[論文レビュー] SOK: On the Analysis of Web Browser Security

Jung‐won Lim, Yonghwi Jin+7 more|arXiv (Cornell University)|Dec 31, 2021

Web Application Security Vulnerabilities被引用数 4

ひとこと要約

本論文は、Chrome、Firefox、Safari、Edgeのアーキテクチャを統合することで、現代のウェブブラウザセキュリティに関する体系的分析を提示し、10年間にわたるブラウザバグ、エクスプロイト、緩和策の縦断的調査を実施している。主な脆弱性を同定し、最先端のバグ検出ツールの有効性を評価し、予防的防御の有効性を実証することで、将来のブラウザ強化および安全設計開発に向けた実用的知見を提供する。

ABSTRACT

Web browsers are integral parts of everyone's daily life. They are commonly used for security-critical and privacy sensitive tasks, like banking transactions and checking medical records. Unfortunately, modern web browsers are too complex to be bug free (e.g., 25 million lines of code in Chrome), and their role as an interface to the cyberspace makes them an attractive target for attacks. Accordingly, web browsers naturally become an arena for demonstrating advanced exploitation techniques by attackers and state-of-the-art defenses by browser vendors. Web browsers, arguably, are the most exciting place to learn the latest security issues and techniques, but remain as a black art to most security researchers because of their fast-changing characteristics and complex code bases. To bridge this gap, this paper attempts to systematize the security landscape of modern web browsers by studying the popular classes of security bugs, their exploitation techniques, and deployed defenses. More specifically, we first introduce a unified architecture that faithfully represents the security design of four major web browsers. Second, we share insights from a 10-year longitudinal study on browser bugs. Third, we present a timeline and context of mitigation schemes and their effectiveness. Fourth, we share our lessons from a full-chain exploit used in 2020 Pwn2Own competition. and the implication of bug bounty programs to web browser security. We believe that the key takeaways from this systematization can shed light on how to advance the status quo of modern web browsers, and, importantly, how to create secure yet complex software in the future.

研究の動機と目的

• サイバー・セキュリティにおける重要な役割を果たす主要ベンダーの間で、包括的かつ客観的なブラウザセキュリティの体系的整理が不足しているという問題に対処すること。
• 10年間にわたるブラウザ脆弱性、エクスプロイト技術、緩和戦略の進化を分析すること。
• ファズィングや静的解析といった自動バグ検出ツール（例：ファズァー、静的解析）が、大規模なブラウザコードベースにおける複雑なバグをどれだけ効果的に検出できるかを評価すること。
• 2020年Pwn2Ownコンテストにおける実際のフルチェーンエクスプロイトを通じて、予防的セキュリティ対策の価値を実証すること。
• 研究者およびベンダーが共有された設計原則と調整されたパッチ適用を通じてブラウザセキュリティを向上させるための実用的知見を提供すること。

提案手法

• サンドボックス化とメモリ安全メカニズムに焦点を当て、Chrome、Firefox、Safari、Edgeのセキュリティ設計を比較・対比できる統一されたアーキテクチャモデルを構築した。
• CVE、イシュートラッカー、ベンダーレポートを用いた10年間の公開バグ報告データを分析し、バグタイプとエクスプロイタビリティのトレンドを特定する縦断的調査を実施した。
• ファズィングツール（例：ClusterFuzz、LangFuzz、DIE）および静的解析ツール（例：SYS）が、ブラウザエンジン脆弱性を検出できる能力を評価した。
• 2020年Pwn2Ownコンテストのフルチェーンエクスプロイトを分析し、攻撃チェーンを逆引きして、既存の緩和策の有効性を評価した。
• 新規緩和策（例：StructureIDランダム化）を、公開発表前に安全で隔離されたブラウジング環境に展開する予防的防御モデルを提唱した。
• ブラウザ間で共有されるJavaScriptエンジンライブラリの導入を提言し、OTAパッチ適用を迅速化し、ブラウザエンジンの同質性がもたらす影響を低減する。

実験結果

リサーチクエスチョン

• RQ1 Chrome、Firefox、Safari、Edgeのセキュリティアーキテクチャは、サンドボックス化とメモリ安全の観点でどのように異なっており、エクスプロイト表面にどのような影響を及えるか？
• RQ2 過去10年間にわたり、支配的だったブラウザ脆弱性の種別は何か？また、新たな緩和策の導入に伴い、それらはどのように変化したか？
• RQ3 最新の自動バグ検出ツール（ファズィングおよび静的解析）は、大規模なブラウザコードベースにおける複雑な論理バグをどれだけ効果的に検出できるか？
• RQ4 予防的緩和戦略はゼロデイエクスプロイトに対してどれほど効果的か？また、公開発表前に展開可能か？
• RQ5 ブラウザエンジンの同質性は脆弱性の影響をどのように拡大させるか？また、協働パッチ適用を改善するためのアーキテクチャ的変更は何か？

主な発見

• ClusterFuzzなどのファズィングツールは、Chrome単体で29,000件以上のバグを発見しており、産業界規模のファズァー（例：25,000コアのクラスタ）は、学術的ツールを著しく上回っている。
• SYSのような静的解析ツールは、静的チェックで高リスク領域を特定し、その領域に特化したシンボリック実行を実施することで、大規模なブラウザコードベースへのスケーラビリティを示している。
• 技術の進歩にもかかわらず、自動化ツールは複雑な論理バグを検出するための手動コードレビューを代替できないままであり、現在の脆弱性発見における重要なギャップを示している。
• UXSS防止を目的に設計されたサイト隔離は、Spectre/Meltdown攻撃に対しても緩和効果を示した。これは、予防的で防御の多重性を重視した設計の価値を裏付けている。
• V8、JavaScriptCoreなどのブラウザエンジンの同質性により、1つの脆弱性が複数のブラウザに影響を及ぼす可能性があり、共有可能でパッチ適用可能なエンジンライブラリの必要性が高まっている。
• 公開前に、安全で隔離されたブラウジングサンドボックスに新たな緩和策（例：StructureIDランダム化）を展開することで、実世界でのゼロデイエクスプロイトを検出・ブロックできる可能性がある。