[論文レビュー] Off-Path Attacking the Web

Yossi Gilad, Amir Herzberg|arXiv (Cornell University)|Apr 30, 2012

Web Application Security Vulnerabilities参考文献 25被引用数 26

ひとこと要約

この論文は、Windows および他のシステムにおける予測可能なIP-ID値を用いて、オフパス攻撃者が実用的なTCPインジェクション攻撃を実行できることを示している。この攻撃は、ブラウザやサーバの脆弱性を悪用せずに、クロスサイトスクリプティング、CSRF、サイト改ざん、DoS攻撃を可能にする。主な貢献は、グローバルに増加するIP-IDを活用するサイドチャネル技術であり、これにより確立された接続に悪意あるパケットをインジェクションできる。標準的なセキュリティ防御を回避する。

ABSTRACT

We show how an off-path (spoofing-only) attacker can perform cross-site scripting (XSS), cross-site request forgery (CSRF) and site spoofing/defacement attacks, without requiring vulnerabilities in either web-browser or server and circumventing known defenses. Attacker can also launch devastating denial of service (DoS) attacks, even when the connection between the client and the server is secured with SSL/TLS. The attacks are practical and require a puppet (malicious script in browser sandbox) running on a the victim client machine, and attacker capable of IP-spoofing on the Internet. Our attacks use a technique allowing an off-path attacker to learn the sequence numbers of both client and server in a TCP connection. The technique exploits the fact that many computers, in particular those running Windows, use a global IP-ID counter, which provides a side channel allowing efficient exposure of the connection sequence numbers. We present results of experiments evaluating the learning technique and the attacks that exploit it. Finally, we present practical defenses that can be deployed at the firewall level; no changes to existing TCP/IP stacks are required.

研究の動機と目的

• オフパス攻撃者が、IPスプーフィングのみを用いてTCPセキュリティメカニズムを回避できるかどうかを調査すること。
• 一般的なOS（例：Windows）における予測可能なIP-ID値が、TCPシーケンス番号を推定するためのサイドチャネルとして悪用可能であることを実証すること。
• このようなシーケンス番号の露呈が、SSL/TLS保護された接続においても、XSS、CSRF、DoSなどの実用的で現実世界に影響を与える攻撃を可能にすることを示すこと。
• TCP/IPスタックやエンドホストの変更を要しないファイアウォールレベルの防御を提案すること。
• 完全な実用的攻撃が実証される前でさえ、能動的な脆弱性公開と緩和策の導入を主張すること。

提案手法

• 攻撃者は、スプーフィングされたIPアドレスと変動するIP-IDを有する仕組みのプローブパケットを送信し、クライントの応答を監視する。
• 攻撃者は、クライントの応答行動の変化（例：RSTまたはACKパケット）を観察することで、ターゲットTCP接続の現在のシーケンス番号を推定する。
• Windowsや他の一部のシステムがグローバルに増加するIP-IDカウンタを使用しているという事実を活用し、シーケンス番号の露呈をサイドチャネルとして利用する。
• プローブパケットへの応答のタイミングとパターンを分析することで、ターゲット接続のシーケンス番号を再構築する。
• この技術を用いて、悪意あるデータをTCPストリームにインジェクションし、正当なTCPセグメントを偽装することで、XSSやCSRFなどの攻撃を実行する。
• ファイアウォールレベルの防御を提案し、接続ごとに鍵付き擬似乱数関数を用いたIP-IDのランダム化により、相関を防ぐ。

実験結果

リサーチクエスチョン

• RQ1 IPスプーフィングのみを用いたオフパス攻撃者が、実用的なTCPインジェクション攻撃を実行できるか？
• RQ2 WindowsのようなOSにおける予測可能なIP-ID値が、TCPシーケンス番号を推定するためのサイドチャネルとしてどの程度悪用可能か？
• RQ3 このようなシーケンス番号の露呈が、同一オリジンポリシーのような重要なWebセキュリティメカニズムの侵害につながるか？
• RQ4 SSL/TLSのような既存の防御が、これらの低レベル攻撃を防げるか？
• RQ5 TCP/IPスタックの変更なしに、実装可能で効果的な防御をファイアウォールレベルで実現できるか？

主な発見

• 著者らは、Windowsのようなグローバルに増加するIP-IDを持つシステムにおいて、IP-IDサイドチャネルを用いてTCPシーケンス番号を学習できると実証した。
• この技術により、SSL/TLS保護を受けた接続であっても、確立されたTCP接続に悪意あるデータを実用的にインジェクションでき、効果的なDoS攻撃およびアプリケーション層攻撃を可能にする。
• 実験により、攻撃が実現可能で効果的であることが確認され、特に遅延が低い環境では高い成功率を示した。
• 攻撃は同一オリジンポリシーを回避し、クライアント側の脆弱性を必要とせずに、クロスサイトスクリプティングやCSRF攻撃を可能にする。
• 接続ごとに鍵付き擬似乱数関数を用いたIP-IDのランダム化により、サイドチャネルを防ぐファイアウォールレベルの防御が提案されたが、エンドホストやTCPスタックの変更は不要だった。
• 本研究は、TCPのような低レベルプロトコルにおける理論的脆弱性ですら、実用的攻撃の可能性が示された以上、能動的に是正すべきであることを示している。