[論文レビュー] Measuring the Leakage and Exploitability of Authentication Secrets in Super-apps: The WeChat Case

Supraja Baskaran, Lianying Zhao+2 more|arXiv (Cornell University)|Jul 18, 2023

Advanced Malware Detection TechniquesComputer Science被引用数 3

ひとこと要約

この論文は、WeChatおよびBaiduのミニアプリにおける認証シークレットの漏洩と利用可能性を測定し、分析された110,993個のWeChatミニアプリのうち32.8％が開発者シークレットをハードコードしていることを明らかにした。著者らは、このようなシークレットを特定する検出フレームワークを開発し、攻撃者がそれらを悪用してミニアプリを compromise し、開発者を偽装し、機微なデータにアクセスしたり、サービスを停止させたりできることを示した。

ABSTRACT

We conduct a large-scale measurement of developers' insecure practices leading to mini-app to super-app authentication bypass, among which hard-coding developer secrets for such authentication is a major contributor. We also analyze the exploitability and security consequences of developer secret leakage in mini-apps by examining individual super-app server-side APIs. We develop an analysis framework for measuring such secret leakage, and primarily analyze 110,993 WeChat mini-apps, and 10,000 Baidu mini-apps (two of the most prominent super-app platforms), along with a few more datasets to test the evolution of developer practices and platform security enforcement over time. We found a large number of WeChat mini-apps (36,425, 32.8%) and a few Baidu mini-apps (112) leak their developer secrets, which can cause severe security and privacy problems for the users and developers of mini-apps. A network attacker who does not even have an account on the super-app platform, can effectively take down a mini-app, send malicious and phishing links to users, and access sensitive information of the mini-app developer and its users. We responsibly disclosed our findings and also put forward potential directions that could be considered to alleviate/eliminate the root causes of developers hard-coding the app secrets in the mini-app's front-end code.

研究の動機と目的

• WeChat や Baidu のようなスーパーアプリプラットフォームにホストされたミニアプリにおけるハードコードされた認証シークレットの広がりを調査すること。
• 特にサーバーサイドAPIの乱用を含めた、このようなシークレット漏洩のセキュリティ的影響を分析すること。
• 漏洩したシークレットの利用可能性を、スーパーアプリのバックエンドサービスへの不正アクセスの評価を通じて評価すること。
• 不適切な開発慣行の根本的原因を特定し、プラットフォーム提供者および開発者向けの緩和戦略を提案すること。
• 大規模なデータを用いて、開発者によるセキュリティ慣行およびプラットフォームの強制メカニズムの時間的推移を測定すること。

提案手法

• 静的および動的解析技術を用いて、ミニアプリのソースコード内にハードコードされたアプリシークレットを検出するためのカスタム分析フレームワークを開発した。
• パブリックな配布チャnelおよびクライアント側抽出を介して、110,993個のWeChatミニアプリおよび10,000個のBaiduミニアプリを収集・逆コンパイルした。
• パターンマッチングおよびコード解析を用いて、ミニアプリコードからアプリシークレットを自動抽出し、公式ドキュメンテーションと照合して検証した。
• 検出されたシークレットをスーパーアプリのサーバーサイドAPIにマッピングし、不正アクセスや悪用の可能性を評価した。
• 攻撃者の行動をシミュレートすることでセキュリティテストを実施：漏洩したシークレットを用いて不正なAPIリクエストを送信し、影響を評価した。
• 脆弱性を特定した後、プラットフォームベンダーに対して責任ある公開を行った。

実験結果

リサーチクエスチョン

• RQ1 WeChatおよびBaiduのミニアプリにおけるハードコードされたアプリシークレットの広がりはどの程度か？
• RQ2 漏洩したアプリシークレットは、スーパーアプリのバックエンドサービスへの不正アクセスをどの程度まで可能にするか？
• RQ3 このようなシークレット漏洩がミニアプリ開発者およびエンドユーザーに及ぼす現実世界のセキュリティ的およびプライバシー的影響は何か？
• RQ4 現在のスーパーアプリプラットフォームは、シークレット漏洩を防ぐためにどの程度セキュリティポリシーを強制しているのか。また、どこで不足しているのか？
• RQ5 ミニアプリエコシステムにおけるシークレット取り扱いに関して、開発者の慣行およびプラットフォームの強制メカニズムにおける長期的トレンドは何か？

主な発見

• 分析された110,993個のWeChatミニアプリのうち32.8％（36,425アプリ）が開発者シークレットをハードコードしており、広範にわたるセキュリティ上の不適切な開発慣行を示している。
• 10,000個のBaiduミニアプリのうち112個がアプリシークレットを漏洩しており、そのプラットフォームでは低いが依然として有意な漏洩率であることが示された。
• スーパーアプリアカウントを持たない攻撃者でも、漏洩したシークレットを悪用することでミニアプリを偽装し、フィッシングリンクを送信し、ミニアプリのバックエンドから機微なデータにアクセスできる。
• 漏洩したシークレットにより、サーバーサイドAPIに対する完全な制御権が得られ、ミニアプリのサービスを停止させたり、ユーザーのデータを抜き取ったり、不正な操作を実行したりできる。
• 本研究は、根本的な原因が開発者がプラットフォームのセキュリティガイドラインに従わないことにあり、かつプラットフォームがスケールを考慮したシークレット保護を強制していないことに確認した。
• 発見結果はWeChatおよびBaiduに責任ある形で共有され、プラットフォームレベルでの強化および開発者教育の必要性が浮き彫りになった。