[論文レビュー] Security Issues in Language-based Sofware Ecosystems.

Ruturaj K. Vaidya, Lorenzo De Carli+2 more|arXiv (Cornell University)|Mar 6, 2019

Advanced Malware Detection Techniques参考文献 17被引用数 18

ひとこと要約

この論文は、npm や PyPI などの言語ベースのソフトウェアエコシステム（LBEs）における本質的なセキュリティ脆弱性を体系的に分析し、コード再利用の容易さと自動化された依存関係管理を重視する設計が、静かで自動化された攻撃に最適な環境を生み出していることを明らかにしている。研究では、完全な自動検出がおそらく不可能である一方で、開発者向けのリスク評価ツールやメトリクスの導入が、悪用リスクを顕著に低減できることを結論づけている。

ABSTRACT

Language-based ecosystems (LBE), i.e., software ecosystems based on a single programming language, are very common. Examples include the npm ecosystem for JavaScript, and PyPI for Python. These environments encourage code reuse between packages, and incorporate utilities - package managers - for automatically resolving dependencies. However, the same aspects that make these systems popular - ease of publishing code and importing external code - also create novel security issues, which have so far seen little study. We present an a systematic study of security issues that plague LBEs. These issues are inherent to the ways these ecosystems work and cannot be resolved by fixing software vulnerabilities in either the packages or the utilities, e.g., package manager tools, that build these ecosystems. We systematically characterize recent security attacks from various aspects, including attack strategies, vectors, and goals. Our characterization and in-depth analysis of npm and PyPI ecosystems, which represent the largest LBEs, covering nearly one million packages indicates that these ecosystems make an opportune environment for attackers to incorporate stealthy attacks. Overall, we argue that (i) fully automated detection of malicious packages is likely to be unfeasible; however (ii) tools and metrics that help developers assess the risk of including external dependencies would go a long way toward preventing attacks.

研究の動機と目的

• npm や PyPI などの言語ベースのソフトウェアエコシステム（LBEs）に内在するシステム的セキュリティ問題を調査すること。
• 安全なパッケージマネージャーや依存関係解決ツールが存在するにもかかわらず、LBE の設計が静かで自動化された攻撃を可能にする仕組みを理解すること。
• 約100万個のパッケージを対象とした実証的分析を通じて、大規模なLBEにおける攻撃戦略、攻撃経路、目的を特定すること。
• これらのエコシステムにおける悪質なパッケージの完全な自動検出の可能性を評価すること。
• 自動検出に頼るのではなく、開発者向けのリスク評価に焦点を当てた実用的な緩和戦略を提言すること。

提案手法

• npm と PyPI —— 世界最大の2つのLBE——における現実のセキュリティ事象の体系的分析。
• npm と PyPI から約100万個のパッケージを収集・分析し、悪質な行動のパターンを特定すること。
• エコシステム内での不正利用のパターンをもとに、攻撃戦略、攻撃経路、目的を分類すること。
• 既存ツール（例：パッケージマネージャー）が悪質なパッケージを検出する際の限界を評価すること。
• 個々のパッケージやツールがパッチ適用された後でも残存する設計上の脆弱性を同定すること。
• エコシステムの特性とパッケージメタデータに基づくリスク評価フレームワークを構築し、開発者の意思決定を支援すること。

実験結果

リサーチクエスチョン

• RQ1 npm や PyPI などの言語ベースのソフトウェアエコシステムで用いられる主な攻撃戦略は何か？
• RQ2 攻撃者はパッケージマネージャーや依存関係解決の設計的特徴をどのように悪用し、静かに悪質なコードを展開しているか？
• RQ3 既存のセキュリティツールが存在するにもかかわらず、なぜLBEにおける悪質なパッケージの完全な自動検出が根本的になされないのか？
• RQ4 悪質または改ざんされたパッケージになりやすい主な特徴は何か？
• RQ5 開発者は外部依存関係を含める際、どのようにしてリスクをより的確に評価できるようになるか？

主な発見

• LBEのアーキテクチャ自体が静かで攻撃を可能にするため、安全なツールを用いても検出は極めて困難であることが判明した。
• 約100万個のパッケージを分析した結果、悪質なパッケージはしばしば正当なパッケージを模倣し、依存関係チェーンへの信頼を悪用することがわかった。
• 攻撃者はよく、ソーシャルエンジニアリングや依存関係の混乱（dependency confusion）を用いてエコシステムを乗っ取り、多くの攻撃が長期間にわたり検出されないまま放置されている。
• 研究では、高度なスプライシング技術やオブスクリュエーション技術が用いられるため、悪質なパッケージの自動検出は成功する可能性が極めて低いと確認された。
• 開発者向けのリスク評価ツールやメトリクスが、LBEにおける脅威を緩和するための最も現実的な道筋であると同定された。
• パッケージやツールの脆弱性を単にパッチ適用するだけではセキュリティを確保できないことが示された。根本的な設計上の欠陥を解消するには、アーキテクチャ的およびプロセス的解決策が不可欠である。