ÿïææ� �� �

� æô� ïõõ ï# ý� ûïæÿìÿì�ò

ïæ

öéæ�ë

� �� ��

÷åì �ïç ÷ïæìéÿ ÿïææ� ����

� æô� ïõõ ï# ý� ûïæÿìÿì�ò

ïæ

� ä ô ÿ

� �� �

÷åì �ïç ÷ïæìéÿ ÿïææ

ÿìïæÿì�ò

ÿì

� ä ô ÿ

� ����

÷åì �ïç ÷ïæìéÿ ÿïææ

ïæÿìÿì�ò

ïæ

î ï �éïç

� ����

ïæ÷åì �ïç ÷ïæìéÿ ÿïææ� ����

è ç ïõ äï åøÿìïæÿì�ò

ïæ

î ìæï

� ����

ïæ÷åì �ïç ÷ïæìéÿ ÿïææ� ����

ÿìÿìÿì�ò

ïæ

ò ç ôç ô

� ��� �����

æç é æï óô ÿçä �æ

ÿìïæÿì�ò

ïæ

ò ç ï ÷ë ï ÿæì ÿ� ����

æç é æï óô ÿçä �æ

ïæïæÿì�ò

ÿì

' ôõõô�ë� ����

æç é æï� éåä ç

ÿìÿìÿìý� û

ïæ

� ïõõô ÿ

� ����

÷åì �ïç ÷ïæìéÿ ÿïææ

ýôæ� ïõõ

ïæïæÿìúò

ïæ

���C�{�vn±}¯���¶@% �����{�N�����Nn�(�º{�Np3�<nL�NnL����~znLn ���C�{�vn�¸

¹C¹

Page 12: Formalising the Safety of Java, the Java Virtual and Java Card

� FHG�IKJf� ¿ Ï j À Á'Ã7j,Á I�*y{n��C¶C% �v�C�{�C�����Cn£w*�C~'~��.n��Lt¥­.�L���v�v�Ä�}nZ~�tv�C��n��Vxz�o�-�C����t��vn�C�Ds^�¤�{pr�C�Cp�����~������'��nZ��p�~¢�u�{��nLpr�C��~T~zt���tv����prt�xztvnL~.w�t�xzy��C�Ds^�{¯t�x�t�~����~z���C� & n���xz�A�Npztvn��Nxrn��0�C���V~z�{�{�.�Cpzxr~����N���^���CnZ~-�·xry{prn��C��~�����"�}�u������t����v�N�C�{t����{� �*y{no�C¶C% �v�C�{�C�����Cn0�}t�¡YnLp�~���pr�C��C�Ds^�{��º{�Np)n-|{�C���{�vn'xry{n&�C¶C% y��N~)�0�{�Cxztv�C�o���P~z�{�{pr�C�}xrtv�{n�����It�x �{�FnZ~��{��x y��DsNn��{�{tv��x��»tv�Ätv�{�{n�p��L�v�N~z~zn�~L��°¤�{nqxz��xzy{n�tvp�}t�¡.n�pzn����-nZ~-�Zxzy�n*�N�Ds^�*�v�C�{�C�����CnJ�C���xry{n$�C¶C% �v�C�{�C�����Cn¢y��DsNn�}t�¡.n�pzn��Fx'�C��~�n�pzs^������n���pz�N��n�p�xrt�nZ~�$~�����yÏ�Ä�{y{n��{�C��n��{�C� w$�N~�}n�~r�-prtv��nZ� �u�V'P���N�}t^/ ±�1é�Nw�y{�¤�N��~znLprsCn�~�xzy��^x¢xzy{n*�-�N���{tv���^xztv�N��{pr�u�Ln�~r~ ����xry{n��N�Ds^�0�����{�N�����Nn£tv~��{��x'���{�v�v�V����~�xrpr�N��xL� ¼é§un�n§un��-xztv�C��«}�v¹��Ù½' �-pr���-t�����pz�N��n�C�Txry{nq�C¶C%5t�~*xr��nL��~��{prn xry��^x��u�Fxzn'�-�}�}n�~

�}���{�Cx&�-�Npzpr�{�}x�t�xr~�t��FxrnLpr�����P~�xr��xznI�C���Î�vn��C� xz� �{���}nZ~�tvprn����n�y��Dsutv�C�{p��7���u�{t��L�C���v�0�u�Fxzn��-�}�}n��{pr�C�Npr�C��~��prn��Cn��{nLp��^xrn���u�I�-�N���{tv��n�pr~L�Y�{�}x)xry{nL�V���D�Ä����~��&��n�w�prt�x�xrnL�o�F�Vy������Y���Np�-�Npzpr�{�}xrn��Î�}�{prtv�{���{n-x�w$�Cpr� xrpr�C��~z��tv~r~zt��N�·�"�*y{n�pznL���Cprn��*xzy{n��¶@% ��~�nZ~��'�u�Fxzn)�L�}�}nsCnLprt�­�nLp�xzy��^xP�.nLpz���Cpr��~$�q�u�{�q��n�p*����-�N��~�t�~�xzn����-����y{nZ���}~��.n-���NpznnL|unZ�-�}xrtv�{�qxzy{n)�L�u�{n��'¤~�tv��xzy{n)��pzn�sFtv�N��~*~�nZ��xztv�N�&�N�0�N�Ds^�}�{xry{n��L�{pzprnL�FxP~zn���xrtv�C�

�C�qxzy�n���¶@% t�~k~�xzpr����xr�{prn��'xz� y{tv�Ny{�vt��NyFx�xzy�n��{�^sCn��{�C~z��nZ��xr~J���xzy{n��C¶C% �����{�N�����Nn�¯¢�u�Nxrn �-�}�}n sCn�pzt�­����^xrt��N���������-���N~z~$�v�N�N�u�tv�{�{�Tmon��.nL�Ctv��w�t�xzy&�)�{prtvn-�<��nL�Fxrt��N�£�������C��n�pr~�xzy��^x���n�pzn��v��{prn�~znL�Fx��&~�n������Fxzt��L~*�C���&�C¶C% ~��{��~�nLxL��mon£�-�N���-�v���}n�w�t¥xry�Ä�}t�~r�-��~r~�tv�N�o�C������xzn�pz���^xztvsNn'prnL�{prn�~znL�Fx��^xztv�N��~���P�u�Fxzn��-�}�}n�~�C~J�)���CxznL�Fxrtv�C�{tv���{pr�^sCnL��n��Fx�xr� xzy{n���¶@%,���������-�C���-�v��~zt��N�·����C�{�vn�¸£~z�{������prt�~�nZ~kxry{n �vt¥xrnLp��^xr�{pzn��C��xzy{n��C¶C%

¸�QSR l�rpa�[]±²[chjUXW²_.i�kMbÆ$nLpzxznL��~znL�Å/¥¹!8{��±�=?1A�������ΧFxzn��{y{n���~��N�Ô/ ¹Z«F¬B1��Nt�sNn&�C�Ï�N��n�pr���xztv�C�����{~znL�����Fxrtv��~T���<� ~�����~�nLx����Yxry{n¤�C¶C%ª��'Ð�}n-x���tv�vn��q~��.n��Lt��­��L��xztv�C� �C����~z�{��~zn-x¢���}xry{n*�C¶C% ¼�n-|{�L�����}tv�{�P�q�{��xzt��éxry{prn��C�{t���������`�F��pr�����Nn��-�C�v�vn��-xztv�C�<����}xVtv���L�����}tv�{�2�-���C~r~7�v�N�C�{t����F½&t�~�CtvsCn����u� ©��Ny{nL� / ³F¸?1é��º�tv~q~z��nZ�-t�­��L��xztv�C��t�~��v�Cpz�Nn��{�}x£n-|}n-��-�}x����{�vn0¼���~�tv�{�â'�©²��±N½��Tw�y{t���yV���C�Cn�~�t�x)prnL���^xrt�sNnL�v��n��C~z�0xr�s^���vt��{�^xrn�� ©��Ny{nL�^ ~�~znL���C�Fxzt��L~��L�C���{prt�~�nZ~'nL|}�{�vtv�Lt�xqpr�{�Fxztv��n��y{n����}~Jxz���N~z~z�{prn�x��u��nL�»~r�^��nPnL|}n��-�{xztv�C���C�<�F�Fxrn¤�-�}�}nZ~Jtv��~�xznZ�C�����prn�ÓF�{tvprtv�{���&��tv�{�F�Axztv��n �u�Fxzn£�-�}�}n£sCn�pzt�­����^xztv�N�·�)�*y{n'���{p�����F~�n�C�TnZ�C��y��C��xry{n�~zn w$�Cpr�u~�t�~*�{�{prnL�v�£xz��~�xz���}��~znL�����Fxrtv��~-�

¸�QdP  of�_�[]l�r+s3[¢¡£[^a�i�¤@k�U`_.iSrOWÆ$�Nxrn��-�}�}n�sNnLprt¥­.�L�^xrtv�C�Ät�~ �}t�-��-�{��x���Cp)x�w��0prn��N~��N��~-��ºTtvp�~�x���u�Nxrn��-�}�}n�~T�C¡.n�p¢~r�-�N��n$���NpT�N�}xztv��t�~r�^xztv�N�·��w�y{t���y)y��C~Txzy�n�xrnL�}��}nL���-� xr� �}n�~�xzpr�^� tv�}���Npz����xztv�C�·�"§unZ�-�N���Y�*xzy{nIt��{���Cpr���^xztv�N��{n��Ln�~r~z�Cpz��xz����y�n�����-nLpzxr�Ctv����pz�N��n�p�xrt�nZ~Yt�~<����xrnL�)~z�{prn��C� �N�-pr�N~r~��~zn���xrtv�C�7���k�u�Fxzn��L�u�{n)tv��~�xrpz����xztv�N��~-�{w�y�nLprn��C~Pxzy{n'~z�C��n t��{����Cpr���^xrt��N��w��N�{�����.n ���Cprn¤prn��N�}tv�v�£�Ds^�Ct����C�{�vn�t��&xzy�n��Npztv�Nt�������C�Ds^�Ä~z�C��pr�Ln�~L� ©��N��~�t��}n�p ���Cpqn-|{�C���{�vn�xzy{n�tv�{t�xzt����vt�~r�^xztv���I���ºTt��N�{prnq¹ ��w$n)~�n�nxzy���x��C�{n��N�Ds^�qn-|}�{prn�~r~�tv�C���-�Npzprn�~z���N���{~$xr�5£~�n�����p��^xrn)��¶@%5t���~�xrpz���-xztv�C��~-�}w�y{t���y0�-�N�{���&n�sCn����.n)��t�|}n��w�t�xzy���xzy�nLp�tv��~�xzpr����xrt��N��~L�

�C�Ds^�q~�x��^xzn���nL�FxL¯� «�¬�§�È���� §�®-� � «�¬�§�È��V�����` b¡©��C���{tv�vn����C¶C%5�-�}�}nC¯

�g§�®6�£¢Z��¤>�.������� � «�¬�§.È�¥¦ ¯ ɧ�¨ ¬>¨�«�§��2È�©H�ª ¬>¨�«�§��2È�©M�« ¬�§?��«-��®��V��®�¨�¬ ���¬¢ ª ¤-h�®>È>©�«�¯ � «�¬!§�È­�B¬�§.È­�B¬�§�È` 6¥

º�tv�N�{pzn'¹�¯J�£�C�Ds^��~�xr��xzn���nL�Fx*�C����xry{nn�ÓF�{tvs^���vnL�Fx$�C¶C% �-�}�}n~�y{�^w�tv�{� y��^w2t��{���Cpr���^xztv�N��t�~�~r�L��x�xrnLprn��£�u���-�C����t�����xztv�C�'t��Fxr��F�Fxrn�L�}�}n�~ ¼é�-�C����t��vnZ���u��§u�{�Ä�N°¤® ¹��v¹��Ù±)�N�ħu�{�.ѧ)5u�²«N½��

�*y{n£�u�Fxzn��-�}�}n£sNnLprt¥­�nLp�y��C~�xz�7prn��LpznZ�^xzn�xzy{n�tv�}���Npz����xztv�C�xzy���xw*�C~��N���-nqpznZ�C�}tv�v�7�DsD�Ctv�v�C�{�vn tv�Äxzy�n��C�Ds^��~z�C��pr�Ln��q�*y�tv~pznL�»�}t�~r�-�^sNnLpr�����Ytv�}���Cpr���^xrtv�C� �-�N���{�vtv���^xrn�~·xry{n��u�Fxzn��-�}�}n*sCn�p��t¥­�nLp��^�C��� ���C�Cn�~�t�xT�}t�-��-�{��x�xz�~��.n��Lt¥���tv���¤�-�vn��Cp��������-�N���-t�~zn�Í�C~zy{tv�C��w�y��^x��u�Nxrn)�-�}�}nsCn�pzt�­����^xrt��N��t�~-�§Fx��^x��������g'P���C�}t�/ ¹Z«>5F��¹Z«C«?1¤w�n�pzn7xry{n0­�p�~�x�xr���{pr�C�.�N~zn

xzy{n���~zn&�C�Px��u�{tv�{�Äpr�{�vn�~�xz�ª�}n�~r�-prtv��n�xry{n��F�Fxrn��L�u�{n&sNnLprt¥­���L�^xrtv�C�o�{pz�}�Ln�~r~-�ħu����y�pr�{�vn�~)�Cpzn����Npzn£�{prn��Lt�~�nqxzy���� �7����x���{pr�C�J�����{�N�����Nnq�{n�~r�-prt��{xztv�C�o���*xzy�n�sCn�pzt�­�n�p¹/ ¹N¹L³?1$�C���ªn��N~�tvn�pxz�q�{���}n�pr~�xr�C���&�C����prn��N~��N�&�C���N�}x�xry����0§u�{�^ ~*prn-��n�pzn����-n�tv�£��{�vnL��nL�Fx��^xztv�N�·��§Fxr��xr���C���â'P���N�}t� ~Pt���t¥xrt����.�{�{�{�vt��L��xztv�C�o/ ¹Z«>5�1�-�C��~�t��}n�pznZ�)�~����C���F�{�}xJprnL��pznZ~�n��Nx��^xrt�sNn�~zn-xr~J�����u�Fxzn��L�u�{n�~�¼�8t���~�xrpz���-xztv�C��~P�C�{x�C���^sNnLp ±�= =F½��C���I�N�{�}prn�~r~�nZ�0xry{n£�{pz�N�{�vnL�����~��{��pz�N�}xztv�{nZ~-�Tw�y{t���yVw�tv�v�k��n�n-|}�{����tv�{nZ�Itv� §un��-xztv�C��5u�Ù±u�v¹���*y{nLtvpP�{pr�C�.�N~r���·w*�C~����C�v�v�^w�nZ�������7n-|uxzn����}n��7�u�7~�n�sCn�pr�C�����}�xzy{�Npr~L�;º�pzn��{���X����� %0t�xr��y{n����{/ «><21��~�nZ�2xry{no~r����nÄx��F��t������pr�C��nLw$�Cpr�Vxr��tv�FsNn�~�xztv�N��xzn�xry{nÄ�{pr�C����n�������C� & nZ��x�tv�{t�xzt��C��t��~z��xztv�C�·� �*y{n��·�¤º{prnL�����2�����4%Ät¥x���y{nL��/ ¬�=?1¤tv�Fxzn��Cp��^xrn�� tv�Î�~�tv�{�N��n��p�����n�w��Npz��xzy{n£y��C���}�vtv�{�����$~��{��pz�N�}xztv�{nZ~������Ä�C� & n���xt���t¥xrt����vt�~z��xztv���·�·�*y{n�~r����nP�C�}xzy{�Npr~k�C�N�Ct���/ « 8?1Y�C�{�}nZ�£�C� & nZ��x�~-��-���C~r~�nZ~-��t��FxrnLpz�Í�C�-nZ~-�*��prpr�D�}~L��n-|{�LnL�}xrt��N��~£�����Î�}�N�{�{�vn�x��u��nZ~-�"�~zt�����xzy{n£~r����n)�����{pz�F�C��y·��º��C�Ctv�N���C���Ä���C���Dw*�â/¥¹D¬�5u�T¹^¬^«?1���Cpr�����vt�~�nZ��xzy�nItv��~�xzpr����xrt��N�¢¬!§?��«6��®6��¬2ª�È>É����o�����2t�xr~�prnL�����xztv�C��~zy{tv�w�t�xzy)�}�u���C��tv�T�v�N�N�}tv�{�{��w�y{t���y w�n�~�xz���}�t��)�{n-xr�Ctv�Ctv�§un��-xztv�C�{5}� ¸{�¢�*y�n$�C�{�{pr�N�C��y�w$�N~�xry{nL�qn-|uxrnL���}nZ���u�)Æ$tv�C�vt���p��}t�����D���C�{nLsNnV/ ±C¸?1�xr����y{nZ���)xzy��^x����N�{t�xz�Cp�~TnL�Fxzn�pztv�{� �C���q��nZ�DsF�t����'tv��~�xzpr����xrtv�C��~�w�n�pzn�{pr�C�.nLpr�v���������C���-nZ�Y�¦ �&t¥x�~*~�tv���{�vn�~�xJsCn�pr~ztv�C�·�}§Fxr��xr�q������'P���N�}t� ~���p�����n�w��Npz�'tv~

���C~zn��£�N������Cpr�;���<�{�^x��2A��^wÎ�������v�}~�t�~k�����£��~�nZ~kx��u�.n & ���}�Nn-���nL�Fxr~Jxz��nL|}�{pznZ~z~kxzy{n�n-|}t�~�xrnL���Ln����<s^���vt��qtv��~�xrpz����xztv�N��~J�^x�xzy{n���}���^xztv�N�q�.�Ctv�FxznZ�£�u�'xry{n��{pz�N�Cp����Ü�-�C���NxrnLp��Nxry{n¤x��F�.n����<prnL���tv~�xzn�pr~�������~�xr�N���q�L�C�Fxzn��Fx�������xzy{n�x��F�.n¤�L�C������xztv�{tv�vt�x����C�·xzy{n�-�{prpzn��Fx�tv��~�xrpz����xztv�N�'w�t�xzy�t�x�~���pr�C����nL�Fxr~L�¢§u���L�-nZ~z~ztvsCn����C��n�pr~n-|uxzn�����xry{n�~zn & ���}�NnL��nL�Fx*w�t�xzy·�}n�� �{���{tv�}���Cpr���^xrtv�C�£pzn����^xznZ�£xz�~��{��pz�N�}xztv�{n��L���v��~'�Cpqxzy{n0tv�{t�xrtv�C�vtv~r�^xrt¥�N�I�C�¤�C� & n���x�~-�Чu�N�{���u��{n�~r~t�~n�~�xr������t�~zy{n��Ä�F�V~�y{�^w�tv�{�&xzy��^x)w$nL�v���éx��u�.n��0�{pr�C�Npr�C��~�C�{�v���Nn-x�~�xz�����&w�y{nL�0�{©���� È�t���~�xrpz���-xztv�C�&t�~*pznZ�C��y{nZ�Y�{w�y{t���y��n�����~kxzy��^x*�{pz�N�Cp�����~J�{���{�Cx*��x�xzn����}x$xz�q��n�p����Npz�Þ���u�£tv�v��nL�

¹Z±

Page 13: Formalising the Safety of Java, the Java Virtual and Java Card

�N�C�·�C�.nLp��^xztv�N�·�

'���xznLpr����xztvsCn �����{pz�F�C��y{nZ~$xz�����Npz���C�vtv~znPxry{n��u�Fxzn'�-�}�}n)sNnLpz�t�­��L��xztv�C�&�{pz�}�Ln�~r~�y��DsCn �.nLn��Ä�{pr�C�.�N~zn��Y�36��C���}�.nLpr�â/ ¬^³21A�Y�C���® t����$/ ¹?5�=�1��Ctv��xz� ��pz�^sNnÏx��u�.nÐ~��N�{���}��n�~r~����7xzy�nX��¶@%¼�tA� n��)xry{nq�L�CprpznZ��xr�{n�~r~��C�Jxzy�nq�u�Fxzn��L�u�{n'sNnLprt¥­�nLp�½$���Cp �&pzn��v���xztvsCn��v��~����C�v��~��{��~�nLx����uxzy�n$�C¶C%ª�Zn-|{�-�v���}tv�{�*�q�{��xzt��Axzy{prn��N�}tv�{�{��N�Cpz���C�Cn7�-�N���vnZ��xztv�N�·�$�L�v�N~z~£�v�F�C�}tv�{�Vn-xr��� �*y{nÄ����tv�Ïxz�u�C�¤t�~�7�{�^x��;A��^wÜ�C�����v�}~�t�~L�.w�y�tv��yon�~�xr�C�{�vt�~�y{nZ~¤�L�C��~�xzp���tv�Fxr~��x �C�v��{pr�C�Cp���� ���Ntv�Nx�~-�V§}�C�vsut����&xry{n��NnL�{n�pr��xznZ���-�C��~�xrpr�Ct��Fx�~�xzy{n��n�~�xr�C�{�vtv~zy{nZ~¢xzy{n �}nZ~�tvprn��£�{pr�C�.nLpzxztvnZ~��C�<xzy{n��{pr�C�Npr�C�7�F~z����y&�N~xzy{n��u�Fxzn�-�}�}n�sCnLprt�­��L��xztv�C���L�C���}t�xrt��N��~k�vt�~�xrn��£tv��§}n���xrtv�C�&±}� ¸{�¦ � � & �Ctv�Fx����C��n�p£©��N�C�vtv�{�`6��N�v�{��n�pz�Ä�C��� ® t����4/ ³u±�1*n-|uxzn����xzy{n�tvpT��pzn�sFtv�N��~Tw��Npz�xr�^w$�Cpr�{~¢���{pr�^s^���{�v� �-�Npzprn��-x¢tv���{�vn���nL�}�xr��xztv�C�����¢xzy�nLtvpP~��.n��Lt�­��L��xztv�C��~L�{��~ztv�{��§u��nZ��m���prn¹/ ¹Z«N±�1A���*y{t�~xz�u�C�)~z�{�{�.�Cpzxr~7prn-­��{nL��n��Nx0�C�q~z��nZ�-t�­��L��xztv�C��~�xr�^w$�Cpr�{~���tv~z�������©+*,*��;'�~ �Í��p)�C~w$n��u�{�^w�<xry{t�~tv~�xry{n��C�����0��pz�N���F~z�C�xz�)�}n�pztvsNn*���pz�^s^�������'�-�Cprprn���xktv���{�vnL��n��Fxr�^xrtv�C� ���k¼�����pzx����r½J���¶@%5tv���{�vnL��nL�Fx��^xztv�N�·� ® t�����/ ¹?5}¹�1Tpzn�sFt�~zt�xr~$�u�Nxrn��-�}�}n�sCnLprt��­��L��xztv�C�<�N��~ztv�{������y�����xrt��$­{|}n����.�Ctv�Fx�t�xzn�pr��xztv�C�qxznZ��y{�{t�ÓF�{n�xr��-�N���{�}xzn'���vn��N~�xPx��u�.n����Np¤���F�Fxrn'�-�}�}nq�{pr�C�Npr�C�7�P¦»��~�����yV�x��u��n nL|ut�~�xr~L�uxzy{n��&xry{n �u�Fxzn �-�}�}n t�~$w�n��v�Yx��F�.n��·�µ���~r��y /¥¹L³�<F� ¹�³>8?1 �C¡.n�pr~ ��� ����xrnLpr���^xrt�sNn,xr� ® t����M ²~

w��Npz��/¥¹�5 =?1A�{�F��~�x��^xrt����q�C������pz�^sutv�{�)x��u�.n)~��N�{���}��n�~r~��^x*xzy{n��¶@% �vn�sCnL�·��~�tv�{�q¦�~z�C��n��v��n^´2ºÑ@�7xz����nZ��y����{t�~znPxry{n �{pr�F�C�Í~-��*w$�)tv���}n���n����}n��Nx$���{�{pr�N�N��y{n�~Jpzn��N��p��q�u�Nxrn��-�}�}n¤sCn�pzt�­����^�

xztv�C��C~<n�ÓF�{tvs^���vnL�Fx.xz�*x��u�{tv�{���+º��N~��NnL�v�^�{pr�C�Cp����7���C�C�{nZ~p/ ¹�=N±�1���}�}nL��~*tv���}tvsut��}�����·�u�Fxzn'�-�}�}n�tv��~�xzpr���-xztv�C��~L���C����xzy{n�tvp¤�-�N�£����F~�t�xrt��N��~L���C~£���{��pz�N�{pzt���xznL�v�Vx��u��nZ� ���{����xztv�N��~£tv� xzy�n7���{�����xztv�C���������C�{�C���C�CnVº¤�C~z�CnL�v�A���*y{t�~��C�v���^wP~*y�t��Òxr�&�}nZ~z�Lpztv�.n xzy{n�{pr�u�Ln�~r~P�C�J�F�Fxrn'�-�}�}n'sCn�pzt�­����^xztv�N���N~���x��u�.n'tv�}��n�pzn����-n)xzy���x�C���Cpr�C�FxznLnZ~qxzy���x�xry{nInL|unZ�-�}xrtv�C�Î���)sNnLprt¥­�n��Ï�{pz�N�Cp�����~£w�tv�v��{��xâµ��C�Iw�pz�N�{�>¶{�âº�n��{prn�~znL�Fx�~)y{t�~x��u�.n&~z�u~�xzn�� �N~��I�CnL�{�nLp����Y��p�����n�w��Npz�q���CpP���^xr���dA��^wX�������v�}~�t�~L�T¦ �0�'­�p�~�xPtv��~�xr�C���-nC��u�Nxrn��L�u�{n�~¢��prn��}nL­��{n��q�C~����{���-xztv�C��~����C�{�{tv�{�P����p�����n$�������~�x��C���¤�C�Fxz�P�*��p�����nJ�C��� �P~�xr�N�����`ºPnkxry{nL�)nL|uxznL���{~·xry{n����}�}n��xz�q~��{�����Np�x$�'�{��xrt¥�»w$�Cp���s^���v�{nZ~�~z����y��N~��v�C��� xzy���x$�Cpzn�~�xr�Cprn��tv�0x�w���tv�Fxr~L���*y{n'�vtv��t�xr��xztv�C��~$�C�Jxzy{n£tv�{t�xzt��C�·��pr�C��nLw$�Cpr�&�.n-��-�N��n¢�L�vn���p·w�y�nL�)¦z´NÑ��Ln-|{�-n��}xztv�N��~·������q�}x����{�vnk~�x��^xrn�~�y��C�{�����n����Cpr�����vt�~�nZ�Y¯��C�C�{nZ~Jprn��}nL­��{n�~�y{t�~J�u�Fxzn��-�}�}n�~�~��)xzy���x�xry{nL�y��DsCn��qpznL��nLprnL���Ln�xr�q�q���C���C�Y�kºTt������v�v���u�C�C��n�~*~��Nn-x���y{n�~�y{�^w�Cn��{nLp����·nL¡.nZ��xr~P�C�0�C� & n���x�~�tv��xry{n)y{nZ���7���D���.n ���Cpr�����vt�~zn��Y�'��u�{�q��n�p<���{ÓF�{n�~�xztv�N��~·�{n�n���xz����n$�C�{�}prn�~r~zn��Y��¦ �xry{nJ��p�����nL�w��Npz�.�D­�n��v��~��C�{��pr�C��n�~T��prn����C��n��)�C�����L�}�}n�~Tprn-��nLp�xz�����C��n�~L�§u�{�{�.�Cpzxztv�{��tv��~�xzpr���-xztv�C��~.xry��^xTpznL��nLp·xr��­�n��v�tv���{n-|}n�~<�N~<tv��xzy{npznZ�����C¶C% tv~)�{��xq�C�usut��N��~�.n��L�C��~zn����v�k­�n����{~ w$�C�{���o��n��}n-��{��xrn�� �u��µ�t��Fx�~�¶{��º�tv���C�v���C�D�C�C�{nZ~�y��C~��C�{�v��t��usNn�~�xztv�N��xzn�������nLwtv��~�xrpz����xztv�N��~-�<¦»x¢t�~�����xk~�xrpr�Ct��NyFx����Cprw*��p��Pxry��^xTxzy{t�~���pr�C��nLw$�Cpr�w�tv���·~z�{�{�.�Cpzx*xzy{n w�y{�N�vn�C¶C% tv��~�xzpr����xrt��N��~zn-xL�ÓJn��v�v�C���]/¥¹!8�¹�1��{prn�~znL�Fxr~0�2�L�C�Fxztv�u����xztv�C�Ð~znL���C�Nxrt��L~����£�

~����C�v�Y~z�{��~zn-xP�C�¢xzy{n��C¶C%:¼�xzy{n|¯·¶@%I½*��~ztv�{�qxzy{n)���{����xrtv�C���C��{pr�C�Cp�������tv�{�'�����{�N�����Nn7º¤�C~z�Cn����A�#"¤~�tv�{�&���C���N�{~V/¥¹!<C¸21¢�C���N �n��'�� ²~In����-�}�}tv�{�\���0~���� x��u�{tv�{�`tv�jº¤�C~z�CnL�v�� ²~Äx��u�.nÐ~��}~��xzn�� /¥¹�5�¸21�¼�º¤�C~z�CnL�v�<�}�unZ~��{��x�~z�{�{�.�Cpzx�~z�{��x��F��t����F½���ÓJnL�v�������

tv~k�C�{�vn$xz� ��~zn�xzy�n3º��C~z�Cn��v�ux��F�.nP��y{nZ���CnLpJ�N~J�(·Ù�F�FxrnP�-�}�}n�sCn�p��t¥­�nLp! ¥�*�*y{n)nL���-�}�}tv�{�£t�~�pr��xzy{n�pPtv�{n-��Lt�n��FxL���C~Pt¥x¤pznZÓN��t�prn�~*�C�° �éxr�{�{�vnq�N~ ��pzn��{pznZ~�n��Fxr�^xrtv�C�Ä�C�$�7�-���C~r~L�<w�y{nL�Vxzy{n�pzn��Cpzn£tv�xz��x���� ° � �-���C~r~zn�~��{n-­��{nZ�Y�¹ºP�^w$nLsNnLp���~�tv�{�����{�{prn'��������xrt��N������v�C�{�C�����Cn��N~ xry{n&����xr��xztv�C������sNnLy{t��L��n��{�FnZ~��NtvsCn��V�-�C���.�N~zt��xztv�C���C�k��p�����nLw$�Cpr�.�����v�v�^w�tv�{�&~z�.n��-t�­����^xrt��N��~��������{pzxzy�nLp��u�Fxzn�-�}�}n�~$xr�£��n)�N�{�}n��7�N~��q�L�C��~znLprs^�^xrt�sNn�nL|FxrnL��~ztv�C�·�±�Ö:9�Ö�× ÜcÞK²BG2Ý�ÞU³5Cdß:Û�á'$x�xzy�n��C¶C% �vnLsNnL�A�CnL|}�LnL�}xrtv�C��y��C���}�vnLp�~J��prnPtv���{�vnL��n��Fxzn��q�C~~��{��pz�N�}xztv�{nZ~-�&�*y�tv~�xrn���y{��tvÓF�{n�~r�DsCnZ~�-�}�}n�~z���C�Ln��k�C~ nL|}�LnL�}�xztv�C��~Ppr�Ctv~zn��&��pr�C� �}t�¡YnLprnL�Fx��{���C�Ln�~����D��xzp�����~���nLp��-�N�Nxrpz�N�·xz�xzy{n�~r����nqn-|{�-n��}xztv�C�Vy������}�vnLp �-�}�}nC�Dº��^w�n�sCnLp��Yxzy{t�~�N�}xztv��t��~z��xztv�C�0t�~¤�{pz�N�{�vnL����xzt�����CxzyV���Cp¤xzy{n£�u�Fxzn£�-�}�}nqsCn�pzt�­�n�p¤��������Cp*xzy�n �N��pr���C�Cn¤�L�C�v�vn��-xz�Cp���*y{nq­�p�~�x��{pr�C����n�� w�t�xzyV~z�{�{pr�C�{xztv�{n�~¤��~zn��I���Cpn-|{�LnL�}xrt��N�

y������{��tv�{�'t�~$xzy���x��'�v�}�L�C�YsD�Cpzt��C�{�vnPxzy��^xPt�~$�{��x��N��xz�����v�v�q��~�nZ�t��ª�0~z�{�{pr�C�}xrt���nq���D�I��n��.�C�v�u���Cpr�{y{t����£���Ätv�v����~�xrpr��xzn)xry{t�~-��-�C��~�t��}n�p¤xry{n�n-|{�C���{�vn'�C�*ºTtv�C�{prn�±��Cprt��Ntv���^xrt����£��pz�N� §Fx��^xr������q'P���N�}t� ~'�����.nLpâ/¥¹�«�5!1d�*xzy�nLtvp'�u�Fxzn7�-�}�}n�t�~'~z�vtv�CyFxz�v�V�{t¥�����nLprnL�FxL�.�{pz�N�����������.n�������~zn)�C�T�N�{pP��~ztv�{���£���CprnpznZ�-nL�Fx¤�N�Ds^��-�C����t��vn�pL�X�*y�nÄ��n-xry{�}�qÇ��>ªÏ��~�nZ~�­�sNn0�v�u���^xrt��N��~qxz�Ï~�xr�Cprn���}�����Ys^��prtv�C�{�vn�~L¯�v�}�L�C� x��u��n ���{pz�.�N~zn

= pznL� xr� prn-��nLpÐxz�;xzy�n �-�{prprnL�FxÐ�C� & nZ��xÈ>©M¬��¹ ¬�§.È xr�)prnL�{prn�~znL�Fx¢xzy{n(¬�§.È'��pr�C�{��n��Nxk�C�

xry{n ��n-xry{�}�0Ç��>ª± ¬�§.È xr� ~z�DsNn xzy�n ¬�§�È`x��u��nÎprn�~z�{��xV�C�È>©M¬��d�´�.«�«d�5 ¸ pznL� xr��~z�DsNn�xry{n n-|{�-n��}xztv�N�&prn-��n�pzn����-n³ �C�{�{pznZ~z~ xr��~r�DsCn�xzy{n'�C�{�}prn�~r~*xr��w�y{t���y�xzy{n

~z�{�{pr�C�{xztv�{n��^x��N�{�}prn�~r~�±N¬�~zy{�N�{���prn-xr�{pr�·�

¨��C��y�v�u�����^t�~<�L�C��~zt�~�xrnL�Fxz�v����~zn��w�t�xzy�N�{�v���C��nkx��u��nC�`ºP�^w*�nLsCn�pL�}t�x�t�~��.�N~r~zt�����nPxz�£�C�}xrtv��tv~zn�xry{n)�-�}�}n�xz�£��~zn���nLw$nLp*�v�}�L���sD�Cpzt��C�{�vn�~L��º{�Np�n-|{�C���{�vn�w�n��-�C���v�£prnL��~�n¤���}������± xz�'~�xz�Npzn�xzy{npznLxz�{pr�Ä�C�{�{pznZ~z~P��x�~�xr��xznL��n��Fx¤±}¹��Y�����0xz��prnL�v�N�N��xry{n�prn-xr�{pr��C�{�}prn�~r~����N�Ctv�0��pz�N� �v�u�����k±���x~�xr��xzn���nL�Fx ±>5u���N~¤tv���{tv���^xrn��t����L�C����nL�Fx�~ tv�Vxry{n��C¶C%��-�}�}n��C��ºTtv�C��pzn�±}�I�*y{t�~ w��N�{���pzn����^sCnkxry{n��{nLnZ�'���Cp¢�v�u�����}¸}�TmÐy{tv�vn�sNnLprt����Ftv�{�Pxzy{n��u�Fxzn��-�}�}n���{xry{n�~��{��pz�N�}xztv�{n$�^xk�C�{�}prn�~r~k±N¬u�Zxry{n*sCn�pzt�­�n�p��q��~�x¢�{�^w�x����Nnt��Fxr���C���-�C���Nx�xzy���x$�v�}�L�C�.± ���D�'nLt�xzy�nLp$y��DsCn�x��u�.nV¬�§�È�¼Íw�y{nL�xzy{n��L�C�v�F�Npztv�Nt����^xznZ~Y��pr�C� ¹�=N½����NpTxzy���xJ���}�����}±����D��.n��¤prn-��n�p��nL���Ln¤¼�w�y�nL�'xzy{n*�L�C���N�Cprtv�Ctv���^xrn�~.��pr�C� ±N±C½��¢�*y{t�~<�N�}xztv��t�~z��xztv�C�tv~*~r�^��n �.n�������~zn���}�����<±qt�~�����x��C�-xz���C�v���£��~zn���tv�&xzy{n)~z�{�{pr�C�}�xztv�{n��¢mªn�~r�D�£xzy��^x*���}�����·±)t�~$���.�C�v�u���Cpr�{y{t��*s^��prt����{�vn�����xzy{n~��{��pz�N�}xztv�{nC��*y{nÄ~zn��L�C���Ï�.��xzn��Fxzt������{pr�C����n���w�t�xzyÐ��¶@% ~��{��pz�N�}xztv�{nZ~

tv~Pxzy���x�xry{nJg��2ªª¼é�C�{���I~z�{�{pr�C�}xrt���nZ½��C���âª�®>Èo¼ÍpznLxz�{pr�0��pr�C�~��{��pz�N�}xztv�{nD½Jtv��~�xzpr����xrtv�C�����Ctvp*�{�FnZ~*�{��xP��~�n �£~�x��C����xr��~�xr�CprnpznLxz�{pr�2�C�{�}prn�~r~zn�~£�{�}x&t���~�xrn��C� ~�xz�Cprn�~��ªprn-xr�{pr�Î�N�{�}prn�~r~�tv��&�v�}�L�C�ks^��prtv�C�{�vn���§Fxr��xr�0�����o'����C�{tkxr�C�Cn��0~��.n��Lt����k�L�Cpznqxz�nL��~z�{prn¤xry��^x�xry{nVª�®>È�tv��~�xrpz����xztv�N��prn-xz��pz��~��L�C�Fxzpr�C�Yxr�£xzy{n tv�}�

¹�¸

Page 14: Formalising the Safety of Java, the Java Virtual and Java Card

�C�Ds^��%0n-xry{�}�Y¯¬�§.È4Ç��>ª­�B¬�§.È ¬[ ¶µÈ�ª�¦£µ¬��·�B¬-�§� ¦  �ª�®>È É�ª>§ È>©M¬��B�¸�.«�«d�8 b¡¹ ��¬�§������ ¦ºµÈ ©M¬��d������¯�¬�¯.�B�5 b¡¹ª�®>È>É.ª>§m¬K¡

¹©��C���{tv�vn����C¶C%5�L�u�{n�¯h�® È>©�«�¯¢¬�§.È4Ç��>ª­�B¬�§.ÈZ 

�Ô¬ ��«���¯[©H��4¬>¨�«�§M�?È�© ¦» ¬-�?©�¬>¨5¼?��§�®½� ªª ����«���¯[©M�« ¬�§?��«6��®M��¬2ª�È É����¬¢ ¨ ¤�h�®>È>©�«>¯ ¬�§�È£�.«�«d�8 6¥¾ ¬��2È�«>ª.®[© »���£g��2ª »§¿� ¦ ¬ ��«���¯[© »� ¨ ¬2ª�®>È>É.ª>§� ª g��2ª »§¿��ÀÁ��«>È�« ¦ ª

¨k|{�-n��}xztv�N��y��C���}�vnLp» �q���2È�«>ª.®[© ¦»§» g��2ª »§¿» ª ����«���¯[© ¦»§« �>È>©�ª�«-�

�*y{nÂ��¬!§������>¦q�����}���»§¿ ���2È�«>ª.® ¨»§¾ ����«���¯[©M�¦ �Ô¬�§?��«6��®M��¬2ª�È É����¬¢ ª ¤�h�®>È>©�«>¯���«�¬�¯Å���>¯�¬�¯.�d�8 6¥¦§¦ ª�®>È ¨

N�n-xr�{pr�7~�xr��xzn���nL�Fx*��x�xzy{n n����&���Txzy{n ��nLxzy{�}�¹Ç��>ª.�¦ ª ¬ ��«���¯[©H�¦§« ¬2ª�®>È>É.ª>§

ºTt��N�{prn£±}¯(' �C�Ds^�&��n-xry{�}�o�C���Vxzy{n�nZÓF�{tvsD�C�vnL�Fx �C¶C% �L�u�{n~�y��^w�t�����y��^wÎ~z�{�{pr�C�{xztv�{n�~���prnP��~zn��£xr��~����C�-n¤�-�}�}n�~z���C�Ln����Cpn-|{�-n��}xztv�N��~¼Í�-�N���{tv�vn����u�&§u���0�N°�® ¹��v¹��Ù±'�C�0§u�{�.ѧ�5}� «F½��

~�xrpz���-xztv�C�����C�v�v�^w�tv�{��xzy�nP���C~�x¢nL|}n��-�{xzn��fg��2ª)tv��~�xzpr����xrt��N�·���*y{n��¶@% y{�^w$nLsNnLp&~z�{�{�.�Cpzxr~�prn-xr�{pz��~��C���'���¥xrtv�{�vnÄ~��{��pz�N�}xztv�{nZ~w�t¥xry)��~�tv�{�N�vn`ª�®>È�tv��~�xzpr���-xztv�C�·�D������xry{t�~·�Í�N�-tv�vt¥x���t�~Y���Npz���C�vtv~zn���F�&º{prnL�{���7�C����%Ät¥x���y{nL�O/²¬2=21é�©��N���-n�pz�{nZ�Î���.�C�}x�xry{nÄ�u�FxznI�L�u�{n0sCnLprt�­��L��xztv�C� �-�N���{�vn-|u�

t¥x��C�º�pzn��{���H/ «F¬!1'~zy{�^wP~�xry��^xÄnL|u�������}tv�{� �C�{xI~��{��pz�N�}xztv�{nZ~t����-prn��C~zn�~£�L�u�{nI~�tv��n0�F� ���.�C�}x)=}�í=N±>»5���Cp�xry{nIw�y��C�vnÄ�C°�®¹��v¹�� 5u���*y{t�~P~z�{�C�Nn�~�xr~$xry��^x�xry{n)�.nL�{nL­{xr~����¢y��Dsut����'�.�C�v�u���Cpz��{y{t��&~z�{�{pr�C�{xztv�{n�~q���D�ª�{�Cx��L�C���.nL��~r�^xrn����Np£xzy{n7tv���LpznZ�C~zn���-�C������nL|}t¥x��C�º¤���Ctv�F���C�������C�Z�Dw$�����N���v�^w ���}t�¡YnLprnL�Fx������{pz�F�C��yqxz�q�-�N�£�

���^x�xzy{n��-�C������nL|}t¥x�� tv��xry{n���pz�u���Í~��u�q��pz�N���F~�tv�{� �)��nLwÎx��u��n~��}~�xznL� ���Cp*�u�Nxrn �-�}�}n�~L�J�*y{nL�&~�y{�^w"xzy���x*xzy{n �-�N���{�vn-|}t�x��'�C�xzy{n �{pr�u���T����x��u�.n)~��N�{���}��n�~r~*tv~*~ztv�C�{t�­������Fxz�v�qpznZ�}���-nZ��/ <N±?1é�Ñ( ©$���v����y��C�7�{pz�^sut��}nZ~P�CnLx�C�{��xry{nLp~z�C�v�}xztv�N�7xz�&xzy{n£�{pr�C�}�

��n�� �u�Ü��~�tv�{� � �.�C�v�u���Cpr�{y{t�� x��F�.n"~z�}~�xrnL� ���Cp ~z�{�{pr�C�}�xztv�{n�~{/ ¹Z¸C«?1A���*y�tv~��CtvsCnZ~P��~�xzprt���xz�v�&���Cprn ���^w$nLpz���{��x��F�.n'~z�}~��xznL�5xry���� xzy���xq�C��xzy{n���xry{nLp'�{pz�N���F~z�C��~ pznL��nLprpznZ�oxz�o���.�^sCn��"P�}���Np�xr�{���^xrnL�v���Y��~ztv�{�£xzy{nq�.�C�v�u���Cpr�{y{t�~��;����p�xry{nLp�tv���-prn��N~�nZ~xzy{n)�L�C���{�vn-|}t�x��q����xry{n �u�Fxzn)�-�}�}nsNnLprt¥­�nLp��§u���{pz�N�}xztv�{n&���N�v�F���Npz��y{t�~�� tv~£�C�v~z�I�V�{pr�C�{�vnL� ���Np'x��u�.n-�

�{pznZ�-t�~zn&�F��pr�����Nn&�-�N�v��nZ��xrt��N� / «21é�*��nZ�L�C��~�n�xry{n7x��u��n0�C�¤�v�}�L���sD�Cpzt��C�{�vn�~�xry��^x��Cpzn£��~zn�tv�o���.�C�v�u���Cpr�{y{t���Í�N~�y{tv�N�V�}n���n����{~�C�ªxzy�n��L�C����~�t�xzn��C�*xzy{n�~��{��pz�N�}xztv�{nC�7�*y{n�pznL���Cprn��¢tv��~�xrn��N�V�C�xzy{n�x��F�.n�~������C�������}�����Js^��prt����{�vnZ~��n�t����I�}nL�.nL���}nL�Fx'�N�{�v�I�N�xzy{n��L�{prpzn��NxP~�xr��xzn ���¢xry{n)n-|}nZ�-�}xrt��N�·�{�{�^wXxzy{n)x��F�.n)�}n���n����{~�C�&xzy{n y{t�~�xz�Npz���C��xzy�n n-|}n��L�}xztv�C�<��*y{n��N�Ds^�����C�{�C���C�Cn¤�{pz�^sut��}nZ~Jx�w$�£��n�����~�xr��n-|}�{prn�~r~*~��u�}�

��y{pz�N�{tv����xztv�C��~L�-xry{pz�N�{�Cy'~��u����y{pr�C��t���n�����n-xry{�}� �����'~��u����y�pz�C��{tv�Ln�� ~�xr�^xrnL��n��Nx�~-�\Æ�� xzy{n�tvp�~��u�Fxr�N��xzt�������xz�{prn�xzy{nZ~�nI�L�C�}�~�xrpz���-xr~$��prn����C�������Ln��Y�Fw�t¥xry��-�vnZ��pr���q~��.n��Lt�­�n����.nL�Ntv�{�{tv�{�)�����nL���Y���*y�n �C¶C% �����{�N�����Nn�tv���{�vnL��n��Fxr~J~z�u����y{pr�C�{tv�LnZ���{�v�}���}~w�t¥xry xry{nÎt���~�xrpz���-xztv�C��~ü�«�§�¬2È�«>ª�®2§�È�®>ªÐ�����½¼�«2§M¬2È�«>ª.®MÄ�¬2È�����'t�~¢pznZÓN��t�prn�� xz�n-|}t�xJ�¤���N�{t�xz�NpT��xTxry{n�nL���'�C��xry{n���n-xry{�}�t��usN�u���^xrt��N�Pt�x<w$�N~YnL�Fxzn�pznZ�Y�Dw�y{n-xry{nLpT�-�C������nLxztv�C��tv~Y���Cpr�����^�Cp���{pr�{�}xV/¥¹C¹L³�1é��Æ$tv�C�vt���p��}t��C�������C�{nLsNn�/ ±�¸�1<n-|uxzn����0§Fxr��xr�������'P���N�}t,/ ¹Z«>5�1P�����Ϻ�pzn��{��� �C����%Ät¥x���y{nL�v�7/ «><?1�x��u�{tv�{�I��nLxzy}��u��~�xz��xzy{�F~�nq�u�Fxzn��-�}�}nZ~-���C���V�{pz�^sNn�xry��^x �{pr�C�Npr�C�Òx��F��t����t�������tvnZ~kxzy�n �{pz�N��n�p*pzn���nZ�C~zn��C�T���N�{t�xz�Cp�~L�

¸�Qd� egf+W#UXhji�kmlonSUpb�bqTVrOUps#[Ma�*y{t�~P~�nZ��xrt��N�Ä�-�^sNnLp�~��}�u������t�� �-���N~z~��v�F�C�}tv�{�'��pz�N�Òxzy{n£��¶@%���Nt��Fx$����sutvnLw�k°�nZ���£/ 5�=�1.�C¡.n�pr~$�q~�tv���{�vn����}�}nL�.���T����nZ��pr����C�Ds^�q�-���C~r~��v�F�C�}n�p���~ztv�{�0º�Ñ@�J��ºPn�{pr�^sCn�~L�}��~zt����qµ�¶�§.�{xry��^x�{nLw��v� �v�N�N�}n��'�-���C~r~�nZ~����Cpr� ��-�C��~�n�pzs^�^xrtvsCn�nL|uxznL��~�tv�C��xz� �{prn-�sFtv�N��~��v�7�v�N�N�}n��V�-���C~r~�nZ~-���*y{t�~��nZ����~�xry��^x��C�F�Vs^���vt��Ä�{pr�C�}�nLpzx��VprnL���Ct���~ s^���vt��Y�T���I���^xzxzn�p�y{�^wÞ���C�F�V���{pzxzy{n�pq�L���C~r~�nZ~��prnÄ�v�N�C�{n��Y� ¨J|}�C���{�vn�~£�C�)t��FxrnLprn�~�xztv�{�ª�{pr�C�.nLpzxztvn�~��CpznIxzy{nw�n������A���Cpr��n��}��n�~r~J�����&w$nL�v���éx��u�{tv�{�)�C�T�u�Fxzn �L�u�{n�~L�¦ �Ĺ�8 8u¬F�F§}�Cpr�N~�w*�^x3/¥¹�5F¬!1.���{�{�vt�~�y{nZ�£� �{�{�)prnL����xzn��'xr�)x��u��n

~��.�u��­��{��u����~�n��C�.�}�u���C��tv�$�-���N~z~T�v�N�N�}nLp�~-�¢§}��p��C~zw$��xB ²~¢~��N���{�xztv�C��w*�C~����C~zn����C�&��y�n����}~k���Np�x��u�.n-� ~z����n-x����^x$pz���Nxrtv��n�¯��u�Fxzn�-�}�}n�tv��~�xzpr���-xztv�C��~ ~z����y �N~0¬�§?��«-��®M��¬2ª�È>É����&�{nLnZ�ªxz�o��y{n����

¹L³

Page 15: Formalising the Safety of Java, the Java Virtual and Java Card

xzy���x�xry{n&�N��xz�����*�-���C~r~ ���*xry{n&�N� & n��-x��.nLtv�{�Ä�N��n�pr��xzn�� �{���N�t�~xzy{n&~z�C��n£�N~xzy�n��C�{n��C�}x���tv�{n��V�u�Ixry{n����C��n�pznZ~��N�v�}xztv�C��{pr�u�Ln�~r~-�XºPt�~¢tv�}���Cpr�����}�}t�~r�-��~r~zt��N���C��xry{n�tv�NxrnLp��C�-xztv�C�'���·�-���C~r~�v�N�C�{nLp�~k�����£x��u�.n�~r�^��nLx��'w*�C~Jxzy{n��.nL�Ctv�{��t���� ����� ���Npz���C�{�{�}��}nLpr�{tv�{�{tv�{�'���J�C�Ds^�q�}�u������t��¤�-���C~r~$���F�C�}n�pr~L�§}�{�M ²~k����~zw�n�p�xr��xzy{n*�{�{��w*�C~¢����� & �Cp¢��y������Cn��C��xry{n��-���C~r~

