[論文レビュー] EmPoWeb: Empowering Web Applications with Browser Extensions

Dolière Francis Somé|arXiv (Cornell University)|Jan 10, 2019

Web Application Security Vulnerabilities参考文献 24被引用数 39

ひとこと要約

本稿では、Chrome、Firefox、Operaにおけるブラウザ拡張機能の通信インターフェースに関する大規模な静的解析を提示しており、197の拡張機能が悪意あるWebアプリケーションによってSame Origin Policyを回避し、機密ユーザー情報（クッキー、閲覧履歴、ブックマーク）にアクセスし、任意のファイルをダウンロードする攻撃を受ける可能性があることが明らかになった。研究では、メッセージ送信メカニズムにおける深刻なセキュリティ上の欠陥を特定し、これらの脅威を軽減するための強化されたレビュープロセスとアーキテクチャ的変更を提案している。

ABSTRACT

Browser extensions are third party programs, tightly integrated to browsers, where they execute with elevated privileges in order to provide users with additional functionalities. Unlike web applications, extensions are not subject to the Same Origin Policy (SOP) and therefore can read and write user data on any web application. They also have access to sensitive user information including browsing history, bookmarks, cookies and list of installed extensions. Extensions have a permanent storage in which they can store data and can trigger the download of arbitrary files on the user's device. For security reasons, browser extensions and web applications are executed in separate contexts. Nonetheless, in all major browsers, extensions and web applications can interact by exchanging messages. Through these communication channels, a web application can exploit extension privileged capabilities and thereby access and exfiltrate sensitive user information. In this work, we analyzed the communication interfaces exposed to web applications by Chrome, Firefox and Opera browser extensions. As a result, we identified many extensions that web applications can exploit to access privileged capabilities. Through extensions' APIS, web applications can bypass SOP, access user cookies, browsing history, bookmarks, list of installed extensions, extensions storage, and download arbitrary files on the user's device. Our results demonstrate that the communications between browser extensions and web applications pose serious security and privacy threats to browsers, web applications and more importantly to users. We discuss countermeasures and proposals, and believe that our study and in particular the tool we used to detect and exploit these threats, can be used as part of extensions review process by browser vendors to help them identify and fix the aforementioned problems in extensions.

研究の動機と目的

• ブラウザ拡張機能とWebアプリケーション間のメッセージ渡しインターフェースが引き起こすセキュリティおよびプライバシー上のリスクを調査すること。
• 実際の環境で、Webアプリケーションによってユーザーの機密データへの特権アクセスを得られるように悪用可能な拡張機能を特定すること。
• 主要なブラウザにおいて、こうした脆弱性を検出するための大規模な静的解析の実現可能性を評価すること。
• ブラウザベンダーが拡張機能のレビュープロセスを改善し、メッセージ渡しメカニズムをより安全にするための実行可能な対策を提案すること。

提案手法

• Chrome、Firefox、Operaにおける拡張機能が公開するメッセージ渡しインターフェースを検査する静的アナライザーを開発した。
• Chromeの66,401個、Firefoxの9,391個、Operaの2,523個の拡張機能を、特権的機能が露出する可能性があるかについて分析した。
• Webアプリケーションが機密データにアクセスするか、特権操作を実行できる可能性がある場合、そのメッセージ渡しインターフェースを有する拡張機能を懸念すべきものとしてマークした。
• マークされた拡張機能のサブセットを手動でレビューし、実際に悪用可能な脆弱性があるかを確認した。
• プロトタイプ実装と脅威モデル化を通じて、これらの脆弱性の影響を評価した。
• 拡張機能がインjectしたコードにのみメッセージ受信を制限するようなアーキテクチャ的変更を提案した。

実験結果

リサーチクエスチョン

• RQ1 どのブラウザ拡張機能が、Webアプリケーションによって利用可能なメッセージ渡しインターフェースを公開しており、特権的なブラウザ機能にアクセスされる可能性があるか？
• RQ2 既存の拡張機能レビュープロセスは、ユーザー情報の漏洩を引き起こす可能性のある拡張機能をどれほど効果的に検出できていないか？
• RQ3 静的解析は、拡張機能とWebアプリケーション間の通信チャネルにおける大規模なセキュリティ欠陥を効果的に特定できるか？
• RQ4 こうした脆弱性の現実世界への影響は、データ漏洩や特権昇格の観点でどの程度か？
• RQ5 ブラウザベンダーと拡張機能開発者は、より良い設計とレビュープロセスを通じて、こうした脅威をどのように緩和できるか？

主な発見

• Chrome、Firefox、Operaの各ブラウザにおいて、197の拡張機能が、不適切なメッセージ渡しインターフェースを通じてWebアプリケーションによる悪用が確認された。
• 静的アナライザーが、Chromeの約4.97%、Firefoxの約5.14%、Operaの約8.48%の拡張機能を懸念すべきものとしてマークした。
• 悪意あるWebアプリケーションは、Same Origin Policyを回避し、任意のWebアプリケーション上でユーザーのデータにアクセスできる。
• 拡張機能がクッキー、閲覧履歴、ブックマーク、インストール済み拡張機能のリストといった機密情報を漏洩していることが判明した。
• Webアプリケーションは、任意のファイルのダウンロードをトリガーし、追跡目的で拡張機能の永続ストレージにデータを保存できる。
• FirefoxやOperaを含むブラウザベンダーが、報告された拡張機能の削除や修正の議論を進め、研究の現実世界への影響を裏付ける行動を取った。