[論文レビュー] Automated Password Extraction Attack on Modern Password Managers

Raúl Iván Herrera González, Eric Yawei Chen+1 more|arXiv (Cornell University)|Sep 5, 2013

User Authentication and Security Systems参考文献 7被引用数 5

ひとこと要約

この論文では、HTTPからHTTPSへのリダイレクトとiframeベースのフォームインジェクションを悪用することで、現代のウェブブラウザのパスワードマネージャーが保存したパスワードを自動で抽出するネットワークベースの攻撃「Lupin」を提示する。攻撃はHTTPS暗号化を回避し、45,000番目のトップウェブサイトの28％で35秒未塔に認証情報を取得する。これはブラウザパスワードマネージャーのヒューリスティクスにおける深刻な脆弱性を示しており、HSTSに類する保護措置と強化されたブラウザレベルの防御を提唱する。

ABSTRACT

To encourage users to use stronger and more secure passwords, modern web browsers offer users password management services, allowing users to save previously entered passwords locally onto their hard drives. We present Lupin, a tool that automatically extracts these saved passwords without the user's knowledge. Lupin allows a network adversary to obtain passwords as long as the login form appears on a non-HTTPS page. Unlike existing password sniffing tools, Lupin can obtain passwords for websites users are not visiting. Furthermore, Lupin can extract passwords embedded in login forms with a destination address served in HTTPS. To determine the number of websites vulnerable to our attack, we crawled the top 45,000 most popular websites from Alexa's top website list and discovered that at least 28% of these sites are vulnerable. To further demonstrate the feasibility of our attack, we tested Lupin under controlled conditions using one of the authors' computers. Lupin was able to extract passwords from 1,000 websites in less than 35 seconds. We suggest techniques for web developers to protect their web applications from attack, and we propose alternative designs for a secure password manager.

研究の動機と目的

• 現代のパスワードマネージャーがHTTPおよびHTTPSのウェブページ間で資格情報を処理する方法に、深刻な脆弱性が存在するかを特定し、その脆弱性を悪用する。
• ネットワーク上の攻撃者が、ユーザーの操作やターゲットサイトへの直接アクセスなしに、保存済みのパスワードを自動で抽出できることを実証する。
• 上位45,000のウェブサイトにわたるスケーラビリティと成功率を測定することで、攻撃の現実世界への影響を評価する。
• 使いやすさとセキュリティの両立を図るべく、ウェブ開発者およびブラウザベンダーが採用可能な防御策を提言する。

提案手法

• LupinはARPスプーフィングにより、被害者のネットワークゲートウェイとして位置づけられる。
• 未暗号化されたHTTPレスポンスに悪意あるiframeを挿入し、それぞれが異なるウェブサイトのログインフォームを指す。
• 被害者がHTTPページにアクセスすると、LupinはJavaScriptを埋め込んだ偽のログインフォームを提供し、自動入力されたパスワードを取得する。
• JavaScriptコードは、ブラウザの自動入力メカニズムからパスワードを抽出し、攻撃者に漏洩させる。
• 攻撃は、HTTPからHTTPSログインページへの一般的なリダイレクトを活用しており、HTTPSで保護されたサイトに対してもパスワードを盗み取れる。
• このツールは制御された環境でテストされ、性能評価のため1,000のウェブサイトで速度と信頼性を測定した。

実験結果

リサーチクエスチョン

• RQ1 ネットワーク上の攻撃者が、ターゲットサイトへの直接アクセスなしに、ブラウザパスワードマネージャーが保存したパスワードを自動で抽出できるか？
• RQ2 HTTPSで保護されたログインフォームが、HTTPページに埋め込まれた場合に、なぜパスワード抽出の対象となるのか？
• RQ3 人気のあるウェブサイトの何パーセントが、この自動パスワード抽出技術に対して脆弱であるか？
• RQ4 複数のウェブサイトにわたるスケールで、このような攻撃をどの程度の速さで実行できるか？
• RQ5 ウェブ開発者およびブラウザベンダーが、使いやすさを損なわずにこの脅威を緩和するための防御策は何か？

主な発見

• 制御されたテスト環境で、Lupinは35秒未塔に1,000のウェブサイトからパスワードを正常に抽出した。
• 調査された上位45,000のウェブサイトの28％が、HTTPページからHTTPSログインフォームへのリダイレクトにより攻撃に対して脆弱である。
• 攻撃は、最終的なログインフォームがHTTPSで提供されても機能し、暗号化接続のセキュリティを回避する。
• 脆弱性の原因は、パスワードマネージャーがURLのオリジンに基づいてフォームを自動入力し、宛先プロトコルの検証が行われないことに起因する。
• 自動補完の無効化やHSTSの単独導入といった従来の防御策は、攻撃を完全に緩和できない。
• HSTSに類する強制的措置と、より厳密なオリジンおよび宛先の検証を組み合わせたハイブリッド防御が、使いやすさを保ちつつもセキュアなデフォルトとして提案される。