�v�N�C�{t����P��n���y��C�{t�~��`�C�Y�N°¤® ¹��Ù±u�N�N~T�{n�~r�-prt��.n��'�u�(�<t��C�{�¤�C���Æ$pr�N��y���/¥¹C¹Z¸?1A���N�Ds^�q�{t¥¡YnLp�~$��pr�C�Ò��xzy�nLpP�������C���C�Cn�~�xzy��^x¤�C�v~z�~����{���Np�x��{�F������t����v�F�C�}tv�{�q¼Í~z����y��C~�©��C�����N�{��tv~z��½��.n��L�C��~znt�x���n�p����Npz��~���y{n����}~���x&�vtv�{�F�éxrtv��n��N~��N�{���F~�nZ� xz�Ïpz�{�Fxrt���n �~�����y ��� �N�}xztv��t�~z��xztv�C�I�C���Cpr�C�NxrnLnZ~xzy���xq��y{nZ���}~)�{n�n��ªxr�Ä��n��n�p����Npz��nZ�0�C�����0�N���-nC����tv�C�{�&�C���oÆ�p��C��y��. ²~¤~z�C�v�}xrt��N�ÄprnL�vtvn�~�C�7xry{pzn�n�t��}nZ�C~L¯ ÅA×&Æ ���}t�~�xztv���-xztv�C��t�~�tv�Nxrpz�}�}���-n��7�.n-x�w$nLn��xzy{n*tv�{t�xzt���xztv�{�P�����'�}nL­��{tv�{���v�N�C�{nLp�~��C�.��-���C~r~B�ÇÅ»×�×&Æ����v�N�N�}n���-���C~r~����C��y{n$�.nLp¢�v�N�C�{nLp����Ctv�Nx���tv��~.xrnL���.�Cp����F������nZ~����N�-n$�-�C�{�~�t�~�xzn����-���ÈÅ»×�×�×AÆ'�����I������nZ~����N�-n)�L�C��~zt�~�xrnL���L�&�.n-x�w$nLn��I�}nL�vnL��N��xztv�{��v�N�C�{nLp�~¢tv~J�{pznZ~�n�pzsNn��q�u�q��~�nLx����<�L�C��~�xzp���tv�Fxr~L�¢���N�C�}�tv�{�I�-�N��~�xzp���tv�Fxr~)�Cpzn�xrpztv�{�vnZ~rÉDÊÌËVÍtÊ�Î�ÍtÏOÐ����L�C��~zt�~�xrtv�{�7���Px�w$��-���C~r~����F�C�}n�pr~FÊFˤ�C���ÃÊjÎ�������£�-���C~r~$������nÑÏ��}xzy�nLtvp*��n����{�tv�{��t�~$xzy���x¤��~ztv�{�fÊFË�C���pÊ�Î)�N~*xzy�n)tv�{t�xzt����vt�~�tv�{� �v�F�C�}n�pr~����Cp������nÒÏ(�utvnL���{~Pxzy{n�~r����n&¼Í�v�N�C�{n���½��-���C~r~Pt��Jxry{nL�Ä�.��xryV~z������-n�n��Y�Þ�*y{no�����.nLp7�}�un�~&�{��x�tv�Nxrpz�}�}���-nV�C�u� ���Npz���C��t�~r�^xrt��N����kxry{t�~¤~z�C�v�}xrt��N�·�����}x�nL|}�{����tv��~�w�y���x�L�C��~�xzp���tv�Fxr~�~�y{�N�{���7��n�Cn��{nLp��^xrn�������� y{�^w;xry{nL� ~zy{�C���v� ��n�sCn�pzt�­�nZ�Y�VmÐy�t��vn&t¥xqt�~�{��xT�{prn��-t�~znL�v��~z��nZ�-t�­�nZ�w�y{nL���L�C��~�xzp���tv�Fxr~�~�y{�N�{������n$sCn�pzt�­�nZ�Y�xzy{n �����.nLpPnL|u���v�Ctv��~�xzy���xPt¥x�~zy{�N�{����x����Cn ���v�N�-n�^x��vtv�{�F�Axztv��n��w�y{t���y����C�Cn�~�xry{t�~�~��N���{xztv�C���{t¥¡YnLprnL�Fx*��pr�C� §}�Cpr�N~�w*�^x! ~L�¦ ���}nL�.nL���{nL�Fxz�v�����CnL��~znL� ÊLËÄÈ�ØÍÌ;/¥¹!=>=?1���¡YnLp��Ð���Npz���C�vtv~r�^�

xztv�C�V����������n£~����N�-n£�-�N�Nxrpz�N�T�C���Ät�x�~¤tv�Fxzn�pr�N��xrt��N�0w�t�xzyo�N�Ds^�sutv~ztv�{tv�vt¥x��7���}�}t�­�n�pr~L�o�*y{n��ª�{pz�^sut��}n��C�Ï����~�xrpr�N��xztv�N�o�C��xzy{n��¶@% ~�xr��xzn��}nZ~z�Lpztv�{tv�{��xzy{n£y{tvnLp���p���yu�7���$�L���C~r~�nZ~¤�C���I��n��£���n�pr~������&xzy�nLtvp�sutv~ztv�{tv�vt¥x��'pz����nC���*y{n ����tv�&pznZ~��{��x�t�~$xzy���x�xzy{n���}�}nL���{pz�^sut��}nZ~)��� �C��~zw�n�p xz�Ixzy{n��{pr�C�{�vnL� �{���L�^sCn�pznZ�V�u�§}��p��C~zw*�^x,/ ¹?5N¬B1A���*y{n���Cpr�����vt�~r�^xztv�N�'�C�k�CnL��~znL� Ê�Ë�È�ØÍÌYt�~$�Lpzt�xz�t��-t�~�nZ�����Np¤�L�C�Fxr�Ct���t����£~z�C��ntv���N�L�-��pr�N�-tvn�~L�{���CxzyÄtv���N�}sCn�p�xrnL�Fx�������{nL�vtv��n�pr��xzn£�C�{nZ~¹/ ¸{¹�1A�Ä�*y{t�~)~�y��^wP~xzy���x'w�y{tv�vnq���Cpr�������t�~z��xztv�C��~�����xrnL� �����-�^sNnLpq�{pz�N�{�vnL��~L�Jt�xqt�~q����~��V�{n��Ln�~r~z�Cpz�V���Cp~��}~�xzn��,�}n�~ztv�C�{n�pr~Pxz�7~z�Lpz�}xrtv�{t�~�n xry{n'���Cpr�����vt�~z��xztv�C��~$�C�Jxzy{n�tvp~��}~�xzn���~Txz�)n���~���pzn*xry��^xJxry{n����Npz���C��t�~r�^xrt��N� ���CprnLnZ~¢w�t�xzyqxzy{n�tvptv�NxrnL�Fxztv�N�·�¢©��vn��Cpz�v���^xry{t�~J�utv���q�����L�C����nL�Fx�~T�����{����x��.n��Nt�sNnL�t������Cpr�����vt�~r�^xztv�N��~���prn£�{��x)~z�.-��-tvnL�Fxz�v�Ä�N�L�-nZ~z~ztv�{�vn)xr�7~z�}~�xrnL��}n�~ztv�C�{n�pr~L��*y�n*�{tê-��L�{��x�� ���.���Cpr�����vt�~�tv�{�$xzy�n��C°�® ¹C�²±¤�}�u���C��tv���v�N�N�u�

tv�{�0t�~)�}�{n�xz�0xry{n��Í�N��x�xry��^x��J~�tv���Ln£xzy{n7��¶@%:�v�N�C��~ �-���C~r~�nZ~�����Ltv�v���·xry{n&�C¶C% �L�C�{�{�Cx��}n-xrnLpr��t���nqw�y��^x'�L�v�N~z~�0������nfÏ�}nL����xznZ~k�{�Fxztv��xzy{nP������n)Ï t�~k�C�-xz���C���v�)prn�~z�C�vsNn��)�u�'xzy{n¤�-���C~r~t�xqt�~q�}n��L�v�CpznZ��tv�·����~ztv�{�Äxry{n0�}n-­��{tv�{�o�L���C~r~��v�N�N�}nLp'���¤xzy���x�-���C~r~L� ���N���Dw*�Ä������º��C�Ctv�N��/ ¹^¬�5F��¹D¬�«?1P�{prn�~znL�Fx��Ä���Npz���C��t��~z��xztv�C�ª�C�+��t����{�Ä�C����Æ$pr�N��y��. ²~�v�N�C�{t����7�L�C��~�xzp���tv�Fx)~��}~�xzn��7�w�y{t���yÄy{tv�Cy���tv�NyNx�xzy{n�~z�{�}xz�vnqpzn����^xztv�N��~�y�t��7�.n-x�w$nLn��Äxzy�n��-�C�{�~�xrpr�Ctv�Nx¢~z��y�nL��n*�����'�u�Nxrn��-�}�}n*sCn�pzt�­����^xztv�N�·���*y{nLtvpk�����{pz�F�C��yt�~�xr�¤nL|uxznL���q§Fx��^x����C����'P���N�}t� ~��u�Nxrn��-�}�}n*sCn�pzt�­����^xztv�N�¤xrn���y}��{t�ÓF�{n��u�ox��F��t����Äpz����nZ~ xr�V�-�N��n&w�t�xzy �L�v�N~z~��v�N�C�{nLp�~-�I�*y{n�tvp~�xr���}���C�{�v�����u�L��~zn�~<�N�xzy{n#¬�§[��«6��®M��¬2ª�È>É����������V� ª�®>È>É�ª §�t��{�

~�xrpz���-xztv�C��~-�J�*y{n)~z�C�{���}�{n�~r~*t�~*n�~�xr�C�{�vtv~zy{nZ���u�&~zy{�^w�tv�{��xry��^xxzy{n��C¶C% �{prn�~znLprsCn�~�xry{n w�n��v�¥�Ax��u��nZ�}�{nZ~z~�tv�Fs^�Cpzt����Fx���*y{n�tvpV���Npz���C�vtv~r�^xrtv�C�`���v�v�^w�nZ�`xzy{n�� xr� n-|}y{tv�{t�xV����p�xry{nLpA��DwP~�t��Vxzy�n�t�������n���nL�Fxr��xztv�C������xzy{n��N°�®Æ/¥¹D¬�5?1é���*y{nq­�p�~�xA��Dw w$�N~&�N~&� �{�{� tv�2xzy{n��N°¤®5tv���{�vnL��n��Fxr�^xrtv�C�·�*�����"tv~

���{�Cxzy{n�p¤�N�F�}�It��v�v��~�xzp��^xrt��N�&�C�Jxzy�n'�{n�n��I���Cp ���-�C������nLxzn ���Np�������vt�~z��xztv�C� �C�·��~��}~�xznL�7�u�}�^w��qxz� xry{n�tv���{�vn���nL�Fxr��xztv�C�·�<�*y{n~�nZ�-�C���7A��Dw�t�~�nL|}�{����tv�{n����u�xzy�n��Í�N��xTxzy���x�xry{n*�N°�®2�}�un�~T�{��xsCnLprt����'t�x�~�~z�u~�xzn�� �-���C~r~zn�~L�Cw�y{t���y�tv���}t��L��xznZ~J�)��� & �Cp��{tv~r�-prnL�{������L�V�.n-x�w$nLn��ªxzy{n����Cpr�����vt�~z��xztv�C�Ä�C���oxzy{n&tv���{�vnL��nL�Fx��^xztv�N�xzy���x��{n�n��{~<xz���.n��N�{�}prn�~r~�nZ�Y��º��{p�xry{nLpTw$�Cpr��t�~<prn�ÓF�{tvprn���xz��tv�}�xznL�Npr��xzn�t��N�{�Cprn��'�C�Ds^����nZ�^xr�{pznZ~¢~�����yq�C~T�{prtv��t¥xrtvsCnTx��u��nZ~-��­�nL�����nL�q��n�pr~L�u�Cpzp��D�qx��u��nZ~-����n��'�.nLp$���}�}t�­�nLp�~*������xzy�pznZ�C�{~L�® t����<��6��C���}�.nLpr�q�C���I©��C�N��tv�)/ ¹?5C±!1��C¡.n�p�������xzy�nLp*���Cpr�����vt��

~z��xztv�C�'���<�}�u������t��$�-���C~r~T�v�N�C�{t����{�^n-|}�{prn�~r~�nZ�'�N~J� ~�xr�^xrn*xzp����}�~�t�xztv�N�Î~z�}~�xrnL�7�;�*y{nVprn�~z�{��x�t�~��L�v�N~zn0xz�Χu�{�M ²~7~��N���{xztv�C� xz�xzy{n��{pr�C����n��:pr�Ct�~�nZ�Ð�u�\§}�Cpr�N~�w*�^x�� ® t��C�·�,6��N���}��n�pz�Î�����©��C�C�vtv����pznZ~�n��Nx��$x��u�.n�~r�^��n-x��¤�{pr�F�C�Nxry��^x�pzn��v��xznZ~.xzy{n��{�F������t��~�n������Fxzt��L~�w�t¥xry"~z�C��nV~�xr��xzt��7x��u�.nVtv�}���Npz����xztv�C�·�P�L�{pzprnL�Fxr������F�C�}nZ���-���N~z~zn�~������&�-�{prpzn��Fxz�v�£���F~�xrn����L�C��~�xzp���tv�Fx�¼Íw�y{t���y�n-|u��{pznZ~z~qprn�ÓF�{tvprnL��nL�Fx�~)�C� �{�Cx��»�Cn-xz�A�v�F�C�}nZ� �-���C~r~zn�~�½�� ¦ �Чu�{�^ ~t�������n���nL�Fxr��xztv�C�<�Txry{nÄ�u�FxznÄ�L�u�{n0sCnLprt�­�nLp£���D� y��DsCn�xz� prn-�~��N��sNnÄ�-���C~r~����C��n�~£xr�Ï��y{nZ��� ~z�{�Y�-���C~r~�prnL���^xrtv�C��~zy{tv��~L�`�*y{n���}xry{�Cp�~��N��~znLprsCn)xry��^x�xzy�tv~~�xzp��^xrnL�C�7t�~¤�{��x�xzy{n£������tvn�~�xP���F~��~�tv�{�vn����*y�nLprn-���Cprn��}xry{nL��tv�Fxzpr�u�{���-n �£�{�Cxztv�C�����k~����}x��u��n��L�C�}�~�xrpr�Ct��Fx��Yw�y�tv��yVt�~¤�C�Vtv���.�Cpzxr���Fx¤�{t¥¡YnLprnL���-nqw�t¥xryIprn�~z��nZ��xxz����N���Dw*�Ä������º��C�Ctv�N�� ~)���Cpr�����vt�~z��xztv�C��/ ¹^¬�5F��¹^¬^«?1A�Χu���}x��u��n�-�C��~�xrpr�Ct��Fx�~�y��DsCn�xzy{n)���Cpr�ÓÉDÊ)ÍwÏÒË�ÍwÏ=Î5Ð��C������n����&xzy��^xPt��¢����F�C�}n�pQÊ2�utvnL���{~P�L���C~r~�nZ~QÔÕË)�C���OÔFÎ)���Np¤������n�~zÏÒË)�����+Ï=Î^�xzy{n��pÔFÎ�q��~�x*�.n)�£~����.�L�v�N~z~$�C�·ÔÕËZ�® t����oÊLË�È�ØÍÌ����Cpr�����vt�~�nZ��xry{n)��¶@% �u��t�xr~$�N���N�����.~�x��^xrn�L�C�}�

~�t�~�xztv�{�*�������v�F�C�}nZ���L���C~r~<�L�N��y{n��^�P~zn-x��C�{�v�N�C�{t����$�C���)~z�{�}x��u��n�-�C��~�xrpr�Ct��Fx�~P�����I��y{nZ���0���Np�~�xz�Npztv�{���N� & n��-xr~L�7' s^���vt��7~�x��^xzntv~k� ~�xr��xznP�}nL­��{nZ�q�N~J~r�^xzt�~����ut����Pxzy�n�x��u��nP�L�C��~�xzp���tv�Fxr~L�:�<�F�C�u�t����'�-�N��~�xzp���tv�Fxr~L�u~z�{�}x��u�.n�L�C��~�xzp���tv�Fxr~L�F�C����xzy{n�v�N�N�}n����L���C~r~�L�C��y�n�Cpzn�-�N��~�xr���Fxr�������Ctv�Nx���tv�{nZ��tv�&�£�q�}xz���C�v���£�-�N��~ztv~�xzn��Fx~�x��^xznC�7�*y�n��{prt����Cpz�Ä�N�}s^���Fxr�C�Cn£t�~ ������t�n�p���F�C�}tv�{���<��nZ�L�C��~�n�{�q�L���C~r~J�{n�n��{~�xz�q�.n¤�v�N�N�}n������Cp$sCnLprt�­��L��xztv�C�£�{��pz�.�N~zn�~L�O'��u��}t�xztv�C���C�v���C� ® t��C��Ê�Ë*È^ØÍÌ� ²~�sutvnLw\���¢xry{n�sNnLprt¥­�nLp�t�~�~�tv���{�vnC¯Jxzy{nsCnLprt�­�nLp£t�~ & ��~�x&���-�N�����N�{nL�Fx£xzy���x�xr�C�Cn�~����L���C~r~q�N~���pr�C�}���nL�Fx�C���opznLxz�{pr��~���CnZ~�´^�{���C��~zw�n�p�������~��7~zn-x ����~z�{�}x��u��n�-�C��~�xrpr�Ct��Fx�~��N~)�7prn�~z�{��xL���*y�n������.nLp'�}�un�~ �{�Cx'�-�N�Fxr��tv�Vxzy{n���{�v��~znL���C�Nxrt��L~L�*���}x�y������}�vnZ~��C�����Î����n�w,�u�FxznV�L�}�}n�~B� xzy{n���}xry{�Cp�~��C�v~z�����C�Cn�~z�C��n�~ztv���{�vt�­��L��xztv�C��~�xz��xzy{n��C¶C%ª�<��������Cp¢tv��~�x������Ln���tv�C���Cprn��q�{��xzt��éxry{prn��C�{t����*�C���'n-|{�-n��}xztv�C��~-�����u��n~z����n-x��7t�~Pn-|}�{prn�~r~zn��0�u�0~�y��^w�t�����xzy���x�s^�C��t��}t�x��C��tA� nC�~r�^xrtv~�­�����{tv��t�x����C�����v���L�C��~�xzp���tv�Fxr~L��t�~P�{prn�~znLprsCnZ���F�0~�xr��xzn)xrpr�C��~zt¥xrtv�C��~B���pz�N� ��s^���vt���~�xr��xzn��uxry{nL��~zy{�^wÎxry��^x�t�x$t�~$���vw*�D�u~����F~z~ztv�{�vn�xz����^sCnJxr�)���{�Cxzy{n�p¢sD�C�vtv�'~�x��^xrn��N���{�vn�~r~�n�t�xzy{n�p�xry{nLprn�t�~T�{� ���Cprn�-�}�}n�xz�£n-|}nZ�-�}xrn��Np�~��N��n¤�C��xzy�n ��t�~�xznZ���-�N���}t�xztv�C��~Jxry��^xP�-�Np��pznZ~��.�C����xz�qpz�{�Fxrt���n���y{n����}~�tv��xzy{n �N��xz�����·��¶@%,�Í�Ct��A�J©��C�C�vtv������o6��C���}�.nLpr��/ ³�¹�1A���}nZ~z�Lpztv�.n�n-|{�C���{�vn�~P�C�Jx��u��n�~r�^��nLx��0sFtv�C��v��xztv�C��xzy���x�xzy{n �{pr�C�.�N~zn������Cpr�����vt�~z��xztv�C���DsN�Ct��{~L�º��C�{�ÎÊLË)È�ØÍÌ��Cpzn��-�C���-nLpr�{nZ�ªxzy���xq�u�Fxzn7�-�}�}n&sCn�pzt�­����^xztv�N�·�

¹�5

Page 16: Formalising the Safety of Java, the Java Virtual and Java Card

�-���C~r~k�v�N�N�}tv�{�)�������vtv�{�ut�����Cpzn�xz�u�)xrtv�CyFxz�v�£�-�C���{�vn��Y�Nxz�£���v�v�^w���Cp�xry{n7xzy�pzn�nI�-�N�����N�{nL�Fxr~qxr����nIsCnLprt�­�n�� n-¡Yn��-xztvsCn���� / «N«?1é��*y{nLtvp¤�{pz�N���F~z�C�<�C�V���{pr�u���J�vtv�{�ut����£�Cpr��y�t¥xrn��-xz�{prn �{���L�C�{�{�vnZ~xzy{nJxzy{prnLnJ�L�C���.�C�{n��Nx�~Y�u�������utv�{��xzy{n�tvp·t��FxrnLp��C��xrtv�C��~.n-|}�{�vt��-t�xtv�ÓF�{n�pztvnZ~<��������.�{��xznZ~<�C�)�C� �{���}n�pz�v�utv�{���{�^x������N~�nJ�C�u�Í�C��x�~-�Æ$n-���Cprn0� �-���N~z~qt�~��v�N�N�}n��Y��xzy{nI���u�{�{����p£sCn�pzt�­�n�pq�NnL�{n�pr��xznZ~�Í�C�-xr~$���.�C�}x�xzy{n�-���C~r~L�F��������y{n����}~�xzy���x�xry{n�~zn��Í�N��x�~��Cpzn��-�C�{�~�t�~�xzn��Nx¤w�t¥xry0xzy��N~zn'���vprn��N�}���{prn�~znL�Fx�t��Äxzy{n£�{�^x������N~�nC��*y�n�{pr�C�.�N~r�����}�unZ~��{�Cx�L�C�����Cpzn�xry{n'nL¡.�Np�x�~�tv�usC�N�vsCn���tv�ÄsCn�pzt����F�tv�{�q�£~�xr�C���{��p�����p���y{t�xzn��-xz�{prn�sNnLp�~���~�xr�£xzy{n�{n�w��v���{pr�C�.�N~zn���{pr�F�C���vtv�{�utv�{����p���y{t�xznZ��xr�{pznC�{�������C~�~z����y�tv~*tv���L�C���L�v��~�tvsNn��¸�Q�° Ögn�_.[Ma�WCU:_.i�ÄÊ[£×g[��Ca�[cb�[^W²_.U:_.iSr½WCb§unLsNnLp����}���{xzy{�Npr~¢�{pr�C�.�N~zn�����xzn�pz���^xztvsNnJpzn��{prn�~znL�Fxr��xztv�C��~����CpJ�C�tv�NxrnLpr��n��}t���xzn)�-�}�}nqxry����V�F�Fxrn£�L�}�}n�~L�<w�t�xzyª�C~�����tv�Ä��tv� xr��DsC�Ntv�'xry{n�{pz�N�{�vnL��~J�C����nL|}��n���~�n������F�Fxrn¤�-�}�}n�sCn�pzt�­����^xrt��N�·�®�{�C�����}�����C���,N�n�y{���c/¥¹!=u¬B1F�{pr�C�.�N~zn��N�DsD�*¦ �FxrnLpr��n��}t��^xrnpN�nL�}�pznZ~�n��Fxr�^xrtv�C� ¼é�C¦SN�½��<w�y{t���yI~�t�x�~¤�.n-x�w$nLn��o�N�Ds^�������0xzy�n��N�Ds^��u�Nxrn)�-�}�}nZ~-�J¦ �I�C¦SN"�v�}�L�C�·s^��prtv�C�{�vn�~�xzy���x���prn��~�nZ��w�t¥xry0�}t������nLprnL�Fxx��u��nZ~ �^x)�}t�¡.n�pzn��Fx�.�Ctv�Fxt��Vxzy�n�n-|}n��L�}xztv�C�V���*�&��pz�C��Cp���� �Cpzn�����xztv�N�����v�v�0�}�{�{�vt��L��xzn��·��§u�{�}�Ax��u��n&�-�C������nLxztv�C�<���xznZ��y{�{t�ÓF�{nÄxry��^x0���N~�t��L�C�v���Ï�-prn��^xrn�~�� ��nLw x��u�.now�y�nLprnI�C��nw��N�{������xry{nLprw�t�~�n¤y��DsCn¤xz�£w$�Cpr�£w�t¥xry��q~zn-x�����x��F�.n�~L�{t�~$��~�nZ�xz�'x��u��nZ��y{n����£�{pr�C�Npr�C��~-���*y�tv~��utvnL���{~��)x��u�{tv�{�)���Np*�C¦SN"�L�u�{nxzy���x$t�~$�-�v�N~znLpJxz�'xzy{n¤x��u�{tv�{�)���N�{����tv�&�N�Ds^�)�{pr�C�Npr�C��~-�N�����F�tv�{��x��u�.n���y{nZ���Ftv�{�¤tv�{y{nLprnL�Fxr��� ���Npzn$n-��Lt�n��FxTxry����£�u�FxznP�L�u�{nsCn�pzt�­����^xztv�N�·�Ê6���N�{�C�0�����âºPnL���}pzn���/ ¬C±�1���pz�N���F~�nxry{pzn�n)�C�u��}prn�~r~Jtv�FxznLpr��n��{tv��xzn��-�}�}nC�u�C����prnL�{prn�~znL�FxJx��u�.n���y�n����utv�{�)�C~���-�N��~�xrpr�Ctv�Nx*~z��xzt�~��Í�C��xrtv�C���{pr�C����n��7�§}�C��n����}xry{�Cp�~)��y��C�{�Cnqxry{n&�C¶C%�xz�Ä�DsN�Ct��Ixzy{n���pz�N�{�vnL��~

w�t�xzyo���u�{nL�v�vt����&~z�{�{pr�C�}xrt���n'�.�C�v�u���Cpr�{y{t�~z�7��Ñ�xzy�nLp�~ pzn & n��-xxzy{n7��¶@% �����{�N�����Nn��T�C���ªtv��~�xzn��N�ª~��{�N�CnZ~�x)xry{n���~�n��C��xzprnLnL����C~zn��I�-�}�}n��'¦ ���}nLnZ�Y�·xz���{pr�^sutv�{n����N�Cprn�~r~�tvsCn �N�}xztv��t�~r�^xztv�N��~-��-�N���{tv��n�pr~*prnL�v�7�C�Ixzy{n��L�C�Fxzpr�C�����C���V���^xr���dA��^w t��{���Cpr���^xztv�N�xzy���xTt�~�pznZ�C�}tv�v��DsD�Ctv�v�C�{�vn�tv�q���'�C��~�xzp��C��x¢~��u�Fxr��|xzprnLn��k®t�~�xr�vnLp�����0º�pr�C�{�� Y§u�vt�� �{tv����prtvn�~7/¥¹!=>5?1T�DsC�Nt���xry{n)�{pr�C�{�vn�� ���J�L�u�{n~z���^xzxznLprtv�{���N~�tv��º�tv�N�{pzn'¹�F����~�tv�{�£�)xrpzn�n�~�xzpr���-xz�{prn��&tv�NxrnLpz���n��}t���xzn��L�u�{n��CpO· ~��vtv�X��t�����prt�nZ~ ����*y{nZ~�n$���v�v�^wIxry{n$�C�v���}���^xztv�N������otv�{t�xzt��C��t�~r�^xrt��N��xr�ÄprnL����tv�o�-�C���{�vn��Y� & ��~�x£�C~tv�oxzy{n&�N�Ds^��{pr�C�Cp����7�^"��}���Cpzxz�{���^xzn��v���^~��vtv�"�{tv���CpztvnZ~�prn�ÓF�{tvprn¢pr��xzy{n�p����Cprn��nL���Npz� �����'��pz�}�-nZ~z~ztv�{�����^w$nLp¢xry�����t�~¢prn��C�{t��v� �Ds^��tv�����{�vnJ�N�~����C�v�.~z�}~�xrnL��~L�¸�Qd¸ e4i�b�k�ZCb�b�iSrOW�*y{nq�C¶C% �����{�N�����Nn ��nZ��p�~¤~z�C��n�~ztv��tv�v�Cpzt�x��£w�t�xzy0x��u�.n��V�C~��~�n��'�������v�C�{�C�����CnZ~-�F~�����y��N~��*¦S�q/ ¹D±^³?1A�J�*y{n��C¶C% �C¡.n�pr~��vn�~r~���N�v�F���Npz��y{t�~�� xzy��C�&�*¦S�o�{�}xP~z�{�{�.�Cpzxr~*~����{pz�N�}xztv�{nZ~��C��~�n��Fx��pz�N� �*¦S�k�C§Fx��^xr�������{'����C�}tuy��DsNn���pz�N���F~�nZ�)�P���Npz���C�C��p�����nL�w��Npz�¤xzy��^xT�����)nL|}�{pznZ~z~�xzy�n�~znJ��n���xz�{prn�~T�����xzy���xTy��C~���n�nL�)nL|F�xzn����}n��Ä�F�7~znLsCn�pr�C�����{xzy{�Npr~Pxz���L�^sCnLp��F�Fxrn'�-�}�}n�sCnLprt�­��L��xztv�C����Cp����F~�x*���Txzy{n��C¶C% �����{�N�����Nn��º�pz�N� �CA��C��pzt�~zy{tv�{�¤�N��xztvsut�x���C�'xzy{nP�}�u���C��t����-���N~z~T�v�N�N�}nLp��

xzy{n'��~zn)�����L�C��~�xzp���tv�Fxr~*y��N~Pn���nLpr�Cn����C~¤���C�u�}�7��n���y����{t�~z�

xz��nL|}�{pznZ~z~��{pr�C�.nLpzxztvn�~*xr���.n�sNnLprt¥­�n����u�7�L���C~r~�nZ~��{��x��v�N�C�{n���Cn-x��¤�*y{n't��FxrnLpr��nZ�Dsut������.n-x�w$nLnL�I�F�Fxrn'�-�}�}n'sCn�pzt�­����^xztv�N�&������-���C~r~P�v�N�N�}tv�{�£t�~¤�}nL­��{t�xzn��v��~z�{�}xr��nC�V' �L�C���{�vn-xrn tv�NxrnL�Npr��xztv�C�����xry{n�~zn£t��}n��N~¤tv�ª§Fxr��xr�7�����o'P���C�}t� ²~���pr�C��nLw$�Cpr�&t�~���otv�£����Np�x����Fx)xr�Cpz�Nn-x��¢���}x't�xr~q~zt���n��{pr�C���C�{�v�Iprn�ÓF�{tvpznZ~ ���}xr�C����xzt��xz�u�C��~�xz�£y��C���}�vn�xzy{n���Npz���C��t�~r�^xrt��N�·�°¤nLprtvsFtv�{����-�Cprprn���xk������nB-��LtvnL�FxTtv���{�vn���nL�Fxr��xztv�C�����xzy{nZ~�n

���Cpr�����vt�~z��xztv�C��~�t�~��C�v~z�P����y����v�vnL�{�Nn��Ymon$prn-��nLp�xz�§un��-xztv�C�'¬*���Cp�q~z�{prsCn������¢��n-xzy��u��~$xzy���x��L�����.n)���{�{�vtvn���t��&xzy��^x��-�N�Fxzn-|ux��¦ ��§un��-xztv�C�I³{� 5u�<w$n'tv���}t����^xznZ�7xzy�nq��nLn��I���Cp�xr�F�N��~¤�C�{�vn)xz�

n-|}���F~�n~zn��-��pzt�x����{pr�C�.nLpzxztvn�~����¢�{pr�C�Npr�C��~-�:'¤~$xzy{n��C¶C% �����}��C���C�Cn�y��C~��}t�¡YnLprnL�Fxq�N��~znLprsD�C�{�vn��{pr�C�.nLpzxztvnZ~)xry����Ïxzy{nÄ�N�Ds^��v�C�{�C�����CnC�Dxz�u�C��~¢w$�Cpr�Ftv�{���C�qxry{n¤�C¶C%Ò�u�Nxrn��-�}�}n�w$�C���v�q����~z���n)��~�nL���{��¼����{p�xry{nLpr���Cprn��{�.n�������~zn xry{n�~z�C�{p��-n �-�}�}n����D���{��x��n)�Ds^��tv��������n*���NpP�����C�v�u~zt�~r½��

Ø FHG�IÚÙ ÁÒÛÝÜÄÅ�À I i¦ �\§u�{�^ ~�prn-��nLprnL���-nItv���{�vn���nL�Fxr��xztv�C�·��xzy{n��L�C���{tv�vnLprg��M����¨xr���Nn�~��N~�tv�{�{�}x¤�N�Ds^�q�L���C~r~�nZ~$�C���7�Cn��{nLp��^xrn�~�xzy�nLtvpP�u�Fxzn)�-�}�}npzn��{pznZ~�n��Fxr�^xrtv�C�·�¢�Cpr�N�C�{t�~�nZ���C~q�-���C~r~ ­��vnZ~-���C��� prn��N�}�oxz�o��n���F�C�}nZ���u�'xzy{n���¶@%ª�N¦ ��xry{t�~J~zn���xrtv�C�·�Cw$n�~z�{prsCnL��xzy{nP���Cpr�������tv~r�^xrtv�C��~k�C�<xzy�tv~$�-�N���{tv���^xztv�N�'�{pr�}�-nZ~z~L�u�C����nL|{����tv�{nP~z�C��n��C�xzy{n£�{pr�C�.�N~zn��Ä~�xr��xzt����C�����v�}~ztv~Pxz��tv���{pz�^sNnxzy{n£�.nLpz���Cpr�������Ln���kxzy�n'�NnL�{n�pr��xzn��0�L�}�}n��,ºP�^w$nLsNnLp���xzy�n'�N��n��V�C�Ds^���Cpr��y�t¥xrn��-�xz�{prn���¡YnLp�~k�{n�w �N�{�.�Cpzxz�{�{t�xrt�nZ~Txz�xrpr�C��~�����xzn$xz���C���'��pz�N�Ü�{t¥�����nLprnL�Fx�prnL�{prn�~znL�Fxr��xztv�C��~-¯�w$n��C�v~z��~z�{pzsNnL��xzy{nq�-�C����t�����xztv�C���C��C�Ds^�~��N�{p��-nP�-�}�}n*xr������xrnLpr���^xrt�sNn�prnL�{prn�~znL�Fx��^xztv�N��~-�C�C���q�u�Nxrn-��-�}�}n¤xz���u�FxznL�»�L�}�}nPxrpr�C��~����Npz����xztv�C��~-�Cw�y�tv��y����D�'�.n¤��~�nZ���^x���F�C��xztv��n���*y{nP~zn��-xztv�C�q�.nL�Ctv��~Tw�t�xzy���{prn�~znL�Fx��^xztv�N�����.xzy�n�w��Npz� xry��^x

�}t�~z�L��~z~zn�~qxry{nV�L�C�q�{tv���^xrtv�C� �C�)�N�Ds^�������2�C¶C% ~znL���C�Fxzt��L~L��*y{n0�C�{�v��w$�Cpr��w�n0y��DsCn���n�nL�2���{�vn�xz�o­���� xry��^x��L�C���{�vnL���nL�Fxr~k�N�DsD�������'�C¶C%Ò~�n������Fxzt��L~�w�t�xzyq��~z�.n��-t�­����^xrt��N�)����xzy{n�-�C����t��vn�p·tv~¢�}t�~r�-��~r~zn��tv�'��~�n�����p��^xrn�~zn��-xztv�C�)�N�)xry{n²'���~�xzp��C��x§Fxr��xzn0%Ä�C��y�t���n'�����{pz�F�C��y·���T������n£¸&t����-�v���}nZ~¤~z�{������prtvn�~��C�xzy{n nL¡.�Np�x�~��}n�~r�-prtv��nZ���.nL�v�^w�Þ�QSR ×�[cnSU`_�i�W#Y�òU^Ä`UjU`W@s´Ãʡų ±²[chjUXW²_.i�kMb'P���N�}t0/ ±�1 �N��~�n�pzsNn�~�xzy���x&xry{n��-�C����t�����xztv�C�Ï�{pz�}�Ln�~r~��C�)xzy{n�C�Ds^�¤�v�C�{�C�����CnC�^té� n���xzp�����~z���^xrt����¤�C�Ds^��~��N�{p��-n*�-�}�}n�tv�Fxz� ��¶@%�F�Fxrn��-�}�}nC�Nt�~k�{�CxJ���{�v�v�'����~�xrpr�N��xL�pºPn¤~�y{�^wP~kxzy���x�~��N��nP�-�N�£��{tv��n�p7�CnL��nLp��^xznZ�Ð�u�Fxzn �L�u�{n��)�{�}xÄtv�\xzy�n �-�C�Fxrn-|uxÄ���£~��N��n��¶@%7�As^�C��t����u�FxznÄ�L�}�}n�¼�xzy��C�{�Ny ����x��{n��Ln�~r~z�Cpztv�v�o�CnL��nLp��^xznZ��F���'�-�N���{tv��n�p�½��Cn-|}y{tv�{t�x�~��}t�¡YnLprnL�Fx���pz�N��n�p�xrt�nZ~kxry����&t¥x�~$�Cprt��C�t������<~z�C�{p��-n�{pr�C�Npr�C�7�T¦ ��xznZ��y{�{t��L�C�Yxzn�pz��~L�}xzy{n��C¶C% t�~�~r��t��xz��y��DsCn��P­��{nLpT�{�Cxztv�C�)�C�{�C��~znLprs^�^xrt��N�����^nZÓF�{tvsD�C�vnL���Ln��Dté� n���xzy{n��¶@%5tv~��C�{�vn�xz���}t�~�xztv�{�N�{t�~�y����Npzn)�N�Ds^�'��pz�N�Cp�����~�xzy��C�7xzy{n�C�Ds^�'�v�C�{�C�����Cn¤t�xr~znL��� �°¤tvnLy{��/ 5>5�1��CtvsNn�~7xry{n2�-�C����t�����xztv�C�\~z��y{n���n�~Ä���Cp��"~z�{�}�

~�nLx)���*xzy{n��C�Ds^�&xzy���x�n-|{�L�����}n�~nL|}�LnL�}xrtv�C�oy������{��tv�{�����q�{��xzt��xzy{prn��N�}tv�{�Ð����� �N�Cpz���C�Cn �L�C�v�vn���xrtv�C�Xxz�Ðxry{nÎ�-�Cprprn�~z���N���}tv�{�~��{��~�nLx����}xry{n���¶@%ª�?º�n$�C��~����C¡.n�pr~����)�N��n�pr��xztv�C���C�C~znL�����Fxrtv��~

¹�«

Page 17: Formalising the Safety of Java, the Java Virtual and Java Card

ã ä åæçè éçëíì åî ïð�ñò óôõõ öéå÷ìæï

ø ôæï

ù ììõ

ú ûüýþùò ï óô ÿçä �æö åììð

ø � ì å�ï å

� ���

÷åì �ï�ìó÷äõ ï å�ì ååï�ç

� ��� �� ���

ïæïæïæè òþ

ÿì

ø � ì å�ï å

� ���

÷åì �ï�ìó÷äõ ï å�ì ååï�ç

� ��� �� ���è æ ó� ìð ï åÿìïæÿìè òþ

ïæ

ú ëíìä

� � �

æç ôçä �ô ÿôõ æäæ

ïæïæïæÿì ÿæç ô ÿ ô å ÿì

� ä ïëõ

� ���

æç é æï óô ÿçä �æ

ÿìÿìÿìè òþ

ÿì

ãõ ô ÿô�ô ÿ� ���

æç ôçä �ô ÿôõ æäæ

ïæïæïæú î

ÿì

� ä ÷� ì $

� ����

÷åì �ïç ÷ïæìéÿ ÿïææ

� �� ��� æô� ïõõ ïÿìÿìÿìï ó� ï

ïæ

î ìæï

� ����ïæ÷åì �ï�ìó÷äõ ï å�ì ååï�ç

ïæÿìÿì�ò

ÿì

ò ç� ô å�

� ����

÷åì �ï�ìó÷äõ ï å�ì ååï�ç

� ��� �� ���

ÿìïæïæè òþ

ïæ

ò ç� ô å�

� ����

æç é ìð æï óô ÿçä �æ ��ïåä� �ôçä ì ÿ� ���

è æ ó� ìð ï åïæïæïæè òþ

ïæ

'ë ôõ ï

� ����

æç ôçä �ô ÿôõ æäæ

ïæÿìïæÿì ÿæç ô ÿ ô å ÿì

û ï�ï ÿ1ßòÍóôõõ

'ë ïçë ï åçë ï$ì å� ä æç ô å�ïç ï ôçæ óô åç �ô å æì åæ óôõõð ììç ÷åä ÿç ï �ä �ïæ

öéå÷ìæï

þ ôä ÿ÷éå÷ìæïìðçë ïô éçëíì åð ì å$åäçä ÿ�çë ï ÷ô ÷ï å

ø ôæï

è åïð ï åïÿ�ïç ì$ì å� ì ÿ$ë ä �ë çë ï� éååïÿç$ì å� ä æ� ôæï

ù ììõ æ

ùë ïð ì åóôõ óïçëíìæì åæï óô ÿçä �æç ììõ æéæï

ú û

ú õ ôææõíìô ä ÿ�

üý

òÍé� åì éçä ÿïæ# ï��ï ÷çä ì ÿë ô ÿõ ä ÿ�

þù

þ ï óì åóì ïõà óéõ çä �çë åïô ä ÿ�

ò ï óô ÿçä �æò ç õïìð æï óô ÿçä �æ éæï

ö åììð

'ë ïçë ï åçë ï ÷ô ÷ï å÷åïæï ÿç æ ÷åììð æì å÷åììðæ� ïç �ë ïæ

���C�{�vn�¸{¯�©��C�q�{tv�{n����C�Ds^�q�����7��¶@% �v�C�{�C�����CnZ~

¹D¬

Page 18: Formalising the Safety of Java, the Java Virtual and Java Card

���·xry{t�~��C¶C%,~z�{��~zn-x��p9��'~z��nZ�-t�­����^xztv�N�q�C�·xzy{n�C�Ds^�)~z�{��~zn-x$t�~�CtvsCn��·�Yxzyu��~��t�~r~�tv�{��xry{n��C�����Np�xr�{�{t�x���xz�7�{pr�^sCn'xzy{n��-�N���{t�����^xztv�N��~z��y�nL��n�~*�L�CprpznZ��xL�NP�N~zn7/¥¹�5>5!1��CtvsNn�~¢�����^xr�{pr�C�{~�n������Fxzt���~��C�Y�~z�{��~zn-xk���<�C�Ds^�{�

xzy{n��-�Npzprn�~z���N���}tv�{� ~z�{��~zn-x��C�·xzy{n��¶@%ª�u~�xr��xzt��$x��u��n�~��}~�xzn���~���Cp����Cxzy)����� �P~��.n��Lt�­��L��xztv�C�����uxzy�n��-�N���{tv�vnLp.���Cp·xry{n�~z�{��~zn-x�~-�9P�V�{pz�u�C�Í~���prn��Nt�sNnL��n�t¥xry{nLp'����xry{n�~z�C�����}�{nZ~z~�����xzy�n�x��u�.n~��}~�xzn���~-�}�Cp��C��xry{n)�-�Npzprn��-xz�{nZ~z~$����xzy{n)�L�C���{tv�vnLp��mÐt�xryá¯��N�Ds^�}�p9Ptv�{�N�^wÒÊ�Ë�È�ØÍÌ+/ ¹Z¸>5!1$��¡YnLp'�âºÑ@�T´^¦�~z�C��n����vn

nL�q��nZ�{�}tv�{�����P�C�Ds^�� ~tv���.nLp��^xztvsNn��-�Npzn£w�t�xzy��-���N~z~zn�~L���*y{nL��{prn�~znL�Fx$�q~�x��^xrtv���������q�}�u������t��P~znL���C�Nxrt��L~k�C��xzy�n����C�{�C���C�Cn�^xJxry{n¤�N�Ds^���C�����C¶C% �vnLsNnL��~-�T�*y{nP�C� & n���xrtvsCn*���Yxzy�nP�����.nLp�t�~xz�0~zy{�^w xzy��^xxzy{n�~z�C�����}�{nZ~z~��{pr�C�.nLpzx��0����xzy{n£x��u�.n£~z�}~�xrnL��L�C�&�.n����p�����nLxznLprt�~�nZ�£�^sCn�p�xry{n �C�.nLp��^xrt��N�����Y~znL�����Fxrtv��~�¼Íté� n���C�Ds^� �Np$�C¶C%I½��u�*y�tv~��C��y{tvn�sCn�~��)~�tv�N�{t�­��L�C�NxJ�vn�sCnL�����<prnL��~zn�tv�xzy{n)~z�C�����}�{nZ~z~$�{pr�u���Í~*����xzy{nx��u�.n)~��}~�xzn��7�¢�*y{n)�C�}xzy��Cp�~$�{��{��xP�}t�~r�-��~r~�xzy{n)~r�L�C�����{tv�vt�x������Txzy�n)���{�{pr�N�N��y�xz�£���������N�Ds^�}�

Þ�QdP Ö�â@b>_�a�Upk�_4±Ê_.U`_.[¢³¼UXk�l#iSWC[ÈÖ��Q�Ca�rOUpk?lº{�Np��7�u�{�'�.nLp����*�Cn��Cpr~L�TÆÑã�Npz�NnLp�Ê�Ë�È�ØÍÌ¢y��DsCn£�.nLn�� w��Npz�utv�{��C�V���Cpr�����J~z��nZ�-t�­����^xztv�N��~��C���N�Ds^�}�<xry{n��C¶C% �����Vxry{n��-�N�£��{tv�vnLp��#'P�v��xry{nLtvp�w��Npz�&t�~����N~�nZ�7�C�0xry{nD'P��~�xzp��C�-x§Fx��^xzn�%Ä�^���y{tv�{n7���Cpr�����vt�~z�7���ª���{�v�¤~znL���C�Fxzt��7�C�L�L�C�{�Fx��C� w�y{t���y2���D���n£���N�{���ªtv��6��{pzn�sutv��y�/ <>=?1A���*w$��nZ��pr�vt�n�p¤�����.nLp�~ ~��.n��Lt¥���V����}�}�{����p�~znL�����Fxrtv��~q���)� ~z�{��~zn-x��C��xry{nV�C¶C% / ±�<?1A�������2�~�����~�nLx������N�Ds^�â/ ±F¬!1A�¤Æ$��xzyÄ~z�.n��-t�­����^xrt��N��~$���C�v�v�^w"�����}�}���v�Cp���{��pz�F�C��y·�Yw�y{nLprnqn��C��yV�{nLw ��n��^xr�{prn't�~�C�{�{n��0xr��xry{n�~��.n��Lt��­��L��xztv�C�Ä�N~���-�N��~znLprsD��xztvsCn�n-|uxzn���~�tv�N�·��*y�n�x�w$�&~z�{��~zn-x�~��{��{��xnL�Fxrt�prnL�v�7�-�Nt����-t��}n��.���CpnL|}�C���{�vn��.xzy{n��N�DsD�&~��.n��Lt�­��L��xztv�C�tv���-�v���}nZ~P�q�{��xzt��Axzy{prn��N�}tv�{�£�{�}xxzy{n��C¶C% ~��.n��Lt¥­.�L�^xrtv�C�Ä�}�un�~�{��x����*y{t�~¤���C�CnZ~Pxry{n£x�w��7~z�{��~zn-xr~ ~z�C��n�w�y��^x�vn�~r~�tv�{n����k�N~�o���C~zt�~)���Np£���{p�xry{nLp�w$�Cpr�ªxz��~z��nZ�-t�����xry{n0�-�C����t��vn�p'����� xr��{pr�^sCn xry{n'�L�C���{tv�vnLpP�L�CprpznZ��x�w�t�xzyIpznZ~��.n��-x�xz�&xzy�nq~znL���C�Nxrt��L~��� �C�Ds^�o����� xzy{nI�C¶C%��pÓJn-x�tv� �Vxry{tvpr� �����.nLp�/ ± 5�1�xry{t�~£t�~n-|{�C�-xz�v�7w�y��^x)t�~�}�N�{n����u�0����p�xry{nLp prn��}���-tv�{�&xzy{n�~z�{��~zn-x�~����C�Ds^�V����� xzy{nÄ�C¶C%:xr�ª�C��t�x{%0�{��xrt¥�Axzy�pznZ�C�}tv�{���¢�L�v�N~z~'�v�N�N�u�tv�{���C���ª��prpr�D�}~L�q�*y{n����Ctv�ÄpznZ~����¥x t�~���otv�}���Cpr������xzy{n��CprnL�~�x��^xrt�����xzy�nq�L�CprpznZ��xz��n�~r~��C�Jxzy{n��L�C���{tv�vnLp����*w$�����{pzxzy�nLp���^���n�pr~¤�u�7xzy{n�~r����n��C�}xzy��Cp�~�prnLsut�~�t�x�nL|{�-nL�{xztv�C�0y��C���}�vtv�{���C����C� & nZ��x�tv�{t�xrtv�C�vtv~r�^xrt¥�N�·�J���F��tv�Ï���C~zn�� �C�Îxry{n0x�w$��t���t¥xrt����*���^���n�pr~L�Ü�*y�nÄ­�p�~�x���� xry{n�~znÄ���{pzxzy�nLp������.nLp�~£/ ±�«?1prnL�.�Cpzxr~��N��{pr�C�{�vnL��~*w�t�xry0xzy{n'tv�{t�xzt����vt�~z��xztv�C���C�J�C� & nZ��x�~-�Y���Cp¤w�y{t���y7xzy{n��-��-t��C��§u�{� �}�}�-�{��n��Nx��^xrt��N�ª�{pz�^sut��}nZ~)�-�N�.A�t���xrt����0t��{���Cpr���^�xztv�C�<�¢�*y{n��{pz�N�{�vnL��~¢w$nLprnPt��}nL�Fxrt¥­�n��'xzy��C�{�}~kxr�)xzy�n��{�{tv���}tv�{����¤xzy{nÄ~z��nZ�-t�­����^xztv�N�·� �*y{nÄ~zn��L�C���Ï���C��n�p�/ ± 8?1�prnLsut�~�t�xr~)xzy{nn-|{�-n��}xztv�N�'y��C���}�vtv�{���n���y��C�{t�~�� �����C�Ds^�{��xzy{n���¶@%ª�u�C���'xzy{n�-�N���{tv��n�pL���*y�n�����tv�£prn�~z�{��xJtv~�� ���Npz�q�{���^xrt��N���C�.xry{n�-�Cprprn���xz��{n�~r~q���¤�L�C���{tv�vtv�{��n-|{�-n��}xztv�C� y������{��tv�{���kw�t¥xryÏ�I���{�v����pz�u��� �§FxVã�Cpz��/¥¹�«C¸21.prnLsut�~�t�x�~Txzy{n~��.n��Lt�­��L��xztv�C�£�����N�Ds^� ������xzy{n ��¶@%��pz�N� ÆÑã�Npz�NnLp)����� §}��yu�{��xzn£/ ±�<u�k±N¬!1A�o§Fx�ã��pr�V�C�v~z�0�{prn�~znL�Fxr~���-�N���{tv��n�p*��pz�N� xzy{n£tv���.nLp��^xztvsNn)�-�Cprn��C�*�N�Ds^��nL��pzt���y{nZ�7w�t¥xry��n-xry{�}�'�����v��~T�C���q�CtvsCnZ~¢� �-�Cprprn���xr�{n�~r~T�{pr�F�C�.�C��xry{n��L�C���{tv�vnLpw�t�xzy prn�~z��nZ��x'xz�Äxry{n7~�n������Fxzt��L~)���¤�N�DsD�V������xzy{n0��¶@% ���Cp

xzy{n)~r����n¤��pr�C�C��n��Nx�~-��*y{n ���Cpzxzy��-�C��tv�{� ·¥�C���u�C�� `�u� §FxVã�Cpz�.� §}��y{��t��������

Æäã�Npz�NnLp²/ ¹Z«�³21}�{pr�^sutv�{n�~����-�N���{�vn-xrn�prnLsut�~�tv�C� �C���)nL|FxrnL��~ztv�C�)�C�xzy{t�~�n���pr�vtvnLp<w$�Cpr� �}n�~r�-prtv��nZ�����.�^sCnC���*y{n$����tv���L�C�Fxzprtv�{�}xztv�N��~����xry{n��C���u�C�&��prn�¯¥ 'P�0'¤§�% ~��.n��Lt¥­.�L�^xrtv�C�)�C�·�N�Ds^�¤�N~k� ~�n�pztvn�~T�C��­�sNn��v�D�NnLp�~���Cp�xzy{n�¹Z½P¦ ����n�pr��xztvsCn �-�NpznC�·±N½�§Fx��^xrtv�q©��v�N~z~zn�~L�.¸F½�Ѥ�}�& n��-xJѤprtvnL�Fxr��xztv�C�·��³F½<¨J|{�-nL�{xztv�C��~������{5C½<�*y�pznZ�C�{~L��¨��N��y���D�CnLp¼�nL|{�-nL�{x�xzy{n ­�pr~�x�½$t�~��0Ô�u^Û{ÇLÊLÖ�ÚDÈCËÍ×�Ú^Ê�Ê��NË»ÊLÛ{Ç�×�u^ÛÄ�C�xzy{n ��pzn�sFtv�N��~-�

¥ 'Ð~z��nZ�-t�­��L��xztv�C�q���Yxry{n��C¶C% w�t�xzy£xry{n¤~r����n*���D�Cn�pztv�{��C~���Cp��N�Ds^�}�

