[論文レビュー] Stickler: Defending Against Malicious CDNs in an Unmodified Browser

Amit Levy, Henry Corrigan-Gibbs+1 more|arXiv (Cornell University)|Jun 12, 2015

Spam and Phishing Detection被引用数 6

ひとこと要約

Stickler は、ブラウザ側の防御システムであり、ブラウザの変更を要せず、CDN からユーザーまでエンドツーエンドのコンテンツ真正性を保証する。CDN が配信するコンテンツの暗号的検証を埋め込んだ整合性チェックにより、パブリッシャーは CDN のパフォーマンス利点を維持しつつ、広告挿入やコード改ざんなどの悪意ある改ざんを防ぐことができる。

ABSTRACT

Website publishers can derive enormous performance benefits and cost savings by directing traffic to their sites through content distribution networks (CDNs). However, publishers who use CDNs today must trust their CDN not to modify the site's JavaScript, CSS, images or other media en route to end users. A CDN that violates this trust could inject ads into websites, downsample media to save bandwidth or, worse, inject malicious JavaScript code to steal user secrets it could not otherwise access. We present Stickler, a system for website publishers that guarantees the end-to-end authenticity of content served to end users while simultaneously allowing publishers to reap the benefits of CDNs. Crucially, Stickler achieves these guarantees without requiring modifications to the browser.

研究の動機と目的

• 広告の挿入や悪意ある JavaScript の挿入などのコンテンツ改ざんが可能な信頼できない CDN が引き起こす増大するセキュリティリスクに対処すること。
• パブリッシャーがコンテンツの真正性に信頼を失うことなく、パフォーマンスとコストの利点を活用できるようにすること。
• エンドユーザーに透明で、Web ブラウザの変更を要しない方法でエンドツーエンドのコンテンツ真正性保証を提供すること。
• CDN が侵害された場合でも、暗号的検証メカニズムによりユーザーが真正で改ざんのないコンテンツを受け取ることを保証すること。

提案手法

• パブリッシャーが署名した、ウェブアセット内に暗号的整合性証明（例：Merkle ツリー）を出版プロセス中に埋め込む。
• ブラウザで実行される軽量なクライアント側検証モジュールを用い、CDN が配信するコンテンツの整合性を埋め込まれた証明を使って検証する。
• ブラウザや CDN スタックの変更を要せず、HTTP や TLS などの既存の Web プrotocol および標準と統合する。
• レンダリングの前に、ブラウザ側の JavaScript 実行を活用してコンテンツ整合性を検証し、検証に失敗したコンテンツは拒否する。
• 未変更のブラウザが検証を実行しなくても通常通り動作するように、後方互換性を確保する。
• 攻撃面を最小限に抑えるために、検証ロジックと公開鍵を信頼できる実行環境またはセキュアなチャネルでクライアントに配信する。

実験結果

リサーチクエスチョン

• RQ1 ブラウザの変更を要せず、CDN ベースの配信モデルにおいてエンドツーエンドのコンテンツ真正性を保証できるか？
• RQ2 CDN が侵害された場合でも、ウェブパブリッシャーが CDN が配信するコンテンツが改ざんされていないことを保証する方法は何か？
• RQ3 スケーラブルで効率的な方法でコンテンツ整合性を検証するために使用できる暗号的およびプロトコル的メカニズムは何か？
• RQ4 ユーザーに透明で、通常のブラウザ動作を妨げない防御システムを構築できるか？
• RQ5 このようなシステムの実際の Web 環境におけるパフォーマンスおよび展開オーバーヘッドはどの程度か？

主な発見

• Stickler は、ブラウザの変更を要せず、広告挿入、画像の低解像度化、JavaScript コードの挿入などの悪意ある CDN の改ざんを効果的に防止する。
• クライアント側でウェブアセットに埋め込まれた暗号的証明を検証することで、エンドツーエンドのコンテンツ真正性を達成する。
• パフォーマンスのオーバーヘッドは最小限であり、ベンチマーク結果ではページロード時間やレンダリングパフォーマンスにほとんど影響がないことが示された。
• 完全な後方互換性があり、未変更のブラウザは通常通り動作する一方で、対応環境では検証が可能になる。
• Stickler は、低遅延と帯域幅の節約といった CDN の利点をパブリッシャーが維持しつつ、コンテンツの真正性を保証できる。
• 既存の Web 標準を使用して今日から展開可能であり、CDN やブラウザベンダーの変更を要しない。