[論文レビュー] Server Location Verification and Server Location Pinning: Augmenting TLS Authentication

AbdelRahman Abdou, Paul C. van Oorschot|arXiv (Cornell University)|Aug 13, 2016

Spam and Phishing Detection参考文献 27被引用数 4

ひとこと要約

本稿では、TLS認証を強化するためにブラウザがサーバーの物理的近接性を検証できるようにする、測定に基づくリアルタイムのサーバー位置検証機構であるServer Location Verification (SLV) を提案する。サーバー位置ピン留めを補完的技術として導入し、サーバー側の変更を要せず、中間者攻撃に対する耐性を著しく向上させる。ブラウザ拡張機能とPlanetLabを用いた評価により、実現可能性を示している。

ABSTRACT

We introduce the first known mechanism providing realtime server location verification. Its uses include enhancing server authentication (e.g., augmenting TLS) by enabling browsers to automatically interpret server location information. We describe the design of this new measurement-based technique, Server Location Verification (SLV), and evaluate it using PlanetLab. We explain how SLV is compatible with the increasing trends of geographically distributed content dissemination over the Internet, without causing any new interoperability conflicts. Additionally, we introduce the notion of (verifiable) "server location pinning" within TLS (conceptually similar to certificate pinning) to support SLV, and evaluate their combined impact using a server-authentication evaluation framework. The results affirm the addition of new security benefits to the existing SSL/TLS-based authentication mechanisms. We implement SLV through a location verification service, the simplest version of which requires no server-side changes. We also implement a simple browser extension that interacts seamlessly with the verification infrastructure to obtain realtime server location-verification results.

研究の動機と目的

• Web認証におけるリアルタイムで攻撃者に強く耐性のあるサーバー位置検証の欠如に対処すること。
• 物理的な地理的位置を信頼要因として組み込むことで、TLSベースのサーバー認証を強化すること。
• CDN や地理的に分散されたサーバーを含む現代のコンテンツ配信モデルと互換性を持つメカニズムを設計すること。
• サーバー側の変更なしにブラウザレベルでサーバー位置の検証を可能にすること。
• 証明書ピン留めの並列として、サーバー位置ピン留めを導入し、なりすまし攻撃に対する耐性を向上させること。

提案手法

• SLVは、複数の地理的地点からターゲットサーバーへのネットワーク測定（例：往復時間）を実施する分散型検証者ネットワークを使用する。
• 複数の検証者からの時間に基づく距離推定を分析することで、サーバーが主張する地理的位置の妥当性を検証する。
• ネットワーク遅延に基づく位置特定の既存原則を活用するが、複数経路のプローブと整合性チェックにより、攻撃者に強く耐性のある仕組みに強化する。
• ブラウザ拡張機能が位置検証サービスと連携し、リアルタイムのサーバー位置検証結果を取得・表示する。
• 証明書ピン留めに類似したメカニズムとして、サーバー位置ピン留めを導入し、クライアントが信頼できる物理的サーバー位置のホワイトリストを強制できるようにする。
• サーバー側の変更を一切要せず、クライアント側の拡張機能とパブリック検証インfraストラクチャのみで展開可能であるように設計されている。

実験結果

リサーチクエスチョン

• RQ1 Webサーバーの変更を要せず、リアルタイムで攻撃者に強く耐性のあるサーバー位置検証が実現可能か？
• RQ2 サーバー位置検証を既存のTLS認証ワークフローに統合することで、セキュリティがどの程度向上するか？
• RQ3 特に偽の証明書やフィッシング攻撃を伴う中間者攻撃において、SLVは攻撃成功確率をどの程度低減するか？
• RQ4 証明書ピン留めに類似した形で、位置ピン留めを効果的にモデル化・展開できるか？
• RQ5 複数の地理的に分散されたエンドポイントを有する現実的で分散型のコンテンツ配信環境において、SLVはどの程度の性能を示すか？

主な発見

• SLVは、サーバー側の変更なしにクライアント側の拡張機能とパブリック検証サービスのみを用いて、リアルタイムにWebサーバーの地理的位置を検証することに成功している。
• IPアドレスの操作などの一般的な位置偽装攻撃に対して耐性がある。これは、IP地理位置データベースではなく、複数経路の時間測定に依存しているためである。
• PlanetLabインfraストラクチャ上での評価により、現実のネットワーク環境下でもSLVがサーバー位置を正確に検証できることを確認した。
• サーバー位置ピン留めは、ドメインを信頼できる地理的位置の集合に束縛する実用的なメカニズムを提供し、位置に基づくなりすましの検出を向上させる。
• CDN やロードバランシングアーキテクチャを含む現代のコンテンツ配信モデルとも互換性があり、コンテンツが複数の物理的場所から提供される状況でも問題なく動作する。
• 結果として、物理的位置を検証可能な信頼要因として組み込むことで、SLVがTLS認証に有意義な新たな次元を追加することが示された。