¥ '`�{�^sCn��·�u�Nxrn��L�u�{n sCnLprt�­�nLp��L�C���{�}xrtv�{�'��pztv���Lt������.x��u��nZ~-��������q�v�N�C�{t����'�-�N�����N�{nL�Fx��¥ ' ~z�.n��-t�­����^xrt��N�7���Jxry{nq�L�C���{tv�vnLp*���Np�xry{n'­�pr~�x³����D�Cn�pr~L�tA� nC�¢nL|{�-�v���}tv�{��xzy{prn��N�{~-�¥ 'P�v��~z��nZ�-t�­����^xztv�N��~¢��prn$���N��y{tv�{n*pznZ�C�{�C�{�vn��^xry{nL�£��prn�n-|}n-��-�}x����{�vn$��~zt�����xry{n+'�~z�;6�����nLpTxr�F�N�v�Ft�x����*y{t�~Tt����-�v���}nZ~��C����v�C�Npzt�xry{�j'¤~��;6��C��nLp$��~�nZ~Jxr�q�L�C���{�{xznPxry{n�x��u��nZ~����Np$��{pr�C�Cp����;t��¢t¥x�t�~�x��u�����{�vn�^x��C���A�

¥ º{�Npz���C�$��pz�u���Í~£�C�¤xry{nÄ~z�C�{���{�{n�~r~£����xzy{no�C�Ds^�Ixzy{prn��N�~��u����y�pz�N�{t�~z��xztv�C�����}�}n��é�$xzy�n7x��F�.nI~z�C�{���}�{n�~r~��C� �N�Ds^������ xzy{n�x��u�.n7~z�C�����}�{nZ~z~'���Cpqxry{n0�-�C�q�{tv����xztv�C�ª���¤xzy{n��¶@% w�t¥xry�xry{n �u�Fxzn �-�}�}n sNnLprt¥­�nLp��

¥ ' ���Npz���C�C�{pr�u���{�C�{xzy{n*�-�Npzprn��-xz�{nZ~z~����}xry{n$�L�C���{tv�vnLp·w�t�xrypznZ~��.n��-x<xz��xzy{n$�C�Ds^�P�C���)��¶@% ~z��nZ�-t�­��L��xztv�C��~-���C���)�*���Np�������.�{pr�F�C�·xzy���x�xry{n �-�N���{tv��n�pkt�~��L�C���{�vn-xrnPw�t�xzy�prn�~z�.n���xxz�qxzy�n �F�Fxrn��-�}�}n sNnLprt�­�nLp��

�*y{n����.�u�C�V�{�FnZ~)�{�Cx'�-�N��~ztv�{nLp��N�DsD�7���C���^���Nn�~L�T�-�N���{tv���^�xztv�C�2�{��t¥x�~-�P�F��pr�����NnÄ�-�N���vnZ��xztv�N�·�$�C���Ð�-���N~z~��v�F�C�}tv�{���^x&xzy{n�C�Ds^���vn�sCnL�K(I�-���C~r~P�v�F�C�}tv�{����x¤xry{n��C¶C%(�vn�sCnL�¢t�~�xr���NnL�Vt��Fxr��C�L�L�C�{�Fx��£�*y{n���n����Cpr�&���}�}n��kt�~��C�o�C��~�xzp��C��xrtv�C�Ä�C�*�N�DsD�� ~��n���y��C�{t�~�� xz�`�Cn�nL� ���}�����qw��Npz�utv�{�"��n����Cprtvn�~0�-�N��~ztv~�xzn��Fxw�t¥xry�xzy�n&���Ct��ª��n����Cpr����º��^w�n�sCnLp��¢xzy{n0�C���u�C�oprnL�{prn�~znL�Fxr~��~�tv�C��t¥­.�L���Fx*�����C���Nx��C�Tw$�Cpr�������&�NtvsCn�~�xzy�n)���N~�xP�-�C����pznL�y{nL��~ztvsCnP�C�����-�N��~ztv~�xzn��FxJ���Cpr�������N�L�L�C�{�Fx��C�·xzy{n�-�N�'�{tv����xztv�C����¢�N�Ds^�£������xzy{n��C¶C%��{xz���{��xzn��m����v���C�Lno�NtvsCn�~0�"pznZ�C~z�C���C�{�v�Ð�-�N���{�vn-xzn ~z�.n��-t�­����^xrt��N�X�C�

�C�Ds^�}�Y����~z�q���C~zn��0�N�7xzy{n�'¤§.%5��p�����n�w��Npz�.�����}x¤�{�Cx��L���F~�n��v�pzn��v��xznZ�xz�xry{n*w��Npz� �C�.ÆÑã�Cpr�Cn�p¢�C���£§}��yu�{��xzn���mª�C�v�v�N�-n ~�w��Npz�t����-�v���}nZ~¢�'�{��xrt¥�Axzy�pznZ�C�}tv�{���D�C���qn-|{�-n��}xztv�C�£y��C���}�vtv�{�{�����}x�n-|u��-�v���}nZ~&�L�v�N~z~��v�N�C�{t���� �����"�N�Cpz���C�CnI�L�C�v�vn��-xztv�C� / ¹�<�³21A� �*y{nw��Npz��t�~$�{�{prnL�v���£~�xz���}�&���¢~�n������Fxzt��L~L�

Þ�Qd� ±Ê_.U`_�i�kºÖgW#UXn�f3b�i�b'\ÓF�{t����£�v�u�C���^x$xzy{n�{pr�}�-n�n��}tv�{�F~��C�T�-�N�}��nLprnL���-n�~$������w$�Cpr�F�~�y{�N��~q�C�Ï�{pz�N�Cp�������tv�{�7�����{�N�����Nn�~�t����}t��L�^xrn�~)xzy���x£s^�Cpztv�C��~

¹!<

Page 19: Formalising the Safety of Java, the Java Virtual and Java Card

~�x��^xrtv���������v�}~�nZ~�y��DsNn&�.nLn��2�C�{�C�}xznZ� xr���Cp�~��.n��Lt�­��L�C���v�ª�}n-�sutv~zn��V���Np£�N�Ds^�}�V§Fx��^xzt����C�����v�}~ztv~�C��� �C~r~z�u�Lt��^xznZ�o�C�}xrt���t�~r�^�xztv�C��~ ��prn�n-|}��nZ��xrn��oxz�I��n��L�CprpznZ��x���tA� nC��xry{nL�ª��prn�~����{���F~�nZ�xz�0�{prn�~znLprsCn'xzy�n���n�����t����&�C�$�{pr�C�Npr�C��~-��¨JsNnL�Vxzy{�N�{�Cyoxry{t�~t�~ ����tv�����Np�x����Fx �C~z��nZ��x)���P~zn��L�{pzt�x��C���0�-�N���{�vn-xzn�~z�{prsCnL�I���xzy{t�~0�}�N����tv�Ðt�~���n��C�N���Ðxry{n ~r�-�C�.nª���qxzy{t�~7���C��n�pL� º��^w*�nLsNnLp��¢w$n & ��~�x��}p��DwÜ�N�{p£�^x�xrnL�Fxztv�N�ªxz�Äx�w$�Äx��u�.n�~'�����C�����v�F�~�t�~�xry��^x'~�xz���}�V~z�C��n��N�DsD�7~z��nZ�-t�­����N~��.n��-xr~L¯�n�~r�L�C��n��C�����v�F�~�t�~���Np'�N� & n��-x��»�CprtvnL�FxznZ�V���C�{�C���C�CnZ~ ����� �C�����v�}~ztv~prnL����xzn��Vxr��'���¥xrt��éxry{pznZ�C�}tv�{����¼�'��{��xry{nLp���pznZÓN��nL�Fx¤�������v�}~�t�~*�-�N���-n�pz��~���pz�pr�D���.�C�����7��y{n����}~L�²½mÐy����vnL�ª�����qN�tv����p�� /¥¹!<>8�1*��pznZ~�n��Nx£�V�L�C�q�{tv�{n��o�.�Ctv�Fxzn�p

�����qnZ~z�����.nP�����C���}~zt�~����v�N�Cprt¥xry{�`���Cp��N�Ds^���{pz�N�Cp�����~L�c"�~ztv�{� ��{�^x��VA��^wX�����{pz�F�C��y�xry{nL���-�N��~�xrpz����x��'�Npr�C�{y�w�y�tv��y���y���p��C�-�xzn�pzt�~zn�~<y��^wos^�Cpzt�������nZ~·prn-��nLp�xz�¤��xry{nLpT�C� & nZ��x�~�tv� xry{n���pz�N�Cp����7�"�~ztv�{��~�����y2tv�}���Npz����xztv�C�<�kxzy{n��Ï�.nLpz���Cpr� �ªxrpr�C��~����Cpr���^xztv�N�xzy���x�prnL���^sNn�~T�{�{�{nZ�-nZ~z~r��pr�'~z�u����y{pr�C�{t�~r�^xztv�N��~-�c'¤�{�}t�xztv�N�����v�v���xzy{n��0�}n-xrnLpr��t���n�w�y�nL�Ä�N� & n��-xr~P���D�&��nq���v�v�}�L�^xrn��&tv�7xzy{n'���C��L�C��~�x��C���Ätv��~�xznZ�C�V���*xzy�n�~�y���prn��Vy{n��C�·�)'���t��FxrnLprn�~�xztv�{�7�C~����nZ��xJ�C��xzy�nLtvpJ���{��pz�F�C��y�t�~Tt�xr~k�L�C���.�N~zt¥xrtv�C���C�����^xr�{prn��F�N�L�L�Cp��u�tv�{�xz�'w�y{t���y'xry{nL���C�����v�}~�n*��nLxzy{�}�{~�t����}nL�.nL���{nL�Fxz�v���C�·xzy{n�tvp�L�C���vn�pr~P�C���0xry{nq��n-xzy��u��~�xry{nL�Ä�����v�A� §}����yV���-�N�����F~�t�xztv�N��������{��pz�F�C��y�t�~$n�~r~�n��Fxzt��������Cp��-�N�����N�{nL�Fxz�A���N~�nZ��~z�u~�xzn���~�w�y�nLprn���Np�xrtv�C��~�����xry{n��-�}�}n$���D���n*�v�N�N�}n�� �}�u���C��t��L���v�v���D§uprnLnZ�}y��CpÊLË�È�ØÍÌp/ ¹Z«{¹�1¢����~z�£~zy��Cpzn)~z����yÄ���{prnL�}���-�{����xztv�C��tv�7xzy{n'�}n�~ztv�C����Jxry{nLtvp �C�C�����.nL�{���-�C����t��vn�pL�7'P�ª����xzn�pz����xztvsCn)�C�����v�}~ztv~P��~�nZ����Cp~�tv��tv����p*�C�{xztv��t�~z��xztv�C��~$t�~��}n�~r�-prtv��nZ�0�u�Ä©�y��CtPÊLˤÈ^ØÍÌÊ/ ³�=?1é�¦ �Ä~��N��n��n�����y{����pr�}~-�}xry{n�~zn��C�����v�}~�nZ~$pzn����^sCn���nLx�w�n�nL�I±�=�(< =�» ����~z�u����y{pr�C�{t�~r�^xrt��N�Ä�C�.nLp��^xrtv�C��~L�T�C������prn����{�vn£xr�Ä��n�p�����Cpr� ~�xr�C���&���v�v�u���^xrt��N��~¢���Np�±�=�(.8>5�» ����xry{n �C� & n���x�~-�$ѤsNnLp����v���n�p����Npz���C���-n�t�����pz�^sNnL��nL�Fx tv� xry{n&p������Cn�±�(}± =�» w�n�pzn&�C�}�~�n�pzsNn��Y�ºT���������N�C��������º�pzn��{���Å/ «C¸21$�{prn�~znL�Fx'�V~�x��^xrtv�������C���}~zt�~���

�C�Ds^����pz�N�Cp�����~�������nÄxz�Ï�{n-xznZ��x�pr�N�-nI�L�C���}t�xrt��N��~�tv�Ð�q�{��xzt��xzy{prn��N�}n��X�{pr�C�Npr�C��~-� �*y{n�tvp7�C�����v�}~ztv~�t�~&���C~zn��X�C�`�Ï��nLwx��u��n0~z�u~�xzn��7�Jw�y{t���y �vtv�Cn��C� µ�n-¡Yn���x�~z�}~�xrnL�¹¶�/¥¹D¬�¸?1é�*~��.n��Lt��­�n�~kxzy{nP�v�}���}~TpznZÓN��t�prn��'�u��nL|u��pznZ~z~ztv�C��~L���*y{nLtvp¢���Npz���C��t�~r�^xrt��N�t�~����N~�nZ�Ð�N�X���Xn-|uxzn���~zt��N�Ð���£ºT�v��xªÊ�Ë�È^ØÍÌ� ²~åNQPSRUTVT3WDXZY[RS\[Rw�t�xzyæ�.«>ªS�Ä�������2¦ §�¨2©�ª�«2§M¬�­.®�¯�~�x��^xrnL��nL�Fx�~{/ «�³21A�09P��t��{��nLpz�nL���Ln��C���N�Cprt�xzy{�2t�~<�C¡.n�pznZ�Y��~��Pxzy{n$�{pr�C�Cp�������n�p�t�~�pznZÓN��t�prn��¤xr����{����xr��xzn*xry{nP�{pr�C�Npr�C� w�t�xzy��v�}���N�»prnL���^xrn��x��u�.nPtv�}���Cpr���^xrt��N�·�

Þ�Q�°  of�_�[]l�r+s3[Ô³�r+s#i�¤@k�U`_.iSrOW§unLsNnLp����'�{pz�N���F~z�C��~Äy��DsNn �.nLnL� ���C�}n xz�\nL�{y������Ln xry{n ~zn-��-�{prt�x��V�C�¤�C�Ds^�0��pz�N�Cp�����~ �u�����}xr�C����xzt��L�C���v�7���}�}t����ut����0t��{��-�N��t����"���{����nLxr~L��~��N��nÏ~�xr�����{��p�� �L�v�N~z~zn�~V�Cpª�.��xry xr�`pznL�~�xrpzt��-x xzy�n ���������Nn xry��^xÞ�L�C� �.n �}�C�{nÒ�u��pz�N�C�{nÒ���}��{�vn-x�~-� Æ*�����Í���{� ����� º{n���xznL� /¥¹D¬!1 prnL���C��n xry{n�~�x����}��{��p��ÈçM�§����® È.�.��������è�«���¯�® ªÎxz�½éM�§����®>È.�.��������è�«���¯.®>ª��)�C���xzy{n�� tv��~�n�p�xI�Ð�{nLwêçM�§����®>È.�.��������è�«���¯�®>ª xzy��^xV~z�{�Y�-���C~r~�nZ~éM�S����®>È.����������è.«���¯.®�ª.�&�*y�n��{n�w �-���C~r~ �.�C��~'�{� �V~�nZ�-�{prt�x���}t����v�C�N�{n��F��¡YnLprtv�{��xry{n ��~znLp*���{�v�<�L�C�Fxzpr�C�A�§}y{tv� �����m%Ät¥x���y{nL�v�)����xV�N�{�v�XprnL������n �-���N~z~zn�~7�{�{xª�C�v~z�

��n-xzy��u��~-�I�*y{t�~ t�~��{n��Ln�~r~z�Cpz�V��nZ�L����~�n�­������$�-���C~r~�nZ~ �L�C�{�{��x��n0~z�{�.�L���C~r~�nZ�4/ ¹?5�8?1A�Ï�*y{n�� ~�y{�^w y{�^w ~z�C��n��L�C�����C� ��x��xr�C���}~*�L�C�7��n)�DsN�Ct��}n�����~�tv�{�'xzy�nLtvp���n-xry{�}�Y�%Ä�C�v�Fy�t.�C����NPnLt�xzn�p��N�q�C�{��xry{nLp�~�xznL�&���{pzxzy{n�p*�F�&�C���u�{�^w����n��}�Nt����ªxzy���x&xry{nI�.n�~�x7�{n-��nL��~�nVtv~�xz� ~�n�����p��^xrnI� �.��xrnL�Fxzt�����^x�x��C���NnLp¤��pz�N�,t�xr~�sutv�-xztv�7�'�*y{n�tvp~z�}~�xrnL�,���}�}t�­�nZ~¤�C�{�{�vn-x�~-�~��£xry��^x¤xzy{n��&���D�&��n'pz�{�0�N�Ä��~znL���Cpr��xzn)~z�u~�xzn��Ò�����v�vn���xzy{n�{���D�F�Npz�N�{���Y�H'P�`���{����nLx&���D�Ïxzy{n��"��prnLn��v� �N�L�-nZ~z~�xzy�noprn-�~��N�{pr�Ln�~'���¤xzy{n£·Ù�{���D�F�Npz�N�{���� ��kxz�ªw�y{t���y ���oprn��C�*y���pr�(�L�C���n��{�C�{n;/¥¹C¹Z«?1A��ºTtv���C���v�C�u�u�Fxzn'�-�}�}n)prnLw�prt�xztv�{�qy��C~¤����~��q�.nLnL��{pz�N���F~�nZ�7xz��·Ù���C�-pr��nL|u�������� ·~z�{�{pr�C�}xrt���n�~¤w�t¥xryÄxry{nq�Ctv�Ò�C��DsC�Ct��}tv�{� ~z�{�{pr�C�}xrtv�{nP�.�C�v�u���Cpr�{y{t�~��7�C�C�����C����xzy�n¤���}�}n����vtv�{��{pz�N�{�vnL��~�xzy{t�~*�{prtv�{�N~$���.�C�{x(/ «u¬!1é�Þ�Qd¸  of²_.[]l�r+s3[ëÖgW#WCrp_.U`_�i�rOW�*y{nI�-���N~z~£­���nÄ���Cpr���^x�t�~�ÓF�{t�xznâA�n-|}tv�{�vn0t��Îxry{nV~znL��~�n0xry��^xt¥x���v�v�^wP~$n-|uxzp���tv�}���Npz����xztv�C�&xz�&��nq~��{���{�vt�nZ�7w�t�xzyI�L�C���{tv�vn���C�Ds^�V�{pz�N�Cp�����~L� ¦ �Î����p����v�vnL��xz�oxzy{nÄ~�xzprn��C�����)��¶@%��u�Fxzn�-�}�}n�~L��º��{����nL��Ê�ËkÈ^ØÍÌ�/ 8N±�1.�{pr�^sFt��}n*� ~�xzprn���� ���·���{����xr��xztv�C��~xzy���x�nL���C�{�vn£xzy{n7��¶@% xz�IpznZ�-prn��^xrn�tv�ª�I�-�N~�x�nL¡.nZ��xztvsNn�w$�D�~�xrpz���-xz�{prn��·�Fy{tv�Ny}�A�vn�sCnL���-�C����t��vn�pkt��{���Cpr���^xztv�N�·�TѤ�{n�����pzxzt��-�{��v�Cp��C�{�{�vt��L��xztv�C�7����xzy{nqxrn���y{�{t�ÓF�{n'tv~¤xr����pz�^sut��}n)tv���}t����^xztv�N��~���CpPprnL�Ntv~�xzn�p$�C�v���}���^xztv�N�·�Fw�y�tv��y�w$�C�{���&��xzy�nLprw�tv~zn�pznZÓN��t�prn�}n-�xr��tv�vn��)t��{���Cpr���^xztv�N�)�����q�����C�v�u~zt�~��C���{pr�C�Npr�C��~-�c'2~ztv�C�{t�­������Fx�C�}s^���Fx����Cn��C�·�F�Fxrn��-�}�}n����{�{�Cxr��xztv�C�qt�~kxzy��^xJxry{n�nL|Fxrpr�)t��{���Cpz����^xztv�N�Ätv�o�L�v�N~z~¤­��vnZ~ �L���ª~r�^��nL�v�0�.n�tv�C�{�NpznZ�0�u�Itv���{�vnL��n��}�xr�^xrtv�C��~)xzy���x��{�I�{�Cx£~z�{�{�.�Cpzxqt�x�� �*y{n&���Ctv� �}t�~z�N�}s^���Fxr�C�Cntv~ xzy���x)xzy{n�pzn�t�~ ���0�C���Cpr�C�NxrnLnqxzy��^x)xry{n&�C�{�{��x��^xrt��N��~�C�-xz�}����v�v�'�-�Npzprn�~z�.�C���£xr��xry{n�u�Nxrn��L�}�}n�~L�uxzyu��~*�-prn���xztv�{�)�.��xrnL�Fxzt����~�nZ�-�{prt�x������u�N�{y{�C�vnZ~-�Þ�QAÞ e4i�b�k�ZCb�b�iSrOW¦»xy��C~�{pr�^sCnZ�Ä�}t�-��-�{��x�xz�7tv���{�vnL��nL�Fx��N�Ds^�&~r�^��nLx��7��n���xz�{prn�~�-�Cprprn���xr�v���"¦ ���{nLn��·�P�{�{tv���}tv�{�o� �N�Ds^��~��}~�xzn�� w�t�xzyÐ�N�L�-n��}x�����{�vno��n�p����Npz���C���-nVpznZÓN��t�prn�~&s^��prtv�C��~&�C�}xrtv��tv~r�^xrtv�C��~L�Pw�y{t���y���C~zt��L���v�v�'�{tv~�xzprtv�{�}xrn�xry{n tv���{�vnL��nL�Fx��^xztv�N�q�C�T~r�^��nLx�����n���xz�{prn�~xzy{pr�C�{�Ny{�C�{x·xzy{n$�-�C����t��vn�pY�C��� �}t�¡YnLprnL�Fx<����pzxr~����uxzy�n�pr�{�Fxztv��n~��}~�xznL�7�\�*y{n0s^��prt��N��~£�-�N�����N�{nL�Fxr~£prn�~z�.�C��~ztv�{�vn����Np�~z����n-x��t��FxrnLp��C��x)tv� �L�C���{�vn-|ow$�D�}~L�¢�LpznZ�^xrt����Ä~z�L�C�.n����Cp£�}n�~ztv�C�������t�������n���nL�Fxr��xztv�C�q�{pr�C�{�vn���~-��*y{n)­�pr~�x�tv���{�vnL��n��Fxr�^xrtv�C��~������C�Ds^�£w$nLprn)���N~�nZ�&�N�0�u�Nxrn-�

�-�}�}n7tv�NxrnLpr�{prn-xzn�pr~L������� w$nLprn&p�����tv�{���ªprnL�{���N�-n�� �F� & ��~�xz�Atv�}�xztv��n'�L�C���{tv�vnLp�~��C�{�vn)xz��xrpr�C��~����Npz� �u�Fxzn��L�u�{n�~tv�Fxz�7�C~r~�n��£��{�v���L�u�{n���mªn'�Cpzn��{�^w �C��~znLprsutv�{�qxzy{n'nL��nLpr�Cn����-n �C�����{n�w�CnL��nLp��^xztv�N� ���Y�C�}xrt���t�~ztv�{�P�-�N���{tv��n�pr~�~�����y£�C~k�N�������.nL���{/¥¹�«{¹1é�%0�CprnLtvp���ÊLËTÈ^ØÍÌ�/¥¹Z±C±?1�~�y{�^w xzy���x¢�u���C�{�{�v�utv�{�����N�Cprn�~r~�tvsNnk�C�}xrt¥���tv~r�^xrtv�C��~<���Cp��N�Ds^�. ²~���pznZ�-t�~�n$n-|{�LnL�}xrt��N�'���}�}n��A�C��prpr�D� �.�C�{�����y{n����utv�{�{�Y������A��N��xztv�{���.�Ctv�Fx�~znL���C�Fxzt��L~L�.�N�DsD�&�L�C�Ä��nZ�-�N��n�-�C���.n-xrt�xztvsCnPtv����n�p����Npz���C���-n�w�t�xzy7º{�Np�xrpr�C�����Cp��u�{��n�pzt������}��{�vtv���^xrt��N��~L�cºP�^w$nLsCn�pL�N�{pz�^sutv�{��xzy�n¤�-�Npzprn��-xz�{nZ~z~J���<~�����y��-�N�£��{tv��n�pr~$t�~P�������{�Fxztv�{�£x��C~z�.�.�}�{n)xz��xry{n��vnLsNnL��~$���kprn-­��{n���nL�Fxr~xzy���x¤w$�C�{������nqprn�ÓF�{tvpznZ�Y�¤§u����yÄ��w�y{�C�vn �{pr�}�-nZ~z~�y��C~�pr�Cpzn������n�nL�£��n�p����Npz��nZ�)���Np���-�N���{�vn-xzn*�������C���C�Cn�¯<w$n���prn*�C�{�v���C�{�vn

¹!8

Page 20: Formalising the Safety of Java, the Java Virtual and Java Card

xz�¤��nL�Fxztv�C��xry{n�sNnLprt�­�n���tv���{�vnL��n��Nx��^xrt��N�P¶C��t�~��;/ <{¹1é��tv���L�����u�tv�{���L�C���{tv���^xrtv�C��xz�0�u�Fxzn��-�}�}nC���u�Fxzn��-�}�}n�sNnLprt�­��L��xztv�C�Ä�C�����nL���Npz���������C�Cn���nL�FxP���Cpxry{n������{�N�����Nn'§}��y{n���n���w�y�tv��yVt�~�}n-­��{t�xznL�v��~z�����v�vnLp�xzy��C�7�N�Ds^�}�¦»x$t�~J�{�Cx��{���L�C�����C�q���Np�~�xr�^xrt��P�����C�v�u~zn�~Txr��prn�ÓF�{tvprn$w�y��C�vn

�{pr�C�Cp�����~��C~¤t����{�}xL�<���}x)~�����yo���o���{�{pr�N�N��yÄt�~�����x ~��{t�x����{�vn���Cp �{pr�C�Npr�C��~P�v�N�N�}tv�{���L�u�{n��}�u������t��L�C�v���C� mon�y��DsCn£~�n�nL�ª��-�N�{�{�vn ���J���C��n�pr~¤�C�{�{pznZ~z~ztv�{�qxzy{t�~¤�{pz�N�{�vnL�7���C���0w$n�n-|}�.n��-xxzy{t�~�xz�N�{t��0xz� �.nIxry{no~z�{� & nZ��x7���)����p�xry{nLp7tv�usCn�~�xztv�F�^xztv�N� �N~�-�N�����N�{nL�Fx��»���N~�nZ��~��}~�xzn���~��.n��L�C��n���Cprn��{pzn�s^���vnL�FxL�©��N����nLp��-t����}tv�Fxzn�pznZ~�x�~$�{���}n�pr~�xr�C���{�������q�{prn-��n�p��{pznZ~�n�pzsutv�{�

xzy{nP�L�C������xztv�{tv�vt�x���w�t�xzy£n-|}t�~�xztv�{� �C�Ds^��tv��~�x����v���^xrt��N��~L���{�}x$�}t������nLprnL���Ln�~��.n-x�w$nLn��7xzy{nq��¶@%�������xry{n'�N�DsD�q�������C���C�Cn�}���{�Cx�-�N��~�xrt�xz�}xrn*xzy{nP���F~�xJ���^xz��pr�C�{pz�N�}xznPxz�)�{��t����q~z����n�������~�nZ�-�{prn~��}~�xzn���~-�"§u�N��n&�C�¤xry{nÄ����xzn�pz���^xztvsNn&�����{pz�F�C��y{nZ~q���D�ªxz�{pr��C�}x*xr����n s^���v���C�{�vn�tv�&xzy{n���}xr�{prn��

ì J j+L j �]I iJÅ8íÄl�j�h¢Å�Á ÀµJpr�C�Npr�C�XsNnLprt¥­.�L�^xrtv�C� �-�N�Nxrpztv�{�{xzn�~�xz�¤xzy�n*~r�^��nLx�� ���·�C�Ds^�P��pz�C��Cp�����~���nZ�L����~�n&���Cpr�����v�v�ÄsCn�pzt�­�nZ���{pr�C�Npr�C��~)�-�N�Nx���tv�ª��nLw$nLp�}n�~ztv�C� �C��� t�������n���nL�Fxr��xztv�C�\�{pr�C�{�vn���~-� mªnÎpzn�sut�n�w(���}��{pr�N�C��y�n�~�xz� �{pr�C�Npr�C� sCn�pzt�­����^xztv�N�)���C~zn��'�C�£���}�}n��{��y{n����utv�{������q�N�'xry{nL�Npzn�� �{pr�^sutv�{�{�<mªn��}t�~r�-��~r~Txzy�n�~zn*x�w��xrn���y{�{t�ÓF�{nZ~tv�&xry{n ���N���v�^w�tv�{�q~�nZ��xztv�N��~-�$�*y{n(�TÑ Ñ�µ �{pr� & nZ��x��Ct���~$xr���}n-�sCn����N� �ª�-�C����pzn�y{nL��~ztvsCn���nLxzy{�}� �C����xr�u�C��~)xr�VsNnLprt������N�Ds^��{pr�C�Cp�����~��C���7xry{nq�N�Ds^�¹'�µ�¦��Y�*y{t�~¤t�~��}t�~r�-��~r~�nZ�7tv�Ä��~znL�����pr��xzn$~�nZ��xztv�N��¼A¬F�²¸N½��k©��}�}n*�-n�p�xrt¥­.�L�^xrtv�C�t�~����{pz�N�Cp����\sCn�pzt�­����^�xztv�C��xznZ��y{�{t�ÓF�{n�xzy���x*t�~*���Cp�xrt��-�{����pr�v�������{pz�N�{prtv��xzn����Cp����C��t��vn�-�}�}nC�Tmªn)�}t�~r�-��~r~$xzy{t�~�xznZ��y{�{t�ÓF�{ntv�7§unZ��xrt��N�0¬u� ³��î QSR ³�r+s3[^n�lælC[ck[�+iSWCY°�n�����pzxztv�{t)Ê�Ë'È^ØêÌ,/ 5N±�1é�P�C���Î����~���º��DsNnL�v�{���\ÊLËqÈ^ØÍÌ,/ <C«21¤�}n-�~z�Lpztv�.nªy{�^w��-�Cprnª��n���xz�{prn�~Ä�����C�Ds^�Î�L�C� ��n �����{�.n��`�N�Nxr�xzy{n�µ�pz�N��nL���������{�N�����Nn)����xzy{n�§}µ�¦S9Ü���u�{nL�J��y{nZ���CnLp��'Æ$��xry���}�}nL�k�q�{��xzt��Axzy{prn��N�}tv�{�������ª�C� & nZ��xr~L�`º¤�DsCn�������� Ê�ËÈ^ØÍÌk�C�v~z����}�}nL�}nL|}�LnL�}xrtv�C��~L�TÆ$��xry����{��pz�F�C��y{nZ~����}�}n��uxzy{n��C� & nZ��xr~J��~��tv�{� µJpr�C��nL���� ~T��prpr�D�}~L��w�t�xzy£�C�{nP�Cpzp��D� nL�vn���nL�Fxk��n�pJtv��~�x������Ln���Txzy{n'�-���C~r~-�J�*y{n�pznZ~��{��xrt��������}�}nL��~*ÓF�{t����u�����Npz�^wÐxz�u������pr�Cnxz�o���}�}nL�*��y{n����on-¡Yn��-xztvsCn��v����Æ��Cxzy ���{�{pr�N�N��y{n�~)�C�{�v����y{n�������Cpq~z����n-x��ª�{pr�C�.nLpzxztvn�~�¼Ín�� �{�ª�C~r~�n�p�xrt��N��~L�T�}nZ�C�}�v�}���{½��k����� �{��{��x��{pz�^sut��}nk~z�{�{�.�Cpzx����Cp�xzy{n$��y{n����utv�{�*���}�vtvsCn��{n�~r~Y�{pr�C�.nLpzxztvn�~L�Ѥ�{n$���{xry{n����F~�xT��~zn-���{�F��n���xz�{prn�~T�C�{xzy{n�§}µ�¦S9 ���}�}n��u��y�n����Cn�pt�~Jt�xr~����{tv�vt�x��xz�'�{tv~z�{���D��~r�-n�����prtv�N~¢�vn��N�}tv�{��xz����pz�N�{�vnL��~k~z����y�C~'�}n��N�}�v�u���}~L�I°�n�����pzxztv�{t¤Ê�Ë È^ØÍÌkxr���Nn��L�Cpzn�xz�IprnL����xzn£xzy�n�~zn~z�LnL���Cpztv�F~*���C����xz��xry{n��Npztv�Nt������<�C�Ds^��~z�C�{p��-nZ~-�.�����utv�{�qxzy{n�tvpxz�u�C�����Cprn���~�n�p���pztvn����}�v�£xzy��C�7xzy���x����pº��DsNnL�v�{���ªÊ�Ë*È�ØÍÌ���º{�Cp~����C�v���{pr�C�Npr�C��~P������tvsCn'�����{��t�������pz�N� �C�Ds^��xz�&xzy{n£tv�{�{�{x�����{�N�����Nn����¢�£���}�}nL�·��y{nZ���CnLp*t�~*��~zn-���{�A�{t�x�t�~$�{tê-��L�{��x$xr��~�n�ny{�^wÐxry{n prn�~z�{��xr~$��tv�CyFx$~r�L�C��n��{��xz�����Cpz�NnLp�~z�}~�xrnL��~L��CnL��~�n��2Ê�Ë È^ØÍÌ+/¥¹!=�¹�1���~�n����}�}n�����y{nZ���Ftv�{��xr�ÄsCn�pzt����Ä�{pr�C�{�

nLpzxztvn�~P�����C�Ds^�£�{pr�C�Npr�C��~-�*���&�C�{�}prn�~r~*xry{n'~r�L�C�v�C�{tv�vt¥x��qt�~z~z�{nC�xzy{n�����~zn������Cprn�����~�xzp��C�-x$�C�{�{pr�N�C��y£xry����7°¤nL����pzxztv�{t¢ÊLË�È^ØÍÌ��

�CpOº��DsNnL�v�{���7Ê�ËTÈ�ØÍÌ��k¦ �£xzy{n��{pr�C�.�N~r���}�u�£��n���~�n��7Ê�ËkÈ^ØÍÌ��}~�xr�^xrt�������C���}~zt�~¢xznZ��y{�{t�ÓF�{n�~*��prn���~�nZ��xr�£pznZ�}���-n���C�Ds^���{pz�N�Cp����Üxz����-�N�Nxrpz�N�^A��^w`�Npr�C�{y7w�t¥xryÄ�C������xzy{prnLn'�C�.nLp��^xrt��N��~L¯���n-xry{�}��L���v��~L�*��nLxzy{�}�"pznLxz�{pr��~������X�C~r~�n�p�xrt��N��~L��' ~�tv���{�vn0�C�.nLp��^�xztv�C���C��~znL�����Fxrtv��~$���¢xzy{n�xzy{prnLn��C�.nLp��^xztv�N��~��}n-­��{n�~Pxzy{nq~�x��^xznxzp�����~zt�xztv�C��~����<xry{n)����~�xrpr�N��xP�C�Ds^�)��pz�N�Cp����7�F�C���&��tv�{nZ��p�xznL�£����Npr�C�T�v�N�Ct�� ���Npz�q�{����nq�}n-­���n'xry{n��{pr�C�.nLpzxztvn�~��C��xzy�n�~��}~�xznL�7�'�~���� n-|{�C���{�vn�������~zn��*�CnL��~�n��`Ê�Ë�È^ØêÌ$~zy{�^w y��^wÞxzy{nÄ~z�}~��xznL�,�����Ä�.n���~�nZ�0xz�&���}�}nL�T~�x��C���7tv��~��.n��-xztv�C�0�C���7xzy�n£�N�Ds^�~z�C���}�.�D|£/ ¹N¹!<?1A��*y{n;Æ*�����{nLp��Þ�{pr� & n��-x�/ ³N«?1��{pr�^sut��}n�~Ð~znL��t�� ���}xr�C����xzn��

xz�u�C��~����Cp������{�{tv�{���C�Ds^����pz�N�Cp�����~*xr��xry{n£t����{�}x�v�C�{�C�����CnZ~���$§}µ�¦S9 �C���I§.%Ķ)���*y{n'xzy{prnLnq����tv�7xr�F�N�T�L�C���.�C�{n��Fxr~���prn�Ä�{pr�C�Npr�C� ~z��t��LnLp��¢�C� ����~�xzp��C�-xztv�C�ªn��{�Ctv�{nC�k�C��� �Äx�w��Vw$�D�xzp�����~z���^xztv�N��~��}~�xzn��7�*�*y{n­�pr~�xPx�w$���-�C���.�C��nL�Fxr~*�.��xryÄ~�n�pzsNnxz�Î���}xr�C���^xrnIxry{n��-prn���xztv�C�2�C�'���}�}nL��~&w�t�xzyX~z�����v�vnLp&~�x��^xzn~����N�-nZ~£xzy��C� xzy{nÄ�Npztv�Nt������P�C�Ds^�o�{pr�C�Npr�C��~-�"�*y{nV~��vt��-n�pqprn-����^sCn�~q�-�}�}n0�C��� �{��xr�otvpzprnL�vn�sD�C�Fx)xz�oxzy�n0�{pz�N��n�p�xrtvn�~'���¤tv�}�xznLprn�~�xL��"����}n�pq��~�n�p'�N�{t��{�����Ln��kxry{n��C��~�xzp��C��xrtv�C��nL���Ctv�{n�prn-��{���C�-nZ~'�L�C���LpznLxzn7�{�^x��V~zn-x�~£�u� ~����C�v��n�p�����~�xrpr�N��x��{�^x��V~zn-x�~-��*y{n£xzp�����~z���^xrt��N�V~z�}~�xrnL� ���C��~)�N�DsD��tv�Fxz�7xry{n�����xztvsCn£�{�Cxr�^�xztv�C�7���¢xry{n)���}�}nL����y{n����NnLp��������7t�xP���C��~��-�N�{�FxznLp¤n-|{��������nZ~���C�{�����u�£xzy{n����}�}nL�Y��y{n����NnLp����C����tv�Fxz�'�N�Ds^�}�k�*y{n~�xrpzn��{��xry����xry{n�Æ*�����{nLp��&~z�}~�xrnL�,t�~t�xr~ �C�}xz�N���^xznZ�I~z�{�{�.�Cpzx���Cp)�-prn-��^xztv�{�£~r�L�����C�{�vnP���}�}nL��~L�§Fxrtv��nZ~ / ¹Z« <?1 ~z�{�����Cpzt�~zn�~ sD�Cpztv�N��~ pznZ~�nZ��p���y �{pr� & nZ��xr~

�{pz�N���F~�tv�{�¤xzy�n��-�N�'�{tv�{nZ�)��~zn�����©*§}µ��C�����C�Ds^�{�T�*y{nPt��}nZ��tv~xzy���x���-�N���-�{prprnL�Fx¤�{pr�C�Npr�C� t�~¤��nZ~�x)~z��nZ�-t�­�nZ�0­�p�~�xtv�o©*§}µT����Cp�w�y{t���yI���L�C��~zt��}nLp����{�vn�.�u�{�0���Jxry{nL�Npz�C�·�N~�w$nL�v�T�C~�~��N��n~�x��^xznL�A�C���éxry{n-� ��pzx*���u�{nL�v�vt���� xz�u�C��~$n-|}t�~�xL�$Ѥ�{n���Txzy��N~zn¤xr�u�C��~-�xzy{n£���}�}nL�k��y{nZ���Cn�p�º¢°@N t�~¤xzy{n��V��~�nZ�Äxr�&sNnLprt¥����xry{n�~��.n��Lt¥�­��L��xztv�C�·��ºTtv���C���v�C�{xzy{nq~��.n��Lt�­��L��xztv�C�7t�~*xzp�����~����^xrn��7tv�Fxz���N�Ds^���~�tv�{�£�N�{n���k~�n�sCnLp������N�Ds^�'�L���C~r~�nZ~�tv���{�vn���nL�Fxztv�{�q©*§{µ ~�x��u�vn�-�C���q�{�{t����^xztv�N��/ < <}�<¹!< <21é�

î QdP ïOlC[^rpa�[^h ð�a�r:Ä+iSW#Y°�nLxz�vn-�Í~�Ê�Ë�È^ØÍÌ��)��~ztv�{�q%Ä�u�{�{��� ¸¢/ 5�³21é�)�C���Ð���NpznVpznZ�-nL�Fxr�������~����N�Ds^�0/ ¹N¹Z±�1A�}�C�)�.nL�N�C����xzy{n¤sCnLprt�­��L��xztv�C�q��¡YnLprn��£�u�qx��u��n��y{n����utv�{� �����ÎpznZÓN��t�prn7xzy�nI�{pr�C�Npr�C����nLpqxz� ���{�{�Cxr��xznÄ�{pr����Cp�����~�w�t�xzyV�{prn-�������I���F~�xz�»�L�C���}t�xrt��N��~L���*y{n����N��~znLprsCn)xry��^x�{pz�N�Cp�������n�pr~¤�}�7xzy{t�~ tv�}���Npz���C�v���7���u�uw*�D���T�C���ª�-����tv� xry��^xt¥x�t�~q�{��x��o�{tv��~�xznL�Ïxz� �N~�� xzy{n��(xz���C�{�{��x��^xrn&xry{nLtvp��{pr����Cp�����~'���Cpr�����v�v���"�*y{nÄ�L�C���{tv�vnLpqt�~£xzy�nL�Ð������n7xr���Cn��{nLp��^xrn�����`�{pr�^sCnªxry{n sNnLprt�­��L��xztv�C�\�-�C���}t�xztv�C��~�¼Í��~zt����Ð�Î���Cpr� �C�°�t & �}~�xrpr�� ~¢w$n��C�CnZ~�xk�{prn-� �-�N���}t�xztv�C�'�L�����L�{�v��~r½�xry��^x���nLn��'xr� ��n~z��xzt�~�­�n�� ���Cp�xry{nÄ�{prn-���C���Î���F~�xz�»�L�C���{t¥xrtv�C��~�xz� y��C���Y�X�*y{n~��}~�xznL� ���J°¤n-xz�vnL�Í~�ÊLË�È�ØÍÌ·�}�un�~�����x�prn�ÓF�{tvprn�xry{n)�{pr�C�Npr�C����nLpxz�0���{����xr��xzn£�{pr�C�Npr�C��~Pw�t�xzyo�v�F�N�Vtv�us^��prt����Fxr~¤�����Vs^��prtv�C�Fxr~L�w�y{t���yq���F~�xJ��pz�N�Cp�������nLp�~�w��N�{����­�����y��Cpr�}n�pkxz�'w�pzt�xrn*xzy��C�& ��~�xP��pznL���������.�N~�x�� �-�C���}t�xztv�C��~L��¦ ��~�xrn��C��xzy�n�~��}~�xzn�� �}nLprtvsCnZ~���u�N�Ïtv�us^��prtv�C�Fxr~q���}xr�C���^xrt��L���v�v���Jw�y�tv��y<�*�N~����-�N��~zn�ÓF�{nL���-n����prn�w�nZ���Cn�p7xzy��C�`xzy{�F~�n �{pz�^sut��}nZ�"�u�\yF��������~L�K'��¥xrnLpr���^�xztvsCn����C�Yxzy{n�~z�u~�xzn��,���D�7��n��{t�prn��-xznZ�0xz�0�N~z~z�{��n)xry��^x)�v�u�C��~

±�=

Page 21: Formalising the Safety of Java, the Java Virtual and Java Card

��prn£n-|}n��L�}xznZ�o��x����N~�x �C���Ln���xzyu��~ �Nt�sutv�{��pzt�~znqxz�Ä�-�N��~znLprsD���xztvsCn£�����{pz�D|}tv���^xrtv�C��~$xr�&xry{n�prn����¢�.nLy��Dsutv�C��p¤�C�$�v�u�C��~L�q�*y�n~��}~�xzn�� t�~����-�C����pz�N��tv~zn��.n-x�w$nLn��Äw�y���x�t�~��C��y�t�n�s^���{�vn�w�t¥xry���}xr�C����xzn��qxrn���y{��tvÓF�{nZ~��C����w�y��^x*�{pz�N�Cp�������n�pr~¢��prn¤�C�{�vnPxr��{pr�^sFt��}nC�ª�*y�n�~z�}~�xrnL��t�~)xry{nLprn-���Npzn&���Cprn��.�^w�n�p�������xry���� �x��u��n7��y{n����NnLp��k�{�}x��vn�~r~)�.�^w�n�p����{�$xry����Ï�{pz�N�Cp�������tv�{�&w�t¥xry���{�v�·sCn�pzt�­����^xztv�N�·�µ¢�unLxz��~r��y}��ºPnL¡�xrnLp'�C����%�ã�����vn�p;/ ¹�³N¸?1*�CtvsNn���� �N��n�pr��xztv�C���C�

����� �C���^|}tv�C����xzt���~znL���C�Fxzt��L~Y�C���P~�����~�nLx��C�{�N�Ds^�)¼�xry{n�tv���.nLpz��^xrt�sNn��-�CprnP�����'��nLxzy{�}�������v��~r½����*y{nL�'xzy�nL���{pr�^sCn$xzy�n�~��N�{���u��{n�~r~$����xzy{n)��|utv�N���^xzt���~znL���C�Nxrt��L~Jw�t�xry&prn�~z��nZ��x$xz�qxzy�n �C�.nLpz��^xrt��N������~�n������Fxzt��L~L���*y{n�tvp��^|}tv�C����xzt���~znL���C�Fxzt��L~¢�L�C��xzyu��~���n��~zn��Vxz�I�N~)�7���N~�t�~����Cp)xzy{n�sNnLprt�­��L��xztv�C�Ä�C���C�Ds^���{pr�C�Cp�����~L�Æ$��xzy x��u��nZ~'�C�¤~znL�����Fxrtv��~)��prn&�C��~��Än��'�.n����}n���tv��º�Ñ@�k�J~z�xzy���x���n���y��C�{t��L�C�$��y{nZ���ut����V�C�¤xry{nÄ~��N�{���}��n�~r~£�{pz�u�C�¤w$�C�{�����n��nZ�C~ztv�{�vn�tv�����{xz�{prn��¶kn�pzt�­����^xrt��N�8tv~ �{�Cx prn�~�xzprt���xrn��3xz� �N�DsD� �{pr�C�Cp�����~L�%0�u�Cprn�/¥¹Z±{¹�1Jy��C~��{��t���x���{n�w sNnLp�~�tv�C�0�C����~����C���T~�����~�nLx ���

©��Cy{n��M ²~�~z��nZ�-t�­��L��xztv�C��/ ³N¸?1¢���¢xzy�nq�C¶C%ª�M%0�u�Cprn)~�y��^wP~�y{�^wxzy{n3'�©²�T±�xzy{n��CprnL� �{pr�^sCn�p¢tv~¢�������C�{�vn��{�CxJ�C�{�v� �C�.nL|unZ�-�}xrtv�{�~�tv���{�vn'�F�Fxrn��-�}�}n��{pr�C�Npr�C��~-�·�{�{x'����~z�&�C�*��pz�^sutv�{��xry{n��L�Cpz�pznZ��xr�{n�~r~$���T~z����y��{pr�C�Cp�����~�w�t�xzy�pznZ~��.n��-x�xr�£�£~z��nZ�-t�­����^xztv�N�·�¦»�Y�C�Ds^��~r�^��nLx�� w��N�{��� �.n$�C�{�vnJxz��N����p����Fxzn�nkxzy��^xk�-�C�����}xr���

xztv�C��~*xzn�pz��tv����xzn��.�����7w�t�xzy�t��0�LnLpzxr��tv�7�.�C�{����~-�.xzy{n��7xzy{nq�}n-��{t����{�C��~�n�pzsut��-n���x�xr�N���'w$�C���v�q�.n��{prnLsNnL�FxznZ�Y�Nw�y�tv��y�t�~J�L�vn���pr�v����}n�~ztvpr�C�{�vn�~r�^��nLx��&�N�N�C�é�²ºP�^w$nLsCn�pL��n-|}n��L�}xztv�C�&xztv��n t�~��{pr�C�{����{�v���N�{n���¢xzy�n ���N~�x��{tê-��L�{��x*prn�~z�C��pr�Ln�~$xz���L�C�Fxzpr�C�A�¢mÐy{tv�vnxzy{n�pznq��prn��������C���C�Cn�~(/ ¹N¹�1J�����7x��u�.nq~z�}~�xrnL��~{/ ³�8?1¢xzy���x�y��DsNn��n�nL�q�}n�~ztv�C�{nZ�xz���C���Cpr�C�FxznLn�xzn�pz��tv����xztv�C�·�Zw�n$y��DsNn��{�CxT�.nLn�����{�vn¤xz�£­����&nL¡.�Np�x�~$xzy���x����{������~z����y&xznZ��y{�{�C�v�N�C�qxz���N�Ds^�}�

î Qd� ïOlC[ÔTJñ¶ñ¬ðòð£a�rKó�[ck�_�*y{n£��tv� ����xry{nD�TÑ Ñ�µÐ��pz� & n���xt�~P�������¢sNnLprt¥­.�L�^xrtv�C�7���$�N�Ds^��{pr�C�Cp�����~L�$�*y�n(�TÑ Ñ�µÎ��nLxzy{�}�}�N���N�C���C���v�^wP~�xzy�nq�N�DsD�£��pz�C��Cp�������n�p¤xr�V�C�{�{��x��^xrn��Ä�{pr�C�Npr�C� w�t�xzy �C�{�{pr�C�{prt��^xrn£~z�.n����t�­��L��xztv�C��~L���*y{n0�TÑ Ñ�µ`�-�N���{tv��n�p{/¥¹D¬�<�1Jxzp�����~z���^xrn�~¤xzy{n���pz�C��Cp���� �����Äxry{nq~z�.n��-t�­����^xrt��N��~Ptv�Fxz�&xzy�nDº�tv�Cy{n�p Ѥp��}nLp7�<�N�Ct��¼�ºÑ@��½0�C���Îxzy�nL�CprnL� �{pr�^sCn�pL��~z����y �C~oµJ¶§H/ 8>8?1A�q�NpĦ�~�����.nL�v�vnD´�º�Ñ@��/¥¹D¬N¬!1é���*y�n���~�n�p*xzy{n����}prtvsCnZ~�xry{n�xz�u�C�Yxr���{pr�^sCnxzy���x)xzy�n��{pr�C�Npr�C��~¤~r�^xrtv~����Äxry{n&~z�.n��-t�­����^xrt��N��~��{pr�^sFt��}nZ�I�u�xzy{nq���{����xr��xztv�C��~-�P¨k|{�C���{�vn�~*���J��pz�N��n�p�xrt�nZ~�tv���-�v���{n �C���Cpr�C�}�xzn�n��0xrnLpr��tv���^xrt��N�7�����&��n-xzy��u�·�Ytv�us^��prt����Fxr~��N�Äxry{n�­�nL���{~¤������-���N~z~L���Cp�xzy{nq����~znL���-n)�C�Jn-|{�-n��}xztv�C��~-�*mÐy{tv�vnxzy{n�xzy{n��CprnL��{pr�^sCnLp�~*�{pr�^sutv�{n)���}n��CprnLn)�C�����}xr�C���^xrtv�C�·����~�n�p¤�N�{t��{�����Ln t�~����xrnL�7pznZÓF�{tvpznZ�£���Cp�nL|}�C���{�vn�xr���}n��Ltv�{n��N�&��pz�u���¢~�xrpr��xzn��Ctvn�~L��*y�n@�¢Ñ Ñ�µ�nL�q��nZ�{�}tv�{�)�C���C�Ds^���{pz�N�Cp�����~¢tv�Fxz����º�Ñ@�It�~

���C~zn��ª�N� �Ä~zn-xq���*xzy{n��Cprtvn�~ prnL�{prn�~znL�Fxrt����7xzy{n��}nL�{�Cxr��xztv�C���C�~�n������Fxzt���~���¤~zn�ÓF�{n��Nxrt����$�N�Ds^��/¥¹D¬C¬B1A� �C�N�-�N��~;/ 8C«?1��{prn�~znL�Fx�~�0�-�F���v�Cn��{pr�Ct�� sut�n�w �C�$nL|}�LnL�}xrtv�C��~L��n����{y��C~ztv�Ltv�{��xzy{n�~�xr��xzn-����C~zn��7�N~��.n��-x¤���J�L�C���{�}x��^xrt��N��~L�������7t�xr~�~��{t�x����{tv�vt�x��'���Np�prn����~��N�{tv�{��tv�£�Cº��N�CpznL�»~�x��u��n��v�C�Ct������*y{t�~����Npz���C�vtv~r�^xrtv�C��y��C~Ty{tv�Cy{��vt��NyFxzn����C��tv���{�vt��-t�xJ�C~r~��{���{xztv�C�£tv��xzy�n¤­�pr~�x$~z��nZ�-t�­����^xztv�N������C�Ds^�$xry��^x3µ��*xry{pz�^w�� nL|{�-nL�{xztv�C� t�~·�{n�sCn�p<xzy�n��u�{�v���Aprn-��n�pzn����-n�¶}�

