[論文レビュー] WPSE: Fortifying Web Protocols via Browser-Side Security Monitoring

Stefano Calzavara, Riccardo Focardi+4 more|arXiv (Cornell University)|Jun 24, 2018

Network Security and Intrusion Detection被引用数 12

ひとこと要約

WPSE は、OAuth 2.0 や SAML 2.0 などのウェブプロトコルにおける正しいプロトコルフロー、機密性、整合性を形式的に規定しランタイムで強制することで、ブラウザ側のセキュリティモニタとして機能する。この手法は、実世界の 90 件の脆弱な OAuth 2.0 実装のうち 55 件（61.1％）を検出しており、Facebook Pixel などの追跡ライブラリに起因する深刻な欠陥も特定した。また、Google の SAML 2.0 実装に新たな脆弱性を発見した。

ABSTRACT

We present WPSE, a browser-side security monitor for web protocols designed to ensure compliance with the intended protocol flow, as well as confidentiality and integrity properties of messages. We formally prove that WPSE is expressive enough to protect web applications from a wide range of protocol implementation bugs and web attacks. We discuss concrete examples of attacks which can be prevented by WPSE on OAuth 2.0 and SAML 2.0, including a novel attack on the Google implementation of SAML 2.0 which we discovered by formalizing the protocol specification in WPSE. Moreover, we use WPSE to carry out an extensive experimental evaluation of OAuth 2.0 in the wild. Out of 90 tested websites, we identify security flaws in 55 websites (61.1%), including new critical vulnerabilities introduced by tracking libraries such as Facebook Pixel, all of which fixable by WPSE. Finally, we show that WPSE works flawlessly on 83 websites (92.2%), with the 7 compatibility issues being caused by custom implementations deviating from the OAuth 2.0 specification, one of which introducing a critical vulnerability.

研究の動機と目的

• ブラウザがプロトコルの意味論を認識しない状況における、ブラウザ側の予測不可能性に起因するセキュリティリスクに対処すること。
• プロトコルフロー準拠、メッセージ機密性、メッセージ整合性の 3 つのコアなブラウザ側セキュリティ特性を形式的に規定し、強制すること。
• 既存の機能を損なわず、複数のウェブサイトに均一にプロトコル仕様を強制できる、実用的で後方互換性のあるブラウザ拡張機能を提供すること。
• 大規模な実証的評価を通じて、OAuth 2.0 や SAML 2.0 の展開における実世界の脆弱性を検出すること。
• ブラウザ側プロトコル監視が、一般的なウェブプロトコル攻撃に対するスケーラブルな防御として実現可能で効果的であることを示すこと。

提案手法

• WPSE は、意図した制御フロー、メッセージ機密性、整合性を捉えるセキュリティオートマトンモデルを用いて、ウェブプロトコルの規定を形式化する。
• 監視モジュールは、ブラウザのリクエストシーケンスを分析し、規定されたプロトコル動作からの逸脱を検出することで、実行時においてこれらの特性を強制する。
• Google Chrome 拡張機能として実装されており、ウェブサイトやサーバーサイドインfraの変更なしに展開可能である。
• プロトコル規定の静的解析を用いて、ブラウザ動作をリアルタイムにチェックする有限状態監視器を生成する。
• セキュリティポリシーは、プロトコル意味論から導出されたステートマシンとして表現され、トークン漏洩や誤ったリダイレクトシーケンスなどの不正動作の検出が可能になる。
• 本システムは 90 件の実世界の OAuth 2.0 ウェブサイトで評価され、SAML 2.0 に対しても追加の形式的規定とテストが実施され、新たな脆弱性が発見された。

実験結果

リサーチクエスチョン

• RQ1 ブラウザ側ランタイム監視は、OAuth 2.0 や SAML 2.0 のような広く展開されたウェブプロトコルにおける、実世界の実装バグを検出・防止できるか？
• RQ2 ブラウザ側挙動に起因する攻撃を、プロトコルの欠陥ではなく、形式化されたプロトコル規定を用いたブラウザ監視がどの程度防止できるか？
• RQ3 特に非準拠またはカスタム実装を含む既存のウェブアプリケーションと、ブラウザ側セキュリティ監視の相互運用性はどの程度高いか？
• RQ4 このような監視器は、Google のような主要プロバイダーの生産環境システムにおいて、以前に未知の脆弱性を発見できるか？
• RQ5 スケールにのっとった展開を想定した場合、ブラウザ側セキュリティ監視の実用的妥当性とパフォーマンスへの影響は何か？

主な発見

• WPSE は、テスト対象の 90 カ所中 55 カ所（61.1％）の OAuth 2.0 ウェブサイトでセキュリティ欠陥を検出しており、Facebook Pixel などの第三者追跡ライブラリに起因する深刻な脆弱性も含まれる。
• 監視器は 90 ウェブサイトのうち 83 カ所（92.2％）で正常に動作した。残りの 7 件の互換性問題は、非準拠のカスタム実装に起因しており、そのうち 1 件には深刻な脆弱性が含まれていた。
• SAML 2.0 の規定を WPSE で形式化した結果、Google の SAML 2.0 実装に対する新しい攻撃を発見した。この脆弱性は、Google のバグバウンティプログラムから報奨金を受け取った。
• 本手法は実用的かつ効果的である：既存の機能を損なわず、セキュリティポリシーを強制でき、ブラウザ拡張機能として展開可能である。
• 研究結果から、ブラウザ側監視により、リファラーヘッダーやオープンリダイレクタ経由でのトークン漏洩といった、ブラウザの誤動作に起因する広範な攻撃を防止できることが示された。
• 形式化され、ブラウザで強制されるプロトコル規定は、複数のウェブサイトやプロトコルにわたるスケーラブルかつ再利用可能な防御メカニズムとして機能できる可能性がある。