�*y{n'~znL���C�Nxrt��L~*�����N�Ds^�£y��DsCn���n�nL�Äs^���vt��{��xzn����u�0~�y��^w�t����£��-�v�N~zn����C�v���N~�x¤�vt�xznLp����k�L�CprpznZ~��.�C���{nL���Ln'�.n-x�w$nLn��Vxry{n�����xz�{p�����v�C�{�C�����Cn�~��.n��Lt�­��L��xztv�C�&���Txzy{n'�N�Ds^�D�������C���C�Cn~��.n��Lt¥­.�L�^xrtv�C������ xzy{n0�C�{�{pr�C�{prt��^xzn�xzy{n��Cprt�nZ~�/ 8 =21é� mÐt�xzyÎ�o�{nL�{�Cxr�^xrtv�C���C�~�n������Fxzt��L~�t�x$t�~$�{��xP�C��w*�D�}~JnZ�C~z�£xz�£���}�}nL�YtvpzprnL�N�{����p��L�C�Fxzpr�C�A��^wP~�tv���q�-�vnZ��p��C�����L�C���Lt�~�n��Í�N~�y�t��N�·�k�*y{nLprn-���Npzn�C�N�-�C��~Jn-|u��{�v�Cprn�~�xzy�n���~zn����P�7���C���C�Vxz�I~�xzpr���-xz�{prn£xzy{n�~�n������Fxzt���~¤�C��{pznZ����~�xr��xznL��n��Fxr~L�{n-|{�-n��}xztv�C�&y������}�vt�����n-x��0/ 8u¬!1A��¢Ñ Ñ�µ ~z��nZ�-t�­����^xztv�N��~'�Cpzn7n��'�.n��{�{n�� tv�Î�N�Ds^�I�{pr�C�Npr�C��~

�F� w$�D�ª������{����xr��xztv�C��~�tv�Ïxzy{nÄ�N�DsD�o%0�}�}n����vtv�{�£�����{�N�����Nn¼é�>%���½£/ ¹N¹C¹�1A�Þ�>%�� tv~&�}n�~ztv�C�{nZ� xz�Ï��t���tv��t�~zn��{�Cxr�^xrtv�C���C��{�{p��}nL���u�I��~�tv�{�7xry{n�~z�F�Fx��^|V�C�*xzy{n&y{�N~�x)�����{�N�����Nn7¼A�C�Ds^�F½�C~'���F~z~ztv�{�vn£���Cp'xzy{n7~��.n��Lt�­��L��xztv�C��~L�o©��C����t��vnZ�ª�>%��X~��.n��Lt¥�­��L��xztv�C��~¤��prn'prnL��pznZ~�n��Nxrn��7tv��ºÑ@� �u�Ä��~�nLx��C�Jxr�Ctv���NpP���C�{n�{pz�u�C��pr�{�vn�~7/ 8><?1A��*y{n7�TÑ Ñ�µ�xz�u�C�·��������n-xry{�}�}�C�v�C�N��y��N~��.nLn����C�{�{�vtvn��qn-|u�

xznL��~�tvsCn��v��xz�&xzy�nq~z����pzx¤�L�Cpr�£'�µJ¦P���Cp �C�Ds^��©$�Cpr� ¼é§un�n£§unZ���xztv�C�)<N½��J¦ ��xry{n­�p�~�xP�L�N~�n ~�xz���{���{xry{n ��n-xry{�}�{~$t���n��N��y��L���C~r~y��DsCn¢�.nLnL�)�C�{�{�Cxr�^xrn���w�t�xzy �*�vtv�CyFx�w�n�tv�CyFx�~z��nZ�-t�­��L��xztv�C��~.~�xr��x��t����)xzy�n���pznZ�-�C���}t�xztv�C�·�Fw�y{t���y·�}t���~z��xzt�~�­�n����N����p����FxrnLnPxry{n ���}�~�n����-nJ�C�{�{�{nL|u�.n��-xznZ�)n-|{�LnL�}xrt��N��~L���*y{t�~·t�~<��~zn-�����Ftv�}���Npz����xztv�C����Cp)xry{n0�C�Ds^�V©$�Cpr�ª�{pr�C�Npr�C����nLp����.n��L�C��~zn��{�{nL|}��nZ��xznZ��n-|u��-nL�{xztv�C��~k�Cpzn�� ~r�^��nLx���y��C����p��Y�N�C���£����~z�¤���Np¢xzy{n¤�-�C����t��vn�p��.n-��L����~�nJy������}�vn�pr~����D���.n��N��t¥xzxznZ�Y���*y{n²'P�{�{�vt��L��xztv�C� µ�pz�Cxz�}�-�N�°¤��xr�D"P�{t�x�¼d'�µ�°@"¤½P©����N~z~$y��N~*��n�nL�����{�v�v��~��.n��Lt¥­�n��o/ ¹�³�5�1A��*y{nÔ'��{�{�vt��L�^xrtv�C�Þ¦��}n��Nxrt�­�nLp ¼�'�¦�°�½Ð�-���C~r~ ���Ctv�Nx���tv��~ �

�{�{t�ÓF�{n �����u�}�Í�N��xz��pzn�p$¦�°Ü��������~��.-£|7�C~P��~�xzprtv�{�£���k���-n�p��xr��tv� �vn��{��xry·�ª�*y�n)'�¦�°Ò~�xzprtv�{�Ät�~'��~�nZ�ªxz�ot��}nL�Fxrt¥���ª�����{�vn-xr~�����2�N~�~z����yÎ���Cpr��~����"t����.�Cpzxr�C�Fx��N~��.n��-x���� xry{nV~zn��L�{prt¥x���������C�CnL��n��FxPt��V���N�Ds^�&©$��p��Y�)�*y{nLprn-���Npzn's^���V�{nL�VÆ$n�pz�ªÊLËÈ^ØÍÌ�/¥¹D¬�8?1u�{pz�^sNnkxzy��^x�xry{n$��n��{��xry)���}xry{n�~�xzprtv�{��~r�^xrtv~�­�nZ~��-n�p�x���tv��-�C��~�xrpr�Ct��Fx�~��C~�&���C~zt�~P���Np���{pzxzy{n�p�prn��N~��N�{tv�{���C���N�}x)���{�{�vnLx~�nZ�-�{prt�x����' xzy�t�p�� �L�C~zn7~�xr���}� t�~'xzy{n0sNnLprt�­��L��xztv�C�ª����o�{�C�}�Axzprtvsutv�C�

t��us^��prt����FxP���Np��C�Ds^�. ²~�¶kn��-xz�Cp)�L���C~r~-��~�xr��xztv�{�&xzy���x)µrxzy�nq�u�{�£���n�p ����n���n���nL�Fxr~¤tv�Äxry{n���prpr�D�7���*��sNn��-xz�Cp��{n�sCnLpnL|}�LnLnZ�It�xr~�L�����C�-t�x��.¶;/ 8{¹1é�mÐy{tv�vn�xzy{n�pzn���prn*�����u����Cprn���~�nL���{�{�{pr�C�.nLpzxztvn�~�xzy��^x��-�N�{���

��n�~z�.n��-t�­�nZ�7�������{pr�^sCnZ�Y����~z�C�vt������C�����{�^xrtv�C�����Cp�xry{n)sNnLprt¥­���L�^xrtv�C���C��xry{n��C�Ds^��©$��p��;'¤µJ¦*�����������{�vn-xr~*y��C~*�.nLnL�7����t��Y�

î Q�° l�r+s3[jl�[Ma�_.i�¤7k�U`_�i�rOW9Pn��L�{�����C���{��nLn$tv�Nxrpz�}�}���-n��)xzy{n*t��}nZ�P���.�{pr�F�C���L�Cpzpr�utv�{���-�}�}n¼Íµ$©�©*½#/ ¹D±N¬!1A�J�*y{t�~Jt�~$�)���Cp�xr���q���}xr�C����xzt��*sCn�pzt�­����^xztv�N��xrn���y}��{t�ÓN��nk���CpT�C~r~�n��'�{�v���vnLsNnL����pz�N�Cp�����~·�}nZ~�tv�C��n��¤xz���C�v���^wo�P�-�}�}n�-�C��~��{��n�p�xr�¤y��DsCn�xzpr��~�xktv�'���-�}�}n*�{pr�}�}���LnLp��Tµ$©�©ªy��C~T�.nLnL���n�nL�0��~zn��7w�t�xzy0�L�C���{tv�vnLp�~J���NpC%��Å/ ¹D±N¬B1A��x��u�.n�~z����n'©j/ ¹D±�<?1�����&���Cprn¤prn��LnL�Fxz�v���N�Ds^��/ ³�5�1A�µ*©�©\w��Npz�}~�C~¤���N���v�^wP~L�'§u�{�{�.�N~zn��&�L�C��~z�{��n�p¤w�t�~zy{n�~¤xz�

pznZ�-nLtvsNn$�L�u�{n*��pz�N� ��{pr�u�{���-n�pL�k�*y{nP�-�N��~z�{��nLp¢n�~�xr�C�{�vt�~�y{nZ~��~z����n-x����.�C�vt��-�£���NpP�-�}�}n t�x�tv~*w�tv�v�vtv�{� xz���N�L�LnL�}x��������7�L�C���q�}��{t��L�^xrn�~�xzy{t�~��.�C�vt��-�&xz�&xzy{n£�{pr�}�}���-n�pL�q�*y{n'����x�xzn�p¤��tv�NyNx¤��n�0�-�C����t��vn�pL�YmªnL��~�t�xrnq�Np)��xry{nLp)~z�C��pr�Ln'xry��^x'tv~����x xzpr��~�xznZ�

±}¹

Page 22: Formalising the Safety of Java, the Java Virtual and Java Card

�u� xry{nV�L�C��~z�{��nLp�� �*y{nÄ�{pr�}�}���-n�p���~zn�~�xzy{nV~z����n-x�� ���N��t��L�xz�������{��x��^xzn�xry{nÄ�-�}�}nÄ�}nZ~�xrtv�{n�� ���Cp£xry{nÄ�-�N��~�����nLp£w�t�xzyÎ�~z����n-x��'�{pz�N��n�p�x��'tv�£xznLpr��~k�C�Y�v�u�C�qtv�usD�Cpzt��C�Nx�~-����pznL�������£�.�N~�x���-�N���}t�xztv�C��~-�P�*y{n'�{pz�}�}���-nLp¤�Cn��{nLp��^xrn�~P���{pz�u�C�¢�C�kxzy{nq~z����n-x���{pr�C�.nLpzx����}nLt�xzy�nLp��u��y��C���Y���Np���~�tv�{�£�q��n���y��C�{t��L�C���{pr�u���¢�C~��~�t�~�xr�C�Nx��V�*y{n��-�C��~��{��n�p�prn��LnLtvsCnZ~�xzy{n7�-�}�}n������ªxry{n���pz�u��� ���������n���y��C�{t��L�C���v�)��y{nZ���}~Jxry��^x$xzy{n�{pr�u����t�~$�-�N��~�t�~�xzn��Nx�w�t¥xryxzy{n��{pr�C�Npr�C�7�N������xzy{n�pznL���CprnPxry��^x$xzy{n��{pr�C�Npr�C�Ü~r�^xrtv~�­�nZ~¢xzy{n~z����n-x��ª�{pr�C�.nLpzx����ª¦»x�tv~����Cprn��}t�-��-�{��x'xz�o�CnL��nLp��^xzn&�Ä�{pr�u���xzy��C�\xz�Ð��y{nZ���X� �{pr�F�C� � �*y{n�pznL���Cprn��)~�n�����p��^xrtv�{� xry{n�x�w$��{y��N~�nZ~¤y��C~ ��~�tv�C��t¥­.�L���Fx���n��{n-­{x�¯��*y{n��-�N��~�����nLp�}�un�~�{�Cx�{nLnZ��xr�Vxrpz��~�xqxzy{n7�{pr�}�}���LnLp����Cp'xzy{n7��nZ����~'�u��w�y{t���y�xzy{n�{pr�u�{���-n�pT�LpznZ�^xznZ~·xry{n��-�}�}n��C��� xry{n$�{pz�u�C� ��¦ ��~�xznZ�C�Y�^xry{n��-�C�{�~�����nLp�prnL�vtvn�~<�C�{�v���C�'�¤~����C�v�^xzpr��~�xzn���tv�}��pr�N~�xrpz����xz��pzn��L�C��~zt�~�xz�tv�{���C��w�y���x$t�~$n�~r~�n��Fxzt����v�v����x��F�.n ��y{n����NnLp��¢�*y�tv~�t�~$pzn����Np�xrn��xz�£�.n �{�����CprnPxry�����5'�����Nn�~*�C�k©"�-�}�}ntv��~ztv�Ln��¦ ��t¥xrt����v�v���¢xzy{n0µ*©�©Þ�����{pz�F�C��y ~��}¡YnLprn�� ��pr�C�(�{pr�u���¤~ztv�LnZ~

n-|}�.�C�{n��Nxrt����Jtv�ªxzy�n&~zt���n����P��pz�N�Cp�����~D/ ¹Z¸ =?1A��' �{pz�u�C�P���D���nZ�-�N��n�����pr�Cn��.n��L�C��~zn�����xry{n7�����C���Nx'���Pprn��}�{���{�����L���ª¦ ����v��xzn�p �����.nLp��`9�n��-���v�7�C�����<nLn�/¥¹Z± 8�1�~zy{�^w xry��^x)t�x t�~���F~��~�tv�{�vn&xz� prn��{���-nÄ�ª�{pr�u������)~zt���n ° xr� �ª�{pr�F�C���C�)~�tv�LnOô °�u� �DsC�Ct��}tv�{�0~z�C��n&pznZ�}�{���{�C���-�C� �*y{nL� �C��~��Ä�NtvsCn��{p��C�-xzt��L�C�n-|{��������nZ~¢���<~z�����v�}�{pr�C�Cp�����~*¼Ín�� �{�JÓF�{t����'~z�Cpzx�½¢w�t�xzy��N�L�-n��}x�����{�vn��{pr�F�C��~ztv�Ln�~L��NPn��-n��Fxz�v����9Pn��L�{���Iy��C~�~zy{�^w�� xry��^x��Npr����-�vn ���N~�nZ��xzn���y��{t�ÓN��n�~P�C���v�^w2���Np�n�sCnL�Ä~z�����v�vnLp$�{pr�u���Í~L��º{�Cp¤��CtvsCn��I�.nL����y�����pr����pz�u���Í~ �Cpzn£�N�o�DsNnLp����Cn&¹Z±�»Ò����xzy{n��L�u�{n~�tv��nD/¥¹�¸�¹�1é���*y{nZ~�n prn�~z�{��xr~*�����{�v��xz��xry{n)~r����n�ut����&�C�TsNnLprt�­{��L��xztv�C�£�C~���¡YnLprn��q�u��xry{n¤�N�DsD��u�Fxzn¤�-�}�}n�sCn�pzt�­�n�pL�N�{�}x�tv�qxzy{n�L�N~�n����kµ$©�©Î���Cp�¦ �Fxzn��Y|.<N«q���C��y{tv�{n��-�}�}npr��xzy{n�p*xzy��C�7�N�Ds^��u�NxrnP�-�}�}nZ~-�k�*y{nP�{pr�u���Í~¢�C�Y���Npzn$�.�^w�n�p����{��~z����n-x�����pz�N��n�p�xrt�nZ~w��N�{����~�xztv�v�Y��n ����pr�Cn�pL�®�N�Ln��M ~'�{pr�C�.�N~r�������Cp��-�}�}n0�LnLpzxzt�­��L��xztv�C�4/¥¹!=><?1��}�un�~q�{�Cx

~��{¡.n�p���pr�C�\����pr�Cnk�{pr�u����~zt���n�~L�Z���}x�t�x�t�~�����~��P~�xzprt���xr���¤�vn�~r~<�.�^w*�nLpz���{�·xry����7xry��^x��C�X9�n��L�{�����������<n�n���º{�NpPn-|{��������nC�{®�C�Ln��M ²~xznZ��y{�{t�ÓF�{n¤�����{�{�Cx$���C�Cn��'�}t�~�xztv���-xztv�C���.n-x�w$nLn����}t�¡YnLprnL�Fx�n����nL��n��Nx�~����������prp��D����®�C��nL�M ²~ �{�Cxztv�C�V���P�-�}�}n��LnLpzxzt�­��L��xztv�C�t�~'pr�C���Cy{�v���C~q�.�^w�n�p����{�P�N~'xzy���x�����N�Ds^�I�u�Fxzn0�L�u�{n�sNnLprt�­{��L��xztv�C�·���*y�n��}t�¡.n�pzn����-nZ~ ��prn£­�pr~�xz�v�0xry��^x�®�N�Ln��V���Ct��Fx���tv��~xzy{nP~�xzpr���-xz�{p����utv�}���Cpr���^xrtv�C� tv�q�L�C���{tv�vn�� �L�}�}n$xzy���xJtv~¢�C��~�n��Fx��pz�N� �C¶C% �F�Fxrn£�L�}�}n�~L�£�*y�tv~��NpznZ�^xz�v�7~�tv���{�vt�­�nZ~�xzy�nqsNnLprt�­{��L��xztv�C�ª�{pr�}�-n�~r~L�V§un��L�C���}�v�C�¢®�N�LnL�ªx���pr�CnLxr~ ����xztvsCn����N��y{tv�{n�-�}�}nC�{w�y{tv��n¤xzy�n���¶@% �C¡.n�pr~*�.�Cpzxr�C�{tv�vt¥x��C�

î Qd¸ e4i�b�k�ZCb�b�iSrOW'P� tv�}���Npz���C����pr�C����nL�FxÄ���D�X~z�C��nLxztv��n�~0~z�.-��-n xz�X~zy{�^wxzy���xI¼Í~r�^��nLx��}½'�{pr�C�.nLpzxztvnZ~'�C����pz�N�Cp�����~)y��C���Y�к{�Npz���C�$��pz�C��Cp���� sNnLprt¥­.�L�^xrtv�C�7xznZ��y{�{t�ÓF�{n�~ �Cpznq�{n�n��}nZ�Ixr�0�}nLprtvsCn£~�xrpz�N�{��C���Cpr�C�FxznLnZ~&xzy���xI�{pr�C�Cp�����~�y��DsNn��-nLpzxr�Ctv�\�}nZ~�tvprn��X�{pr�C�.nLpz�xztvn�~L�`º��^w�n�sCn�pL��µJpr�C�Npr�C�`sCnLprt�­��L��xztv�C� prn�ÓF�{tvprn�~�~��.n��Ltv�C�}~��utv�v�v~L�xz� ���Cpr�q�{���^xznV�{pr�C�.nLpzxztvn�~L�¤xr�Ð�}t�~z�L�^sCn�p&�����{pz�N�{prtv��xzno�-�C���}t��xztv�C��~-��~z����y'�N~��v�u�C�)tv�us^��prt����Fxr~L�Z�C���xz��}prtvsCn�~z�.n��-t��C��t�~�xYxz�u�C��~L�%0�}�}nL�}��y{nZ���ut�����xznZ��y{�{t�ÓF�{n�~�xzn����)xr�¤�.n$���Cprn����{xz�C����xzt��¢�{�}xy��DsCnV�}t�-��L�{��x�� �L�C�{tv�{� w�t¥xryÐ�{pr�C�{�vn���~����)tv���LpznZ�C~zt����ª~ztv�LnC�

©��C���{�}xrnLp�~z�{�{�.�CpzxznZ��xzy{n��CprnL�`�{pr�^sut�����xrn���y{��tvÓF�{nZ~·����xrnL�)prn-�ÓN��t�prn������u�����Ytv�Fxzn�pzsNnL�Fxztv�C���{�}xP�Cn��{nLp����v�v���-�N��n�.n-x�xrnLpPw�t�xry�v�Cpz�NnLp�{pr�C�{�vn���~-�â"P�}���Np�xr�{����xznL�v�C�TprnL���^xrtvsCnL�v����nLw;�{pr�C�Npr�C�£���nLp�~��Cpzn�xzp���tv�{nZ��tv����pz�N�Cp����;sCn�pzt�­����^xztv�N�·�CxryF��~*y������.nLprtv�{�xzy{n w�t��}nZ~��{prn��N����~zn ����xzy{nxrn���y{�{t�ÓF�{nZ~-�'Þ�u�{�q�.nLp ���*�Cpr�C����~ ��prn£w��Npz�utv�{���C�ª�{pr�C�Cp���� sCnLprt�­��L���

xztv�C��xrn���y{��tvÓF�{nZ~Jxry��^xP�Cpzn�~��.n��Lt¥­.�L���v�v�'�N�{���{xzn���xz���C�Ds^�{�X"¤~��t�����~�����y&~z��nZ�-t����vt�~�nZ�)xr�u�C��~��C����xrn���y{�{t�ÓF�{nZ~JprnL�vtvnLsCnZ~¢xzy�n¤�{pr����Cp�������nLpJ��pz�N�Þy��Dsut���� xz�£�}n��C�Yw�t¥xry����C�F�£tvprpzn���n�s^���FxJt�~z~z�{n�~��nZ�L����~�n�xzy{n'xz�u�C��~¤�-�C�.n�w�t�xryÄxzy�n'�}nLxr��tv��~L�����&�C��y�t�n�sCn xry{t�~-��-�C��~�t��}n�pr�C�{�vn�nL¡.�Np�x�q��~�x���n£~z��n��NxnL�q�.n��{�}tv�{��xzy{n�~znL�����{�xzt��L~¢�C�<�N�Ds^��t��£�{pr�C�Npr�C� sCn�pzt�­����^xztv�N� xz�u�C��~L�kÑ��·�-�N�{pr~zn��F~��N��n���kxzy�n��{prtv�CpPnL¡.�Np�x�tv�usCnZ~�xrn��7tv�Ä~z��nZ�-t����ut����£xzy{nq~�n������Fxzt��L~*�C��C�Ds^��t�~t�������t��Lt¥xr�v��prnL��~zn��otv�Ixry{n��}n�sCn����N�{��nL�Fx���*�{pr�C�Cp����sCnLprt�­��L��xztv�C�Vxz�u�N�v~L��º��^w�n�sCnLp��kw�n&y��DsCn��{��x£~�n�nL� �q����y�n-|u��{�vtv�Lt�xqprnL��~zn7����{pr�C�Cp�������tv�{�0���C�{�C���C�Cn7~�n������Fxzt���~)���Np�xzy{n�{�{pr���F~�n��C���{�{tv���}tv�{�&sNnLprt�­��L��xztv�C�Ixz�u�C��~L�0�*y�tv~)���D�I�.n&�}�{nxz�'xzy{n��Í�C�-x*xzy���x*��pz�N�Cp����ÜsCnLprt�­��L��xztv�C�£t�~�xzy{n �}�N����tv������xzy{n���Cpr�����.��n-xzy��u��~$�L�C���q�{�{t�x��qw�y{nLprn��N~�xry{n����tv���{p��C�-xzt�xztv�N�}�nLp�~'�C��~znL���C�Nxrt��L~q��prn&w�t�xzy�t�� xzy{n0�{pr�C�Npr�C����tv�{�7�v�C�{�C�����CnZ~�-�C���q�{�{t�x��C�%Ä�C�u�����Npz���C� ��n-xry{�}�{~ ����� ~znL���C�Fxzt��L~Òxr�F�N��~,y��DsNn

��n�nL� ��~zn�� xz�(~�xz���}� �C~z��nZ��xr~;�C� �N�Ds^�}¯ '�©²��± /¥¹!=�³�1é�'¤§.% / <>=?1A�`Æ ��nLxzy{�}� / 5�1A� ©�nL�Fxr�C�{p / ¸>=?1é� ©��}Ó��`°�¨k�©²�c'#N�¨��$¨$§�©�´��N�Ds^�g/ ¹N¹Z±�1A�¤º¢°CN ��º¤�C~z�CnL�v�A�*¦�~z�C��n����vn�/¥¹L³F±?1é�º�Ñ@�k�P�>%�� /¥¹C¹N¹�1A�@��¨���ѧÔ/ <C¸?1A��µ�¶�§m/¥¹L³�¹�1é�)§.%0¶ /¥¹C¹!821é�§u��nZ��m���prn�/¥¹�«F±�1A��§}µJ¦S9�/ <>8?1A�½9P��x����v�Y����xzy{�F~�n¤xz�u�C��~$��prn�~z�}���­��-tvnL�Fxr��� �C�}xz�N���^xzt����Z�Np¢�N�}n�ÓF����xzn����nZÓN��t�����nZ�)w�t�xzy�xzy{n�prtv�CyFx���^xzy�nL���^xrt��L���<xzy{n��Cprt�nZ~Pxr�7�{pz�^sNn'~r�^��nLx��0�{pz�N��n�p�xrtvn�~¤���$�N�Ds^��{pz�N�Cp�����~L��*y{n�pzn t�~������-�vn��Cp�w�tv�{�{nLp¤�����C���N~�x$xry{n)s^��prtv�C��~*��nLxzy{�}�{~

�����ªxr�u�C��~ ��~zn��Y�ª�*y{n�'���~�xzp��C��x�§Fxr��xzn)%Ä�C��y{tv�{nZ~ y��N~)�.nLnL���~�nZ�xz�¤�{�{tv����xzy{n$���N~�x��L�C���{prnLy{n���~zt�sNnk~�nLx�����~z�.n��-t�­����^xrt��N��~L��-�C������nLxzn�w�t�xry n-|}�.nLprtv��nL�Fxr�C�$�C��� ����xzy{n����^xzt��������C�����v�}~�t�~L�¦�~z�C��n����vn^´2º�Ñ@��t�~·�C�{nk�C�uxzy{nJ���F~�x<�.�C���{����pYxz�u�N�v~L�����}x�nLsNnL� t�xr~��~�n�pr~��-�N���{����tv�Ä���.�C�{x����C���utv�{������xzy{n����^xzt������·xry{nL�Npztvn�~������sD�C�vtv���^xztv�N���Í�C�Lt��vt�xztvnZ~:/¥¹!<F±�1é�¢�*y{t�~<�-�vnZ��pr������nLn���~<tv���{pr�^sCnL��n��FxL�

õ J j+L j:Á À÷ö Û j iTh Ù j ikÂ0g¦ �Ixry{t�~ ~�nZ��xztv�N�I���$�C�{p)~z�{prsCn��0w�n£�{prn�~znL�Fx �����C~zn�~�xr���}�Ä�N��C�Ds^��©$��p��Y�Dxzy�n�~z����pzx��L��p��(· �}t����vn��-xB L�C�{�N�Ds^�V/ ¸ 8?1A�¢�N�Ds^�¤©$��p����¡YnLp�~ ����tv�����Np�x����Fx ���{�{�vt��L��xztv�C�V�}�C���Ct��V���$xzy{n�xz�u�C��~ �����xzn���y��{t�ÓN��n�~ xry��^xqw�n&y��DsCn��{tv~r�-��~z~zn��Y�k�.n�������~zn&~z����pzx��L�Cpr�{~��prn)��~zn��7���Np��{��~ztv�{n�~r~��Lpzt�xrtv�����<�C�{�{�vt��L�^xrtv�C��~L�P�*y{n�~zn�tv���L�����}n�����{�utv�{�����N�L�Ln�~r~��-�N�Nxrpz�N�A�*�C���2y{nZ����xzy2�L�CpznC�������Î���Npzn0prn-��-nL�Fxr����xry{n*§}¦S% �L�Cpr��tv� xzy{n+6 §.% ���C�{tv�vnk�{y{�N�{n��¢�*y{n*~z����n-x��¼Í����� ~�nZ�-�{prt�x��{½���¤�N�Ds^�Ä���{����t����^xztv�N��~�C� ~z����pzx��L�Cpr��~�t�~)�C��{pztv��n7tv�����Np�x������Ln�xr��xzy�nI~����Cp�x�����p�� �����u�}�Í�C�-xz�{prnLp�~L��t�~��~��{n�pr~L����������~znLp�~,/¥¹!= 8�1A��N�Ds^�V©$��p��ªt�~)�{�Cx'�{����tv� �N�DsD�{�k��nZ�L����~�n7�C�Ds^�0tv���{�vnL��n��}�

xr�^xrtv�C��~P�Cpznxr�u��prn�~z�C�{p��-nyu�{�{�Npz�&���Cp�~����Cp�x�����p��{~-�3'Ü��¶@%t�������n���nL�Fxr��xztv�C�¤pznZÓF�{tvpznZ~��^x¢�vn��N~�x$¹²%ÄÆ ����~�xz�Npzn@/ ¹�<F¬!1A�¢�*y�tv~�����CnZ~P�C�Ds^�£�C���-n��}xr�C�{�vn¤���Np���~zn)tv�0µ$©$~P�C���0�L�C���C�Ltv�C��~$nL�£�

±C±

Page 23: Formalising the Safety of Java, the Java Virtual and Java Card

��nZ�{�}nZ���-�N�Fxzpr�C�v�vnLp�~����}x��vn�~r~·xry�����tv�{n����C���CpT��~zn�tv�)~����C�v�^���u��x���{prt��Fx��{nLsut��-n�~L��~�����y��C~����C�{tv�vnk�{y{�N�{n�~L�������'µ�°3'¤~-�¢¨JsCn��xzy{n®\¶�tvp�xr������%Ä�C��y{tv�{n)¼é®¶C%I½��}w�y{t���yqy��C~J�.nLn����}nZ~�tv�C��n��£~��.n-��-t����v�v�&xz�7­{x)tv�Fxz�7~����C�v�����u�Cxz�{prtv�Nx �}n�sFt��Ln�~�pznZÓF�{tvpznZ~���x ��nZ�C~�x¹Z± <C® Æ\����N3'#% / ¹Z« 8?1A���*y{t�~¤t�~�~�xrtv���Txr�F������pr�CnC�·�N~��~z����pzx�L�Cpr�Äx��F��tv�����v�v���C¡.n�pr~����nLw yu�{���}pznZ�Ä�u�FxznZ~���ÊN3'C% �����V��}�C��nL���CpP~z��® Æ2���¢¨�¨�µÊNPÑ@%ª�����pznBA�n��-x¤xry{n'�vtv��t�xznZ���L�C���{�{xztv�{��prn�~z�C��pr�Ln�~Ptv�{y�nLprnL�Fx�xr�

~����Cp�xo�L��p��{~L�'xry{nÐ�C�Ds^�`©$��p�� ¶C% �����j'�µ�¦Ätv�����F~�nÏpznL�~�xrpzt��-xztv�C��~L��º{�Npn-|{�����{�vnC�.xry{nLprnqtv~��{�0~z�{�{�.�Cpzx¤���Npxzy{prn��N�{~L��N�Cpz���C�Cn��L�C�v�vn��-xztv�C�·�.�Cp�pznZ���T�u�{�'�.nLp�~L� mÐy{tv��n�xzy{n�~�xr�C���{��p��w��Npr�I~�tv�Ln����Cp �C�Ds^��tv~�¸N±��{t�xr~L�·���Cp¤xzy{n��N�Ds^��©$��p��0¶@%(xry{t�~t�~&¹Z«I��t¥x�~-�Φ ��~�xznZ�C�Ï���pzn����utv�{�Ä�N�Ï��t��{�{��nL�Aw*��prn��{pr�}�}����x�~-�xzy{n��N�DsD��©$��p��£'�µ�¦�tv���-�v���}nZ~���~�tv���{�vnxrpr�C��~z�N��xrt��N���Í�C�-tv�vt�x���{�{tv��xkt��'xzy�nP¶C%ª�F�*y{n��C�Ds^�)©$��p���'�µJ¦Ttv���-�v���{n�~k���£tv�Fxzn�p��Í�N�-nxz��xzy{n�¦�§�Ñ ¬2<�¹�«��A³)~�xr�C���{��p���/¥¹�1Y���Cp�xzy{n7'P���{�vtv���^xrt��N��µJpr��xz�C��-�N��°¤��xr�,"��{t�x�¼�'�µ�°C"�½¢���Npz����x¢�C�Y�L�C���q�{�{t��L��xztv�C� �.n-x�w$nLn��~����Cp�x*�L�Cpr���C����xznLpr��tv�����A�:"¤~�tv�{�'xzy�tv~�p��^xzy�nLp*�v�^w*�A�vnLsNnL�{��pz�C�xz�}�-�N��tv�2�N�Ds^�It�~�~z�C��n�w�y��^x��-���'�.nLp�~��N��n��J�{�{x��C�Ds^� ©$��p�����{����t����^xztv�N��~)��prn&���{�v�����L�C������xztv�{�vn�w�t�xzy �vnL�N�N�-�Vxzn�pz��tv���C�v~L�mÐt�xzy{�N�}x*xzy{t�~��-�N�����^xrtv�{tv��t�x��C�N���7nLsN�C�v�}xrt��N����pr�£���{�{pr�N�N��y����Cptv�Nxrpz�}�}���-tv�{���N�Ds^�Ä©$��p��Äxrn���y{�{�N�v�C�C�7tv�Fxz��xzy�n�����pr�Cn-x�{���C�Lnw��N�{���0�{�Cx�w$�Cpr�.��º�tv���C�v���C�·�N�Ds^��©$�Cpr�It�������n���nL�Fxr��xztv�C��~$�{��{��x��{pz�^sut��}n¢�Cn��{nLprt��¢�����}t�xrt������Í�N�-tv�vt�xztvn�~L�-w�y{t���y�����CnZ~Yt�x��}t�-£��-�{��xTxz�nLs^�C�����^xzn�xzy{n�nL¡.nZ��xrt�sNnL�{nZ~z~�����xzy{nP�N�Ds^�©$�Cpr�'~�nZ�-�{prt�x����n���y��C�{t�~���~L��¦ ��~�xrn��C�·�.t�x�t�~��vn-��x�xz��xry{nq�N�Ds^��©$��p��0���{����t����^�xztv�C����pz�N�Cp�������nLp�~�xz�'nL��~z�{prn�xzy���x*�C�{�{pr�C�{prt��^xrn�t��{���Cpr���^xztv�N��v�C�C�Ntv�{�)t�~$����tv�Fxr��tv�{nZ�Y��*y�n�{t¥¡YnLprnL���-n�~*�vt�~�xzn������.�^sCn �-prn���xzn�'�u�{�q�.nLp����¢~�n�pztv�N��~

�}t�~z�N�}s^���Fxr�C�CnZ~¢xz�'xzy{n~z���L�Ln�~r~����{�·�}n��{�v�^�u��nL�Fx����¢�C�Ds^�q©$�Cpr�·¯¥ ' ~�n������Fxzt���~)���~�x���������p��Ï�N�DsD�{���Cp��I���Cpr�����$��n-xry{�}�xr�Ctv���NpznZ�xz�)~�xr�C���{�Cpr�£�C�Ds^�¤t�~¢�{��x��}tvprn��-xz�v�)���{����t������{�vnkxr��N�DsD�7©$��p��Y��¦ ��~�xznZ�C�V~��N��n�����xzy{nq���Npz���C��t�~r�^xrt��N���{n�n��{~xz�£�.n pzn�sutv~zt�xznZ�Y�

¥ �*y{n¤���{�v�Y���CxznL�Fxrtv�C�·�����¹A�n-|}tv�{tv�vt¥x��'�����L�vt�n��Fx�� ~�n�pzsNnLpJ~z����x��w*��prn'�}n�sCnL�v�N�{��nL�Fx��L�C�{�{�Cx��.n£pznZ���vt�~�nZ�&�.n�������~zn£�}nLsNnL����C�.nLp�~T�{nLnZ�)xr�¤�.n��Dw$�Cpzn����{xry{n��{���^xz���Cpr�`�C��w�y�tv��y�xzy{n�tvp�-�}�}nt�~*�C�Ntv�{�)xr��pz�{�ª¼�tA� n��k�C�7�Np$�C¡V�L�Cpr��½��

¥ �N�DsD�����{�{�vnLxr~¤pz�{���{tv�{���N�I~����Cp�x�L�Cpr�{~¤�L�C�{�{��x�.n'sNnLpz�t�­�n�� ���{�{pr�C��pzt��^xrnL�v�I�.n-���Npzn&xzy�nL� ��prn�pz�{�Ï��nZ�L�C��~�n�xzy{n���{�v�k�u�Fxzn��-�}�}n�sNnLprt¥­�nLp�tv~¤xr�F�7����pr�CnC��©��{prprnL�Fx)~�xr�C�{�F�����n��N~���pznZ~¤tv���L�v���}n��}tv�Ct�xr�C�J~�tv�N�{tv�{�&�C���{pznL�AsNnLprt�­�n��I�F�Fxrn�-�}�}nZ~-�

¥ �*y{n���pzn�n��}�N� �����-�}�}nq��tv�Cp��^xrt��N��t�~Pprn�~�xzprt���xrn��7�.n��L�C��~zn�{�Cx��C�v�·�{���^x����Npz��~$~z�{�{�.�Cpzx$���������N�Ds^�}�

¦ �7�C���}t�xztv�C�£xr�'xry{�N~zn�t���y{nLprt�xzn�����pz�N� �C�Ds^�'������xzy{n)�C¶C%ª��C�Ds^�V©$�Cpr�ªy��C~q~��N��n�~z����n-x��ª����� ~�nZ�-�{prt�x��V�{pr�C����n���~����t�x�~�^w��·��º��Cp nL|}�C���{�vn�%Ä�C�Fxz�N�C��nLpr�Ä�����o®prt�~�y�����/ ¹D±�=�1$~zy{�^wy{�^w xry{n�~zn��-��pzt�x��0���$xzy�n&�C�Ds^�0©$��p��I�N� & n��-x�~�y���prt����&���}�}n���L�C�I�.n'�{pr�C�NnL�·�qѤnZ~�xrpzn�t���y{nLp�/ ¹Z¸ <F�J¹�¸>8�1��}t�~z�L��~r~�nZ~�xzy�n��N�Ds^�©$��p�����n����Cpr�q���}�}n��A�¢�*y{n���}�}n��·tv~$�{�CxP�C�usutv�C��~z�v�(A��Dw$n��·�

�{�}x�t�x�t�~*pr��xzy{n�p�����pr�}ÓN��n���������xry{nLprn-���Npzn �£�.��xrnL�Fxzt����<~z�C��pr�Ln���¤~zn��L�{pzt�x��o�{pr�C�{�vnL��~)w�y{nL�Ï��~�nZ� tv���L�CprpznZ��xz�v�C�oº��Cp�xrnL��������}nÄ���N�{�V��pznZ~�n��Nx��o�-prt¥xrt�ÓN��n����¤xzy{nÄ�N�Ds^�ª©$�Cpr�Ï~z����n-x�� �����~�nZ�-�{prt�x�����n���y��C�{t�~���~3/ <>5?1é�¦ �&xzy{n prnL���Ctv���}nLp�����xzy{t�~�~zn���xrtv�C��w$n�{prn�~znL�Fx�w��Npz�£���N~�nZ�

�C� xry{nÄ�-�Npzn7~znL�����Fxrtv��~)�C���C�Ds^��©$��p�� �C��� xry{nÄ�C�Ds^��©$��p��¶�tvp�xr�����`%Ä�C��y�t���n�¼é�u©�¶C%I½��·�*y�nL�Iw$n��}t�~r�-��~r~�xry{n'x�w������^sN�nL��xztvn�~����k�C�Ds^�q©$�Cpr�·�k�*y�n�­�p�~�x$t�~�xzy{n �C�{�{�vn-x�­�pzn�w$�C�v�é�Fw�y{t���y��¡YnLp�~��Ä��nZ��y�����tv~z� ���Npq�L�C�Fxzpr�C�v�vn��o~�y���prt������C�P�C� & nZ��x�~��.n-�x�w�n�nL���C�{�{�vn-x�~�¼é§}n���xrtv�C�;<{� ¸F½��J�*y{n¤~zn��L�C����t����{�^s^�^xztv�N�qt�~�xzy{n�-���C~r~'­��vnÄ�-�C�usNnLpzxznLp���w�y�tv��yÎprn��}���-n�~qxry{nI�C���C�{�Fx����)~z���C�Ln�{nLnZ�}n��£xr��prnL�{prn�~znL�Fx��v�F�C�}nZ�q�L���C~r~�nZ~P¼é§unZ��xrt��N�¹<}� ³F½��TmªnPxry{nL�pzn�sFt�~zt�x��u�Fxzn)�-�}�}n sNnLprt�­��L��xztv�C��tv�&xzy{n�~z�.n��-t�­��~zn-xzxztv�{�£���Txzy{n�F©�¶@%ª�

ø�QSR òUMÄXUÑloU:a�s l�rpa�[]±²[^h�UXW²_�i�kMb'$x�xr�C�vt�ÊLËkÈ�ØÍÌM/ ¹?5�1��vnLsNnLp����Nn�xry{n�©�nL�Fx����{pkxr�u�C��~z�{t�xzn$xr�)�{�{tv���'��{pz�N�Cp�������tv�{�Pn��usFtvpr�C�{��n��Fx����Np��C�Ds^��©$�Cpr�Y�J�N�DsD��©$�Cpr�q�{pr����Cp�����~Y�L�C� ��nJn��FxznLprn����~�tv�{���P~z�u�Nx��^|�}tvpznZ��xznZ��n��}t�xz�NpL�Zw�y{t���y�F���^wP~*���Cp�n-|{��������nw�y{t���y7��n-xry{�}�{~P�q��~�x��.n�tv���{�vnL��n��Nxrn���F�'���£���{�{�vnLxL�T�*y�tv~¢y�nL�v��~k�C�Ds^� ©$��p�����pz�N�Cp�������nLp�~·�^sNnLpTxzy{nt���t¥xrt����{yu�{p��}�vn��C���CnLx�xztv�{��xz�q�u�{�^w2xzy�n�{n-xr�Ctv�v~����T�N�Ds^�q©$�Cpr�Y��*y{n��{pr�C�Npr�C����t�����nL�usut�pr�C����nL�Fx�t�~)�C�{�vnqxz�Ätv�Fxzn�pz�{prn-x��N�Ds^�©$��p����{pr�C�Cp�����~L���*y{n¤�{�^sCn���x��'t�~Jtv��xry{n�����C���u��nLp��Nw�y{t���y�n-|u�xzp��C��x�~�xry{n{'¤µ�°@" �-�N����������~*��pz�N�Ò�&�C�Ds^�&©$�Cpr�7�{pr�C�Npr�C�7��*y{n$�C�����v�u�Ln�p·xzy�nL���NnL�{n�pr��xznZ~���xrnLpr��tv�����C�C�{�{�vt��L��xztv�C�·�Zw�y{t���ytv~����{�vn*xr�'~znL���£xry{n�prn�ÓF�{tvprn��D'�µ�°C"X�-�N���������{~Txr�)xry{n¤~ztv�£��{���^xznZ�&�N�Ds^�£©$�Cpr�Y�J�*y{t�~$nL�����{�vn�~*�}n�sCn����N��n�pr~Jxz�£n-|}�{�v�Npzn¤xzy{n��n�y��Dsut��N�{p��C��xry{nLtvp£���{�{�vnLxr~£�^x��opznZ�C~z�C���C�{�v�Iy{tv�CyÏ�vnLsCn����C�����~�xzp��C�-xztv�C�·�*�*y{n������.nLp¤�{�FnZ~P�{�Cx�n-|}�{���Ct���y{�^w\xzy�n('�µ�°C"�����C���}~zt�~�w$�Cpr�}~-�*�*y{n)xr�u�C���}�unZ~P�{�Cx¤�-�N��n)w�t�xryÄ~��N��n��C�kxzy{nn-|uxzn���~�tv�N��~¢xzy��^xP�C�Ds^�'©$�Cpr���C¡.n�pr~��^sCn�p$�N�DsD�{�F~z����y��N~Jxrpr�C��~���C��xrtv�C��~L�{�����&�C� & nZ��xP~zy���prtv�{�{�

ø�QdP Ã#l£¡Å³ l�rpa�[]±�[^h�U`W²_.i�kMbº���pzxzn���ÊLË�È�ØÍÌ(/ <�³21 �{pr�^sut��}nI� �-�C������nLxznI~z�.n��-t�­����^xrt��N�2���'��{pznZ�-�{p�~z�CpTxz�xry{n¤�u©�¶C%ª�Nxzy{n��N�Ds^�§}n��-��pznPµ�pz�}�-nZ~z~z�Cp�¼A�N§}µ$½���*y{n�F§}µÏ~��{��~�nLx*nL|{�-�v���}nZ~J�q�{��xzt��éxry{prn��C�{t����{���N�Cpz�����Cn¤�-�C�v�vn��-�xztv�C�I�C���ÄnL|{�-nL�{xztv�C�Äy������}�vtv�{��������tv�{�v�&��nZ�L����~�n'xzy{nq�vtv��t¥xrn��pznZ~��N�{pr�Ln�~¤�C���7~����Cp�x �L�Cpr�Vw$�C�{���Ä����x ��n��C�{�vnqxz�0~����{���Np�xxzy{nZ~�n���n��^xr�{prn�~L�k�*y�n¤~z��nZ�-t�­��L��xztv�C��~ky��DsCn���n�nL��s^�C��t��{��xznZ�'��~��t�����xry{nV��¨���ѧ�xr�F�N�O/ <N¸?1A�'���tv�FxznLprn�~�xztv�{����n-xzy��u�{�C�v�C�Ntv�����u�.�Ctv�Fx�xz�q�{�Cxzn�tv~�xzy��^x*xzy{n

�N§}µ0�C�������~z��xry{n��u©�¶C%;w$nLprn¢�{n�~zt��N�{n��¤n�~r~znL�Fxzt����v�v�*�u�¤~�xr��pzx��t�������pr�C� xry{nq���{�v����¶@%ª�������Äxzy{n��o�L�}x�xrtv�{�7���C���0�{�uw*���FxznZ���n��^xr�{prn�~L�ª�*y{n&�{nLw$nLp£®¶C% / ¹Z« 8?1*�C��xry{n���xzy�nLpqy������ y��C~��n�nL�ª�}n�~ztv�C�{nZ����pz�N�,~z�Lpr��xr��y·���N�{�}tv�{����nZ�^xz��pznZ~��N~�pznZÓN��t�prn��·��*y{t�~����^xzxzn�p���nLxzy{�}�Itv~¤���Cprn��vtv�Cn��v��xz���utvnL���Ä���-�Cy�nLprnL�Fx�prn-�~��{��x��C���7t�~$xzy{n�pznL���Cprn pznZ�-�C����n����}nZ��/¥¹D¬C±!1é�P�*y{n��{nLsCn��v�C�.nLp�~���<xry{n�{t��-�Nµ�¨½NP© sCn�pr~ztv�C�£����xzy{n)�C¶C% x����Nn��q�}t�¡.n�pzn��Fx$������{pz�N��t�~�tv�{�q�v�F�N�ut��������{�{pr�N�N��y·�¤�*y{n��7��¡YnLp���-�Npzn�¶C%�¼é~�xrtv���pznZÓN��t�prtv�{�Ä«�³F® Æ�½)����� �{pr�^sutv�{n�xz�u�C��~)xz�ª�C�{� ���{pzxzy{n�p'���������

±�¸

Page 24: Formalising the Safety of Java, the Java Virtual and Java Card

xztv�C�����vt�x��Ixr�ªxzy{nI�L�Cprn7¶C%ª�Ê"��}���Cpzxz�����^xrnL�v���*�{� �}nLxr��tv��~£��prn�{pr�^sFt��}nZ��tv��xry{n ���C��n�pV/ ¹Z¸C¸?1A�

ø�Qd� Ö��Q�@nS[M_q\Di�a�[�ùoUXnSn¦ � �C�Ds^�Ä©$��p��Äxry{n��C�����InL�Fxzt�x��7xzy��^x'������·²�^w��M T���u�Fxzy{tv�{��t�~�0�-�N�Nxrn-|uxL��' �-�N�Fxzn-|ux)t�~ �C~r~z�u�Lt��^xznZ�Iw�t�xryª�7���C���^���Nn��k�-�C�{�xznL|Fx�~'�Cpzn��{�{t�ÓF�{n��V�*y�n����{����nLxr~'�}n-­���n���w�t�xzy�t�� �Ä���C���^���Nn��prn��^w��{nZ���u�£xzy�n�L�C�FxznL|ux$�C��xzy�n����C���^���Nn��p'P�v�Y�C� & nZ��xr~*�LpznL��^xrn��Ä�u�I�C�V�C�{�{�vn-x ��prnq�C��~����^w���n��V�F�7xry{n��-�N�Nxrn-|ux ���¤¼�xzy{n���C���^�C�Cn�����½¢xzy�n����{����nLxL�k�*y{n¤�N�Ds^��©$��p��0N��{�Fxztv��nP¨J�usutvpz�N�}���nL�Fx�¼é�u©²NP¨�½�t�~¤prnL��pznZ~�n��Nxrn��0�u�I�&��~znL���{�7�L�C�FxznL|uxL�<w�y{t���yt�~$xzy{n �^w��{n�p����k���u���N� & n��-xr~*�{�Cx��-prn���xzn����u���C�7�C�{�{�vn-x)¼Íté� n��~��}~�xzn�� �C� & nZ��x�~r½��Ѥ� & n���x�~Ä�^w��{nZ�`�u�"xry{nÏ~r����n��-�N�Fxzn-|uxI���D�X��n ~�y���prn��

��pzn�nL�v���IѤ� & nZ��xr~��^w��{n��o�u�ª�}t�¡.n�pzn��Nx��L�C�FxznL|uxr~��������N�{�v�Ä��n~�y���prn���t��<xry{n ~�y��Cpr�C�{�vnPtv�FxznLpz�Í�C�Ln��N� & n��-x$�{pr��xr�}�-�C�A�uw�y{t���y�w$nn-|}�{����tv�V��n����^w�Tt�~����C�v�v�^w�nZ�Y�&Ѥw��{nLp�~�y�t��ot�~�xzyu��~'�7pzn��v��xztv�C���nLx�w�n�nL�ª�-�N�Nxrn-|uxr~�C���I�N� & n��-xr~L�q¦»x)w$�C���v�Äy��DsCnq��n�nL�ª���Cprn���^xr�{p����uxz�)�{nLsCn��v�C�'�C�£�^w��{nLp�~�y�t��'pzn����^xztv�N�)��nLx�w�n�nL�£�C� & n���x�~-��{�}x�xzy���x�y��N~J�{�Cx��.nLnL��xzy{n���y{�Ct��-n��C�Yxzy{n�C�Ds^�'©$�Cpr���}nZ~�tv�N�}�nLp�~-�¦ �ª�C���}t�xztv�C�7xr�&xry{n£�{��xrtv�C�Ä�C���^w��{nLp�~zy{tv�·���C�Ds^��©$�Cpr�V�}n-�

­��{nZ~�xry{n7�{��xrtv�C� �C���C� & nZ��x��C���-n�~r~L��'P�Ï�C�{�{�vn-x£���D�o�Cp����Fx���{�Cxzy{n�p'�C�{�{�vn-x£�C�L�Ln�~r~-�J�C�N��tv��~z�{� & n��-x'xr�Äxry{n�~zy��Cpr�C�{�vn�t��{�xzn�p��Í�N�-n��N� & n��-x'�{pr��xr�}�-�C�A��'�� �^w��{n�p����D�otv�FsN�C�Nn���n-xzy��u��~�C�0���7�^w��{nZ���C� & nZ��xL�.pznZ�C��������w�prt�xzn­�n��v��~*n-xr����'��Ä���{����nLxxzy���xTy��C~��N�L�Ln�~r~<xr�¤��~zy��CpznZ� �C� & nZ��x*¼�tA� nC�T�C�)�C� & nZ��xT�^w��{n�� �u�~��N��nL�N�{nnL��~�nD½����D��tv�FsN�C�Nn���nLxzy{�}�{~P�C��xzy{n'~�y��CpznZ���C� & nZ��xL��{�}x*xzy�n�C�{�{�vn-x$���D�£�{��xP�C���-nZ~z~�­�nL���{~�����xzy{n ~zy���prn����C� & nZ��xL��*y�nP~�y��Cpr�C�{�vn�tv�Fxzn�p��Í�N�-n*�C� & n���xJ��pz�Cxz�}�-�N�}w��Npz�}~¢�C~¢���N�v���^wP~L�

§u�{�{�.�N~znVxzy���x0� ~znLprsCnLp����{����nLx�w�t�~zy{n�~�xz� �Cp����Fx�~&� �-�vtvnL�Fx���{����nLx��C���-nZ~z~<xz����)�N� & n��-x��^w��{nZ� �u�¤xry{n*~�n�pzsNnLp����*y{n$~znLprsCn�p�'��~�xĹD½��}nL­��{nV� �{nLw �{�{����t��7tv�Fxzn�p��Í�N�-n ¼´úC½�xzy���x&n-|uxrnL���{~xzy{n7~�xr�����{��p�� �C�Ds^�V©$�Cpr� t��FxrnLpz�Í�C�-nr��©��>ª��2Ç���®��¢±N½��}nL­��{n���-���C~r~�¼d�u½ xzy���x'tv���{�vnL��n��Fxr~¤xzy{n&tv�NxrnLpz�Í�C�Lnpúu�T����� ¸N½��-prn��^xrn�����C� & nZ��xQ��úMeq���¢�-���C~r~�����*y�nq�L��tvn��Nx¤tv�{nL�Fxzt�­�nZ~�xzy�n£~znLprsCn�p��u�0t�xr~@'P�{����nLx�¦��{nL�Fxzt�­�n�p

¼�'�¦�°�½��������V�C~z�u~�xzy�n£�u©²NP¨"���Cp��prn-��n�pzn����-n�xz�&xzy{n£~�n�pzsNnLp�~��ú6e��N� & n��-xL�J�*y{n �F©²NP¨ xzy{n��&tv�usC�N�CnZ~J����nLxzy{�}�&�}n-­���n����u�xzy{nq~�n�pzsNnLp���w�y{t���y0nL�����{�vn�~�xzy{n'�v��x�xrnLp�xr�&�}nZ�-t��}n w�y{nLxzy{n�p�xr��Cp����Fx��Npq�}n��u�ª�N�L�Ln�~r~)xr�Äxzy�n��L��tvn��Nx��V¦»�¤�N�L�Ln�~r~�t�~)�Npr�C�Fxzn��·�xzy{nI�u©²NP¨;prn-xr�{pz��~qxzy{n0prn-��n����-n7xr�ªxzy{nO��úMeVxz�ªxry{nI�L��tvn��Nx��w�y{t���y �L�C��xzy{n�� �.nL�Nt�� xz�Itv�usC�N�Cn���nLxzy{�}�{~'�C��xry{n��C� & nZ��xL�mon¤y��DsCn��C�v�N~r~�nZ�q�^sCnLp�~��N��nP�}n-x���tv��~ky{nLprn(/ ¸ 8?1A�}�{�}x*t�x�~�y��C�{�����nV���{���Cpzn��Fx�xzy���x�xzy{nV�{pr��xz�}�L�C�Pt�~£�{�N�}�éxrpztvsut����A�Å' ���Npz���C�tv�FsNn�~�xztv�N��xztv�C�ªtv�Fxz�Vxzy{n0��pz�N��n�p�xrt�nZ~q����xzy{n0�{pr��xr�}�-�C�*t�~qxzyu��~��~zn-���{�A�%Ä��xzp �n4/¥¹Z± 5?1q�}nZ~z�Lpztv�.n�~Ä�Î���Npz���C� ���}�}nL��¼���~ztv�{�Îxzy{nÏÆ��

��n-xry{�}��½ �C�Pxzy{n7�����{�vn-x)­�prnLw*���v�A�I¦ ��xry{n����u�{nL�*�Ä�u�{�q��n�p���·~�tv���{�vt�­����^xztv�N��~·y��DsNn$�.nLn������C�}nC�N~z����y��C~¢xry{nP�C��t�~r~�tv�N� ����v�F�N�{tv�{���L�C��~�xzpr����x�~T��pz�N�`xzy{n��u©�¶C%Ò�-�N�����N�{nL�Fx��T�*y{n*����tv�pznZ~����¥x�~£���xzy�nÄw��Npz�Ï��prn7x�w��C���C���Y�XºTtvpr~�xL�$xzy�nI�-�N��~�xrpz����xznZ����}�}nL��y��C~'��n�nL�ÏsCnLprt�­�n��ªn��Fxztvpzn��v���V§unZ�-�C���Y�kxz�opznZ�}���Ln�xzy{n

�F���'�.nLpq������pz�u���P�N�{�vtv�N�^xrtv�C��~�xry��^x£�{nLnZ��xr�V�.n0�}t�~z��y��Cpz�Nn���}�{prt�����sCn�pzt�­����^xrt��N�·�Yt¥xt�~��pr�C�{nZ�0xzy��^x t�xt�~�&�C�u�}�Ät��}n���xz��{pznZ���qxzy�n~z�.n��-t�­����^xrt��N���{��tv�&�'�F���'�.nLp$���¢~�n�����p��^xrn¤ÆÎ���^���y{tv�{n�~L�k§}��n����}tv�{�q���Cprn�n-¡Y�Cpzx*xz�q�{�{tv�����q~��.n��Lt�­��L��xztv�C��xry��^xn-|uxzn����{~¤��n��C�C���7xzy{n'­�prnLw*���v���L�C���.�C�{n��Nx��Y�C���0prnL���^xrtv�{�£xzy{n~��.n��Lt¥­.�L�^xrtv�C� ���N��� xz��xzy�n$prn-��n�pzn����-n$tv���{�vnL��n��Nx��^xrt��N�¤�C�Y�N�Ds^�©$��p���w$�C�{������n s^���v���C�{�vnP���}xr�{prn w��Npz�.�Æ$tvnL�.nLp)Ê�Ë$È�ØÍÌ:/ ±C±?1���~znxzy{n)§.%0¶ ���u�{nL�·��y{n����NnLp$xz��nZ~�x����}�

��t�~zyoxzy{n��-�C���}t�xztv�C��~)�{���}n�p'w�y{t���y��{��n-|}��nZ��xrn�� tv�}���Npz����xztv�C���nZ���}~¢�.n-x�w$nLnL�&���{�{�vnLxr~J�������.n�n-|{�L�����}n��Y�k�*y{n�t�p����{�{pr�N�N��y£tv~���C~zn��£�N������~�xzp��C�-x�tv�NxrnLpr�{prn-xr��xztv�C�'�����N�Ds^��©$��p��£�F�Fxrn��-�}�}nZ~-�w�y{nLprn xzy�n'�}�N����tv�&�C�¢xzy{n't��FxrnLpr�{pznLxr��xztv�C�&tv~¤�����Cp�xrtv�C�·�Cp��}nLp���C~zn��Ï�C�Î�vnLsNnL��~��C��~zn��L�{pzt�x��C�2Æ$tvnL�.nLpIÊ�Ë'È�ØÍÌ$��n�p����Npz�(xzy{n�t�p�����C���}~zt�~ �^x�xry{n��u�Fxzn��-�}�}n&��n�sCn��é�¢w�y{t���y������Nn�~ t�xq����pzxzt��-�{��v�Cpz�v�£�}t�-��-�{��x*xz�£�Cn�nL�&xzy{n)~�xr��xzn)~z���C�Ln ~��.-��Lt�n��Fxz�v��~����C���A�ø�Q�° l�nSUpb�b�\DiSnS[�lorOW²Ä½[Ma�b�iSrOW§u����pzx¤�L�Cpr��~¤�Cpzn�xz�u�&~z�����v�·xr���L�C�Fxr�Ct��Ä�C�v�<xzy�nqtv�}���Npz����xztv�C����$�N�Ds^�. ²~¤�L�v�N~z~�­��vn�~L�·�Cp�xzy�nq�u�Fxzn£�-�}�}n£sNnLprt¥­�nLp�� �*y�nLprn-���Cprn��xzy{n��N�Ds^�£©$�Cpr�)'Pp���y{t�xznZ��xz��pzn�y��C~��£~z��nZ�-t����·�L�C���.�C�{n��Nx��}xzy{n�-���C~r~�­��vn)�-�C�usNnLpzxznLp����*y{t�~P�L�C���.�C�{n��Nx*x����CnZ~�~�x���������p����L���C~r~­��vn�~)�C���ª�-�C�usNnLpzxr~�xzy�nL�5tv�Nxr�0~����C���vn�p������v�vn���©$��p��o'¤µJ�{�vnLx¼A©²'�µ$½$­��vn�~L�P�*y{n'�L���C~r~$­��vn)�-�C�usNnLpzxznLp¤����~��£tv���{�vnL��n��Fxr~�xzy{n�F�Fxrn'�-�}�}n'sCn�pzt�­�n�pL���*y{t�~���n�����~�xzy��^x��&~����Cp�x�����p��0�L�C�{�{��xpzn����Î�N�"t�xr~&�u�Nxrno�L�}�}nVsNnLprt�­�nLp�xz�ÎnL��~z�{prnÄxry��^xV©²'�µ ­��vn�~��prn�w$nL�v�����Npz��nZ�Ä�����0x��u��n£�-�Npzprn��-xL�)¦ ��~�xznZ�C�V�-pr�F�{xz�C�Npr�C�{y{t��xzn���y��{t�ÓN��n�~ ��prn£��~zn��oxz�0n���~z�{pzn£xry��^x xry{n��L�C�Fxzn��Nx�~ ����©²'�µ­��vn�~*�L�C���.nxzpr��~�xznZ�Y������{nLx������,N�nZÓF�{n-x½/¥¹C¹�=?1N��~zn¢xzy�n�Æ��A��nLxzy{�}�£¼Í�C����xzy{n��C~r~��C�

�-t��^xrn���xz�u�N���ut�x`·Í'$xznL�vtvnLp�Æ# Ù½Yxr�¤~�xz���{���N�{n�����pzxzt��-�{���Cp<�C~z��nZ��x��C�xzy{n �-�N�usCnLp�~zt��N�£��pz�N� ��¶@%,xr���F©�¶@% �L�u�{n����*y{t�~�tv~�xry{n �C�}�xztv��t�~z��xztv�C��xzy���x¤prnL�{���C�Ln�~P�C¶C%�tv��~�xzpr���-xztv�C��~Pw�t¥xry�¬�§.È&x��u��n��pr�C�{��n��Nx�~P�u�I�u©�¶C%(tv��~�xzpr���-xztv�C��~Pxzy���xxr���Nn,Ç�¦�È�®{�X��©�«>ª�È�Cp�¬!§�È �N~q�C�{�{pr�C�{prt��^xrn�� �*y{nLtvpqpznZ~����¥x�~)���Np��V~z�����v��~z�{��~zn-x¼�xzy�n'tv���.nLp��^xztvsNn��L�Cprn������Ä��n-xzy��u�I�L���v��~�½$���kxzy�n£�C¶C%��u�Fxzn�-�}�}n�~��C����xzy{n)�L�CprpznZ~��.�C���{t����q�u©�¶C% �u�Nxrn �-�}�}n�~*tv���L�v���}n�¯¹��3' ~z��nZ�-t�­����^xztv�N���C�}xzy{n*�-�N��~�xzp���tv�Fxr~Ytv�����F~�nZ��u��xry{n��u�Fxzn�-�}�}nsCn�pzt�­�n�p����Np�xzy�n���¶@% ~z�{��~zn-x��

±u�3' ~��.n��Lt�­��L��xztv�C���C��xry{n)~znL�����Fxrtv��~J�C��xry{n���¶@%5~��{��~�nLxL�¸}�3'Ð~z��nZ�-t�­��L��xztv�C�q���Yxry{n�~znL�����Fxrtv��~T���Yxzy{n�F©�¶@% ~�����~�nLxL�³{�3'"��pz�u����xzy���x�xry{n�~z�.n��-t�­����^xrt��N�����<xry{n �F©�¶@% ~z�{��~zn-x*tv~�0ßCÈ�Ë»È�ÖzÊ | Û.ÊB~£ÊLÛ�Ë����Txzy{n��C¶C% ~z�{��~zn-xL�

�*y{nV~��{��~�nLx�t�~�~����C�v�é�$����� xry{nV�}t�¡YnLprnL���Ln�~��.n-x�w$nLn��Îxzy{n�F©�¶@% �C��� xry{nI�C¶C% ��prn�~z�����v�A�qº��^w�n�sCnLp��Jxry{n7w��Npz���u�������n-x¤�C����N�nZÓN��n-x�~zy{�^wP~�y��^wXxry{n'Æ��»��n-xry{�}�0�L���0�.n���~�nZ�~������-nZ~z~����{�v�v���}�����7~z���L�Lt�����xz�v�qxz�����C�Cn�xzy{n �{pr�u��� ��*y{n�~z�C��nJ���}xry{�Cp�~·��~znkxzy�n�Æ��A��nLxzy{�}��xz���{pz�^sNnTxzy{n*�F©�¶@%

x��F�.n'~z�}~�xrnL� ~z�C�{���·��*y{n't��}n���t�~Pxz�&~z�.n��-t����7�&�u©�¶C%�w�t�xrypz�{�Fxrt���n£x��u�.n���y�n����}~)­�pr~�xL���*y{t�~'~z�.n��-t�­����^xrt��N�ªtv~�xzy�nL� prn-�­��{n���tv�Nxr�'�'�u�Nxrn��L�}�}n¤sNnLprt�­�nLp��C�����'�u�Fxzn�-�}�}n�t��FxrnLpr�{pznLxzn�p

±^³

Page 25: Formalising the Safety of Java, the Java Virtual and Java Card

w�t�xzy{�N�}x�pz�{�Fxrt���n&x��u��nV��y{n����}~L�"�*y{nÄ�-�Npzprn��-xz�{nZ~z~q�{pr�u������xzy{nqprn-­��{n���nL�FxPxry{nL�ª�-�N��~�xrt�xz�}xrn�~���~z�C�{���{�{n�~r~���pz�u���J�C�kxzy{nx��u��n£~��}~�xzn��7�7'��In��Cpz�v�������.nLp¤xr�C�CnZ~¤�&~����C���T~�����~�nLx��C�kxzy{n�F©�¶@% �u�Fxzn��L�u�{n�~¢tv�Fxz� �C���-�C���Nx+/ ¸�³21A�¢�*y�nP~z���������{tv�vt�x��P����xzy{n��n-xry{�}�Y�u�L�^sCn�pztv�{� ���.�C�{x¤¹!=>=)�}t�¡YnLprnL�Fx��u�Fxzn�-�}�}n�~L�utv~�tv�FsNn�~��xztv�N��xznZ�Itv���0���^xrnLp ���C��n�p;/ ¹?5^³21A�0¨JsCn��oxzy{�N�{�Cyªxry{n�w$�Cpr�Ät�~µ��{�Cx�pzn��{pznZ~�n��Fxr�^xrtvsCnP�C��xry{nxzprt����F������pzxr~*����xzy{n�������·tv��~�xzpr���-�xztv�C��~�nLx�¶{�{xzy{n nL¡.�Np�x�prn�ÓF�{tvprn���t�~*�-�N��~ztv�{nLp����{�vn��°¤nL���{nL�ª�����Ï��n���~�n��4/ 5C¸21$~�xz���}����� �C~z�.n���x�xzy���x�t�~��-�N�£�

�{�vnL��n��Nx���pr�Ixr�Ixry��^x�~�xz���{t�nZ� �u�������{nLx��C����NPn�ÓF�{n-x��Î�*y�n���Cpr��nLp�~�xz���}��xzy{n£�-�N�FsNnLp�~�tv�N�������C¶C% �-���C~r~*­��vnZ~�xz�7�F©�¶@%�-���C~r~�­��vn�~T�u���V· xr�C�Cn��{t�~z��xztv�C�^ ��{pr�}�-n�~r~L�T�*y{t�~Tpzn��{���C�Ln�~�������nZ~tv�xzy{n*�-���C~r~·­���nZ~<�u����Cprn��-�N�����C�-x<pzn��{prn�~znL�Fxr��xztv�C��~L�Lxryu��~TpznL��}���Lt����xzy{n�~ztv�Ln��C�.xry{n��L�v�N~z~k­��vn�~J�N~kw�n��v���C~J~z�.nLn��{t���� �{�£xzy{n�v�N�C�{t������{pz�}�Ln�~r~-��°¤nL�{��nL�I�C���V�CnL��~znL�Ixr�C�Cnqn�~r~�n��Nxrt����v�v��xzy{n~z�C��n����N�{p�~�xznL��~��C~0���C�{n-x��C���gN�n�ÓF�{nLx��C���^sNn�� ºP�^w$nLsNnLp��°�n��{�{n��ª�C��� �CnL��~znL����~zn�xry{n7©��}ÓIxzy{n��CprnL� �{pr�^sCnLp)xz�Ä��nL���y�����tv�����v�v�I��y{nZ���Vxry{nLtvpq�{pr�F�C�Í~-� �*y{n�������~��I��~�n7���ÏnL�vnL�F���Fx��n-xry{�}�7xz�&����p�����nLxznLprt�~�n¤xzy�nLtvp��N��n�pr��xztv�C���C��~znL�����Fxrtv��~��^sCn�p������nprn�~z�C�v�}xrt��N�·���*y{n�pznL���Cprn����N�{�v���C��n �C�.nLp��^xztv�N�����<~znL���C�}�xzt��L~¢t�~kprn�ÓF�{tvprn��Y�^xry��^x�tv~k�C��~�xzp��C��xJw�t�xryqprn�~z�.n���xkxr�xzy{n¤�C��xr�����������n£prn�~z�C�v�}xrt��N�I��nLxzy{�}�Y�k�����oxryu��~��L�C�����C�Ixz�Ä�.��xryªxzy{n��¶@% �C���0�F©�¶@%5~��{��~�nLxr~L�

ø�Qd¸ TViSY�lÊ_6ùo[^i�Y­l²_q of�_�[]l�r+s3[¢¡£[^a�i�¤@k�U`_.iSrOW'2~����C�v�C���u��xr�{prt��FxJ�}n�sFt��Ln*�{�FnZ~¢�{��xJy��DsCn*nL�{�N�{�Cyq��nL���Npz��xr���n�p����Npz�\�u�Fxzn��L�}�}nJsCn�pzt�­����^xrt��N�·��§u�{�M ²~T~��{�vt�x�¶@% �-�N���-n��}x<���Cp�C�Ds^��©$�Cpr�7~�xztv�{�{���^xrn�~��C¡��»�vtv�{nsCnLprt�­��L��xztv�C�<�������0~ztv�C�{tv�{�'xzy{npznZ~����¥x�~)�}tv�Ct�x����v�v����mÐy�nL� �v�N�N�}tv�{�&xzy{n��-�}�}n����C�v�kxzy���x'�{n�n��{~xz�0�.n���y{n����Nn��Vt�~�xry{n�~ztv�C����xz�{prn��<�{�Cx xzy{n��L�}�}n�t�xr~znL��� ���*y{t�~�{���C�Ln�~��L�C��~zt��}nLp�������nqxrpz��~�x£t��Ï�}tv�Ct�xr�C��~zt��N���^xr�{prn�~L¯£�N���-n�xzy{n�{���}n�pz�v�utv�{���NnL�}~��prnq�L�C���{pr�C��t�~zn��Y��sNnLprt�­�n��0�u�Fxzn��L�u�{nq�.n-��-�N��n�~$w��Np�xry{�vn�~r~-�¦ ��~�xrn��C� ���¤�VsCn�pzt�­�n�p'���C~zn�� �N� x��u�.n���y{nZ���ut����{��µ¢�N~znL�N�N�

������¶k�C��x7/ ¹�<u�Y¹L³N«21.�{pr�C�.�N~zn�xr����~zn¤�����u�{nL����y�n����Cn�pkxz�'��n�p�����Cpr�;��¡.�A�vtv�{n��u�Fxzn¤�L�}�}n¤sNnLprt�­��L��xztv�C�'���Cp$~����Cp�x�����p��{~L�¢�*y{n�tvp��pr�C�{��n��FxJtv~kxzy���x$� xrpztvnZ�������qxrn�~�xzn������}�}nL�.��y{n����NnLp�¼A§.%0¶�½t�~*n��C~ztvnLp$xz��xzpr��~�x�xry����Ä���N�Ds^�q�F�Fxrn��-�}�}n sNnLprt¥­�nLp��{�{�}xPxry{nL��CtvsCn�{��nLsut��}nL���Ln ���CpPxzy{t�~��L����tv�7��¦ �I��~�n�����p��^xrn �����.nLp�/ ¬N¬!1é�µ¢�N~znL�N�N�&Ê�Ë*È^ØÍÌ.�{pr�C�.�N~zn�xz��tv���{�vnL��n��Nx$�qxztv�u���{pr�F�C�¢��y�n����Cn�p�C�ª�0~����Cp�x �L�Cpr�·���*y{n��{pr�F�C�$��y{nZ���Cn�p�w$�C���v�Ixzy�nL�ª��n��C�{�vnxz��prn��N~��N�&���.�C�{x�xzpr��~�xP�.�C�vt��-tvnZ~�~zn-xP�u��xry{n ��~znLp����*y{n prn�~z�{��x���{�.n��Cpr~qxr����nÄ~z�C��n�w�y��^x��}t�~r���{�.�Ctv�Fxztv�{�����C~£�{pr�^sutv�{�Ixry{n-��CprnL��y{�u�}�Ä�C�*~z�C��n�~ztv���{�vn�­�p�~�x)�Cp��}nLp �v�C�Nt�� ���Cpr�q�{����nq���D�xr�C�Cn����xzy{n �Npr�}n�p*���¢��t��u�}xrn�~L�mÐt�xry �vtv�CyFx�w$nLtv�CyFx"�u�FxznÞ�-�}�}n;sNnLprt¥­.�L�^xrtv�C�·��N��F~�nÞ�C���N��N~zn,/ ¹?5�«�1��{� �{��xkw�t�~�y'xz�prnL�v� �C���}tv�Nt¥x����u~�tv�N���^xr�{pznZ~<���Np¢xzy{n

~z����n-x��V���P�u�Fxzn��L�u�{n�sCn�pzt�­����^xztv�N�I�C� ~z����pzx)�L�Cpr�{~L�0¦ ��~�xzn��N�xzy{n�� ��~zn£9�n��-���v�ª�C���4�<n�n� ²~��{pr�F�C������prpz�utv�{�ª�-�}�}n0��n-xry{�}�xz��·Ù~z�{�vt�xB .xzy{n£�u�Fxzn£�-�}�}nqsCn�pzt�­�n�p¤�C~¤���N���v�^wP~L��*y�n'­�pr~�x~�xzn��¼�xry{nIsNnLprt¥­.�L�^xrtv�C��½'t�~£xz�ÏpznZ�-�N��~�xrpz����x�xzy�nIx��u�.n�~��N~z~z�}�-t��^xrn��w�t�xzy0���v�<�v�}�L�C�<s^��prtv�C�{�vn�~*������~�xr�N���&�v�}�L��xztv�C��~��C����¶@%��-�}�}n���*y{n¤~zn��L�C����~�xrnL�I¼�xzy{n�-n�p�xrt¥­.�L�^xrtv�C��½T��~zn�~Jxzy{n�prn��-�N��~�xzpr����xrn��

x��F�.n�~�xz� ��y{nZ����xzy���x�n��N��yÏtv��~�xzpr����xrtv�C� t�~��L�CprpznZ��xz�v�ªx��u�.n��Y��*y{n��C�}s^���Fx����CnZ~¤�Cpzn�x�w��C���C���Y�'ºTtvp�~�x��·xzy{n��-n�p�xrt�­��L��xztv�C�0�{pr����-n�~r~£t�~�~�tv���{�vnC��~��oxry��^x�t�x�t�~q��n��N~�tv�{�vn�xr��tv���{�vnL��nL�Fxqt¥x��N���~z����pzx �L��p����Txzy{n����Npzn£�-�N���{�vn-|0sCn�pzt�­����^xrt��N�I�L�C�V�.n��L�Cp��pztvn��q�N�}x��N��� y{�N~�xL��§unZ�-�N���Y�u�C�{�v�)xry{n�-nLpzxzt�­����^xrt��N���{n�n��{~�xz���n£xrpz��~�xznZ�Y�¢�{��x xry{n�sCn�pzt�­����^xztv�N�·�£�*y�tv~���C�CnZ~Pxry{n�xzpr��~�xznZ�t��{��pr�N~�xrpz���-xz�{prnP~z�����v�vnLp¢xzy�����tv���'~�x������{�Cpr�&�C�Ds^� tv���{�vnL��n��}�xr�^xrtv�C�·�gN��N~zn��C����N��N~zn�~zy{�^wÞxry��^x£���Np��V~z�����v�*~��{��~�nLx£�C�xzy{n ��¶@%ª�{�-�N��~�t�~�xztv�{� nZ~z~znL�Fxzt��C���v� �C������pzxr~����·xry{n�t����.nLp��^xrtvsCn�-�Cprn�w�t¥xryÏ��nLxzy{�}�Ï�L���v��~L���-nLpzxzt�­����^xrt��N� t�~£~��N�{��� ����� �-�N�£��{�vn-xznC�J�*y{t�~���nZ����~�xzy��^x*xzy{n ~znL���Cpr��xznZ��sCn�pzt�­�n�p������&��y{nZ���Cn�p���CprnLn*nL|}�N��xr��� w�t�xry'xry{nP�Npztv�Ctv���C�N�u�FxznP�L�}�}n�sCn�pzt�­�n�pL���*y�nP���^���n�p¤�-�N�Fxr��tv��~�~z�C��nn�pzpr�Cp�~-�{w�y�tv��y0�L�C�{����y��DsCn �.nLn��Ä�DsC�Ntv�{n��t¥�7N��N~zn7�����gN��F~�n�y��C�Ï��~zn��Ïxz�u�N�P~��{�����Np�x��2º��{pzxzy{n�pz���NpznC�n-|{�-n��}xztv�C� y��C���}�vtv�{�Vy��C~��.nLn�� �N��t�x�xznZ�Y�*��nZ�L����~�n0t�x�w��N�{����-�C������t����^xzn��F�Fxrn�L�}�}n sCn�pzt�­����^xztv�N���-�C��~�t��}n�pr�C�{�v�)/¥¹�«�5�1é�§u���M ~k®¶@% y��N~¢�P���u��xr�{prt��Fxk�^x¢�vn��C~�x*¹!=�xrtv��n�~��v�Cpz�NnLp�xzy��C�

�C�Ds^��©$��p��Y�$�*y�tv~*���C�CnZ~*t¥x��.�N~r~�tv�{�vn�xz���.nLpz���Cpr� ��pz�N��n�pP�C�}���tv�{n*�u�FxznP�L�u�{nPsCn�pzt�­����^xztv�N�·�^�{�}x��N��~�tv���{�vt�­�n���¼��{prn-�»sCn�pzt�­�nZ��½�-���C~r~*­��vn�~L��¦ ���{nLn��0xzy{n�©��C�{�{nZ��xrn�����t���t�xrn���°�n�sFt��Ln)sCn�pr~ztv�C�����xzy{nÄ®¶@% / ¹^¬2=�1�tv���{�vnL��n��Fxr~'�F�FxrnÄ�-�}�}n0sCn�pzt�­����^xrt��N� �C~�{pz�N���F~�nZ���F�âN��F~�n'�����âN��F~�n&¼Í���.�^sCnD½��¤�*y�n)�{prn-�»sCnLprt�­�nLp�prn-����^sCn�~����v�T~z�{�{pr�C�{xztv�{n�~'¼��u�0tv�{�vtv�{tv�{�F½*�C���I�N�{�{~�~�x��C���7������~xz� xry{n¤�L�v�N~z~k­��vn��k�*y{n�~zn�~�xr�C���q������~kpznZ�-�Npr�'xzy�nPx��u��nZ~��C�·xzy{n���}������~�^x)n��N��yª�{pr�C����yoxr�Cpz�Nn-xL�7�*y{n��N�}�A�vtv�{nqsCn�pzt�­�n�p����C�CnZ~��~�tv�{�N��n��vtv�{n��Cp$���C~r~$xzy{pr�C�{�Ny�xzy{n)�u�Fxzn'�-�}�}n�~�xz����y{nZ����x��u��n�-�C��~�t�~�xznL���-���`"P�}���Np�xr�{���^xrnL�v���^�{�¤���Cpr�����vt�~r�^xztv�N��~��C�{xzy�n$®¶@%�F�Fxrn�L�}�}n sCn�pzt�­�n�p�y��DsNn¤�.nLn��7pzn����Np�xrn��&t��&xzy�n ��t�xrnLp��^xz��pznC�®�vnLtv� �C��� 9Ptv�{�N�^w / ¹�=C«?1 ��pz�^sNn;� ~z�vt��NyFxXs^��prt����Fx\�C�

��tv�NyNx�w$nLtv�NyNx �u�Fxzn7�-�}�}n�sCn�pzt�­����^xztv�N�ª�L�CprpznZ��x���~�tv�{�V¦�~z�C��n����vnC��*y{nLtvp��{prn�~znL�Fx��^xztv�N�Ït�~��L�vn���prnLp£xry����Îxry{nI�Npztv�Nt������*�u�gNP�N~zn�����)N��N~zn��

ø�QAÞ e4i�b�k�ZCb�b�iSrOW�C�Ds^� ©$��p���t�~¢�^x¢xzy�nP~z�C��n�xrt���n*�~�����~�nLxJ���·�C�Ds^�q¼Í�}�{n*xr�xzy{n�C��t�~z~ztv�C�������q�{��xzt��Axzy{prn��N�}tv�{�{�{�F��pr�����Nn)�-�N���vnZ��xztv�N��nLxr�Z½����������~z�{��n�pk~�nLxT�C�.�C�Ds^�)¼é�}�{n�xz�¤xzy{n*�C���}t�xztv�C� �C���P���}�}n��C���Np¢�L�C�}�xzpr�C�v�vn����N� & n��-x�~�y���prt����qnLxr�Z½����*y{nL�Npztvn�~��C���&xz�u�C��~��}n�sCn����N��nZ����CpP~�xr�����{��p����N�Ds^�£��prn¤xry{nLprn-���Npzn ����x��}tvprn���xr�v�£�C�{�{�vt��L�C�{�vnPxz��C�Ds^�q©$�Cpr�·�J§}��nZ�-t����Yn-¡Y�Cpzx*tv~$prn�ÓF�{tvprn��qxz���}n�sCn����N��xz�u�N�v~$�����xzy{n��Cprt�nZ~�xzy���x��L���0�L�C�.n w�t¥xry�xry{n��N�{�}n��&��nZ�^xz��pznZ~-�½%0�Npzn ~zn-�pztv�C��~��v���knL|Fxrpr�In-¡Y�Cpzxr~£��prn�pznZÓN��t�prn��oxr���C�{�C�}xq�Np'prn��{nLsCn��v�C�xz�u�C��~��C���0xry{nL�NpztvnZ~�xz��y��C���}�vn'~�xr�C���{��p��7��nZ�^xz��pznZ~�xry��^xy��DsNn��n�nL�q���u�{t¥­�n�����Npk�N�Ds^��©$�Cpr�Y�¢º{�NpTnL|{�����{�vn��L�v�N~z~��v�N�N�}tv�{�Ptv��C�Ds^��©$�Cpr��t�~����C���^���Nn����N~�nZ���C~T�N�{���F~�nZ� xr��L���C~r~����N~�nZ�Y�C�������y����{�Ntv�{��­������J~�xr�^xrt���­�nL���{~����*�{prt���t�xrt�sNnx��u��nZ~tv~ ���{tv���Cpz��-�C�����^xztv�{�vn���y����{�Nn�tv�7�C�Ds^�}�{���}xP�{��xPtv�7�C�Ds^��©$��p��Y�mªn��.nL�vtvnLsCn'xzy��^x�~z�C��n£���*xzy�n�t����-�C�����^xztv�{tv�vt�x����{pr�C����n���~

�-�C���v�o�.n��DsN�Ct��}nZ�Y�ĺ{�Cp'n-|{��������nC��xr�V~z��nZ�-t����o�I®¶C%ª�¢�C�{n�CtvsCnZ~J�&Ô�u^Û | vCÕ}ÖzÈ�Ëé×�u^Û&xz�q�}n-xrnLpr��tv�{n�w�y{t���y�¶C% ��n��^xr�{prn�~$��prn~��{�����Np�xrn��Y���C����w�y{t���y)'¤µJ¦� ²~-�$¦ �0�C�{�}t�xrt��N�·�{�{z.Ö�u | Ø¥Ê'~�xr�^xrn�~w�y{t���yÏ�C���}t�xztv�C���C�A�����{�{�vt��L��xztv�C� �{�C����tv� ~z�.n��-t�­���'¤µJ¦� ²~���prn�{pznZ~�n��FxL�k¦ �&�£~znL��~zn¤�.��xry�xry{n �-�C�{­��C�{p��^xrtv�C��������xry{n�{pz�C­��vn

± 5

Page 26: Formalising the Safety of Java, the Java Virtual and Java Card

��prnt��{���Cpr�����<~z��nZ�-t�­��L��xztv�C��~��C�Ty��^w\���L�Cprn¶C%5t�~*xz���.n)nL|F�xzn����}n��·� �*y{nL�NpznLxzt��-t�����~ y��DsCn��}nLsNnL�v�C�.n��ªnB-��-tvnL�Fx£��n-xzy��u��~���Cp£n-|uxrnL���}tv�{�ª�ª~�n������Fxzt���~-��~�xr��xztv�{�Vxzy{n0�-�N���}t�xztv�N��~������}nLpw�y{t���yªxzy{n��CprnL��~ ��pz�^sNn��ª���.�C�}xq�I~znL�����Fxrtv��~ �L�Cpzpr�I�^sNnLp xr�����n-|uxzn���~zt��N�&�C��xry{n)~znL�����Fxrtv��~7/ «�5�1é��©���nZ��pr�v�'xry{nLprnt�~�~z�L�C�.n���Cp$���{�{�v�utv�{� ~�����y����^w$nLpz���{�{xry{nL�NpznLxzt��L�C�{prn�~z�{��xr~¢xr�)xzy�n��{p��C�-�xzt��L�C�·�}nLsNnL�v�C�{��n��Fx����k~z�����v�Y�N�Ds^��tv���{�vn���nL�Fxr��xztv�C��~L����u�C�utv�{�)xr�'xry{n���}xr�{pzn�N�{n��t��NyFx$nL|u�.n��-xP~����Cp�x��L�Cpr�{~�xr�

��nZ�-�N��n����Cprn��.�^w$nLpz���{�A�Y���}x��^x�xzy{n�~r����nq�-�N~�xr~L�q�*y�tv~�w�tv�v��-prn���xznP� �}n��������'���Cp����Cprn*����tv��~�xzprn���� �N�Ds^�¤��n��^xr�{prn�~kxr� ��n���C�}nP�Ds^�Ct����C�{�vn��C���C�Ds^��©$��p��{~L�F~z����y��C~��N�Cpz���C�Cn��-�N�v��nZ��xrt��N�·��CpP�£~zn��-��pzt�x������������Cn�pL�O'��{����prnL�Fxr���C�}���N~�x*sNnL���{�Cp�~��C�k�N�Ds^�©$��p��{~��C�vpznZ�C�}�&�{pz�^sut��}n)�����Cpr� ���J�N�Cpz�����Cn)�L�C�v�vn��-xztv�C�·���*y�n�C�{�.�Cpzxz���{t�x���xr�q�LpznZ�^xzn������^sCnL�A�Fy{tv�Cy�tv�Fxzn��Cprt¥x��£�C�Ds^�£©$��p���t�~xzyu��~�y{nLprn��0mªn��.nL�vtvnLsNn'xry��^xqnL�{�N�{�Cyªw$�Cpr�Iy��N~)�.nLn�� �}�C��nxz�����Cpr� �7~z�C�vt��0���C~zt�~P���Np)��y{tv�CyItv�Fxzn��Cprt�x��&sNnLp�~�tv�C�I���*�N�Ds^�©$��p��Y�

û Ù Á À l3ÀZÃ7gTÅ�Á À gѤ�{p�~���pzsNnL��tv���}t��L��xznZ~kxzy��^x�xzy�n¤���Npz���C�vtv~r�^xrtv�C���C�¢�N�Ds^��t�~*�C�-�xztvsCn��v�'prn�~zn��Cpr��y{nZ�£�u�����Cxzy&xzy{n�{pr�C�Npr�C����t����¤�������C���C�Cn��C������Cpr�����Y��n-xry{�}�{~P�L�C���q�{�{t�xztvn�~L�k�*y{n �{�^sCn��Y��n���xz�{prn�~��C�k�N�Ds^�y��DsCn��.nLnL�2tv�usCnZ~�xrtv�N�^xrn���tv� ����pzxzt��L�{����p��Ϧ �{t�xzt��C�*~�xz���}tvn�~q������-��~zn��Ï�C�Î~z��nZ�-t�­����-�C���.�C��nL�Fxr~qtv�Ït�~z�C���^xrtv�C�ª���¤xzy{n0prn�~�x����xzy{n�~��}~�xzn��7�N�{�}x$���Cprn*pznZ�-nL�Fx�w$�Cpr��y��C~J�.nLn����^xzxzn����}xztv�{�xr��{pr�C�.�N~zn��NnL�{n�pr�C�u��pr�C��nLw$�Cpr�u~�nL���L�C�����N~z~ztv�{�¤~znLsNnLp����}�-�N�����C��{nL�Fx�~��C�·xzy{n�C�Ds^�)�Cpr��y{t�xrn���xr�{prn)¼Í~z����y��C~��-���C~r~k�v�N�N�}tv�{�{�N�F�Fxrn�-�}�}n0sNnLprt¥­.�L�^xrtv�C�·����pzn�����p��^xrt��N�Ï�C���ÎpznL��nLprnL���Ln0pznZ~��N�v�}xztv�C�.½��mÐt�xzy pznZ�C~z�C�·�Jxry{n7���Cpr�����vt�~r�^xztv�N�Vy��N~q���}�-��~zn��Ï�C�Ïxzy{nÄ�L�Cprn���¤xzy{n0�������C���C�Cn��J���}x��N�Cpz���C�Cn��-�C�v�vn��-xztv�C� �C����'�µJ¦� ²~�~z����y�C~@N3%0¦�y��DsNn'�C�����F~�xP�.nLn��Itv�C���Cprn����u�&xry{n£�-�C���q�{�{t�x��C��¦ �xzy{n*���{xz�{prn��uw�n�w$�C���v�'n-|}�.n��-x��Cn��{nLp����u��p�����n�w��Npz�}~�t����-�v���}tv�{����v���L�C���.�C�{n��Fxr~P�C�kxzy{n£��p���y{t�xznZ��xr�{pzn)�C���I�C�v���C~z�.n���x�~��C�kxzy{n�����{�N�����NnPxz�£n���nLpr�Cn��'Ï�Cn��{nLp����N�{��xrn��N�q�N�Ds^�P�����q�C�Ds^�¤©$�Cpr���}�}�-�{��n��Nx��^xrt��N� t�~

xzy���x~z�C��nLxztv��n�~*y�t��Ny}�»��n�sCn��<�-�C���-nL�{xr~���prn�n-|}�{prn�~r~zn��7tv�Ä�v�^w*��vnLsCn��¢xzn�pz��~L��º{�Np)n-|{��������nC�·xzy{n��C�Ds^�7~�nZ�-�{prt�x��0���}�}nL�¢x����v�}~���.�C�}x$~�x��C����tv��~z�.n���xrtv�C�·�N�C���'xzy{n�C�Ds^�)©$��p���~zn��-��pzt�x��)���}�}n���}t�~z�L��~r~�nZ~Jw�y{t���y��u�Fxzn�-�}�}nZ~*�C�L�Ln�~r~��N� & n��-xr~L���C�Ds^�)��pz�N�Cp����£���nLp�~ ~�y��C�{���V��n��C�{�vn£xz�0�{���}nLp�~�x������ª�C����pzn���n�s^���Fx tv~r~z�{n�~tv��C�Ds^�'xzn�pz��~L�kmªn)��n��vt�n�sCn¤xzy���x�w�t�xzy7���0�����{pz�N�{prtv��xzn¤���Cpr�������t�~z��xztv�C�V���P�C�Ds^�&xz�Äy������Y�¢n-|}�{���C���^xrt��N��~¤t��oxrnLpr��~����tv���{�vn-���nL�Fxr��xztv�C����n�sCn��Y�L�C���LnL�}x�~��-�N�{�����.n)�DsC�Ntv�{n��Y�NPn��-n��Fx�w$�Cpr�¤�N��~�x��^xrtv�������C�v�u~zn�~.���Np¢�N�Ds^���C�{xztv��t�~�tv�{���-�N�£�

�{tv�vnLp�~Py��N~¤y�t��Ny{�vtv�CyFxznZ��xry{n£�{nLnZ�Ä���Np�xzn���y��{t�ÓN��n�~¤xz�7�����C�v�u~zn�{pr�C�Cp�����~Tw�t�xzy��{�F������t��L�C���v���v�N�C�����{�vn*�-�C���.�C��nL�Fxr~L��mªnPnL|F���nZ��xxzy�tv~�xr�C�{t���xz�7�.n'xry{n�~���� & n��-x)���J���{pzxzy�nLp tv�usCn�~�xztv�F�^xztv�N��C~T�-�N�����N�{nL�Fx��»���N~�nZ��~z�}~�xrnL��~������)�{tv~�xzprtv�{�}xrn�� �}n�sCnL�v�N�{��nL�Fx��nZ�-�N��n¤���Npzn��{prnLs^���vnL�Fx��%Ä�N~�xJ���Cpr�����vt�~z��xztv�C��~���prnP~�xztv�v�{w�pzt�xzxznL�£�u�qy������������£�{pr�C�{�

nLpzxztvn�~���prnJ~�xrt��v����pz�^sNn����C�)�����.nLp��<mÐy{tv�vn�~�����y)����n-xry{�}�}�C�v�C�N�y��C~�~����L�-nZ~z~����{�v�v��t��}nL�Fxzt�­�nZ�CA��DwP~<tv��xzy{n*�C�Ds^��~z��nZ�-t�­����^xztv�N�¤�Npt�xr~$tv���{�vnL��nL�Fx��^xztv�N�·��w�n �}�q�{�Cx*�.nL�vtvnLsNnPxry��^x������u���C�Y��n-xzy{�

�u��~�~z�����vn¤����prnL�vt��������'xz���£�L�C���{�vn-xrn����Npz���C�vtv~r�^xrtv�C�q���J�C�Ds^�}��*y{nLprn*tv~¢��{n�n������Cpk���N��y{tv�{n-�»pznZ�C�{�C�{�vn¢���Cpr�����vt�~z��xztv�C�<�Lw�y{t���y�L�����.n�C�����v�}~zn����C����pzn���~�nZ���u��prn�~zn��Cpr��y{n�pr~L�Tº��{pzxzy{n�pz���NpznC��-����prt�x��q�C���7�-�C���-t�~�n��{n�~r~�w�t��v�Y�����NnP���Npz���C��t�~r�^xrt��N��~¢���Cprn�C����-n�~r~zt�����n$xr�'~z�u~�xzn���~��}nZ~�tv�N�{nLp�~k������t�������n���nL�Fxz�Npr~L�^w�y{�����D���n$���{�vn¢xz���CtvsCnT��nLnZ�}���N�����T¦ � ����pzxzt��L�{����p��L�C�}x���tv�{tv�{�$xzy�nJy{tv�Cy}�n�~�xT�vnLsNnL�N�����LnLpzxzt�­��L��xztv�C�����Np¢�N�Ds^�¤©$��p��{~�pznZÓN��t�prn�~����L�C���{�vn-xrn���Cpr�����vt�~z��xztv�C�£�}�^w��&xz���q�{pz�u�C�����Ttv���{�vnL��nL�Fx��^xztv�N�£�L�CprpznZ��xz��{n�~r~-� §u����yÎx��C~z�}~£�{nLnZ�2���}xr�C���^xrn��Ïxz�u�N�v~L������� nL���}n��DsN�Cp�~~�����yV�C~�xry{nD�TÑ Ñ�µ2�{pr� & nZ��x�~���prn'��~�xrnL�Itv�7xry{n'prtv�CyFx¤�}tvprn��-�xztv�C�·�T���¤��n*~����L�-nZ~z~����{�A�Z���Cpr�����N~z�.n��-t�­����^xrt��N�·��s^�C��t��{��xztv�C�������{pz�^s^�C�{�v���-�Cprprn���x�tv���{�vnL��n��Fxr�^xrtv�C��~�y��C�{���&��n��L�C��~zt��}nLprn����C~�'w�y��C�vn��{p��^xry{nLp$xzy����7tv��~znL���Cpr��xztv�C�^�u�N�{�}t�xztv�C�����v�v���C���}�}�{���Cp���Cpr�����vt�~z��xztv�C�I�C�����{pr�u����xrn���y{�{t�ÓF�{nZ~)w$�C�{���ªy{n���� �Í�C�-tv�vt�xr��xznxzy{n)~znL���Cpr��xztv�C������w$�Cpr���.n-x�w$nLnL�7s^��prtv�C��~�prn�~zn���p���y�xrn��C��~-�º��Cpr�����vt�~�tv�{���N�Ds^��~r�^��nLx��Ät�~ �7�{prn-�»pznZÓN��t�prnL��n��Fx�xz�0���{tv�v�}�

t����Ï~r�^��nª�����X~�nZ�-�{prnV�C�{�{�vt��L�^xrtv�C��~L� mªn�~�n�nÄxzy�no��nLn��Ð���Cp¼Í~znL��t�� ½����}xr�C����xzt��¤xz�u�C��~�xzy���xy�nL�v�Ä�{pr�C�Npr�C����nLp�~$xz���{���}n�p��~�x������Ðxzy{no��n�y��Dsutv�C�{p&��� xzy�nLtvp&��pz�N�Cp�����~�tv�2xrnLpr��~��C�)xzy{n��n�pz��t�~r~�tv�C��~¤prn�ÓF�{tvprn��Vxz�o�-�N�Nxrpz�N�Jxry{n&�N�L�-nZ~z~������{��xr����~�����yxz�u�C��~*w�tv�v�·y��DsCnxr��w��Npz���^x�xry{n'~z�C�{p��-n �L�u�{n)�vnLsCn��������&w�t�xry�}�u������t��L�C�v���q�v�N�N�}n�����tv�{p���prtvn�~�t��7�Npr�}n�p*xz���.n)��~zn-���{�A�*¨�ÓF���^�xztv�C���C��prn��N~��N�{tv�{�£�C�Ä�{pr�C�Npr�C��~-��n�~r�L���.n��C�����v�}~�t�~L�����}�}nL��~��C���n�pz��t�~r~�tv�C��~<�����'�C���-n�~r~T�-�C�Fxrpz�N�Fw�tv�v�F��n*prn�ÓF�{tvpznZ�Y�:'¤�{�}t�xztv�C�{����v�v���C~zn��-��pzt�x��F�»~z�.n��-t�­����C~z��nZ��x�~-�Fw�y{t���y'w$n�y��DsCn*�{�Cx�~���pzsNnL�CnZ�t��Vxzy�tv~����C��n�pL�¢~�����yo�N~¤n����-pr�u�}xztv�N�V�����o�C���}t�xztv�{���·w�t��v�k����~z�y��DsCn¤xz���.n)�C�{�{pznZ~z~zn��Y�

e,l­ü À Ázý´À I ÂâÁ I Û I¤À hTg�*y{nVy�nL�v�"�����Ð�-�N����nL�Fxr~����'¨��C�C�ÐÆÑã�Npz�NnLp���Æ$�Cp�x0�C�N�-�N��~-�N��C�.nLpzx�§FxVã�Cpz�q�����'xry{n������C�u�u���C��~Tprn-��nLprnLnZ~¢t�~¢�Cp��^xznL���{�v�v�)�C����F���^w���nZ�}�CnZ�Y�

þ I)ÿ�I i I�À l I g/¥¹1 ¦�§�Ñ ´^¦�¨$©�¬2<�¹�«��A³�¯�¹�8 8>5}� m-Û�Éu�Ö�~£ÈCËÍ×�u�Û5Ë»Ê�Ô�x}Û�u�Øêu�vCÌ��

mLßNÊ-Û.ËÍ× | Ô�È�Ëé×�u^ÛÏÔ�È^ÖrßDÇ��5m-Û�Ë»Ê�vCÖzÈCËAÊ�ßÄÔL×�ÖzÔLÕ}×�Ë~ÅAÇ´Æ�Ô�È^ÖrßDÇD�k×�Ë�xÔ�u^Û.ËAÈNÔLËÍDzz{È�Ö-Ë����)m�Û�Ë»ÊLÖ��Dm�Û.ß�ÕuÇ-ËÍÖ�Ì�Ô�u2~�~£È�Û.ß^Ç�Éu^Ö)×�Û.ËAÊLÖ��Ô�x{È^Û�vNÊ!Ì�¦ �Nx��.§Fx������{�Cpr��~�Ѥpz�F���{tv����xztv�C�<��¹!8>8>5u�

/ ±?1V%ª�3'P���C�}tA�ÞµJpr��xznZ��xrt��N�2tv�"µJpr�C�Npr�C����t����������^�{�N���^�Nn��pr�C��~�����xztv�C��~L�¢¦ ���·Ê�Ô-Õ}ÖzÊäm�Û.ËAÊLÖ�Û.Ê�Ë*Ö�u�vCÖzÈ�~{~q×�Û�v����YÊB�ÔLÕ}Ö�×�ËÍÌ m�Ç�Ç�Õ�Ê-Ç�Éu^Ö��£u }L×�Ø¥Ê2È^ÛYß� )×vÇ-ËÍÖ�×�}LÕ{Ë»Êrß��3}��LÊ�Ô�Ë�Ç���u�{�q��n�p�¹�« =N¸�t��0��n���xr�{prn��{��xrn�~Jtv��©��C�����}xzn�p�§}�-tvnL���-n�����C�Cn�~�¹�8�(u¸C³{�·¹!8>8 8{�

/ ¸21V%ª� 'P���C�}tA� %�� Æ$�{prpr�^wP~-��Ƥ� ���C����~��N�·�������6'�PµJ�v��xr�ut��<�H' �L�C�v�L�{�v��~����Np��N�L�Ln�~r~&�L�C�Fxzpr�C��tv�"�}t�~��xzprtv�{�}xrn�� ~��}~�xznL��~L� o=y`� q}ÖzÈ�Û{ÇLÈCÔ�Ëé×�u^Û{ÇHu^Û�$Ö�u��vCÖzÈ2~�~'×�Û�vot�È^Û�v�Õ�È!vNÊ-ÇIÈ^ÛYß���ÌDÇ-Ë»Ê~'Ç�� ¹�5{¼Í³F½�¯Ù¬�=C«�(�¬^¸C³{�§un��}xzn��'�.nLp ¹�8 8C¸{�

±�«

Page 27: Formalising the Safety of Java, the Java Virtual and Java Card

/ ³�1)¨P� �'��{pr�Cy ����£��%0�{��� ����� º��)§Y� �{n Æ$�unLp�� µ�pz�u�C���Ѥ�}xr�vt���n�~����Cp¢xry{pznZ�C�{~Jt����N�DsD�{��¦ ��©��Nµk�����C��tv�{n�~r~�tA�LnZ�}t��xr�Cp��H{6{�Ëyx.Ì?m-Û�Ë�ÌBypu�Û�É�Ì^u�Û+yOu^Û.ÔLÕ}Ö�ÖzÊLÛ.ÔLÌÃq�x{Ê�u^Ö�ÌfÅty����7�y����ÌÆ��t��fy��r{��?v6vL�C���C�Cn�~�±C±�8�(}±�³F±u��"P�{tvsCn�pr~zt�x���µk��pr�.�µ¢n��{��~z�F�vs^����tv�{��'��{��±�=>= =}�{§u�{prtv�{�Cn�p��»¶knLpr�������FÆ$nLpr�vt��<�

/ 5?1��{� ��N�:'��{prtv�C�A� q�x�Ê��3���Cu!u����roÇrÇ�×ÍvCÛ�×�Û�v $Ö�u�vCÖzÈ2~'Ç�Ëwu�IÊ�È^Û�×�Û�v�Çr��©$���q�{pzt��}�Nn#"P��t�s.��µ�pznZ~z~L��"�®q��¹�8 8C«{�/ «21'Ñ���'��Cn�~znL�<��°)�.°�nLxz�vn-�Í~L�������0�{��¨���Ƥ��%0�F~z~L�Ê6��pr���C�Cn�L�C�v�vn���xrtv�C���C���q���}�����us^��prtv�C�{�vnJx��u�.n-�»�{pznZ�-t�~zt��N�'�C���q��tvsNn-��{nZ~z~Ttv�'�N�Ds^�Psutvp�xr�����F���C��y{tv�{nZ~-�F¦ ��$Ö�u�vCÖzÈ2~�~q×�Û�v7t�È�Û��vCÕ�ÈBvFÊ! 'Ê-Ç�×ÍvCÛ È�Û.ß m~3zYØ¥ÊB~£ÊLÛ�Ë»È�Ëé×�u^Û�Å"½t� zm´ÆZ�¤���C�CnZ~±C« 8�({±N¬�8}�.%0�C�Fxzprn��C�A��©$�C���C���}�.�C�{�ª¹!8>8 <}��'�©²%5�{prn�~r~L�9�nLw ÓJ�Cpr���

/²¬�1'Ñ��2'P�Nn�~znL�·�N§.��9)�Dº�pzn��{���Y�N�C�����{��©���%0t�x���y{nL�v�A�>'����}tv�{�x��u�.nÄ����p�����nLxzn�pztv����xztv�C�oxr�ªxzy{nV�N�Ds^��¼é�+%I½'�v�C�{�C�����CnC�¦ �#�§m�$%½tKo&� yOu�Û�É�̹u^Û'�+}��LÊ�ÔLËd�(�*Ö�×ÍÊ-Û.ËAÊ�ß)$Ö�u�vCÖzÈ2~��~q×�Û�v?�*��ÌDÇ-Ë»Ê~'Ç���t�È^Û�v�Õ�È!vNÊ-Ç�+ o²z z.Ø ×ÍÔrÈCËÍ×�u�Û{Ç�Å,�-��²���tKoÌÆZ�)���C�CnZ~ª³>8�(}«>5}�7'�©²% §u¦�6µÊ�c'#9 9Ñ��*¦z©$¨�§.�¸F±{¼�¹�=N½���Ñ��-x)¹!8>8F¬F�

/ <21V%ª�D'Py��C���C�Y�)N�£Æ*�C�L�LtA�;N���C�Cy{�·��µT�q®�Cy���tA���C���6'�(9�nLtv�Cn�pL���*y{nÎ�.�^w�n�pª���&��pz�}�-nZ~z~z�Cpª�-�N��~ztv~�xzn����-�C�¦ �/.CË�xáo¤Û�Û�Õ�È^ØBo=y`�0�.Ì2~3z�uDÇ�×�Õ.~ u^Û)�È�ÖzÈ^Ø�Ø¥ÊLØ�o¤Ø v�u2�Ö�×�Ëyx�~'Ç�È�Û.ß o¤ÖrÔ�x}×�ËAÊ�Ô�ËÍÕ}ÖzÊ-Ç Å1�2�oQo x�38Æ��)�����CnZ~ı 5{¹�(±C« =}�}¶kn���n��·��6�nLpr�����u�C�{�C�{�{n£¹�8 8C¸{��'�©²%ª��9Pn�wÅÓJ�Npz�.�

/ 821��{�X'����}pzt���y·��©���©�y����q�.nLp�~-�k¨���§utvprnLp��¢�C��� §.�J¨J�N�Cn�pr~L�§Fx��^xrtv�������C�v�u~zn�~<���CpTnL�vtv��tv���^xrt������{���{n��Ln�~r~z�Cpz� ~z�F����y{pz�C��{tv�Z�^xztv�N����pr�C� �N�Ds^�'��pz�N�Cp�����~L��¦ �Om�Û4�.Ë»È�Ëé×ÍÔäo¤ÛYÈ^ØÙÌDÇ�×vÇ�.Ì2~3z�uDÇ�×�Õ.~ Å��?o��65 x6x3ÆZ�������CnZ~�¹!8�(}¸ <{�Y¹�8 8>8}�

/¥¹!=21��{�>'P�vsNn�~��»º��N~r~k�����£º��u§.�����C�7�.°¤�F������t��*�}nL�{�Cxr��xztv�C���C�~znL���C�Nxrt��L~*�����N�Ds^�}�P¦ �I�{��'���sNn�~��»º��N~r~-�{nZ�}t�xz�NpL�87cu�Ö�~£È�Ø�.Ì^Û�Ë»ÈB�oÈ^Û.ß4�YÊB~�È^Û�Ëé×ÍÔ-ǹu�ɹ�}È^Ú^È!�Ct��Jy�Á{�.:9;3^�J���C�CnZ~± ={¹�({±^³�=}�u§}�{pztv�{�NnLpz�A¶kn�pz���C�{�NÆ$nLpr�vtv�·�·¹!8 8>8}�

/¥¹C¹1)����'P���}n�pr~z�C�Ä�C���âN��m ��mÐt�x�x��C��§}�^��n)��pz�N�Cp�������tv�{�{��jmMq<��¹�<}¯v¹�(.<}�Y¹!8F¬�<}�

/¥¹Z±?1(6'�3'P�Fxr�C�{tv�·�7�k�PÆ$�C�{� �n���µT�+º���xr��y{n�pL�7%ª�3%Ä�C��Æ�nLxzy·�®q�½%Ä��6��{tv�N�C�·�$�C���gN�Ê9��C�'�}~�xL�"©��C���{tv�vtv�{�Ä�q�{��xzt��xry{pznZ�C�}nZ�2�C�Ds^�ª�u�Fxzn��L�}�}n7���Cp��{tv~�xzprtv�{�}xrn��Ïn-|}n��L�}xztv�C�<�¦ �=<$Õ}Ö�u����È^Ö�9;>�>�>����È�ÖzÈ^Ø�Ø�Ê-Ø?$Ö�uZÔrÊ-Ç�Ç�×�Û�v��CsC�N������nP¹!8>= =�C�²t�Ê�Ô�ËdÌ@�Vu�Ë»Ê-Ç�×�Û¶ypu�~3zMÌA�YÔL×ÍÊ-ÛYÔrÊ-�·�����Nn�~�¹!=C¸>8�(Y¹!=>5N±u�%0������y{nL�<��6�nLpr�����u���.'P���C��~�x¤±�=>= =}��§u��pztv�{�NnLpz�A¶kn�pz�������

/¥¹�¸217Ó'�²'Pprt��}�Cp��+%ª�$º��C��xr�Cp��P�����4')�$��nL�.nLpr�����·� ���C¶C%ª¯' ~�tv�{�N��nÐ~z�}~�xrnL�8tv�����Nn �C�I� �C¶C% �N� � �L����~�xrnLp��¦ � m-Û�Ë»Ê-Ö�ÛYÈ�Ëé×�u^Û.È�Ø+yOu^ÛZÉ-Ê-ÖzÊLÛ.Ô�Ê¢u^ÛBPÈ^ÖzÈ�Ø�Ø¥Ê-Ø=$Ö�uZÔ�Ê�Ç�Ç��×�Û�v Å:m�y�%C5 xMx3ÆZ�������CnZ~ ±}¹3(}±^³��£º��{�u��~zy{tv���}���C�C�����<�§un��}xzn��'�.nLp ¹�8 8>8}�

/¥¹L³�17Ó'��'Pprt��}�Cp���%ª�Yº��C�-xz�NpL��' �.��nL�.nLpr�����<������¨Jtv�����7�{�C���')�Y§}��yu��~�xzn�pL�+' y{tv�Cy7�.nLpz���Cpr�������Ln��L�v��~�xrnLp¤�C¶C%5��pznL�~znL�Fxztv�{�������{pzn£~zt����C�vn�~z�u~�xzn�� tv�����CnC� ¦ �ºyOu^ÛZÉ�Ì+�uÈ�ÚDÈ

$*ÖzÈ^ÛYßCÊ-�����C�Cn�~I¹�«><�(.¹^¬C¬u�*§}�C�"º{p������Lt�~z�L�{��©²'Æ"¤§�' ��C�{�ı�= =>=}�.'�©²%ª��9�nLw ÓJ�Cpr���

/ ¹?5?1 ¦��O'$x�x����vtA�k°���©$��pr�C��n��é�J©���©��C�{pr�{t�~-�O�J�pº�nL�{prtv�{�J�����º �o9Ptv��~z~z�C�·� §u���Cp�x\xz�u�C��~X���CpÜ�C�Ds^�Ò�L��p��{~L� ¦ ��{��°��N��t����C��� º{n�pzprnLp��J°)�$©�y����·��������' ��mª��xr~z�C�·�$n��u�t�xz�Npr~L���{Ëyx¶m�Û.ËdÌämD7BmDÆ�cvE�>ÌF��yOu^Û�É�ÌG��~£È�Ö-Ë�ÔrÈ�Özß ÖzÊB�ÇLÊ�È^ÖzÔ�x È^Û.ßoÈCß�ÚDÈ�Û.Ô�Ê�ߪÈ�z zYØÙ×ÍÔ�È�Ëé×�u^ÛÈÅtyKo&�& Qm(�MÆZ�����C�Cn�~¹�5>5V(Y¹D¬D³��<Æ�prt�~�xr�C�A�^"�®q��§un�� ±�= =>=}�<®�v�uw�n�p@'¤�L�C�{nL��t��µJ���{�vtv~zy{n�pr~L�uÆ$�F~�xr�C�·�

/ ¹Z«21 ¦��]'$x�x����vtA� °)�Ü©$�Cpz�N��nL�A� ����� %ª�]N���~r~z�{� '���Cpr�����5nL|unZ�-�}x����{�vn ~znL�����Fxrtv��~ ���Np �N�DsD�{� ¦ ��-��A�.tUoH5 x�� Iâu^Ö��^Ç�x�u�z u^Û 7:u^Ö�~�È^ØJ�TÛ.ßCÊLÖ�z.×�Û��Û�×�Û�v^Çmu�É �}È^Ú^È ÅK7L�`�VÆZ��¶J�C���-�N�{sCn�pL� ©$�����N�{�}��9P�^s¹!8>8 <{� �§�S�NM>¯�� ®­�S¯.«.¨­��¬>¨­���.¨d��ɧ��OQP���É�®?O «�«��M� ���?O¨M�6�Ì��©�È-¼��{�

/ ¹^¬�1)°��}Æ*�C�¥�Í�C�{���C����¨��Fm �{º{n��¥xrnL�·�`'\�N�Ds^�­���xzn�pL����n���y{��t¥��L�C��N�nL�.�Cpzx½5�«u¬Z��8F¬F��°¤nL�}x��N�C�·©��C���{xL�N§}�Lt�n����-nC�CµJprtv���-nL�xz�N�â"P�{tvs.�¥��§}nL�o¹!8 8u¬F�

/ ¹�<21)°���Æ*�C~zt��<�$§.��º�pztvn��{pzt���y�~L���}�$µ¢�N~znL�C�F�}���C���qº)��¶k�C�CxL��N�DsD�)�F�Fxrn��-�}�}n¤sCn�pzt�­����^xztv�N�'��~ztv�{�)���}�}n�����y{nZ���Ftv�{���·¦ �N�^'P�v�{p�����I���^ºPn��{�Ltv�{�NnLp��YnZ�}t�xz�Npr~L�·{M{�Ëyxpm�Û.ËdÌQyOu^Û�É�Ìu^Û yOu2~#z.Õ{Ë»Ê-Ö o¤×ÍßNÊ�ßÐ��ÊLÖ�× | Ô�ÈCËÍ×�u�Û ÅtyKo(��ÆB�4t��fy��{�R�3�3��q���C�CnZ~0³>8�¹�(F³�8�³��79�nLw�Æ$pz�{��~�w�t����.�V9¤�{�'¹!8>8 8{�§u�{prtv�{�Cn�p��»¶knLpr�������NÆ$nLpr��tv�·�

/ ¹�821)µT��Æ$nLpzxzn���~�n��·�*§un������Fxzt���~��C���C�Ds^�q�u�Nxrn)�-�}�}nC�*��n���y{��t¥��L�C��prnL�.�CpzxL�Y��nZ��y{�{t��L�C�c"P�{tvs.���C�J°�n��{����pr�.��%Ä�Cp�¹!8>8F¬u��§�§�F�S¯�¬�§��­�/�[������¯M�NOGP5�M¼.ÇSO{�

/ ± =21)µT�FÆ$n�p�xrnL��~�n��·�<°��u���C��t���~�n������Fxzt��L~T�C���C�Ds^��u�Fxzn¤�L�}�}n��7<Õ{ËÍÕ}ÖzÊT$PÊLÛ.ÊLÖzÈ�Ëé×�u^Û yOu�~3zYÕ{ËAÊLÖ!��ÌDÇ-ËAÊB~'Çr��¹Z«�¼A¬C½�¯í<�³�¹�(<>5 =}��%Ä�D�&± = =>=}�

/ ±{¹1)µT��Æ$n�p�xrnL��~�n��Ò�C���,§.�â'P���{nLp�~��N�·� �*y�n ~znL�����Fxrtv��~���Ä� �-�Cprn2�����{�N�����Nn2�}nLprtvsCn�� ��pr�C� �C�Ds^�{�8��n���y{��t¥��L�C�kpzn����Np�x�����n���y{�{t������X"P�{tvs.�<���*°�n��{����pr�.��§unL�ι!8>8C«{��§�§�F�S¯�¬�§��­�/�[������¯M�NOGP5�M¼.ÇSO{�

/ ±N±?1)µT��Æ$tvnL�.nLp���{��©$���Ltv�·�¶)��mÐt�n���~-�,6'�ä*Y���{�N�·� µT�C6�t¥�p���p��Y�Y�C���I�{� ���k�M���C�{n-x��¨��vn���xrpz�N�{t����{�{p�~�nq���{�{�vnLx��-n�p��xzt�­����^xrt��N�·�Þ¦ �`§Y�¤§}��y{�{n�tv�{nLp7�����XµT�+NP�N���<��nZ�}t�xz�Cp�~L�Iâu^Ö��^Ç�x�u�z u^ÛÏÇLÊ�Ô-Õ}ÖzÊ�È^ÖrÔ�x}×�ËAÊ�Ô�ËÍÕ}ÖzÊ-Ç�È^ÛYßÄ×�ÛZÉu^Ö�~�È�Ëé×�u^Û�+u2�¢�^N��^�F���cº��C�v�v�^w$�D�C�.���C���{�C�·�·°�nZ��¹�8 8 8{��¨J�vnZ��xzpr�C�{�t��L~�9P�CxznZ~�tv���*y{n��Cprn-xrtv�����<©��C���{�{xznLpP§}�LtvnL���Ln���¸N±}�

/ ±C¸21(6'�NÆ$tv�C�vt���p��}tN�C����©��>���C�{nLsNn���' x��u�.n�~z�u~�xzn�� ���Cp$��¶@%xzy�pznZ�C�{~L����n���y{�{t�������N�nL�.�Cpzx½"�Æ��T©*§u� ± = = =��w=N«}�2"P�{tvsNnLpz�~zt¥x����C�¢Æ$�N���N�C���{� & ���0± = =>=}�

/ ±�³�1��{��Æ$�C�F�{�Î�����Ô")�@º ã�N�v�L�vn�� NPnL���^sutv�{� �{���{n��Ln�~r~z�Cpz�~z�F����y{pz�N�{tv����xztv�C��~�tv�2�N�Ds^�}�"¦ �U�[m:$�OtKoV� yOu^ÛZÉ�Ì(u^Û�3}��LÊ�Ô�Ë��(�*Ö�×ÍÊLÛ�Ë»Ê�ßC$Ö�u�vCÖzÈ2~�~q×�Û�v?���.ÌDÇ�Ë»ÊB~�Ç��Ot�È^Û�v�Õ�È!vNÊ-Ç+ oÊz>z.ØÙ×ÍÔ�ÈCËÍ×�u�Û{Ç ÅW�-��A�.tUoÌÆZ�������CnZ~&¸C³�(u³N«}�P°¤nL�usCn�pL�©��C�v�Npr�N�}�{�u°�nZ�-nL�q�.nLp ¹!8>8 8{�

±N¬

Page 28: Formalising the Safety of Java, the Java Virtual and Java Card

/ ± 5?1)¨P�TÆÑã�Cpr�Cn�p)�����ªm �J§}��yu�{��xznC�Ä°�nL­��{tv�{�0xry{n��N�Ds^�7sFtvpz�xr�����T���C��y{tv�{n �N~P�{���^xz���Cpr� ���Np��{pr�^s^���{�v���-�Cprprn���x¤�N�Ds^��L�C���{tv���^xrt��N�·��¦ �{�J��Æ�prtv�7�C�}� 6�pr��~��^�{�^�C���£�}�M*.���^xr��~z�D�{�nZ�}t�xz�Cp�~L�89�3�Örß=m-Û�Ë�Ì��Ì2~#z�ÌX�IÈ�Ëyx{ÊB~�È�Ëé×ÍÔrÈ�Ø�7:u^Õ}ÛYßCÈCËÍ×�u�Û{Çu�É yOu2~#z.Õ{Ë»ÊLÖ4�YÔL×ÍÊLÛ.Ô�ʶÅ��X7Ìy�MÆot��Jy� {Y�N.�>D� ���C�CnZ~¹^¬5(u¸�5u�<Æ$pz���{�¢©���n���y�NPnL�{�{����t����:'P�{�ª¹�8 8 <{�·§}�{pztv�{�NnLpz�¶kn�pz�������{Æ�n�pz�vtv�·�

/ ±�«21)¨P��Æäã�Npz�NnLp �����Äm �T§{��yF���¥xrn���¦ �{t�xzt��C��tv�Z�^xztv�N����pz�N�{�vnL��~���Np��C�Ds^�}�X��u�É�Ë���È�ÖzÊ+yOu�Û.Ô�Êwz·Ë�Ç�È�Û.ß q�u!u�زÇ��k± =�¼Í³F½�¯v¹D¬ 5V(¹^¬28}�·¹�8 8 8{�

/ ±N¬�1)¨P�YÆÑã�Cpr�Cn�pP�����0m �<§{��yF���¥xrn��C' �{pr�C�Cp�������n�p$��pztvnL���}�v����}�}�{�vn2�}nL­��{t�xztv�C�Ü���7xry{n"~znL�����Fxrtv��~o���Ä�C�Ds^�}�3¦ ��{��'��vsCn�~�� º{�N~r~L�Pn��}t�xz�NpL��7:u^Ö�~�È^Ø��.Ì^Û�Ë»ÈB�2È^ÛYßZ�YÊB~£È�Û��Ëé×ÍÔ�ÇDu�É(�}È�ÚDÈ��Êt��Jy� {�.:9;3^�·���C�Cn�~¤¸>5C¸�(F³�=�³��{§}�{pztv�{�NnLpz�¶kn�pz�������{Æ�n�pz�vtv�·�Y¹!8>8 8}�

/ ±�<21)¨P�YÆÑã�Cpr�Cn�p������7m ��§}��yu�{��xzn��@%0�}�}�{����p��}n�~ztv�C�7���Cp�xzy{n�N�Ds^��sut�pzxz���������N��y{tv�{nI�Cpr��y{t�xrn���xr�{prn�� ¦ �\¨���Æäã�Npz�NnLp��nZ�}t�xz�Cp��Mo¤ÖzÔ�xu×�Ë»ÊrÔ�ËéÕ}ÖzÊ� 'Ê�Ç�×ÍvCÛ&È^ÛYß���È^Ø ×ÍßCÈ�Ëé×�u^Û��IÊLËyx�uZßDÇ�����C�CnZ~*± 8F¬V(u¸>5F¬F�{§u�{prtv�{�Cn�p��»¶knLpr�����{�FÆ�n�pz�vtv�·�{±�=>= =}�

/ ±�821)¨P�YÆÑã�Cpr�Cn�p������7m ��§}��yu�{��xzn��7' �{p��C�-xzt��L�C����nLxzy{�}�����Cp~z��nZ�-t�­����^xztv�N�������������C�v�u~zt�~k���Tn-|{�-n��}xztv�N��y������}�vt����Â(���N�Ds^�F´��C¶C%5���C~zn)~�xr���}���ÑmD<%<%< q{ÖzÈ^Û�Ç-ÈNÔLËé×�u^Û�Ç�u^ÛoÇBu�É�Ëd���È�ÖzÊ'ÊLÛ�vC×�Û.Ê�ÊLÖ�×�Û�v��Y±C«�¼�8F½�¯í<F¬C±V(�<><F¬u�F§unL�ı = = ={�

/ ¸ =21)µT�£Æ��Npzp��C~L�&°���©�� �n���nL�FxL���*y<�£°¤n�~z��n��upz�N�}|Y�0�{�'¦ �}��LnLpr�{tA��6'�.® ��y{�·��Ƥ�������{���{������¶)�.µk�C~r�-���C�é�J©�nL�Fxr�C�{p�¯xry{nV~z�}~�xrnL�7� ¦ � q�xu×�Özß o¤Û�Û�Õ�È^Ø[��Ì2~#z�Ì(u�Û\�Mu�É�Ëd��È^ÖzÊ 'Ê-Ú^ÊLØêu�z�~£ÊLÛ�Ë]<$Û�Ú�×�Ö�u^Û�~�ÊLÛ�ËÍǬÅ��2 V<^33ÆZ�����C�Cn�~I¹L³-(}±^³��Æ$�N~�xz�N�·��"¤§�' ��¹�8 < <{��'�©²%ª��9Pn�w ÓJ�Npz�.�

/ ¸{¹1(6'�PÆ$pr�N��y��}� oÝy¢Ö�×�Ëé×Ds-Õ�Ê�u�É_�YÊ�ÔLÕ}Ö�×�ËÍÌ È^Û.ß` )Ì^Û.È�~'×ÍÔt:u�ÈNß^×�Û�v ×�ÛK�}È^Ú^È��Ýoa7:u^Ö�~�È^ØÙ×vÇLÈCËÍ×�u�Û{� §u�{� �N�Ds^�§u�C��x�w$�CpznC��¹�8 8 8{�0©�È�È6�^bDOcOÇg��6��������É�§Õ��¨�«�¼dOJ��®�«�����®?O�>Ç�ª���¨2©��?O{¨ ª�¬2È�¬:e É�®?MSgV¼�ÈF��©�È�¼��{�

/ ¸N±?1(6'�"Æ$p��C��y��{�H%ª�\Ñ��{nLp�~��u��� °��\§Fxr�C�}x�����tvpznC�Ü�C���µT�Tmª�N�}�vnLp���6 �{¯J¨k|uxzn����}tv�{�0xry{n7�N�Ds^�0�{pr�C�Npr�C����t�����������C���C�Cn�w�t�xzy x��F�.n�����p�����nLxznLp�~L�o��n���y{�{t������$pzn����Np�x��Æ$nL�v��������~L�������-n��Nx���n���y��{�C�v�C�Ntvn�~L�2%I��pP¹�8 8 <{�.©�È�È6�^bDOcO¨V¼Q��Ç�®����?M�����ÇM�d��¨>«�¼dO3¨V¼�OV¨���Oä�>©�«?OQ����¯���®>ª�OÕ��¬�­�­.�?O�?g?O{�

/ ¸C¸21VN�)©$��pzx�w�pztv�NyNx0�����m6'�7�J�§FxrnLnL�vn �CpL� ©��C�����^xztv�{�vn�NnL�{n�pzt��-t�x��Ðw�t�xry pz�{�{�éxrt���nªx��u�.n�~I���CpVxzy{nÎ�C�Ds^�2��pz�C��Npr�C����t����P�����{�N�����Nn���¦ �H�[m:$�OtKoV� yOu�Û�É�ÌXu^Û!�+}��LÊ�ÔLËd��*Ö�×ÍÊLÛ�Ë»Êrß�$Ö�u�vCÖzÈ2~�~'×�Û�v�����ÌDÇ-Ë»Ê~'Ç��Ot�È�Û�vCÕ�ÈBvFÊ�ÇC+�o²z��zYØÙ×ÍÔ�È�Ëé×�u^Û{Ç�ÅW����A��tKoÕÆ������C�CnZ~&±�=�¹�({±}¹�5}��¶J�����L�C�{sNnLp��©$�C���C�{�{��9P�^sĹ�8 8 <{�

/ ¸�³�1V�J�Y©$�C~r~�nLxP�����7�}� ���k�����C�{n-x��½ºP�^w"xz�£���Cpr�����v�v�£~��.n��Lt¥���xry{n7�N�Ds^�0�u�Fxzn��L�}�}n�~znL���C�Fxzt��L~��~ztv�{�Äxry{n7Æ ��nLxzy{�}�Y�¦ �E7cu�Ö�~£È�Ø*Ë»Ê�Ô�x}Û�×DsLÕ�Ê�Ç�Éu^Ö��uÈ�ÚDÈ4*Ö�u�vCÖzÈ�~�Ç��f<äy��-��Iâu^Ö��^Ç�x�u�z.Ç������C�Cn�~¹�=�³-(.¹!=�5u�.¹!8 8>8}�

/ ¸�5?1)µT�Y©�n����-t���prnL�v�vtA�J���^w*��p��{~*�����}�}�{����p��}n��{��x��^xrt��N�����·~zn-������Fxrtv��~��C�Y�N�Ds^�}��¦ �=7cu�Ö�~£È�Ø�Ë»Ê�Ô�x}Û�×DsLÕ�Ê�Ç<Éu^ÖC�uÈ�ÚDÈ-$Ö�u��vCÖzÈ2~'Ç��g<äy�����hIâu^Ö��^Ç�x�u�z�Ç��.�����Cn£¹�=>5u�·¹�8 8 8{�

/ ¸N«21)µT�*©�n����-t���prnL�v�vtA�X')��®���C�{�·��Æ��²N�nL��~L�P������%ª�JmÐtvp�~��tv�{�{�V'��Vn�sCnL�Fx����C~zn��V~�xrpz���-xz�{p����T�C�.nLp��^xrtv�C���C��~znL�����{�xzt���~¢���Y�'�{��xrtuxzy{prn��N�}n��£�C�Ds^�{��¦ ���}��'P�vsCnZ~�� º{�F~z~L�^n��}t�xz�NpL�7:u^Ö�~�È^ØS��Ì^Û.ËAÈ!��È^Û.ß]�·Ê~�È^Û.ËÍ×ÍÔ-Ç@u�É@�}È^Ú^È!�`t��fy��O{�.:9�3�����C�Cn�~�¹?5N¬5({±�=>=}�{§u�{prt����CnLpz�»¶knLpr�v�C�{�NÆ$n�pz�vtv�·�Y¹!8 8>8}�

/ ¸u¬�1V9���xztv�C������©��C���{�{xznLp�§}n��-��pzt�x��&©�nL�FxrnLp��Jq}Ö�ÕuÇ-Ë»Ê�ßÇyOu2~��z.Õ{Ë»ÊLÖ4��ÌDÇ-Ë»Ê~i<*ÚDÈ�ØÙÕ�È�Ëé×�u^Û y¢Ö�×�Ë»Ê-Ö�×ÍÈëÅ,�*ÖzÈ�Û�vFÊj�Cu!u���ÆZ�" �·§.�·°�n��}xL�Y���J°¤n-��nL��~�nC�Y°¤n�� �y8><>5u�j�§�S�Ì��Ç�«>ª.��§Õ��¨�«V¼�O� ®.¨?É�ª�¬2È�¦2OVÈ�¨���®.¨­��©�È�¼����/ ¸><21fk)�¤©�y{n��"�����2¶)�+'P�v�����·��%0�{��xzt��N�Ds�¯�' �}t�~�xzprtv�{�}xznZ�

~zy���prn�����nL���Npz��~z�}~�xrnL�Ò���C~zn��7�N�7�'�{��xrt�����n �N�DsD�£sutvpz�xz�����I���N��y{tv�{n�~L� ¦ � yOu�Û�É-ÊLÖzÊ-ÛYÔ�Ê�u�Ûh�È�ÖzÈ^Ø�Ø¥ÊLØoÈ�Û.ß )×vÇ�ËéÖ�×�}LÕ{ËAÊ�ßL$Ö�uZÔ�Ê�Ç�Ç�×�Û�våq�ÊrÔ�xuÛ�×Ds-Õ�Ê-Ç)È^Û.ß=oÊz zYØÙ×ÍÔ�È�Ëé×�u^Û�ÇÅK% qMo_5 x��3ÆZ�����C~*¶kn��N�N~-��9Pn�s^�C�{�{�.�����{n£¹!8 8><}�

/ ¸>821=*���©�y{nL�<�g�}È^Ú^È�yJÈ^Özßiq�Ê�Ô�x}Û�u�Øêu�vCÌ£Éu^ÖX��~�È^Ö-ËÒyJÈ^Özß^Ç(�o¤ÖzÔ�xu×�Ë»Ê�ÔLËéÕ}ÖzÊ�È^ÛYß½z.Ö�u�vCÖzÈ2~�~£ÊLÖ?5 ÇOv�Õ}×ÍßNÊ���'����}t�~��N�monZ~���vnL�C��N�n��N�}tv�{�{��%Ä�N~z~r�C��yu��~zn-xzxr~L�{± = =>=}�

/ ³�=21��{�J©�y{�NtA�X%ª�O6��{�}x��}�½%ª�J§un�pzp����{���T¶��k§}pzn�n��}y��CpL�k�����§.�M%0t��}�ut�¡��P¨�~r�L�C��n)�C�����v�}~ztv~����Np��N�DsD�{��¦ �`�§m�$%½tKo&�yOu^ÛZÉ�̹u^ÛQ�3}��LÊrÔ�Ëd�(�$Ö�×ÍÊLÛ�Ë»Ê�ß)$Ö�u�v�ÖrÈ2~�~'×�Û�v��4��ÌDÇ-Ë»Ê~'Ç��t�È^Û�vCÕ�ÈBvFÊ-Ç�+ëoÊz>z.ØÙ×ÍÔ�È�Ëé×�u^Û�ÇÃÅW�-��A�.tUoÌÆZ�����C�CnZ~)¹�(Y¹!8{�°¤nL�usCn�pL�.©��N���Npr�N�}�{�u°�nZ�-n��'�.nLp ¹�8 8 8{�

/ ³�¹1V' �C©��C�N�vt��*�����,' ��6��C���}�.nLpr�{�Uq}Ì�z�Ê6�·È�É-Ê�ËÍÌ�×�Û�Ë�x�Ê+�`�^�4���u�~£ÊH$Ö�u>}-Ø�Ê~'Ç0×�Û �� Vl {�Ìm9�Ìm9ÐÈ^Û.ß!$Ö�u�z�u^Ç-Ê�ß)��u�ØÙÕ.�Ëé×�u^Û{Ç��<®n�~�xzprnL��¦ ��~�xzt�xz�}xrn��u¸N±�«>=,ºPtv�v�vsFtvn�w�'PsCn��u�{n��}µk���v�'P��xr�{�.©²'Ô8�³F¸ =C³{�{±�= =>=}�B�§�S�Ì�/��®��?È�ª�®����S®�¯ ÉSOÑg��6�������

/ ³u±?1V' ��©��C�N�vt�����')�+6��N���}��n�pz���P�����£*T� ® t����<� ���^w*��p�� �µJpr�^s^���{�v�F��©��CprpznZ��x�tv���{�vn���nL�Fxr��xztv�C�)�C�Yxzy{n ��¶@% �u�Nxrn-��-�}�}n sNnLprt�­�nLp��k¦ �E����A��tKo_5 x��)Iâu^Ö��^Ç�x�u�z�u^ÛH7:u^Ö�~�È^Ø��ÛYßCÊLÖ�z.×�Û�Û�×�Û�v�Ç(u�É,�}È^Ú^ÈpÅK7L�`�VÆZ�{¶J�����-�C��sCnLp���©$�����N�{�}�9P�^s£¹�8 8 <{�-�§�§��M>¯�� ®���¯.«.¨­��¬ ¨­�S�.¨·�dÉ[�2O[P���É�®?OC«�«��M� ���?O¨M�6�Ì��©�È-¼��{�

/ ³F¸21VN�:%��¢©��Cy{n��·�&�*y{n��{n-��nL��~�tvsCn��N�DsD��sutvp�xr�����¢���N��y{tv�{n~z��nZ�-t�­��L��xztv�C�ÎsNnLp�~�tv�C� ={�í5}�;��n���y��{t��L���¤pzn����Np�x��©��C�£��{�}x��^xrt��N�����¹���C�Ntv� ¦ ������'���~�xztv�·�&��n-|{�C~L�)%I�D� ¹!8>8F¬u��§�§�F��¨���¬d��¨�«�¼�O{�

/ ³N³�1VN��%ª�.©��Ny{nL�<�kº��Cpr�����.�{���}n�pz��t����{tv�{�N~����k�C�Ds^�}¯J§u�N��nprn�ÓF�{tvpzn���nL�Fxr~L�{¦ �`�-��A�.tUoH5 x��!Iâu^Ö��^Ç�x�u�zou�Ûn7:u^Ö�~�È^Ø��ÛYßCÊLÖ�z.×�Û�Û�×�Û�v�Ç(u�É,�}È^Ú^ÈpÅK7L�`�VÆZ�{¶J�����-�C��sCnLp���©$�����N�{�}�9P�^s£¹�8 8 <{�-�§�§��M>¯�� ®���¯.«.¨­��¬ ¨­�S�.¨·�dÉ[�2O[P���É�®?OC«�«��M� ���?O¨M�6�Ì��©�È-¼��{�

/ ³�5?1'©���©��C�v�u���<µT�M�<nLnC�:6'�T©��^9Pn��L�{���}�<º��<Æ����C�·�<®q��©��vtv�{nC�������%ª�TµJ�vn�~z�C���{'Þ�-n�p�xrt¥���utv�{���-�C����t��vn�p����Cp��N�Ds^�}�£¦ ��§m�$�OtKoV� ypu�Û�É-ÊLÖzÊLÛ.Ô�Êqu�Û/$Ö�u�v�ÖrÈ2~�~'×�Û�vqt�È^Û�vCÕ�ÈBvFÊ 'Ê�Ç�×ÍvCÛªÈ�Û.ßÒm�~#z.Ø¥ÊB~£ÊLÛ�Ë»È�Ëé×�u^Û¶ÅKOt� Qm¸Æ��.�����Nn�~38�5V(Y¹!=F¬u�

±�<

Page 29: Formalising the Safety of Java, the Java Virtual and Java Card

¶J�C���-�N�{sCn�pL��Æ$prt¥xrt�~�yX©��N�����'�{t��{�P©$�C���C�{�{���C�{�\± = = ={�'�©²%ª��9PnLw ÓJ�Cpr�.�/ ³N«21��{�F©��u©��Cpr�.n-x�x���%ª�FÆ��F°�w��NnLp��F�}� º¤�^x��-�vt�¡��F§Y�>���C�{���C��y<�

©��J§.�kµk�C~r��prn����u�·�`N��C�{�u�C�k�C����º)�­*.y�nL�{���IÆ$�C���}n�pr�{¯nL|Fxrpr�N��xrt���� ­��{t�xzn-� ~�xr�^xrn;���u�{nL��~\��pz�N� �N�Ds^� ~��N�{pr�Ln�L�u�{n��P¦ �)9�9CÛ.ß&×�Û.ËAÊLÖ�Û.ÈCËÍ×�u�Û.È^ØJÔ�u^ÛZÉ-Ê-ÖrÊ-ÛYÔrÊ0u�Û�u�Û!��u�É�Ëd���È�ÖzÊ�Ê-Û�v�×�ÛYÊ�Ê-Ö�×�Û�v^�Y�����Nn�~�³N¸ 8�(F³N³><}����t���n�pzt�����¦ prnL�������Y��C�{�ı�=>= =}�.'�©²%ª��9�nLw ÓJ�Cpr�.�

/ ³u¬�1)¨P��©��F~z�Lt��Ä������6'�½N�nL�N�Ctv�{��'��Ï�N��n�pr��xztv�C���C��~znL���C�}�xrtv��~����Cp��N�DsD�{�T��n���y{��tv�����YprnL�.�CpzxL��°¤¦�§u¦���"P�{tvs.�{���p6�nL�}��^s^�}�D¦»xr�C�v���29P�^sq¹!8 8><}���§�§�Ì��¯�¬���¬d�dÉ�§M¬���®­��¬2È�OU��®>ª�� «�§SO�.«��>¨.¬ ��oNOä��É�Ç���¬ ¨��>È�¬ «2§M�d��©�È�¼��{�

/ ³><21)¨P� ©��N~r�-t��2�C���m6'�7NPnL�C�Ntv�{��'(�{pr�C�.�N~r��� ���NpV�Ð~zn-����C�Nxrt��L~k�C���'~z�{��~zn-x*���`%0�{��xzt�� �*y{pznZ�C�}nZ��µ��C�u�}��¶��N�Ds^��{pr�C�Npr�C��~-� ¦ �p�-��A�.tUoH5 x��QIâu^Ö��^Ç�x�u�z�u^Ûq7cu�Ö�~£È�Ø�TÛ.ßCÊLÖ�z.×�Û�Û�×�Û�v^Ç(u�É,�}È�ÚDÈ+Å"7L�X�5ÆZ�{¶J�C���-�N�{sCn�pL��©$�����C�{�{�9��^sq¹�8 8><}�-�§�§�NM ¯�� ®��S¯�«.¨­��¬>¨·�S�.¨­��É[��O^P���É�®cOC«�«-��� ���?O¨M�6�Õ�d©�È-¼����

/ ³>821)®q� ©�pr�Cpz���C��� §.�Xmon�tvpzt���y·� NPn�~z�C�{p��-n��.�C�{����LnLpzxzt�­��L��xztv�C�<� ¦ �r9�v�Ëyx m-Û�Ë�ÌiyOu^ÛZÉ�Ì`*Ö�×�Û.ÔL× z.Ø¥Ê-ÇÑu�ÉzYÖ�u�vCÖzÈ�~{~q×�Û�v Ø¥È^Û�v�Õ�È!vNÊ-Ç ÅK���Ot�ÆZ�������Nn�~`¹�<�³�(Y¹!8><}�Æ$�N~�xz�N�·��%I�C~r~z�N��yF��~�nLx�xr~L�u�N����± = =>=}�>'�©²%ª�.9Pn�wgÓJ�Cpr�.��§�§�Ì��¨��d��¨V¼.ÉÕ��®�¯ ÉNOÅ�S����Oj¨.��O¢É�� ®>ª�Om¨ ª�� ª�¦�Oº�§�§��O���-��® ª���O{�

/ 5�=21)°���°�nZ���·�{�*y{n*~�nZ�-�{prt�x��¤�C��~�xr�^xrt��¢x��u�{tv�{��w�t�xzy'�}�u������t���vtv�{�utv�{�{�Y¦ �X�{ËyxJm�Û.ËdÌjyOu^ÛZÉ�ÌjyOu�~3zYÕ{ËAÊLÖÈ�Û.ß yOu2~�~qÕ}Û�×y�Ô�È�Ëé×�u^Û�Ç]�·ÊrÔLÕ}Ö�×�ËéÌD�Y�����CnZ~�¹�<�({±N¬F�b*.�{prt���y·�·§}w�t¥xr�Ln�pz�������Y�'��{p)¹!8>8F¬u��'�©²%ª��9PnLw\�C�Npz�.�

/ 5}¹1)°���°�nZ���·��¨��¢m ��º�nL��xzn��·�$�C���Ï°���§.�km����v���C��y·�Ï�N�Ds^�~zn��L�{pzt�x��.¯�º�pz�N��º���x��N�Ds^�¤xz�)�{nLxr~r�L�C��n��C���q��n��C�N���Y�·¦ ��.Ì2~3zMÌ�u�ÛG�·Ê�Ô-Õ}Ö�×�Ëé̤È^ÛYß½z.Ö�×�Ú^ÈCÔLÌD�C���C�Cn�~J¹!8 =�(}± = =}�ZÑ��C�F��������Y�N©$���vt����Cpr�{t��}�B%Ä�D�£¹!8>8C«{�L¦�¨�¨�¨V©��C���{�{xznLp¢§u�}�-tvn-x��µ�pznZ~z~L���<�N~+'�������t�xz�F~-�{©$���vt����Cpr�{t��}�

/ 5C±?1'©���°¤nL���Cp�xrtv�{tA�.N ��¦ �N~zt�� ��������N�Y§ut�~�xr�{�Ê%0�}�}n��vt����q�C���s^���vt��{��xztv�C� �C�Y�N�DsD���'���¥xrt�xzy{prn��N�}tv�{�P���{����t����^xztv�N��~·��~ztv�{�§}µ�¦S9 � ¦ �\��Ë�xE��zY×�Û �½u�Ö��DÇ�x�u�z��µk��prtv~L��º{p������Ln��39P�^s¹�8 8 <{��©.È�ÈM�^bDO;Oâ§�®>È���¬�ÇÕ��Ç�®����?M����2ÇM�d��¨>«V¼�O;§�®>È.��¬�ÇSO�V�M¬�§NO ��� ¾ À?O}�

/ 5�¸21)¨P��°¤nL���{nL�"�C���"�*y<�¤��n���~�n��·� ©��Npzprn��-xz�{nZ~z~&���q�N�Ds^�����p��5��n-xzy��u�(���u�N�F����sFt�� �v�C�Nt��L����prnL����xztv�C��~L� ¦ �¨P�u§u���N���^�{��n��}t�xz�NpL�ZxCËyx�<$Õ}Ö�u�z�Ê�È^ÛX��Ì2~#z�ÌXu^Û(z.Ö�u�vCÖzÈ2~��~q×�Û�våÅK<A���BÆB�²t��Jy� {[vs��9C�����C�Cn�~'¹!=C³�(Y¹C¹!<{�.Æ$nLpr�vtv�·�mªn�~�xC6�nLpr�����u����%Ä�CpP±�= =>=}��§u�{prtv�{�Cn�p��»¶knLpr�������NÆ$nLpr��tv�·�

/ 5^³�1)°����k��°¤n-xr��nL�Í~-��®q��N��%����<nLtv�{���.6'��9�nL��~z�C�·�{�����&�{��Æ��§}��|}n���¨J|uxznL���}n��Ä~�xr��xzt��)��y{nZ���ut����{�¤§.NP©¢N�nZ~�nZ��p���y0pznL��.�Cpzx&¹?5�8}��©��C�����CÓV§}�u~�xzn���~VN�nZ~�nZ��p���y ©�n��FxznLp���µk���v�'��¥xr�{�.©$�C��t����Npz�{t��{�N°�nZ�£¹!8>8 <}�

/ 5>5?1�§.��°¤tvnLy{�A�´' ���Npz���C��tv�Fxzpr�}�}���-xztv�C�Îxr�Ïxry{n �-�N���{tv���^�xztv�N�\�C�&�C�Ds^�{�i�Mu�É�Ëd��È^ÖzÊut�z.ÖzÈNÔLËé×ÍÔ�Ê2È^ÛYß"Ê���z�ÊLÖ�×ÍÊ-ÛYÔrÊ-�±�<�¼Í¸F½�¯Ù±�8F¬V(u¸F±N¬F��%Ä��p ¹�8 8 <{�

/ 5C«21�§.�^°�pr�N~r~z�C�.�C�{�v�C�<�D���^w$�Cpr��~<���)�C��~�xrpr�N��x<���}�}n��C�����N�Ds^��}�u���C��tv�o�vtv�{�utv�{�Ï�C���`sCn�pzt�­����^xztv�N�·� ¦ �no=y:�v�[m:$��OtUo&�wI�u�Ö��DÇ�x�u�z¢u^ÛÈq}Ì�z�Ê-Ç�×�Û£yOu�~3zY×�Ø¥È�Ëé×�u^ÛÈÅ8q`m�yZÆZ����C�Cn)µk���.nLp�¹!8}��%0�C�FxrpznZ���A�.©$�����N�{�}�·§unL�I± = =>=}�.©��C�£��{�}xrnLpJ§}�Lt�n����-n*°¤nL���Cp�xr��nL�FxL�F©$�Cpz�{n��Ctvn½%0n��v���N�V"P�{tvsNnLpz�~zt¥x��C�

/ 5F¬�1�§.��°¤pz�F~z~z�C�.�C�����N�"�����\§.��¨�t�~�n��F���C��y·�Ò�N�Ds^� t�~&x��u��n~r�^��nå(X��pz�N�����{�v�C� ¦ �]%ª�7'P�}~zt¥xo����� §.�,%Ä��xr~z�{�C�^�}�n��{t¥xr�Cp�~-�z{M{�ËyxZ<$Õ}Ö�u�z�ÊrÈ�ÛëyOu^Û�É-ÊLÖzÊLÛ.Ô�Ê£u�Ûx�3}��LÊ�Ô�Ën�*Ö�×y�ÊLÛ�Ë»Êrßy$Ö�u�v�ÖzÈ�~{~q×�Û�v?� <äy�����O�0t��Jy�n{:9u��{^�'���C�Cn�~¸ <>8�(u³�¹!<{� �C�us�ã�C~z�F�u�´ã�}� ºTtv�{�������Y�'�C�{�Þ¹�8 8F¬u�¤§u�{prtv�{�Cn�p¶knLpr�������}Æ$n�pz�vtv�·�

/ 5 <21�§.��°¤pr�N~r~��N���N�{�v�C�Ä�����ª§Y��¨Jt�~�n��u���C��y·�£°�nZ~z�Lpztv�{tv�{��xzy{n~znL�����Fxrtv��~����P�C�Ds^�7�����o�{pr�^sutv�{��x��u�.n�~z�C�{���{�{n�~r~-�&¦ ��{��'���sNn�~��»º��N~r~-�Nn��}t�xz�NpL�27cu�Ö�~£È�ØS��Ì^Û�Ë»ÈB��È^Û.ßG�·Ê~�È^Û.ËÍ×ÍÔ-Çu�É,�}È�ÚDÈ��Ot��fy��å{�.:9;3^�.�����Nn�~$³�¹3(�<N±}�}§}�{pztv�{�NnLpz�A¶kn�pz���C�{�Æ$nLpr�vt��<�.¹�8 8 8{�

/ 5 821�§.�*°�pr�N~r~��N���N�{�v�C�·�P§.�*¨Jt�~�n��u���C��y·�*�����2°��$mop����N�ª°��' ��pr�C�C��nL�Fx�L�����L�{�v��~*�*xz�^w*��p��{~��&���}�}nL�T���$~�n�����p��^xrn�-�N���{tv���^xztv�N�·�J�vt����Ftv�{�o����� �{tv���Cpz�Ï�-�C�����^xztv�{tv�vt�x���� ¦ �t:u�vC×ÍÔq×�Û yOu2~#z.Õ{Ë»ÊLÖL�YÔL×ÍÊLÛ.Ô�ÊÃÅ�tKm�y�MÆZ�.�����Nn�~¹L³}¬5(Y¹�5�«{���pzn��Nxr�{�q¦»xr���v�C�£�C�{�7¹!8 8>8}��¦�¨�¨�¨ ©��C���{�}xrnLpª§u�}�-tvn-x��µJprn�~r~L�

/ «>=21�§.��°¤pz�F~z~z�C�.�C�����N�·�{§.��¨Jt�~znL�u���C��y<�F������§.��®yu�{p�~zy{t��Y��¦�~xzy�n��N�Ds^��x��u�.n£~z�}~�xrnL�,~z�C�{����Ý q�x�Ê�u^Ö�ÌIÈ^ÛYß{z.ÖrÈCÔ�ËÍ×ÍÔ�Êu�É{u }��LÊrÔ�Ë�Ç�ÌDÇ-Ë»Ê~'Ç���5{¼�¹Z½�¯ ¸�(}±^³��.¹�8 8>8}�

/ «�¹1�§.�C°¤pz�F~z~z�C�.�C�����N�)�����q����¶J���v�NnLsu�}��y·���}È�ÚDÈ�<p�uÔrÊ�zYËé×�u^Û�Çq�xuÖ�u��VÛ�u^�.Õ}Ö�z.Ö�×vÇLÊ-Çr�F°�n�����pzxz��n��Nx<�C�{©��N���{�}xrt����{��¦ �£��.nLprtv�C��©��C�v�vnL�CnC�����C���{�C�·��± = = ={�

/ «F±?1�§.�D°�pr�N~r~��N���N�{�v�C�·�Z°)��mop����N�{�Z�C��� §.�Z¨�t�~�n��F���C��y·�ZmÐy��^xt�~)�C�Ds^�&�{tv����pr�Ä�-�N�����^xrtv�{tv��t�x��{Ý5¦ �T�§m�$�OtKoV� yOu^Û�É�Ìu^Û��3}��LÊ�Ô�Ë��(�*Ö�×ÍÊLÛ�Ë»ÊrßU$Ö�u�v�ÖrÈ2~�~'×�Û�v�����ÌDÇ-ËAÊB~'Ç���t�È^Û��vCÕ�ÈBvFÊ�Ç*+no²z zYØÙ×ÍÔ�È�Ëé×�u^Û{Ç+ÅW�-��A�.tUoÌÆZ�·�����Nn�~¸�³�¹�(}¸C«{¹C�¶J�����-�C��sCnLp��ª©$�C���C�{�{�ªÑ���x ¹�8 8><}��§utv�C�{���C� 9P�Cxzt��-nZ~-�¸C¸�¼�¹�=N½��

/ «N¸21'©��FºT���������N�C�q�C����§.�uº{prnL�{���·�����u�.n-�»���C~zn��qp��C�-nP�{n-xznZ���xztv�N�0���Cp & �Ds^�}�)¦ �£ypu�Û�É-ÊLÖzÊLÛ.Ô�Ê;u�Û�$Ö�u�v�ÖzÈ�~´t�È^Û�vCÕ�ÈBvFÊ 'Ê�Ç�×ÍvCÛ È^ÛYßnm~3zYØ¥ÊB~£ÊLÛ�Ë»È�Ëé×�u^ÛÚÅKOt� zm?5 9c>�>�>3ÆZ�Ï���C�Cn�~±}¹�8�({±�¸N±}�N¶J�C���-�N�{sCn�pL��©$�����C�{�{�����{��n ± = =>=}�

/ «C³�1V%ª�¤ºT���^xzxL�'§.��®pzt�~z�����q�{pzxzy{tA�������¢%���º{n��v��n�t�~�n��·�$'�{pr�C�Npr�C����nLp! ~'pznZ�}���-xztv�C�2~znL�����Fxrtv��~q���Cp7�-���C~r~zn�~��������t�|}t���~-� ¦ � �}�,'P�vsNn�~��»º��N~r~-� n��{t¥xr�Cp��C7cu�Ö�~£È�Ø]�.Ì^Û�Ë»ÈB�È^ÛYßf�·Ê~�È^Û.ËÍ×ÍÔ-Ç#u�ÉC�uÈ�ÚDÈ��ct��Jy�p{�.:9;3^�u�����Nn�~J±^³�¹�({±N¬2={�§u�{prtv�{�Cn�p��»¶knLpr�������NÆ$nLpr��tv�·�Y¹!8>8 8{�

±�8

Page 30: Formalising the Safety of Java, the Java Virtual and Java Card

/ «>5?1m �'�{��º{�N�F�utv�{� �����;©��)¶kn�pzy{�unL� � ' �-�N��~�n�pzs^��xztvsCn�v�u�C�)��x¢�N��n�pr��xztv�C�����u~�n������Fxzt��L~�w�t�xzyqsD�Cpzt��C�{�vn��{tv���}tv�{���m-Û�Éu^Ö�~�È�Ëé×�u^Û È�Û.ßåyOu�~3zYÕ{ËAÈCËÍ×�u�Û{�J¹L³F«�¼�¹Z½�¯Ù±^³-(.5�³{��¹�8 8 <{�©�È�ÈM��bDOcO���¯���¼Q�/��¬!§M�d��É?�.����§��;OGP�Ä�O¹¨�«�§M¬3¼�®MÄF�&���u�

/ «C«21)µT�*m �#�k�Pº��C�{�Î����� N�P°)��©$�C��nLpr�C�·�ÞµJpr�u���)�vtv�{�F�tv�{��¯H'��;�Cpr��y�t¥xrn��-xz�{prn ���Np����}�}�{����posCn�pzt�­����^xztv�N� ����}�u���C��t��L���v�v�F�A�vt��{�Cn��7���C�{tv�vnq�L�}�}n��0¦ �/R^Ëyx`�§m:$6��%7Ñqm-Û�Ë�Ì��.Ì2~3z�uDÇ�×�Õ.~Ñu^Û�Ëyx{Ê�7:u^Õ}Û.ßNÈ�Ëé×�u^Û�Ç3u�É6��u�É�Ë���È�ÖzÊ6<*Û��vC×�Û.Ê�ÊLÖ�×�Û�v��£�����CnZ~o±N±C±�(}±�¸>=}�'Ѥpr�v�C���}���'ºT���Npzt��{�{�(9P�^s¹�8 8 <{��'�©²% �{prn�~r~L��9PnLw ÓJ�Cpr�.�

/ «F¬�1�§.�M9 �·º{prnL�����Y�¤�*y{n'�-�N~�xr~¤�����7�.nL��n-­{x�~¤�C���C�Ds^�£�u�Fxzn-��L�u�{n ~z�{�{pr�C�}xrtv�{n�~L� ¦ ������A��tKo_5 x��hI�u�Ö��DÇ�x�u�z$u�Û7:u^Ö�~�È^ØC��ÛYßCÊLÖ�z.×�Û�Û�×�Û�v�Ç�u�É��uÈ�ÚDÈ�ÅK7L�`�VÆZ�¢¶J�����L�C�{sNnLp��©$�C���C�{�{��9P�^s�¹!8>8 <{�6�§�§��M>¯�� ®���¯.«.¨­��¬ ¨­���.¨d��ɧ�NO[P���É�®?O«�«-�M�����?OD¨M�-�Õ��©�È-¼����

/ « <21�§.��9 �*º{prnL�{���2�C���2�}�P©��Ê%0t�xr��y�nL�v�A�Å' x��u��nI~z�}~�xrnL����Np��C� & nZ��x�tv�{t�xrtv�C�vt��Z�^xrt��N�ªt�� xry{nV�N�DsD�ª�u�FxznZ�-�}�}n0�����{��N�����Nn���¦ � yOu^ÛZÉ�Ì,u^Ûq�3}��LÊ�Ô�Ë��(�*Ö�×ÍÊLÛ�Ë»Ê�ßH*Ö�u�vCÖzÈ�~{~q×�Û�v�.ÌDÇ�Ë»ÊB~�Ç���t�È�Û�vCÕ�ÈBvFÊ�Ç��È�Û.ßro²z z.Ø ×ÍÔrÈCËÍ×�u�Û{ÇpÅW�-�%6�.tKoÕÆZ����C�CnZ~�¸{¹�=�(}¸N±�<{�L¶J�����-�C��sCnLp��N©$�����N�{�}�CÑ���x$¹!8>8 <}�?'�©²%µ�pznZ~z~L��9PnLw ÓJ�Cpr�.�

/ « 821�§.�?9 �Dº{prnL�{��� �C��� �}��©��!%0t�xr��y�nL�v�A�?'ª���Npz���C�D��pr�C��nLw$�Cpr����Np¢xzy{n��N�Ds^���u�FxznZ�-�}�}n������{�N�����Nn��C����sNnLprt�­�nLp��}¦ �X�[m:$��OtUo&�ÈyOu^Û�É�ÌMu�ÛX�3}��LÊrÔ�Ëd�(�$Ö�×ÍÊLÛ�Ë»Ê�ß^$Ö�u�v�ÖzÈ�~{~q×�Û�v?�8��ÌDÇ��Ë»Ê~'Ç��Ot�È^Û�vCÕ�ÈBvFÊ-Ç]+�o²z z.Ø ×ÍÔrÈCËÍ×�u�Û{Ç Å,�-��A��tKoÌÆZ�{���C�CnZ~¹�³u¬5(Y¹�«N«}�F°¤nL�usNnLp��.©��C�v�Cp��C�}���u°¤n��LnL�q��n�p¹!8 8>8}�

/²¬2=21�§.��9)��º{prnL�����&�C���7�}�.©���%0t�x���y{nL�v�A�:'Xx��u��n)~z�}~�xrnL�;���Cp�N� & n��-xPt���t¥xrt����vtv���^xrtv���£t��&xzy�n'�C�Ds^�q�u�Fxzn��L�}�}n�v�C�{�C�����CnC�o=y`�Úq{ÖzÈ^Û�Ç-ÈNÔLËé×�u^Û�Ç#u^Û=$Ö�u�v�ÖzÈ�~{~q×�Û�v,t�È^Û�v�Õ�È!vNÊ-Ç�È^Û.ß�.ÌDÇ�Ë»ÊB~�Ç���±}¹F¼Í«F½�¯v¹C¹!8N«�(Y¹Z± 5 =}�>9��^sCn��'�.nLp�¹!8>8 8}�

/²¬u¹1��{� §Y�º�pzt�xz��tv�{�Cn�pÄ�����m%��7%0��nL�v�vnLp�� �uÈ�ÚDÈz�YÊ�ÔLÕ}Ö�×�ËÍÌD�§u����%0t��-pr�'~z�}~�xrnL��~�¦ ���^��%0�N�{�Fxr�Ct���¶¤tvnLw��©$���vt����Cpr�{t��}�¹�8 8C«{�

/²¬�±?1)¨P��6���C���C�&�C�����k��º�nL���}prnL�<�¢¦ �Fxrpr���A�{pr�}�-nZ�}�{p����.t��{��nLpz�n����-nP�C�<~�x��^xzt���x��u��nZ~-�<��n���y{��tv������N�n����Np�x¤¹!8 8>8^��¹��N§}�C�{�vn6�pr�C�{�<�:%Ä�!6�tv�v�p"P�{tvsNnLp�~�t�x����^%0�N�Fxzp �n��C�é��©$�C���C�{�{�:%Ä�Cp¹�8 8 8{�U�§�§�Ì������Ç���®��:¼M¨6��¬ ���­��¨ ���

/²¬^¸21�§.�D6���nZ~���nLp������ m �J*.tv����n�pz���C�{�·� "�~ztv�{�`�����u�F�~z�CpzxznZ�'���^xz��pr�C��~�n������Fxzt���~�xr��~z��nZ�-t����'�C���£�Cn��{nLp��^xrn*~zn-����C�Nxrt��'�C�����v�}~�t�~L�q¦ � q�y@9/I!$�9>Ì{��I�u�Ö��^×�Û�v ypu�Û�É-ÊLÖ��ÊLÛ.Ô�ÊDu^Û���ÌDÇ-Ë»Ê~'ÇQm�~#z.Ø¥ÊB~£ÊLÛ�Ë»È�Ëé×�u^Û�9c>�>�>��7t�È^Û�v�Õ�È!vNÊ-Ç���IÊ�Ë�x�u�ß^ǤÈ^Û.ßÃq�u�u^زÇ��F�����Nn�~k±^³�8�(u«F±u��©�y����{���C�]|ź¤���v�A����C���}�N�·�<¹!8>8 <{�

/²¬D³�1V')�Ê6��C���}�.nLpr�{��' ~z�.n��-t�­����^xrt��N����� �C�Ds^�Ä�v�F�C�}tv�{�Ä�C����u�FxznZ�-�}�}n�sNnLprt¥­.�L�^xrtv�C�·�7¦ �/.�ËyxºyOu^Û�É�Ì yOu2~#z.Õ{Ë»Ê-Ö7È^Û.ßyOu2~�~qÕ}Û�×ÍÔ�È�Ëé×�u^Û�Ç=�YÊ�ÔLÕ}Ö�×�ËÍÌD�k���C�Cn�~�³>8�(.5�<{�¢§}�C� º{p����{��Ltv~r�-���{©$�C�vt¥���Npz��tv�{� 9P�^s7¹!8>8 <{��'�©²% µ�pznZ~z~L�.9PnLwÅÓJ�Cpr�.��§�§�Ì�&��®��2È�ª.®�����®�¯�ÉSOV}c~Sh[è2O|��®�«-����®?O|��«���¯ Ç�®>ªS��O{�

/ ¬ 5?1V�k��6��C���{��§un��L�{prn¤�C�Ds^�)�L���C~r~¢���F�C�}tv�{����m,<%<%<²�Dm-Û�Ë»Ê-Ö�ÛYÊLËd�yOu2~#z.Õ{Ëé×�Û�v��.±{¼é«N½�¯í5C«�(u«�¹��.9P�^s�´�°�nZ�^��¹�8 8><}�

/ ¬�«21V' �p6��C�Fxz���C�Cn�p)������')�k§}��yu��~�xzn�pL�Ä�N�DsD�0�L�C��~zt�~�xrnL���L�.¯9P�N�}�»�C�.nLp��^xztv�N��������y���p��C��xrnLprtv���^xrtv�C��~T���Np��N�Ds^�)��n����Cpr��.nLy��Dsutv�Cp��-o=y`�êq{ÖzÈ�Û{ÇLÈCÔ�ËÍ×�u�Û{Dzu�ÛÇypu�~3zYÕ{ËAÊLÖ%�.ÌDÇ-ËAÊB~�Ç�����C�Cn�xz��������nZ��p���±�= =>=}�

/ ¬N¬�1VN��6��Cp �n�� �{�7µ¢�F~�n��C�F�}�o')�I§u���^xzn�pL������� º �0¶k�C�CxL��Y���F���u��� ¯�'P�}xr�C���^xrn��Ð�{n��}���-xztv�C�"�C�X� ~z����pzx&�L�Cpr�Y�¦ ���.u^×�Û�ËOo¤ÕuÇ-ËéÖzÈ^Ø ×ÍÈ^Û�o¤Ö-Ëé× | ÔL×ÍÈ^Ø m�Û.ËAÊLØ�ØÙ×ÍvFÊ-ÛYÔrÊ yOu^Û�É�ÌÍ�t��zo)m���Æ$pzt�~z�����{nC��'P��~�xzp����vt��}���C�{��¹�8 8 <{��§u�{prt����CnLp*¶kn�p���������}Æ$n�pz�vtv�·�

/ ¬�<21��{�X6��N~z�vtv�{�{�¢Æ��J�C�^���k������6'�J§FxrnLnL�vnC�½q�x�Ê��}È^Ú^È�t�È^Û��vCÕ�ÈBvFÊ[� z{Ê�ÔL× | Ô�È�Ëé×�u^Û���'¤�{�}t�~��N�)mªn�~z�vnL����N�n��N�}tv�{�{� %Ä�N~��~r�C��yu��~zn-x�x�~-�·¹�8 8C«{�

/ ¬�821��{�:6��N~z��tv�{���YƤ���C�^���:6'��§FxrnLn���nC�������o6'��Æ$p��C��y��{�åq�x{Ê�}È^Ú^È+t�È�Û�vCÕ�ÈBvFÊA��z�ÊrÔL× | Ô�ÈCËÍ×�u�Û{�>'¤�{�}t�~��N��mªn�~z�vnL�C��N�nZ�C�u�tv�{�{��%Ä�N~z~r�C��yu��~zn-xzxr~L�{~�nZ�-�C����nZ�}t�xztv�C�·��± = = ={�

/ <>=217Ó���6��{pzn�sutv��y<�¢¨�sC�C�vsutv�{���C���NnL�{p��C~¤¹!8>8C¸{¯X��t�����prt.�N�{t��}n��¦ �"¨P�*ÆÑã�Cpr�Cn�pL�PnZ�}t�xz�NpL�-��z�Ê�Ô-× | Ô�È�Ëé×�u^Û È^ÛYß]�.È^ØÙ×ÍßNÈ�Ëé×�u^Û�IÊLËyx�uZßDÇ��C�����CnZ~^8�(}¸C«{�DÑ�|u���Cp��@"��{tvsCn�pr~zt�x���µJprn�~r~-�u¹!8>8>5}�

/ <�¹1��{�°��,6��{x�xz���C� �����m%ª��mª�C���Y�£n��}t�xz�Npr~L� ��tKmW�2��o ��Ê-Ö�× | Ê�ߣm~3zYØ¥Ê~�ÊLÛ�Ë»È�Ëé×�u^Û u�ÉE�·Ô�x�Ê~�Ê-� ®�v�uw$nLp��Æ$�N~�xz�N�·��¹!8>8>5}��Ѥprtv�Ctv���C���v�P���{�{�vt�~�y{nZ���N~k��~z�.n��-t��C�u�{�C�}��{�vn�t�~r~���n�����xzy{n & �C��pz���C�ptk×vÇ�zÎÈ^ÛYßX��Ì2~0}�u�ØÙ×ÍÔpyOu�~3zYÕ.�Ë»È�Ëé×�u^Ûļ�¶k�N�v�{��n@<{�{¦�~z~z�{n£¹D´C±C½��

/ <F±?1V%ª�Xº����Ntv�N��������')�T���C���Dw*�}�ÄѤ� �7�{nLw;��nLxzy{�}�V���Cp�{��xr�2A��^w �����C�v�u~zt�~)�C� �N�Ds^�Isutvp�xr�����*���N��y{tv�{n&~z�{�{pr�C�}�xztv�{nZ~-��¦ ��6'���<nLsutA�un��}t�xz�NpL�[m�Û.ËdÌ��.Ë»È�Ëé×ÍÔQo¤Û.È�ØÙÌDÇ�×vÇ&�.Ì2~3zMÌÅ1�[o-�MÆB�Ct��Jy�½{�.�>�3��P�����Nn�~�¹D¬V(u¸F±u��µ�tv~r�}��¦»xr���v�C�*§un��¹!8>8 <{�{§}�{pztv�{�NnLpz�A¶kn�pz���C�{�NÆ$nLpr�vtv�·�

/ <N¸21)µT��º �£º¤��pzxznL�A� ��¨���ѧ�(,� �vtv�CyFx�w$nLtv�CyFxÐnL|unZ�-�}�xztv�N�;xz�u�C�����Cp �N��n�pr��xztv�C������~znL�����Fxrtv��~-����u�É�Ë���È�ÖzÊutz.ÖrÈCÔ�ËÍ×ÍÔ�Ê È^Û.ß Ê��z�Ê-Ö�×ÍÊLÛ.Ô�Ê-�;±�8�¼�¹?5C½�¯v¹�¸u¬28�(.¹L³�¹�«{�`§un��¹!8>8 8{�U�§�§�Ì�S®.¨��d����«>È�«�§Õ�S�.¨·��ÉS�NOGP5��©�©SOD��®>È�«��d��©�È-¼����

/ <C³�1)µT�cº �`º���pzxzn��A�:%ª�T�{��Æ$�}xz�vnLp����C����%��:�<n�sF�C���*y{n��C�}�nLp��^xrtv�C���C�J~�n������Fxzt��L~��C���I�C�Ds^�0~zn��L�{pzn���pz�}�-nZ~z~z�Cp��7¦ ��{��'���sNn�~��»º��N~r~-�PnZ�}t�xz�NpL��7:u^Ö�~�È^Ø���Ì^Û.ËAÈ!�2È^ÛYß)�·Ê~�È^Û��Ëé×ÍÔ�Ç�u�É(�}È^Ú^È!�²t��fy�¬{�.:9;3^�<���C�Cn�~�¸{¹�¸�(u¸�5C±u��§u��pztv�{�NnLpz�¶knLpr�������NÆ$nLpr��tv�·��¹!8 8>8}�`�§�S�Ì�S¯�����®���®.¨��B��� «>È�«?§Õ�S��¨·��É[�2OÈ�®.¨?©�ª�®-��« ª�È���O ¾ À?MH�K��©�È-¼��{�

/ <�5?1)µT�qº)��º��Cp�xrnL�Ð�C���:¨�� �}n ���N�{�{� ' �{pr�C�Npr�C�£���tv�{�X�C��� �X���}�}nL�v�vtv�{�2�.nLp�~��.n��-xztvsCnÏ�C� xry{nÎnLs^���v�}��^xrtv�C� �C�ª�N�DsD� �L�Cpr�Þtv���{�vn���nL�Fxr��xztv�C��~L� ¦ �Ò¦��;'$x��xr�C�vt¤�����Ð�����CnL��~�n��·�Pn��}t�xr�Cp�~-�V�}È^Ú^È£ykÈ�Özß#I�u�Ö��DÇ�x�u�z$Ö�uZÔ�Ê�Êrß�×�Û�v�Ç��$���C�Cn�xz�ª������nZ��p���©$�����{n�~L�$º�pr�C���-nC�*§un��±�=>= ={�H�§�§�Ì��¯���� ®��S®.¨��d����«>È�«2§Ì�S�.¨­��É[��O+È�®.¨2©.ª�®-��«>ª�È���O» �§�S�2MSÀ���©.È-¼����

¸ =

Page 31: Formalising the Safety of Java, the Java Virtual and Java Card

/ <C«21)®q�,º��DsNnL�v�{���`����� ���µ�pznZ~z~z�{�{pr�Cn�pL��%0�}�}n��q��y{nZ���F�tv�{�'�N�Ds^�)�{pr�C�Npr�C��~¢��~zt����)���^xry}­����{nLp��%��u�É�Ë���È�ÖzÊÃq�u!u�زÇÉu�ÖÇq�ÊrÔ�xuÛ�u^Øêu�vCÌåq{ÖzÈ^Û�Ç�É-ÊLÖ��<±{¼�³u½�¯ xz���C�{�.n���p���%Ä�Cp�¹�8 8 8{�©�È�ÈM��bDOcO�����®����>ª�¨·��§���� �­�´��«M�?O3©��M��®��2É�§�¯2O{�

/ <F¬�1)Ƥ�#º��D�Nn�~L� ºTt������vtv���^xrtv�C� t��"xzy{n��L�C�v�vn���xr�Cp�tv�Fxzn�p��Í�N�-nC�¦ �)$Ö�uZÔBÌ){6x6x�9Çm-Û�Ë»Ê-Ö�ÛYÈ�Ëé×�u^Û.È�ØLIâu^Ö��^Ç�x�u�z u^Û��IÊB~Du�Ö�Ì�IÈ^ÛYÈBvFÊ~�ÊLÛ�ËÍ�T���C�CnZ~)±N¬C¬V(}± 8 <}��§}�Ctv�Nxz�w%I���v�V¼éº{p������LnZ½��§un��}xzn��'�.nLp ¹�8 8F±u�{§u�{prt����CnLpz�»¶knLpr�v�C�{�

/ < <21(6'�4ºPtv���}nLprtv�{�.� �{� Æ$pr�unL�utv�{�{�`m �ζknLprsC�u�CpzxL� �C���')�YÆ*���u�NnLp�~-��©��C���q�{�{t��L��xztv�{�£�C�Ds^�qxzy�pznZ�C�{~L�P¦ �)9;>CË�xIâu^Ö�Ø¥ß)�PÔrÔ�È�~ È^ÛYß q{ÖzÈ^Û�ÇdzYÕ{ËAÊLÖ!��ÇLÊLÖ $*Ö�u�Õ�zëq�ÊrÔ�xuÛ�×y�Ô�È^ØV�ÄÊ�Ê�ËÍ×�Û�v^�'�����Nn�~0³�<�({¬�«}� ¨J��~r��y{nZ�}n��*y{n�9PnLxzy{n�p���������{~-��'P�{pÞ¹�8 8F¬u�0¦zѧ µ�pznZ~z~L�Ï�*y{nÑ9PnLxzy{n�pz���C���{~L��§�§�Ì�wª�ÈF��®��­��É�ÈS��®2§�È.®���§��?OÑg��6���-�§�SO}�

/ < 821(6'�T�{�:º��C�v�L���C�{�·���*y{n����}�}nL�J��y�n����Cn�p)§}µJ¦S9)� mD<%<�<q{ÖzÈ^Û�ÇLÈCÔ�ËÍ×�u�Û{Çgu�ÛÞÇBu�É�Ëd��È^ÖzÊ"Ê-Û�v�×�ÛYÊrÊLÖ�×�Û�v��7±C¸�¼�5C½�¯Ù±N¬�8�(± 8>5u�¤¹!8 8u¬F��©�È�ÈM��bDOcOo¨5¼Q��Ç�®����?M�����Ç��d��¨�«�¼dO�¨V¼�O�¨���O��©�«?O=�.®>ª��>ª.¯?O{�

/ 8 =21V%ª�Vº��{t�~����C�·���PÊ�ÈDÇBu^Û�×�Û�v È>}�u�Õ{Ë��uÈ�ÚDÈ�zYÖ�u�vNÈ�~�Ç ×�Ûx}×Ív�x�Ê-Ö{u�ÖzßCÊLÖ)Øêu�vC×ÍÔ(�k×�Ëyx*D�8�ªÈ�Û.ß=m�ÇLÈ }�ÊLØ�Ø¥Ê��$µJy�°`xry{n-�~zt�~-��"P��t�s.�{�C�X9�t & ��n��Cn��·�{�*y{nV9PnLxzy{n�pz�������{~-�{º�nL�ı�=>={¹��

/ 8{¹1V%ª�½º��{t�~����C�·�JƤ���C�N�-�C��~-���C���Ï�{�ksD�C�Ï�}n�� Æ$n�pz����'���C~zn$~�xz���{�)tv�'�-���N~z~��vt���pr�Cpz��sCn�pzt�­����^xztv�N�·¯��C�Ds^�. ²~�sCn��-xz�Np�L�v�N~z~L�8�Mu�É�Ëd��È^ÖzÊËwu!u�زÇ�Éu^Ö�ËAÊ�Ô�xuÛ�u^Øêu�v�ÌqËÍÖrÈ^Û{Ç�É-ÊLÖ��N���C�Cn*xr��C�{��nZ��p���±�=>={¹��

/ 8N±?1��{��ºP�{����n��é�2' � '����DsNn��}���^°��C®�C��~z�C�·�^�����{')�29�t��-�C���C�·�'��{�{��x��^xrt�����xry{n��C�Ds^���u�Fxzn��L�}�}n�~�tv�o~z�{�{�.�Cpzx)���$�C�}xrt����tv����xztv�C�<� yOu^Û.ÔLÕ}Ö�ÖzÊLÛ.ÔLÌ��!$ÖrÈCÔ�ËÍ×ÍÔ�ÊoÈ^Û.ß�<p�z{ÊLÖ�×ÍÊ-ÛYÔ�Ê��8�¼�¹C¹D½�¯v¹!=>=C¸�(Y¹!=�¹�«}�#9��^s ¹�8 8F¬u� �§�S�Ì��®�®.¨.�d��ÉM¬>¨·��®�¯ É�OP-g�©�É6¼§¼�®��?Oä���-��® ª��d��©�È�¼����

/ 8C¸21V')��¦ �N�Cpr�N~�y�tY�C���0Ƥ��µJtvn�pr�Ln��*Ѥ�7tv�{�{n�pP�-���C~r~�nZ~-��¦ ��vZË�xm-Û�Ë�ÌXIâu^Ö��^Ç�x�u�z]u�ÛT7:u^Õ}Û.ßNÈ�Ëé×�u^Û�Ç�u�É��3}��LÊ�Ô�Ë��(�*Ö�×ÍÊLÛ�Ë»Ê�ßt�È^Û�v�Õ�È!vNÊ-Ç ÅK7^���½t�Æ��IÆ$�F~�xr�C��%Ä�C~r~r�C��yu��~zn-x�x�~-�2�C�C�± = = ={� �S�§�Ì��¨��B�/��¬ ����¬ ��¼c�d�S®>¯ ÉSO�PV��¬8¼�O���e§e6è�O��e§e6è ¿ ��©�È-¼����

/ 8�³�1V')�D¦ �F��prt�~�y{tA�DÆ���µ�t�n�pr�Ln���������µT�Zmª�N�}�vnLp��uº�n��^xry{nLprw$nLtv�CyFx�N�Ds^�}¯½' ��tv�{tv�����Y�-�Npzn)�������-������~����Np¤�N�DsD�£�C���â6 �}�*¦ �yOu^ÛZÉ�̹u^ÛQ�3}��LÊ�ÔLËd�(�*Ö�×ÍÊ-Û.ËAÊ�ß)$Ö�u�vCÖzÈ2~�~'×�Û�v��4�.ÌDÇ�Ë»ÊB~�Ç��t�È^Û�v�Õ�È!vNÊ-Ç*È�Û.ßQo²z z.Ø ×ÍÔrÈCËÍ×�u�Û{ÇÑÅW����A��tKoÕÆ��D���C�Cn�~�¹�¸F±V(¹�³N«}�{°¤nL�usCn�pL��©��N���Npr�N�}�{�{Ñ���x ¹!8>8 8{��'�©²% µJprn�~r~-��9�nLwÓJ�Npz�.�

/ 8>5?1 ¦��P§}¨*©��d<$Ú^È^ØÙÕ�ÈCËÍ×�u�Û7ÔLÖ�×�Ë»Ê-Ö�×ÍÈ�Éu^ÖjmSqÄÇ-Ê�ÔLÕ}Ö�×�ËÍÌL�+z{È�Ö-Ë�3��oÇrÇ�Õ}ÖzÈ�Û.Ô�Ê0u�ÉÂmSq Ç�ÌDÇ-ËAÊB~�Ç���¦S9¤ºTѧ}¨*©\�-n��Nxrpr�C��� -��-n��Æ$pr��~z~znL��~L�uÆ$n����Ntv�{�7�FsNnLp�~�tv�N�Ĺ��Ù±'n��}t�xztv�N�·�.¹�8 8N¸}�

/ 8C«21)Ƥ�Z�N�C�L�C��~L��'ª���Cpr�����vt�~z��xztv�C�*�C�}�N�Ds^�. ²~Yn-|{�-n��}xztv�C����n���y{��C�{t�~��7� ¦ � {�>CË�x�<$Õ}Ö�u�z�ÊrÈ�Û\�.Ì2~3zMÌ{u�Û�zYÖ�u�vCÖzÈ�~{~q×�Û�vÅK<A��%dÆ�½t��Jy���.���C�Cnxr�����{�.n��CpL�M6�nL�{�F�}��¦»x����v����'P�{p± = ={¹C��§u�{prt����CnLpz�»¶knLpr�v�C�{�NÆ$n�pz�vtv�·�

/ 8u¬�1)Ƥ�·�N�C�L�C��~������0¨P�Yµ¢�N���A�+' ���N���C�&���Cp¤���C~zt��)�C�Ds^��~zn-������Fxrtv��~-��¦ �����:N���~-�Tn��}t�xz�NpL�·o¤Ø vNÊ�}LÖzÈ^×ÍÔ;�IÊLËyx�uZß u�Øêu�v�ÌÈ^ÛYßy��u�É�Ë���È�ÖzÊ£q�Ê�Ô�x}Û�u^Ø�u�vCÌ�Å:o7�Ão��·q�ÆB��t��Jy�n{��M{�RD����C�Cn�~�¹?5�=�(Y¹�«C³{�{§u�{prt����CnLpz�»¶knLpr�v�C�{�F± = =>=}�

/ 8><21)Ƥ�N�C�N�-�N��~��C����¨P��µ¢�C�v�A��' �v�C�Ct��¢���NpTxzy{nP�N�DsD�����}�}nL�vtv�{������{�N�����Nn & ���A�¤¦ �!7<Õ}Û.ßNÈ2~�Ê-Û.ËAÈ�Øbo²z zYÖ�u�ÈNÔ�x�Ê�Ç�Ëwu=�Mu�É�Ëd���È^ÖrÊC<$Û�v�×�ÛYÊ�Ê-Ö�×�Û�v ÅK7?o-�?<BÆB�+t��Jy���������Cn£xr�Ä���{�.n��CpL�6�nL���N�}�{¦»x����v����'��{p¤±�=>={¹C�{§}�{pztv�{�NnLpz�A¶kn�pz���C�{�NÆ$nLpr�vtv�·�

/ 8>821)Ƥ���C�N�-�C��~-���{�¢s^�C� �}nL� Æ$nLpr�{�½%ª�OºP��tv~z�����<�p%��¢s^�C�Æ$nLpr�u�{�7��")��ºPn���~znL�A�{������º ����nLwP~L�pNPn��C~z�C��t��������.�C�}x�-���N~z~zn�~qtv�Î�N�Ds^�ϼÍ�{prnL�vtv��t�����pr�IprnL�.�Cpzx�½��Ц � yOu^ÛZÉ�Ì(u^Û�3}��LÊ�Ô�Ë��(�*Ö�×ÍÊLÛ�Ë»Ê�ßC$Ö�u�vCÖzÈ2~�~q×�Û�vX��ÌDÇ-Ë»Ê~'Ç��½t�È^Û�v�Õ�È!vNÊ-Ç��È^ÛYßroÊz>z.ØÙ×ÍÔ�ÈCËÍ×�u�Û{ÇpÅW����A��tKoÕÆ��·���C�CnZ~�¸F±�8�(u¸�³�=}�.¶J���}��-�N�{sCn�pL��©$�C���C�{�{�.Ñ���x ¹!8>8 <{�.'�©²%5µ�pznZ~z~L��9PnLw ÓJ�Cpr�.�

/ ¹�= =21 ���<��n���~�n��·�·°)�^�<n�%0n-x��D�Cn�pL�Y�����Ä���·�*y{�Npz�·�§un��L�{pzt�x�������q�{�F������t����L���C~r~��v�F�C�}tv�{��tv�£�N�Ds^�}¯`' ���Npz���C�vtv~r�^xrtv�C�·�¦ �ám-Û�Ë�Ì)yOu^ÛZÉ�̲u�ÛÁyOu2~#z.Õ{Ë»Ê-ÖVt�È�Û�vCÕ�ÈBvFÊ�Ç��·���C�Cn�~¤³�(Y¹�5}�¦�¨�¨�¨I©��C���{�{xL�D§}�u���Dµ�pznZ~z~L�����N~:'P������t�xz�F~-�^©$���vt����Cpr�{t��}�¹!8>8 <{�

/ ¹�={¹1 �����CnL��~znL�·�*°)�²�<nâ%0n-x��D�Cn�pL���C��� �����*y{�Cpr�·�϶kn�pzt�­{��L��xztv�C�0�C���-�N�Nxrpz�N�^A��^w`���N~�nZ�Ä~zn��-��pzt�x�����pz�N��n�p�xrt�nZ~-�¤¦ ���Ì2~#z�uDÇ�×�Õ.~´u�Û_�YÊ�ÔLÕ}Ö�×�ËÍÌ�È^ÛYß]$Ö�×�Ú^ÈCÔLÌD�����C�CnZ~²<>8�(Y¹!=C¸{�Ñ����u�������Y�N©$���vt����Cpr�{t��}�!%Ä�D��¹�8 8>8}�D¦�¨�¨�¨ª©��C���{�{xL�C§u�}�^��<�F~+'P������t�xr�N~L�}©$���vt����Cpr�{t��}�

/ ¹�=N±?1,%ª�X�C�C�{nZ~-� �*y{n ���{���-xztv�C��~Ò�C�;�N�DsD� �u�Fxzn��L�}�}n��¦ ���-��A��tKoH5 x���Iâu^Ö��^Ç�x�u�zKu^ÛQ7cu�Ö�~£È�ØZ�TÛ.ßCÊLÖ�z.×�Û��Û�×�Û�v^Çmu�É �}È^Ú^È ÅK7L�`�VÆZ��¶J�C���-�N�{sCn�pL� ©$�����N�{�}��9P�^s¹!8>8 <{� �§�S�NM>¯�� ®­�S¯.«.¨­��¬>¨­���.¨d��ɧ��OQP���É�®?O «�«��M� ���?O¨M�6�Ì��©�È-¼��{�

/ ¹�=C¸21,�k��® �N~z~r���\�����`§.�C6�prnLn��Fw*�����Y�Ò���^w*��p��{~����Cpr�����vtv�-�tv�{�0xry{nÄ�C�Ds^�Ä~zn��L�{pzt�x��ª��p���y{t�xznZ��xz��pzn�tv�Ï�N°¤®(¹��Ù±u�ª¦ ��{� ���}� ® �{t�~rÓF���^xrnLp��3Ó��¤°¤n�~zw*��pzxzn��)©��#%0n��N�}�^wP~L�������°���6��C�v�v�����{�<�Nn��{t¥xr�Cp�~-��<$Õ}Ö�u�z{Ê�È�Û4��Ì2~#z�uDÇ�×�Õ.~´u�ÛH�PÊB�ÇLÊ�È^ÖzÔ�x ×�Û yOu2~#z.Õ{Ë»Ê-Öy�YÊ�ÔLÕ}Ö�×�ËÍÌnÅ"<6�����Õm�y�SÆ��t��fy��{Y����.^�)�����Nn�~V¹!8{¹3(}± =F¬F�3���C�{s^��tv�}�»���^��9Pn��{sCnC��Æ$n����Ntv�{�7�§un��o¹�8 8><}��§u�{prtv�{�Cn�p��»¶knLpr�����{�FÆ�n�pz�vtv�·�

/ ¹�=�³�1,%ª�D® ���}�����C�{���C��� �}�D§.��%0�u�NpznC�2'�©²�T±u¯^'P� tv���{��~�xrpzt��C�~�xzprnL�{�Cxzy sNnLp�~�tv�N��������ÓNxry{�7� ¦ �ë{6{�Ëyx o¤Û�Û�Õ�È^ØäyOu^Û�É�Ìu^ÛáyOu2~#z.Õ{Ë»Ê-ÖÌo�Ç�Ç�Õ}ÖzÈ^ÛYÔrÊ Åty��Ê�X�o-���MÆZ�����C�CnZ~J±�¸�(}¸�³��6��t�xry{nLp�~����{pz���^%Ä°)���C�{� ¹!8>8C«}�Y¦�¨�¨�¨`©��N���{�}xrnLp)§u����-tvnLx���µJprn�~r~-���<�F~+'P������t�xr�N~L�{©$�C��t����Npz�{t��{�

/ ¹�=>5?1 ���.®t�~�xz�vnLpP�C���â%ª�Yº{p����{�C�+' ��prnLnL�»Æ*�N~�nZ�&�C�¥xrnLpr���^xrtvsCnxz���N�DsD�IÆ��Fxrn-��©��u�{n�~L�ª��n���y{��tv�����²N�nL�.�Cpzx�8N«^�S5�<}�J°¤n-����Cp�x�������¦ �}���Npz����xztv�C�o����� ©��N���{�}xzn�p�§}�-tvn����-nC�`"P��t�s.�����©$���vt����Cpr�{t��}�N¦ pzsutv�{n��{°¤n��£¹�8 8C«{�

/ ¹�=C«21V6'��®�vnLtv�������7����9�t����C�^w�k¶knLprt�­�n����vtv�CyFx�w�n�tv�CyFxJ�u�Nxrn-��-�}�}nVsCn�pzt�­����^xztv�N�·�\¦ ��<äy�����p9;>�>�>BI�u�Ö��DÇ�x�u�z�u^Û7:u^Ö�~�È^ØFq�Ê�Ô�x}Û�×DsLÕ�Ê�Ç�Éu�ÖV�uÈ�ÚDÈ�$Ö�u�vCÖzÈ2~'Ç��.±�=>= =}�

¸{¹

Page 32: Formalising the Safety of Java, the Java Virtual and Java Card

/ ¹�=F¬?1���PƤ�P®�{�C�{�v�}���Ï�C���X�{�+N�nLy{�C� � ���u�.nIn��v�C���Npr��xztv�C��C���7~��{�{x��F�.n)�-�N���{�vn-xrt��N�����Cp��C�Ds^�q�u�Nxrn��L�u�{n���¦ ��9�vZË�xm-Û�Ë�ÌÁyOu^Û�É�Ì`$Ö�×�ÛYÔ-× zYØ¥Ê�ÇÑu�É z.Ö�u�vCÖzÈ2~�~'×�Û�vÒØ¥È^Û�v�Õ�È!vNÊ-ÇÅK���Ot�Æ��£���C�Cn�~ ±C± <�(}±�³F±}�&Æ$�N~�xz�C�<��%Ä�N~z~r�C��yu��~zn-xzxr~L��N���0±�=>= =}��'�©²%ª��9�nLw ÓJ�Cpr�.�

/ ¹�= <�1°���®�N�LnL�<��<d�ÎÔ-×ÍÊLÛ�ËæyOu�ßNÊ£ykÊLÖ-Ëé× | Ô�È�Ëé×�u^Û�� ©��Npz��nL�v�"��{tvs����£�N���Þ¹�8 8><}� �§�§�F��¨��d��¨>«>ª>§�®�������®>¯�ÉSOå��«�­.®�§SO���-��® ª���OD¨�® ª�ÈF�&�M�F�

/ ¹�= 8�1 �{� ���k�c�����{nLxL�0'Pprn�~����Cp�x�L��p��{~¤xzy�n�tv�{n����k�}�N����tv�7���Cp�C�{�{�v�ut��������Npz���C�}��n-xzy��u��~rݪ¦ �rm-Û�Ë»Ê-Ö�ÛYÈ�Ëé×�u^ÛYÈ^ØBypu�Û�É-ÊLÖ��ÊLÛ.Ô�Ê�u�É��7È�Û.ß^����ÇLÊLÖ�Ç)Å����·ÆB��t��Jy� {��?vs�^�����C�CnZ~<¸C«N¸�(¸u¬D³{��ÓJ�Npz�.��"�®q�Y§unL�ı�=>= ={�}§u��pztv�{�NnLp*¶knLpr�����{�}Æ$nLpr�vt��<�

/ ¹N¹!=�1 �{� ���k�M���C�{n-x �����£' �^N�nZÓF�{n-x�� º��Cpr�������{pz�u�C������~z����pzx����p�� �����{�vn-xr~��L�CprpznZ��xr�{n�~r~-� ¦ �Î�{� � �{� ® �{t�~zÓF����xzn�pq�C���Ƥ��§}��y{��nLtvnLp��<n��}t�xr�Cp�~-��3CÖzß m�Û.ËdÌäyOu^ÛZÉ�Ì6��~�È^Ö-Ë�ÔrÈ�Özß7ÖzÊB�ÇLÊ�È^ÖzÔ�xoÈ^ÛYß&ÈNß^Ú^È^Û.Ô�Ê�ß7È�z>z.ØÙ×ÍÔ�È�Ëé×�u^ÛºÅwyKoV�[ Qm(�MÆB�pt��fy�{���9;>^�����C�Cn�~²<>5�(�8u¬F�.�<�C��sD�Ctv���v�{9Pn��{sCnC�}Æ$n����Ntv�{�7�u§un��¹�8 8 <{��§u�{prt����CnLpz�»¶knLpr�v�C�{�NÆ$n�pz�vtv�·�

/ ¹N¹C¹B1,6'�Y�����<nZ�DsCn���~-��')���J��Æ*���NnLp��������I©���N��{�u���P�>%��k¯�'�{�Cxr��xztv�C����Np¢�{n-xr�Ctv��nZ� �}n�~ztv�C�·�F¦ ��º)��®t��v�^s.�ZƤ��N��{���.n���C����¦��.§utv�����C����~-�}n��{t¥xr�Cp�~-�N�¤Ê�x�È^ÚZ×�u^ÖzÈ�Ø��z�ÊrÔL× | Ô�ÈCËÍ×�u�Û{Çu�É_�PÕuÇ�×�Û.Ê-Ç�Ç�È�Û.ßT�.ÌDÇ�Ë»ÊB~�Ç�� �����Nn�~o¹D¬ 5V(Y¹!< <{�$®�v�uw�n�p'¤�L�C�{nL��t��"µ��{�{�vt�~�y{n�pr~L�ÄÆ$�N~�xz�C�Y´^°¤�Cp��}pznZ��yFx�´2���C���{�C�·�¹�8 8 8{�

/ ¹N¹Z±21®q�.N�.%ª����nLtv�{���u�{�uƤ�{§}�^|}n��}�����¹N�{§Fxr��xr�}�k©�y{n����utv�{��N�Ds^�V��pz�N�Cp�����~'sFt��o�C����p��}n��Î�-�N����������~-�X§.NP©�N�n-�~zn��Cpr��y7prnL�.�Cpzx'¹!8>8 8��w=>=N±u��©��N�����CÓ7§u�}~�xrnL��~3NPn�~zn���p���y©�n��NxrnLp���µk���v�{'���xz�{�.©$�C�vt¥���Npz��tv�{�>%Ä�D�Ĺ�8 8>8}�

/ ¹N¹�¸�1 §.�^��tv�C�{���C����6'�<Æ$pr�N��y��}�°��u���C��t��)�-���C~r~P�v�F�C�}tv�{��tv�xry{n7�N�Ds^�0sutvp�xr�����$���C��y{tv�{nC�I¦ �z�[m:$�OtUo&� yOu^Û�É�Ì,u�Û�3}��LÊrÔ�Ëd�(�$Ö�×ÍÊLÛ�Ë»Ê�ßC*Ö�u�vCÖzÈ�~{~q×�Û�v?���.ÌDÇ-ËAÊB~�Ç��Ot�È^Û�v�Õ�È!vNÊ-Ç+�oÊz zYØÙ×ÍÔ�È�Ëé×�u^Û�ÇåÅW�-��A�.tUoÌÆZ�k�����Nn�~£¸C«�(F³N³{�J¶J�����-�C�{�sNnLp��.©$�����N�{�}��Ñ���x)¹�8 8><}�{§utv�C�{������9P��xrt��-n�~L��¸C¸�¼�¹�=N½��

/ ¹N¹L³ 1���c��t����}y{�C�v� �����oº��MÓJnL�v�vtv�·�æq�x�Ê;�}È�ÚDÈg��×�Ö-ËÍÕ�È�Ø`�ÄÈ��Ô�xu×�ÛYÊ���z�Ê�Ô-× | ÔrÈCËÍ×�u�Û{�c'¤�{�}t�~��N�£monZ~��vn�����NPn��C�{t����{��%I�C~��~r�C��yu��~zn-xzxr~L�Y¹�8 8N«}�

/ ¹N¹�521 �{�O%Ä��nZ~z~znL�·�²'PprsFtv���·�������yk)��§uy{n��·�Ϧ ����pz�^sutv�{��xzy{n�N�Ds^�`��nL���Cpr� ���}�}nL����~�tv�{� ©²NPº�� ¦ ���§m�$�OtKoV�yOu^ÛZÉ�̹u^ÛQ�3}��LÊ�ÔLËd�(�*Ö�×ÍÊ-Û.ËAÊ�ß)$Ö�u�vCÖzÈ2~�~'×�Û�v��4�.ÌDÇ�Ë»ÊB~�Ç��t�È^Û�v�Õ�È!vNÊ-Ç�+ o²z z.Ø ×ÍÔrÈCËÍ×�u�Û{Ç ÅW����A��tKoÕÆ������C�CnZ~X¹3(¹D±u�^%0tv�{�{nZ���.�C�vt�~-��%0tv�{�{n�~z��x��}��Ñ���x)±�=>= ={��'�©²%ª�c9�nLwÓJ�Npz�.�

/ ¹N¹�«�1°�� %Ä�C���uy{t,�C��� %ª� N�n�t�xznLp�� §un��L�{pzn nL|unZ�-�}�xrt��N� �����N�Ds^�Ð�����{�vn-xr~I��~zt����"�ÐprnL���Cxzn �{���D�u�Cpr�C�����Y�m,<%<%< q}ÖzÈ�Û{ÇLÈCÔ�Ëé×�u^Û{ÇDu^Û���u�É�Ëd��È^ÖrÊ-<*Û�vC×�Û.Ê�Ê-Ö�×�Û�v^��± = = ={��§�§�Ì�wª�®�� ®�� ª�¨2©Õ��� È�Èj��¨ «�¼�OGP2¯�����¬ �?O}�

/ ¹N¹D¬?1 �{�D%I����~z�C� �C���;m ��µJ�{�Ny·� §un������Fxzt���~����Ä�q�{��xzt��xry{pznZ�C�}nZ���C�Ds^�{�·��n���y��{t��L����pzn����Np�x��F°¤nL�}x*����©��C�����}xzn�p§}�LtvnL���Ln���"P��t�sNnLp�~�t�x��q���p%Ä��pr�u�������Y�{�N���u����pr��±�=>={¹C�

/ ¹N¹!<21V6'��%Ä��6�pr�DwÐ�C����¨P�Fm ��º�nL��xzn��·���·Ê�Ô-Õ}Ö�×�Û�v0�}È^Ú^È��C$PÊLËd�Ëé×�Û�v�ß u��kÛÄË�uD}LÕuÇ�×�Û.Ê-ÇrÇC�k×�Ë�x�~0u }L×�Ø¥Ê�Ô�uZßCÊ-�T�C�Cy{��mÐtv�vnL�| §}�C��~L�.©�y{t���y{n�~�xzn�pL��"¤®q��~�nZ�-�N����nZ�}t�xztv�C�<�Y¹�8 8>8}�

/ ¹N¹!821 ®q���J��%Ä�B%Ät��v�����<�A�.Ì2~D}�u^Ø ×ÍÔV�£uZßCÊLØjycx�ÊrÔ���×�Û�v��$®�v�uw�n�p'����C�}n���t���µJ���{�vtv~zy{n�pr~L�uÆ$�F~�xr�C�·���C�{�k¹!8>8C¸{�/ ¹D±�=21,%ª�,%0�C�Fxr�C�C��n�pz�X����� ®q�®pzt�~zy{���}�(§unZ�-�{prn �C� & n���x

~zy���prtv�{� tv� �C�Ds^� �L��p��Y� ¦ �����?<��)m���Iâu^Ö��^Ç�x�u�zÑu^Û��~�È^Ö-Ë»Ô�È^Öz߬q�Ê�Ô�x}Û�u�Øêu�vCÌåÅ1��~�È^Ö-Ë»ÔrÈ�Özßy5 x6x8Æ��������Nn�~'¹C¹!8�(¹Z±F¬F��©�y{t��L�C�C�{�F¦ �v��tv�{�Nt�~-�{¹�8 8 8{��"�§}¨½9�¦�k '¤~z~z�}�^�{Æ$nLpr�CnL��vnL�C�.©$���vt����Cpr�{t��}�

/ ¹D±}¹1)�{�u§.�.%0�u�Cprn��·µJpr�^sut�����xry{nL�Npzn���~J���.�C�}x*�C�Ds^�^�»�vtv�Cn��u�Fxzn�-�}�}nC�.¦ ��¨P� ��N�uѤ���}n�pz�N���C����Ƥ�F§Fxrn-¡YnL�·�}n��{t¥xr�Cp�~-�byOu�Ö��ÖzÊ�Ô�Ë8�.ÌDÇ�Ë»ÊB~q 'Ê�Ç�×ÍvCÛ �f�PÊ�Ô�ÊLÛ�ËHm-Û{Ç�×Ív?x}ËÍǤÈ^Û.ßÑo¤ß^Ú^È^Û.Ô�Ê-Ç��t��fy� {?vV{�>D�C���C�CnZ~k¹�¸>8�(.¹Z«N±}��§u�{prt����CnLpz�»¶knLpr�v�C�{�-Æ$nLpr�vt��<�¹!8>8 8{�

/ ¹D±C±?1)�{�·¨P�^%0�CprnLtvp��}�<§.��µT�^%0t��}�ut¥¡T�<�����o%ª�:6��{�{xr�}�qº{pr�C�A��N�Xxr�2��nL�F�2A��N��~-¯"�N�Ds^� ���Np7xznZ��y{�{t��L�C�)�-�C�����}xztv�{���o=y`�Úq}ÖrÈ^Û{ÇLÈNÔLËé×�u^Û�Ç3u�Ûn*Ö�u�vCÖzÈ�~{~q×�Û�v,t�È^Û�vCÕ�ÈBvFÊ-ÇPÈ�Û.ß��ÌDÇ-Ë»Ê~'Ç���±C±�¼é±C½�¯²±C«>5�(}±�8�5u��%Ä��p�± = = ={�

/ ¹D±�¸21V6'�>%0�Npzprt�~�nLx�x�� %ª�Nº{n��v��n�t�~�n��·��������N�>º¤��pr��n�pL��'���~�xzp��C��x���}�}nL��~�C�*��n����Cpr�Ä���������Cn���nL�·�&¦ �ÈyOu^Û�É-ÊLÖzÊLÛ.Ô�Êâu^Û7<Õ}Û.Ô�ËÍ×�u�Û.È^Ø�$Ö�u�vCÖzÈ2~�~q×�Û�v�t�È^Û�v�Õ�È!vNÊ-Ç£È�Û.ßáyOu2~#z.Õ{Ë»ÊLÖo¤ÖzÔ�xu×�Ë»Ê�ÔLËéÕ}ÖzÊäÅK7@äyKoH5 x�.3ÆZ�C�����Nn�~<«N«�(�¬C¬F�?�����C�C�v���}��©²' ��C�{�{n£¹!8>8>5u�

/ ¹D±^³�1V6'��%0�Cprprtv~zn-xzxL� °��0�T��p��}t�xztA��µT�V©�y{nL�{��� ©��I§Fxz�N�{n��N�7º���pr�.nLp��'����� µT�7�<n�n��(�*y{n �*¦S�¢´2%��Þ�L�C���{tv�vnLp�¯µ¢nLpz���Cpr�������-nª����� ~r�^��nLx��"xry{pz�N�{�Cy\x��u�.n�~L�5¦ ��7J×�Ö�Ç-Ëo¤Û�Û�Õ�È^Ø[Iâu^Ö��^Ç�x�u�z�u�Û yOu2~#z.×�Ø�Ê-ÖG��Õ�z>z�u�Ö-Ë�Éu�Öf��ÌDÇ-Ë»Ê~��u�É�Ë���È�ÖzÊ-�������L~z�C�·��'�pztv���C���{�uº�nL�ª¹!8>8C«}�

/ ¹D± 5?1)§.��%0�Cxzp �n���º��Cpr�����.���}�}nL�Y������tv���{�vnL��nL�Fx��^xztv�N������xzy{n�N�DsD� �L��p��2�}�u���C��tv�7~zn��L�{pzt�x��Ï���N��t��L��� ¦ ��o²z z.Ö�u�Ô�x{Ê-Ç7:u^Ö�~�Ê-Ø�Ø¥Ê-ǪßNÈ^Û�ÇVØ�5 oÇrÇ�×vÇ-Ë»È^Û.Ô�Ê È�Õ� ��Ê-Ú^ÊLØêu�z>z{ÊB~£ÊLÛ�Ë&ßCÊt:u�vC×ÍÔ-×ÍÊLزǢ�áo&7?oV Ctf5 9;>�>�>D��6�pzn��{�C����nC�7º�pr�C���-nC�V�C�C�±�=>= ={�c©�È�ÈM��bDOcO|�§�S�NM����2ªj��¬8¼��M�j�¸��ª2O,�S����¯.���

/ ¹D±�«21,' �²%0�Cn�pr~L�*�{��Æ*���{�.������� Ƥ�½�<t�~��N�^s.� µk��p�����nLxzprtv�Ln��x��u��nZ~����Cp��N�Ds^�}�£¦ �T9u�{Ëyxj$Ö�×�ÛYÔ-× zYØ¥Ê-Ç�u�ÉCz.Ö�u�vCÖzÈ2~�~q×�Û�vØ¥È�Û�vCÕ�ÈBvFÊ�Ç ÅK���Ot�ÆZ�*�����CnZ~ĹZ¸N±V(Y¹L³�5u�Pµk��prt�~-�Pº{p������-n���N���o¹!8 8u¬F��'�©²%ª��9�nLw ÓJ�Cpr���

/ ¹D±N¬�1V6'�o©��£9PnZ�-�{���{� µJpr�F�C���»����prpz�utv�{� �L�u�{n�� ¦ �r9s��Ë�xm�Û.ËdÌiypu�Û�É�Ì`$Ö�×�Û.ÔL× z.Ø�Ê�ÇÑu�É z.Ö�u�v�ÖrÈ2~�~'×�Û�vÒØ¥È^Û�v�Õ�È!vNÊ-ÇÅK���OtZÆZ�������CnZ~7¹!=N«�(.¹N¹!8{��µk��prt�~-��º�pr�C���-nC���N���`¹!8>8F¬u�'�©²%ª��9�nLw ÓJ�Cpr�.�

/ ¹D±�<21V6'�'©��(9PnZ�-�{���"�C��� µT�V��nLn����*y�n �}nZ~�tv�N� ����� tv�£��{�vnL��n��Fxr�^xrtv�C�Þ���o�Ü�LnLpzxzt����utv�{� �-�N���{tv�vnLp�� ¦ ��$Ö�u��vCÖzÈ2~�~'×�Û�v�t�È^Û�v�Õ�È!vNÊq 'Ê�Ç�×ÍvCÛ È�Û.ß m~3zYØ¥ÊB~£ÊLÛ�Ë»È�Ëé×�u^ÛÅKOt� zm´ÆZ�£�����Nn�~ϸC¸C¸�(u¸C³C³{�;%Ä�C�Fxzprn��C�é�0©$�����N�{�}�Ä�����¹!8>8 <{�.'�©²%���9Pn�w ÓJ�Cpr�.�

¸N±

Page 33: Formalising the Safety of Java, the Java Virtual and Java Card

/ ¹D±�8�1,6'��©��p9Pn��L�{���Ä����� µT�X��nLnC�ª¨O-��LtvnL�Fx�prnL�{prn�~znL�Fxr��xztv�C��C���£s^���vt��{�^xrt��N�)���<��pz�u���Í~L�Y¦ �O{�3CËyxDtcu�vC×ÍÔ×�ÛæyOu�~3zYÕ{ËAÊLÖ�·Ô-×ÍÊLÛ.Ô�ÊÁÅ�tKm�y�MÆZ��¦ ���{tv�C�����.�C�vt�~L��¦ ���}t������}�)���{�;¹�8 8 <{�¦�¨�¨�¨ ©��N���{�}xzn�pq§u�}�Lt�nLx��oµ�pznZ~z~L�+�§�§�Ì��¨��d��¨V¼.ÉÕ��®�¯ ÉNOP!§�®.¨?É����?O(��¬>¨�� ¾ À��&�M�d�/�.­��

/ ¹Z¸ =�1,6'��©���9�n��-���v��������µT���<nLnC��§}�^��nC�F�{�Fxrpz��~�xznZ�����NnL�Fxr~J��~��tv�{��µ�pz�u�C����©$�Cpzpr�ut����q�L�u�{n��¦ ��6'�·¶�tv�C���{�.nZ�}t�xz�NpL�:��u��}L×�Ø¥ÊÂo½vFÊLÛ�ËÍÇÈ^ÛYß��·ÊrÔLÕ}Ö�×�ËéÌ!�pt��Jy� {Y��{6x^�.�����Nn�~*«{¹3(�8{¹C�§u��pztv�{�NnLpz�A¶kn�pz�������NÆ$nLpr�vt��<�}�N���o¹!8>8 <}�

/ ¹Z¸{¹B1,6'�.©���9�n��-���v�q�����&§.��µT��NP�Cyu�{�A�kѤp��C�-�vnL�»Æ*�C~zn��£��y{nZ���F�tv�{���C�J�{�Fxzpr��~�xrn��0~z����x�w*��prn���¦ �)9;�CËyxÃm-Û�Ë�Ì)yOu^ÛZÉ�Ì@*Ö�×�Û��ÔL× z.Ø¥Ê-Ç�u�É,zYÖ�u�v�ÖzÈ�~{~q×�Û�voØ�È^Û�vCÕ�ÈBvFÊ-ÇæÅK���OtZÆZ�k���C�Cn�xr��C�{��nZ��p����<�N���}�C�<��"�®q���N���0±�= =�¹���'�©²%ª��9�nLw ÓJ�Cpr�.�

/ ¹Z¸N±217º)��N��9PtvnL��~z�C�£�����£º���9�tvnL��~��N�·�8�·Ê~�È^Û.ËÍ×ÍÔ-Ç3�k×�Ë�x�È�z z.Ø ×y�Ô�È�Ëé×�u^Û�Ç��Fo�Éu�Ö�~£È�Ø�×�Û.ËÍÖ�uZß^Õ�Ô�Ëé×�u^Û{�·���Ny{�'mÐt��vn��L|X§u�N��~-�©�y{t���y{nZ~�xrnLp���"�®q�<¹!8>8{¹C�

/ ¹Z¸C¸�1®q�p9Ptv��~�n��·�Ä�{t��-�Fµ�¨ÊN�©�¯T�I~z�����v���é���u��xr�{prt��Fx�}t����vn��-x)����N�Ds^�}�� ÖÌ��� {u }�}25 Ç(�.u�Õ}Ö�Û.È^ØÙ��±�¸�¼é¸N½�¯í5 =�(.5�³{�.%Ä��p ¹�8 8><}�

/ ¹Z¸�³ 1���^9Ptv�{�N�^w �����Ä°��·sC�N�oѤy{nLtv�q�·��N�Ds^�-,/.103254*t�~����F�.n-�§}����n�� �{n-­��{t�xrnL�v��� ¦ ��9c.�Ëyxºm-Û�Ë�Ì ypu�Û�É�ÌG*Ö�×�Û.ÔL× z.Ø¥Ê-Çu�ɲz.Ö�u�vCÖzÈ2~�~'×�Û�v�Ø�È^Û�vCÕ�ÈBvFÊ-Ç Å"-�%½tZÆZ�����C�Cn�~�¹Z«{¹�(Y¹D¬�=}�§}�C��°¤tvnL�N�{�.©$���vt����Cpr�{t��}�u�C�C�V¹�8 8 <{��'�©²%ª��9Pn�wÅÓJ�Npz�.�

/ ¹Z¸>521���^9Ptv�{�N�^w�Y°��<sC�N�oѤy{n�t��q�·�·�����ª©��<µJ��~r��y·�¯��C�Ds^�{¯¨��'�.n��{�{t����&�7�{pr�C�Npr�C����t����q���C�{�C���C�Cn't��ª�&xzy{n��CprnL��{pr�^sCn�pL�o¦ �Ϻ��O�k�JÆ*���{n�pq�C����N �J§uxznLtv�u�{p-ã�{�C�NnL�·�knZ�}t��xr�Cp�~-��7:u^Õ}Û.ßNÈ�Ëé×�u^Û�Ç+u�É��·Ê�Ô-Õ}ÖzÊÂypu�~3zYÕ{ËAÈCËÍ×�u�Û�Ì�$Ö�u�Ô!Ì[m�Û�Ë�Ì�.Õ.~{~�Ê-Ö��·Ô�x�u!u�Øc�IÈ^Ö��CËwu }�Ê-Örß u^Ö�Ér�Y���C�Cn�~¹N¹D¬V(.¹L³N³{�u¦zѧµ�pznZ~z~L��±�= =>=}�

/ ¹Z¸C«�17N�ÄÑ( Ù©$�C�v�v�Cy����<� ' ~zt�������nC�V�-�N���{prnLy{n���~�tvsNn"x��u�.n~z�}~�xrnL�3���Cp2�C�Ds^� �u�FxznZ�-�}�}n`~����{pz�N�}xztv�{nZ~-� ¦ ��9cR�Ë�xm-Û�Ë�ÌÁyOu^Û�É�Ì`$Ö�×�ÛYÔ-× zYØ¥Ê�ÇÑu�É z.Ö�u�vCÖzÈ2~�~'×�Û�vÒØ¥È^Û�v�Õ�È!vNÊ-ÇÅK���Ot�Æ��'�����Nn�~ ¬2=�({¬2<{��§}���H'P�Fxz�N�{tv�{����n-|{�C~L���C�C�¹�8 8 8{��'�©²%ª��9Pn�wÅÓJ�Npz�.�

/ ¹Z¸F¬?17%ª�FÑ��{nLp�~��u�)�����'µT�Dm��C�}�vnLp���µJtv�����Ptv�Fxz��C�Ds^��¯T��pr�C��~�����^xrtv�{��xzy{n��Cpr�'tv�Fxz�)��pr�N��xzt��Ln��Y¦ �49s��Ë�xJm-Û�Ë�Ì­yOu^ÛZÉ�Ì�*Ö�×�Û��ÔL× z.Ø¥Ê-Ç u�É�zYÖ�u�v�ÖzÈ�~{~q×�Û�vÜØ�È^Û�vCÕ�ÈBvFÊ-ÇnÅK���OtZÆZ�����C�CnZ~¹�³N«�(Y¹�5 8}�Nµk�Cpzt�~L�Nº{p������Ln��{�C�C�Ĺ!8>8F¬u�>'�©²%ª��9Pn�w4ÓJ�Cpr�.�

/ ¹Z¸ <�17%ª�qѤnZ~�xrpzn�t���y{nLp�� ��pr�C��~z�N��xrt��N��~Ätv�Þ�C�Ds^�X�L��p��Y� ¦ �{�.�ËyxOo¤Û�Û�Õ�È^ØÌyOu2~#z.Õ{Ë»Ê-ÖC�·ÊrÔLÕ}Ö�×�ËéÌ o²z zYØÙ×ÍÔ�È�Ëé×�u^Û{Ç+yOu�Û��É-ÊLÖzÊLÛ.Ô�ÊëÅDo=y�[o=yZÆZ�'���C�CnZ~ ±�8{¹3(}± 8 <}��µ�y{�unL�{t�|Y�;'Pprt�����C���{�°¤n�� ¹!8>8 8{�*¦�¨�¨�¨ ©��C���{�}x��¤§u�}�^�V�<�F~�'P������t��xr�N~L�C©$�C�vt¥���Npz��tv�{�8�§�§�Ì�S�.¨�� �.¨·��«>ª§��O)� ¾§¾§¾ O#��Ç��2È�ª��.¨�È���OÈ>©�ÉSM?ÇSMH� ª �S�2MV¼��>ª�¨2É��d��©�È-¼����

/ ¹Z¸ 8�17%ª��Ѥn�~�xzprnLt���y{n�p������Юq�*®pzt�~zy{���{� Ѥ� & nZ��x��vt���n-xrtv��n�~tv�V�N�Ds^���L��p��Y��¦ �x���2<%�)mD��Iâu^Ö��^Ç�x�u�zgu^Û���~£È�Ö-ËAÔ�È^Örßq�Ê�Ô�x}Û�u^Ø�u�vCÌJÅ���~£È�Ö-ËAÔ�È�Özß 5 x6x8Æ��N�����Nn�~J¹D±�8�(u¸F¬u�^©�y{t������C���¦ �v�vtv�{�Ct�~L��¹!8>8 8}��"�§}¨½9�¦�km'�~r~��}�^��Æ$n�pz�NnL�vnL�C��©$�C�vt¥���Npz��tv�{�

/ ¹�³>=21,9���xztv�C������¦ ��~�xzt�xz�{xznÐ�C�ħuxr�����{��p��{~ �C���;��nZ��y{�{�N���N�C�C�yOu2~�~Du�Û y¢Ö�×�Ë»Ê-Ö�×ÍÈ&Éu^ÖÃm-Û�Éu�Ö�~£ÈCËÍ×�u�Û q�ÊrÔ�xuÛ�u^Øêu�vCÌ`�YÊB�ÔLÕ}Ö�×�ËÍÌ_<$ÚDÈ�ØÙÕ�È�Ëé×�u^Û���" �J§.�J°�n��}xL�k�C�©��C����n�pr�Ln��`9¤�^�xztv�N�����Æ$�{pznZ���Ð�C�'§Fxr�C���{�Cpr�{~������"��n���y{�{�N�v�C�C�C�#'P�{�¹!8>8 8{�c©�È�ÈM��bDOcOD¨��?ª�¨­��§M¬��2ÈF�´��«6��OV¨�¨cO{�

/ ¹�³�¹1)§.��Ѥw�prn��{�}�.N���~zyu�F�C��9)��§uy������D�CpL�}������º��FsN�C�;º�nL�{�Nn��º{�Npz���C�usCnLprt�­��L��xztv�C�)���Cp�º����{��x�� ���C�vnLp����Fx��Cpr��y{t�xrn���xr�{prn�~L¯µJpr�C�vn��C�C��n�����xz�qxry{n)�}n�~ztv�C�&���Tµ�¶�§.��m,<%<%< q{ÖzÈ�Û{ÇLÈCÔB�Ëé×�u^Û{Ç;u�Û)��u�É�Ë���È�ÖzÊn<$Û�vC×�Û.Ê�ÊLÖ�×�Û�v���±}¹N¼A±C½�¯�¹�=F¬5(Y¹Z±>5u�<º{n��¹!8>8>5}�

/ ¹�³F±?1,�k�T©��Tµk���{��~z�C�·�=m�Ç-È>}�Ê-Ø�Ø¥Ê��0ȹvFÊ-ÛYÊ-Ö�×ÍÔ&Ë�x�Ê�u^ÖzÊB~ÑzYÖ�u^Ú^Ê-Ö��t��fy�!��9;�^�$§}�{pztv�{�NnLpz�A¶kn�pz���C�{�>9�nLw ÓJ�Cpr���<¹�8 8C³{�/ ¹�³N¸21,' �{µ¢�un-xr��~r��y}��ºPn-¡.xzn�p$�C����µT��%0�����vn�pL�c'X�{pr�C�Cp�������tv�{�

�v�C�Ntv�����Np�~zn�ÓF�{nL�Fxrtv�C���N�DsD�{�.¦ ���CËyxn<$Õ}Ö�u�z�Ê�È^Û ��Ì2~#z�ÌXu^Ûz.Ö�u�vCÖzÈ2~�~q×�Û�væÅK<A����BÆB�Ot��Jy�å{�.[vuRD�·�����Nn�~¹�«F±V(Y¹D¬^«{�§u�{prtv�{�Cn�p��»¶knLpr�������NÆ$nLpr��tv�·�.%Ä�Cp ¹!8 8>8}�

/ ¹�³C³�1 ¨���µ¢�N�v�é�¤�{�Ps^���`�}nL�`Æ$nLpr�{� �����\Ƥ�¤�C�N�-�N��~-� §u��nZ���t�­��L��xztv�C����� xry{n �C�Ds^�u©$��p�� '�µJ¦ tv� �>%��k� ¦ ��{��°��N��t����C��� º{n�pzprnLp¤������' ��mª��xr~z�C�·��nZ�}t�xz�Npr~L�7cu�Õ}Ö-Ë�x��~�È^Ö-ËiykÈ�Özß���Ê�ÇLÊ�È^ÖzÔ�x È�Û.ß o¤ß^Ú^È^ÛYÔrÊ�ß o²z zYØÙ×ÍÔ�È�Ëé×�u^ÛyOu^ÛZÉ-Ê-ÖzÊLÛ.Ô�Ê ÅwyKoV�[ Qm(�MÆZ�Ï�����CnZ~ ¹�¸�5V(Y¹�5^³��`Æ$prt�~�xr�C�A�"�®q� §un�� ± = = ={�Ü®�v�uw�n�p '¤�L�C�{nL��t�� µJ���{�vtv~zy{n�pr~L�Æ$�N~�xz�N�.´^°¤�Cp��}prn���yFx�´��<�C���}�C�·�

/ ¹�³�5?1 ¨��)µ¢�N���A�'�{� sD�C� �}n��ÜÆ$n�pz���q����� Ƥ���C�N�-�C��~-� º{�Np�������<~z�.n��-t�­����^xrt��N���C�Txry{n��N�DsD�u©$��p��;'¤µJ¦*tv�7�>%��k¯�xzy{n'�µ�°C" �-���C~r~L�iypu�~3zYÕ{ËAÊLÖ���ÊLËd�½u^Ö��^ǹ�IÈBvFÈ��L×�ÛYÊ��$�����Nnxz���C�{��nZ��p���±�=>={¹��

/ ¹�³N«21)�{��µ¢�N~znL�N�N� �����]º �¤¶k�N��x�� Æ��Fxrn �-�}�}n sNnLprt�­��L��xztv�C����Cp��N�Ds^�7~����Cp�x �L�Cpr�{~���C~zn��V�C�ª���}�}nL�J��y{nZ���ut����{�£¦ ��{� ���}� ® �{t�~rÓF���^xrnLp��3Ó��¤°¤n�~zw*��pzxzn��)©��#%0n��N�}�^wP~L�������°���6��C�v�v�����{�<�Nn��{t¥xr�Cp�~-��<$Õ}Ö�u�z{Ê�È�Û4��Ì2~#z�uDÇ�×�Õ.~´u�ÛH�PÊB�ÇLÊ�È^ÖzÔ�x ×�Û yOu2~#z.Õ{Ë»Ê-Öy�YÊ�ÔLÕ}Ö�×�ËÍÌnÅ"<6�����Õm�y�SÆ��t��fy��{Y����.^�)�����Nn�~V¹D¬�5�(.¹�8 =}�3���C�{s^��tv�}�»���^��9Pn��{sCnC��Æ$n����Ntv�{�7�§un��o¹�8 8><}��§u�{prtv�{�Cn�p��»¶knLpr�����{�FÆ�n�pz�vtv�·�

/ ¹�³u¬�1�m �Nµ��{�Cy·���*y�n��N�Ds^����n����Cpr�¤���}�}n��}t�~��Í��xr�C���v�@A��Dw$n��Y�yOu^ÛYÔ-Õ}Ö�ÖzÊLÛ.ÔLÌ��f$ÖzÈCÔ�Ëé×ÍÔrÊ�È�Û.ß=<p�z�Ê-Ö�×ÍÊLÛ.Ô�Ê-�k¹Z±{¼�¹Z½�¯�¹3(.¹C¹C�±�=>= ={�

/ ¹�³><21�©���µJ��~z��y·� º{�Npz���C�vt���tv�{�ªxzy{n �N�Ds^� sutvp�xr��������N��y{tv�{ntv�0t�~z�C��n����vn^´2º�Ñ@�J�P��nZ��y{�{t��L�C��prnL�.�Cpzx¤�+"#%7�»¦S8 <�¹�«{��¦ �}�~�xzt�xz�}x&�wã�{p�¦ �}���Cpr���^xrt��.�P��n���y{�{t�~r��y{n�"P��t�s.�+% ã�{����y�nL�·�¹!8>8 <{�

/ ¹�³>821�©���µJ��~z��y·� µJpr�^sFtv�{�Äxzy{n0~z�C�{���{�{n�~r~q�����ª�N�DsD�I�u�Nxrn-��-�}�}nÜsCn�pzt�­�n�p"~z��nZ�-t�­��L��xztv�C� tv�,t�~r���.nL�v�vnD´�º�Ñ@�k� ¦ �m ��N������Ln-��©���nZ�DsCn��v�C���Y�£n��}t�xr�Cp���.�ËyxÓq�u!u�زÇ"È^Û.ߣo¤Ø �v�u^Ö�×�Ëyx�~'ǪÉu�Ö yOu�Û{Ç-ËÍÖ�Õ�Ô�Ëé×�u^Û È^ÛYß o¤Û.È�ØÙÌDÇ�×vÇÔu�É/��ÌDÇ��Ë»Ê~'Ç�Å8qSo=yKo��MÆB�0t��Jy� {�.[v5x��q�����CnZ~â< 8�(.¹!=N¸}�V'P�£�~�xznLp��{�C�7� �*y{n�9�n-xry{nLpr�������{~L�й!8>8 8{�7§u�{prtv�{�Cn�p"¶kn�p����������Æ�n�pz�vtv�·� �S�§� ¨ ��¬!§��.«>ª-¼��>È�¬��j��È>ÉNM5¼.É�®�§�¨2©�®2§Ì�S¯.®;OP5��É��>¨2©SOÂ��É�ÇM��O]~Sç.�Sç?� ¾S¾ ��©�È-¼����

¸C¸

Page 34: Formalising the Safety of Java, the Java Virtual and Java Card

/ ¹?5�=�1|*�� ® t����<�H' ���Cpr������~��.n��Lt¥­.�L�^xrtv�C�2���£�C�Ds^��¼�xz��½�sFtvpz�xr�����F���C��y{tv�{n¢tv��~�xzpr����xrtv�C��~Y�N� & n��-xr~L�D��nLxzy{�}�{~������ ~z�{�}�pr�C�}xrtv�{n�~L�Ц �Ð�}�Ê'��vsCn�~�� º{�N~r~L��n��{t¥xr�Cp��^7:u^Ö�~�È^Ø&��Ì^Û�Ë»ÈB�È�Û.ßL�YÊB~£È�Û�Ëé×ÍÔ�Ç#u�ÉC�}È^Ú^È!�ct��Jy�+{�.:9;3^�u�����Nn�~J±F¬u¹�(}¸{¹D±u�§u��pztv�{�NnLpz�A¶kn�pz�������NÆ$nLpr�vt��<�.¹�8 8 8{�

/ ¹?5}¹B1|*�� ® t����·��.Ë»È^ÛYßCÈ^Örß-7�×Í�z�u^×�Û�ËUm-Ë»Ê-ÖzÈCËÍ×�u�Û�Éu�Ö@�}È�ÚDÈL�PÌ�ËAÊB�Ô�uZßCÊ���ÊLÖ�× | Ô�ÈCËÍ×�u�Û{�'®nZ~�xrpzn���¦ ��~�xzt�xr�}xznC�·µk�C�v�;'P��xz����©²'8C³N¸ =C³{�Y¹!8>8 8}�

/ ¹?5C±21|*�� ® t����<�C' �C6��N�v�{��n�pz���¤�����¢' �¤©��N�C�vtv�{�Ñ' ���Npz���C�~z��nZ�-t�­����^xztv�N�)���<�C�Ds^�N�+% �L�v�N~z~T�v�N�N�}tv�{�{�}¦ � �§m�$�OtKoV�yOu^ÛZÉ�̹u^ÛQ�3}��LÊ�ÔLËd�(�*Ö�×ÍÊ-Û.ËAÊ�ß)$Ö�u�vCÖzÈ2~�~'×�Û�v��4�.ÌDÇ�Ë»ÊB~�Ç��t�È^Û�v�Õ�È!vNÊ-Ç + oÊz>z.ØÙ×ÍÔ�È�Ëé×�u^Û�ÇæÅW�-��A�.tUoÌÆZ�����C�Cn�~'¸N±>5V(¸N¸C«}��%0tv�{�{nZ���.�C�vt�~-� %0tv�{��n�~z��xr�{�uÑ���x*±�= =>=}�>'�©²%���9�nLwÓJ�Npz�.�

/ ¹?5�¸�1°���N �nL�q���ON�n��L�Cp��{~������&s^�Cpzt����Fx�~$�N~P�£����xz�{p����·nL|FxrnL�}�~ztv�C� �C�C%��k� ¦ �ë{�R�Ë�xåm-Û�Ë�Ì|yOu^ÛZÉ�Ì[$Ö�×�Û.ÔL× z.Ø¥Ê-Ç£u�ÉVz.Ö�u��vCÖzÈ2~�~q×�Û�v�Ø¥È^Û�v�Õ�È!vNÊ-ÇfÅ"-�%½tZÆZ�����C�Cn�~P¬N¬5(�<><}�.'P��~�xztv�·���n-|{�C~L���N���o¹!8 <>8}�.'�©²%ª��9�nLw ÓJ�Cpr���

/ ¹?5^³ 17')��N�nZÓN��n-xL� ':Æ(���}�}nL�����Cp�nL��~��{prtv�{� ~��N�{���}��n�~r~�C��xzy�n2�N�Ds^�"����p�� sutvp�xr�����q���C��y{tv�{nC� ¦ �;§Y�{6��{n�~ztA�¦���§}��y�t�nL��nLp��}n����NnLp��Y�C���£')�cN�nL���{�}��y·��n��{t¥xr�Cp�~-��.CË�xÇm-Û��Ë»Ê-Ö�ÛYÈ�Ëé×�u^ÛYÈ^Ø%<%� y�m���I�u�Ö��DÇ�x�u�z¢u^Û)7:u^Ö�~�È^ØÊ�ÄÊ�Ëyx�uZßDÇÉu�ÖÕm-Û.ß�ÕuÇ�ËéÖ�×ÍÈ^Ødy¢Ö�×�Ëé×ÍÔrÈ�Ø���ÌDÇ-Ë»Ê~'Ç=ÅK7O�rm�y�MÆZ�}���C�Cn�~*±�8�(±C«}��Æ$nLpr�vt��<��%Ä�Cp�±�=>= =}��67%Ä°��

/ ¹?5 521¨P��N��N~zn��$���^w*��p��{~*~�nZ�-�{prn�u�Nxrn��L�u�{n sCnLprt�­��L��xztv�C���N�0��N�Ds^�q����p��Y�²%I�C~�xznLp! ²~*xzy{nZ~�t�~L��°¤¦�®," ��"��{tvs.������©��C�.nL�}�y��C�Cn��·��§unL�ª¹�8 8 <{�

/ ¹?5�«�1¨P�7N��F~�nÏ����� ®q�7º �VN��F~�nC� �<tv�CyFx�w$nLtv�CyFx7�u�Nxrn��L�u�{nsNnLprt¥­.�L�^xrtv�C�·��¦ �q�-��A��tKoH5 x��UI�u�Ö��DÇ�x�u�z u^Û)7cu�Ö�~£È�Ø�TÛ.ßCÊLÖ�z.×�Û�Û�×�Û�v^Ç(u�É,�}È�ÚDÈ+Å"7L�X�5ÆZ�{¶J�C���-�N�{sCn�pL��©$�����C�{�{�9��^sq¹�8 8><}�-�§�§�NM ¯�� ®��S¯�«.¨­��¬>¨·�S�.¨­��É[��O^P���É�®cOC«�«-��� ���?O¨M�6�Õ�d©�È-¼����

/ ¹?5N¬?1�¶���§{��p��C~zw$��xL�N�N�DsD�Ptv~��{��xTx��u��nL�»~r�^��nC�F��n���y{��tv�����Npzn����Np�x��'k�^| �ÑN�nZ~�nZ��p���y·�JºT���Npzy����5µk��pr���O9�nLw �CnLp�~�n����O'P���¹�8 8F¬u�U�§�§�Ì��ª.®�� ®��>ª�¨2©Õ���>È�Èj��¨ «�¼�OGP��?gcOVÇ�É?�F��©.È-¼����

/ ¹?5�<�17%ª�{§un�pzp����{���<©��N�Fxzpr�C�.A��^w2�C�����v�}~�t�~L¯�����{���-xztv�C�����{�����{��N�����Nn�~ �-�N���{tv���^xztv�N�0����p��C�}tv�N�7�£¦ �º{�>�Ëyx��.Ì2~3z�uDÇ�×�Õ.~u�Û£oÊz zYØÙ×ÍÊ�ß�yOu2~#z.Õ{Ëé×�Û�v��������CnZ~o¹C¹!<�(.¹D±C±u�39¤�C~zyFsutv�v�vn����nL�{��n�~r~�n�n���"¤§�' ��º�nL�{pr����pr�Ĺ�8 8>5}�

/ ¹?5�8�1�¦���§uy�t��7�������{�.©���%0t�xr��y{n��v�é�¢�C�Ds^�'�F�Fxrn��-�}�}n����}�}t�­��L���xrt��N���������C�{�{�vn-x'~zn��L�{prt¥x��C����n���y{��tv�����JprnL�.�CpzxL��©��C���<�§}�Lt�°¤nL�}x��.§Fxr�C�}���Cp��)"P�{tvs.�¥�<¹�8 8><}�

/ ¹Z« =�1)©�y·�·§u�^���v�^�£�����ħ.�·§u��t�xzy·��§Fxr��xzt��nL�{���Cp��-nL��n��Fx*�C�¢~zn-��L�{pzt�x��0w�t�xzyVx��u��nZ~-��¦ �E.�Ëyx!�[m:$�OtUo&� m-Û�Ë�ÌzyOu�Û�É�Ì#u�Ûu�Û�7<Õ}Û.Ô�ËÍ×�u�Û.È^Ø`zYÖ�u�v�ÖzÈ�~{~q×�Û�v£Å:m�y�7@BÆZ�������CnZ~�¸�³-(F³�5}�%0�N�Fxzprn����A��©$�����N�{�}��§}nL�ı�=>= =}�.'�©²%ª��9�nLw ÓJ�Cpr�.�

/ ¹Z«{¹1¶)��©���§upzn�n��}y���p���% Æ$�{pr�CnC���C��� �{� � °)��©�y{�Nté� '��p�����nLw$�Cpr�X���Cpªtv�NxrnLpr�{pr�u�Ln��}��pr�C�q�C�����v�}~�t�~Ä�C��� �C�}xrt¥���tv����xztv�C�0tv�Vxzy{n��{prn�~znL���-n£�����}�u������t��'�-���C~r~����F�C�}tv�{���¦ �¶o=y`�w�[m:$�OtUo&��9;>�>�>¶yOu^ÛZÉ-Ê-ÖrÊ-ÛYÔrÊ£u^Ûy$Ö�u�vCÖzÈ2~��~q×�Û�v;t�È^Û�v�Õ�È!vNÊL 'Ê�Ç�×ÍvCÛ È^ÛYßfm�~#z.Ø¥ÊB~£ÊLÛ�Ë»È�Ëé×�u^ÛÁÅKOt� Qm9;>�>�>3Æ��������CnZ~¢¹D¬�«�(}± =F¬u�-¶J�����L�C�{sNnLp��ZÆ$pzt�xrtv~zy)©��C�v�{�q�{t��}�©$�����C�{�{�{�C�{�{n�± = =>=}�

/ ¹Z«N±?1@Ó��N¶)�N§uprtv�{tvsD�N~��C����N�N�������vtv�{�{§u�.n��Lw$�CpznC¯�º{�Npz���C�F~z�{�}��.�Cpzx����Cpq�-�N�����F~�tv�{�0~z����x�w*��prn��0¦ �ÈyOu^ÛZÉ�Ì3�IÈ�Ëyx{ÊB~�È�Ëd�×ÍÔ-Ç)u�É�$Ö�u�v�ÖzÈ�~ yOu^Û{Ç-ËéÖ�Õ�ÔLËé×�u^Û�Å��Xäy�MÆB�#t��Jy�Áx���vL����C�Cn�~�¸ 8 8�(F³u±C±u�$®���F~�xrnLp£¦ p�~�n�n��#6�nLpr�����u����������¹!8>8>5}�§u�{prtv�{�Cn�p��»¶knLpr�������NÆ$nLpr��tv�·�

/ ¹Z«C¸21,N�<§FxVã�Cpz�.�]7cu�Õ}Û.ßNÈ�Ëé×�u^Û{ÇDu�É��uÈ�ÚDÈH�;t�Ê�ÔLËéÕ}ÖzÊf�VuCËAÊ-Ç�Éu�ÖyOu2~#z.Õ{Ë»Ê-Ö[�YÔL×ÍÊ-ÛYÔrÊ&�YËÍÕ�ßNÊ-Û.Ë�Ç���"��{tvsCn�pr~zt�x����C�<º{prt��.�C��pz���§uw�t�xz��nLpr�������Y�*¹!8>8 <{�+�§�S�Ì��¬�§�����®>È>©�­���¨2©SOÒ��®>ª�� «2§����?O�2È���®>ªS�NOÒg��M���?O{�

/ ¹Z«�³�1,N��§Fx�ã��pr�����{�)§{��y{��t��Y�q�C��� ¨��)ÆÑã�Cpr�Cn�pL� �}È^Ú^È\È�Û.ßËyx{Ê{�uÈ�ÚDÈ���×�Ö-ËéÕ�È^Øc�IÈCÔ�xu×�Û.Ê��V 'Ê | Û�×�Ëé×�u^Û.����ÊLÖ�× | Ô�È�Ëé×�u^Û.���È�ØÙ×ÍßCÈCËÍ×�u�Û{� §u�{prt����CnLpz�»¶knLpr�v�C�{�JÆ$nLpr�vt��<�$±�=>={¹��2xr� ���}��.n���p��

/ ¹Z«>5?1,N�$§uxr�^x��������4%��Ê'P���N�}tA� 'Òx��u��nV~��}~�xznL� ���Cp��N�Ds^��u�Fxzn��L�}�}n�~z�{�{pr�C�{xztv�{n�~L��¦ �!9;.CË�xfm-Û�Ë�ÌFypu�Û�É�Ì�$Ö�×�ÛYÔ-× zYØ¥Ê-Çu�É�z.Ö�u�v�ÖrÈ2~�~'×�Û�v�Ø¥È�Û�vCÕ�ÈBvFÊ�Ç ÅK���Ot�ÆZ�������Nn�~�¹L³�8�(Y¹�« ={�§}�C��°¤tvnL�C���.©$���vt����Cpr�{t��}�F�N���o¹!8>8 <{�.'�©²%���9PnLw ÓJ�Cpr�.�

/ ¹Z«C«21,N�^§Fxr��xr�������,%ª��'����C�}tA��'ªx��u�.n�~��}~�xzn��Ð���CpT�C�Ds^�$�u�Nxrn-��-�}�}n£~z�{�{pr�C�}xrt���n�~L�Âo=y`� q{ÖzÈ�Û{ÇLÈCÔ�ËÍ×�u�Û{Ç0u^Û�$Ö�u�vCÖzÈ2~��~q×�Û�vDt�È�Û�vCÕ�ÈBvFÊ�Ç�È^ÛYß��.ÌDÇ�Ë»ÊB~�Ç��.±{¹N¼�¹D½�¯í8 =�(u¸F¬u��¹�8 8 8{�

/ ¹Z«F¬�1 ®q��§FxrnL�{y{n���~z�C�·�����^w*��p��{~¤���ª���v�Cn��{pr�Ct�� ~��.n��Lt¥­.�L�^xrtv�C�����xzy{n)�N�Ds^�)sutvp�xr�����.���C��y{tv�{nC��¦ �&Ƥ��%0�N�v��n�p��C���&�{�}¶)��������Cn�pL�^n��{t¥xr�Cp�~-��$Ö�u^Ç�z{Ê�Ô�Ë�Ç·Éu^Ö½x{È�Özß2��È�ÖzÊ�Éu^Õ}Û.ßNÈ�Ëé×�u^Û�Ç�Ì<A�2%�ÕmMqm�½u^Ö���×�Û�v�v�Ö�u^Õ�zU�;.�3�3>ÌV�QoV )oÆ�'ÛYÊ�]x�È^Özß����È^ÖrÊ&ßNÊ�Ç�×ÍvCÛ�~�ÊLËyx�uZßDÇ�Ç�Õ}Ö�Ú^Ê-ÌÄÔ�x{È�z·ËAÊLÖ�Ç��Ct��Jy��{�.Y�NRD����C�Cn�~�±C¸C«�({±N¬N¬F�{§u�{prt����CnLpz�»¶knLpr�v�C�{�NÆ$n�pz�vtv�·�Y¹!8 8><}�

/ ¹Z« <21V6'��§.�'§Fxrt��vnZ~-� §}�^��nÎ����� sCn�pzt�­��C�{�vn �}n�~ztv�C� �C���q�{���xzt�xry{pznZ�C�}nZ� �C�Ds^�;�{pr�C�Npr�C��~Ïw�t�xry,©*§{µ ����� º¢°@N�¦ ���-��A��tKoH5 x���Iâu^Ö��^Ç�x�u�zKu^ÛQ7cu�Ö�~£È�ØZ�TÛ.ßCÊLÖ�z.×�Û��Û�×�Û�v^Çmu�É �}È^Ú^È ÅK7L�`�VÆZ��¶J�C���-�N�{sCn�pL� ©$�����N�{�}��9P�^s¹!8>8 <{� �§�S�NM>¯�� ®­�S¯.«.¨­��¬>¨­���.¨d��ɧ��OQP���É�®?O «�«��M� ���?O¨M�6�Ì��©�È-¼��{�

/ ¹Z« 821)§u�{�<� q�x�Êjl ��×�Ö-ËéÕ�È^ØC�IÈCÔ�xu×�Û.ÊÁÅ"l£�c�JÆy� o¼�:xu×�Ë»Êz�È�z�Ê-Ö���§u�{��%0t��-pr�"~z�u~�xzn���~Ħ �����D%Ä�C�{�Fxr�Ctv� ¶�tvnLw�©$���vt����Cpr�{t��}�I�C�{��¹!8>8 8{� ©.È�ÈM�^bDO;O g��M��������É�§Õ��¨>«�¼�O��ª�«>¯ É�¨ È���OÂ�[�-¼dO{�

/ ¹^¬2=21)§u�{�<�bypu�Û�ÛYÊrÔ�Ë»Êrß+tk×y~'×�Ë»Ê�ß� 'ÊLÚ�×ÍÔ�ÊA��z�Ê�Ô-× | Ô�È�Ëé×�u^Û£ÚDÊLÖ�Ç�×�u^Û{�Ì">��Ê�uÈ�ÚDÈ-$Ø¥ÈCË Éu�Ö�~Q9{�7×ÍÔLÖ�uL<�ß�×�ËÍ×�u�Û{��§u���¹%0t��-pr�~z�}~��xzn���~k¦ �����Fµk���v�7'P��xz���}©$�C��t����Npz�{t��{�?%Ä�D�£±�=>= =}��©�È�ÈM�^bDOcOg��M�.������É�§Ì��¨�«�¼�OÑ��Ç�«�É�È����6���?O´¨>«�¼§¼�É�§�¬2È�¦M��ª.«.¨�®�����O��¬�§����?OÒg��?ª[� ¦ �2O0¬�§�¯.®MÄj��©�È-¼��{�

¸�³

Page 35: Formalising the Safety of Java, the Java Virtual and Java Card

/ ¹^¬u¹B1°��u§u�u��nC��µJpr�^sut������N�DsD�¤x��u�.n�~��N�{���}��n�~r~-��¦ ���{�>'���sNn�~��º��N~r~-�un��}t�xr�Cp��?7:u^Ö�~�È^ØS��Ì^Û.ËAÈ!��È^ÛYßG�YÊB~£È�Û�Ëé×ÍÔ�Ç@u�É7�uÈ�ÚDÈ��t��Jy�å{�.:9�3��·�����Nn�~+<C¸�(.¹N¹!<}��§u��pztv�{�NnLpz�A¶kn�pz�������FÆ$nLpr�vtv�·�¹�8 8 8{�

/ ¹^¬�±217')�����Ct�s^�C�v~r�C�CpztA��Ƥ�<Æ$��~zy·�������V°���§utv���C�·���*y�n£~z�.��x���vn�~r~¢~��}~�xzn��7¯�¦ ���{�vnL��n��Nxrtv�{���)�N�DsD�N�+%I§u�}~�xznL�`���Np¢xzy{n���C�v�;�L�C�{��n���xrn����Cpr�N����t���nLp��<��nZ��y{�{t��L�C��prnL�.�Cpzx$�+N*��8 8��¬�¸}�{§u�{��%Ätv�Lpz�F~��}~�xzn���~-��¦ �����¥��8>={¹¤§}�C�;'P�Fxr�C�{tv�(N��F�C�Y�µk�C����'P��xz���.©²'Ô8�³F¸ =C¸{"¤§.')��º{n��ª¹!8 8>8}�

/ ¹^¬^¸�1 �{� � µT�}���C����t����C����µT�{���N�{sCn��v��xL�<µ¢�N���u���Npz�{y�tv�Jx��u��nC�{pznL��Nt��N�&�C����nL¡.nZ��xPtv�}��n�pzn����-nC�+��u�É�7·Õ}ÛYÔLËé×�u^ÛYÈ^ØS$Ö�u�vCÖzÈ2~��~q×�Û�v��.±{¼é¸N½�¯²±�³�5V({±N¬}¹��u�C�{�v�0¹!8>8N±}�

/ ¹^¬D³ 1���}�*y{�Cpr�·�·µJpr�C�Npr�C����t����P�����{�N�����Nn�~T���Cp����C�{tv�vn*�-�}�}n��o=y`� yOu2~#z.Õ{Ëé×�Û�vG�.Õ}Ö�ÚDÊLÌDÇ��}± 8�¼é¸N½�¯Ù±}¹Z¸�({±�¸ 8{�^§}nL�Ĺ�8 8F¬u�

/ ¹^¬�5217')�'���N���Dw*�"�C���j%��(º����Ntv�N�}��©$��prn-���{���C�����v�}~�t�~I���x��u�.n�~��.�u��­��{����¦ ��©��:º)�¢©$���<��n��{t¥xr�Cp��½��mMq&5 x6x��uÈ�ÚDÈ��m-Û�Éu^Ö�~�È�Ëé×�u^Û�Ç��5q�È!vNÊ-�P�����Nn�~�± 8 =�({±�8N«}�¢¦ �}���Cpr���^xrt�� �C�F�xr�{nL�v�A��§u�{prt����CnLpz�»¶knLpr�v�C�{��¹�8 8>8}�

/ ¹^¬^«�17')�u���C�Z�Dw$� �C���¹%ª�.º��C�Ctv�N�{�Yº��Cpr�����vtv���^xrtv�C���C��������������}~ztv~T�C�Y�L�v�N~z~T�v�N�N�}tv�{��tv� & �Ds^�}����n���y{��tv�����}prnL�.�CpzxL��6�p��C�}�����xzn)§}��y{�u�N�·���J§}�-tvnL���-n���"��{tvsCn�pr~zt�x��'�C�¢���C�u�C���·¹!8 8>8}�

/ ¹^¬C¬?1 �{�qs^�C� �}nL�ÒÆ$nLpr�{�â%ª�¹ºP�{t�~z�����·�7Æ����N�C�-�N��~L�7�C���¨P��µ¢�C�v�A��' x��u�.n-�Axzy{n��Cprn-xrtv�&��nL���Npz�ª���}�}n������Cp�sNnLpz�t�­����^xztv�N� ��� ~�nZÓF�{nL�Fxzt��C���N�Ds^�o�{pz�N�Cp�����~L�Ϧ �2°���Æ$nLpzx�C����©���©�y{�N�{�u���}n��}t�xr�Cp�~-���PÊ�Ô�Ê-Û.ËQq}ÖrÊ-ÛYßDǤ×�ÛÇo¤Ø vNÊ�}LÖzÈ^×ÍÔ 'Ê-Ú^ÊLØêu�z�~£ÊLÛ�Ë q�ÊrÔ�xuÛ�×Ds-Õ�Ê-Ç��#t��Jy�¶{���9�vL�k�����Nn�~�¹3(}±}¹C�§u��pztv�{�NnLpz�A¶kn�pz�������NÆ$nLpr�vt��<�}± = = ={�

/ ¹^¬2<�1 �{�^sD�C�'�}n��qÆ$n�pz�������'Æ��C�N�C�L�C��~L�u�*y�n��¢Ñ Ñ�µI�L�C���{tv�vnLp���Np¤�C�Ds^�£����� & ���é�$¦ �¶v�ËyxÃm-Û�Ë�ÌÌyOu^Û�É�ÌÑq�u�u^ØÙÇqÈ^ÛYß&È�Ø v>u��Ö�×�Ëyx�~'ÇJÉu^Ö�Ëyx{ÊqÔ�u^Û{Ç-ËéÖ�Õ�ÔLËé×�u^ÛoÈ^Û.ß�È^ÛYÈ^ØÙÌDÇ�×vÇ{u�ÉÇ�ÌDÇ�Ë»ÊB~�ÇÅ8qSo=ybo-�MÆB��t��Jy���Z���C�Cn�xz�¤�C�{�.n���p�� 6�nL�{�F�}�^¦»xr�C�v����'P�{p± = ={¹C��§u�{prt����CnLpz�»¶knLpr�v�C�{�NÆ$n�pz�vtv�·�

/ ¹^¬28�1 �{�Js^���Ï�{nL�2Æ$nLpr�{��Ƥ���C�N�-�N��~-�$����� ¨��Jµ¢�C�v�A� º{�Npz���C�~z��nZ�-t�­����^xztv�N�£�C����sNnLprt¥­.�L�^xrtv�C�q�����N�DsD�u©$��p��� ²~J���{����t����^�xrt��N��t��}n��Nxrt�­�nLp$�-���C~r~-��¦ �&¦���'$xzxr���vt·�����������CnL��~znL�·�}nZ�}t��xr�Cp�~-�p�}È^Ú^ÈOyJÈ�ÖzßTI�u�Ö��DÇ�x�u�z��+t��Jy���Y���C�Cn xr�&������nZ��p��©$�C�{�{n�~L��º{p������-n���§}nL�ı�=>= =}��§u��pztv�{�NnLpz�A¶kn�pz�������NÆ$nLpr�vt��<�

/ ¹�< =�1°���¶k�N�������{�������V6'�D§u��t�xzy<� �������C���C�Cn¢t�~z~z�{n�~Ytv����C��t��vn�{pr�C�Npr�C�X~zn��L�{pzt�x��C�C¦ �{6'�^¶�tv�C���}�Dn��}t�xz�NpL���£u }L×�Ø¥Ê�ÈBvFÊ-Û.Ë�ÇÈ�Û.ß Ç-Ê�ÔLÕ}Ö�×�ËÍÌ!�0t��Jy��{���{6x^������Nn�~&±>5V(u³N¸}��§}�{pztv�{�NnLpz�¶kn�pz�������{Æ�n�pz�vtv�·�Y¹!8>8 <}�

/ ¹�<{¹B1°�� sC�C� Ѥy�nLtv�'�<� 'P|}t��N���^xrtv� ~znL���C�Nxrt��L~����Cp�N�Ds^�-,/.103254�� ¦ � <äy��-��69;>�>�> I�u�Ö��DÇ�x�u�z u�Û7:u^Ö�~�È^Ø q�Ê�Ô�x}Û�×DsLÕ�Ê�Ç Éu�ÖÐ�}È^Ú^È�$Ö�u�vCÖzÈ2~'Ç��:± = = ={�©�È�ÈM��bDOcOЬ�����Ç�®�����®���¬�§Õ�wÈ>ÉM¼)��¯.®cO� �����¬�O ���-��®>ª���Oo��?e§e � �§�j��©.È-¼����

/ ¹�<N±?1 °���sC�N�IѤy{nLtv�q�&�����0����9Ptv�{�N�^w�Ê%Ä�N��y{tv�{n-��©�y{n����utv�{�xzy�n"�C�Ds^�`~��.n��Lt�­��L��xztv�C�·¯ÞµJpr�^sutv�{�Ðx��u�.n"~z����n-x��C� ¦ ��{��'���sNn�~��»º��N~r~-�PnZ�}t�xz�NpL��7:u^Ö�~�È^Ø���Ì^Û.ËAÈ!�2È^ÛYß)�·Ê~�È^Û��Ëé×ÍÔ�Ç�u�É(�}È^Ú^È!�²t��fy�¬{�.:9;3^�<���C�Cn�~)¹C¹!8�(.¹?5�«}��§u��pztv�{�NnLpz�¶knLpr�������}Æ$n�pz�vtv�·�Y¹!8 8>8}�

/ ¹�<C¸21 µT�.�k�Fmª�N�}�vnLp��T©��C���{prnLy{n����}tv�{� ���N���C�{~L�·¦ ��tk×vÇdzoÈ�Û.ßÉ�Õ}Û.Ô�Ëé×�u^Û.È�Ø>z.Ö�u�v�ÖrÈ2~�~'×�Û�v^�{���C�CnZ~�«{¹3({¬�<}��9�t��-n��}º{p������-n���C�{�k¹!8>8 =}��'�©²%ª��9PnLw ÓJ�Cpr�.�

/ ¹�<�³�1�©���m����v���C�Ln��"�*y{nV~�n������Fxzt��L~'���xry{nV�N�DsD�o�{pr�C�Npr�C�£���tv�{�£�����{�N�����Nn�¯JµJprnL�vtv��tv����pr��sNnLp�~�tv�C�<����nZ��y{�{t��L�C�^N�n-��.�Cpzx$©*§}¨k� �+N*� ¸>5 5^�w8u¬F�2"P�{tvsNnLp�~�t�x�����M%0t���y{tv�N�C�'¨�¨*©*§°¤nL���Cp�xr��nL�FxL�<¹�8 8F¬u�

/ ¹�<>5?1 °��P§Y�$m����v���C��y<� o�ÛYÊ� oÊz zYÖ�uZÈCÔ�x\Ë�u��£u }L×�Ø¥ÊÁyOuZßCÊ�YÊ�ÔLÕ}Ö�×�ËÍÌD��µ�y�°\xzy�n�~ztv~L��µJprt��-nLxz�C��"P�{tvsCn�pr~zt�x����Y¹!8>8 8}�

/ ¹�<C«21 °��P§Y��m����v���C��yÎ�����"¨��$m �*º�nL��xzn��·�j"P���}nLp�~�x������{t�����N�DsD�o~�xr�C��� t���~��.n��-xztv�C�·� ¦ �U��Ì2~#z�u^Ç�×�Õ.~ u^ÛE�·Ê�Ô-Õ}Ö�×�ËéÌÈ^ÛYß[$Ö�×�Ú^ÈCÔLÌD�N���C�Cn�~`5C±�(u«C¸{�^Ñ��C�F���C���Y�^©$�C�vt¥���Npz��tv�{�!%Ä�D�¹!8>8 <{�N¦�¨�¨�¨Ï©��C�����}xzn�p*§u�}�Lt�nLx��qµ�pznZ~z~L�.�<�N~²'P���C��t¥xr�N~L�©$���vt����Cpr�{t��}�

/ ¹�<F¬�1�m �¢mon��{�·� ¨��'�.n��{�{n�� �N�Ds^�}¯;'P�Ï�{���LnLpzxr��tv�ª���}xr�{prn��<$Ø¥Ê�Ô�ËÍÖ�×ÍÔ�È�Øf 'Ê�Ç�×ÍvCÛ���Ê�¢Ç��'³N³�¼�¹!=N½�¯ <>8�(.8C«}�V%Ä�D�ܹ!8>8 8{�©�È�È6�^bDOcO » � ¾ � «S¿ � »M¨ �K� ª À?O�ª.®M��O � ¾S¾§¾ O � ª � ¦§¾§¾ O����¯S� » ��©�È�¼��

/ ¹�< <21 µT�2º �Dmon�����y·�}�N�Ds^��xry{pznZ�C�{~�tv�)�vtv�CyFx<�����}���L���&´N©*§}µ��N¦ �' �CÆ*�C�F�NnLp�~-��nZ�}t�xz�NpL���È�ÖzÈ^Ø�Ø¥ÊLØ2$Ö�u�v�ÖzÈ�~{~q×�Û�v£È�Û.ßV�}È�ÚDÈ��IâuHq[�A$�9c>D�J���C�Cn�~'±�<N±�(u¸>= 8}�T�*w�n��Nxrn��p9PnLxzy{n�pz�������{~-�'P��p�¹!8>8F¬F��©��N���-�{prprnL�Fx §}�u~�xzn���~ ¨J�{�Ntv�{nLn�pztv�{�7§unLprtvn�~L�¦zѧ&µJprn�~r~-�{�*y{nV9�n-xzy�nLpr�v�C���{~L�

/ ¹�< 821)�{��mÐy��C��n��V�C����%ª�`NPt�����p��Y�Ä©��N�����F~�t�xrt��N�����T�.�Ctv�FxznLp�����¤nZ~z�����.nJ�����C�v�u~zt�~����Cp��N�DsD�*��pz�N�Cp�����~L�L¦ ���§m�$%½tKo&�yOu^ÛZÉ�̹u^ÛQ�3}��LÊrÔ�Ëd�(�$Ö�×ÍÊLÛ�Ë»Ê�ß)$Ö�u�v�ÖrÈ2~�~'×�Û�v��4��ÌDÇ-Ë»Ê~'Ç��t�È^Û�vCÕ�ÈBvFÊ-Ç + oÊz zYØÙ×ÍÔ�È�Ëé×�u^Û�ÇæÅW�-�%6�.tKoÕÆZ�������Nn�~�¹!<F¬V(±�=N«}�{°¤nL�usCn�pL�.©��N���Npr�N�}�{�u°�nZ�-n��'�.nLp ¹�8 8 8{�

/ ¹�8 =21,' �k®q��mªprt��NyFxL�j$ÖzÈCÔ�Ëé×ÍÔrÈ�Ø��Mu�É�Ë q{Ì�z.×�Û�v��Vµ�y�° xry{n�~zt�~-�N�t��-n,"��{tvsCnLp�~zt¥x��C��º��C��~�xz�N�·����n-|{�C~L��'P�{�N��~�x)¹�8 8C³{�/ ¹�8{¹1 µJy<�^ÓJnL�v�������·�0'Þ�L�C���.�N~zt�xztv�C���C���N�L�-�N�{�Fx ���$xzy{n��N�Ds^�

sutvp�xr���������N��y{tv�{n��2¦ ��9cR�Ë�x m�Û�Ë�ÌJyOu^ÛZÉ�ÌV$Ö�×�Û.ÔL× z.Ø�Ê�Ç�u�Éz.Ö�u�vCÖzÈ2~�~q×�Û�v0Ø�È^Û�vCÕ�ÈBvFÊ-Ç ÅK���Ot�Æ��<�����CnZ~@5F¬5(}« 8}�<§}�C�'P�Fxr�C�{tv�{�{��n-|{�C~L���N���o¹!8 8>8}��'�©²%ª��9�nLwÅÓJ�Cpr���

¸>5


Recommended