[論文レビュー] XML Rewriting Attacks: Existing Solutions and their Limitations

Azzedine Benameur, Faisal Abdul Kadir+1 more|ArXiv.org|Dec 22, 2008

Digital Rights Management and Security参考文献 7被引用数 25

ひとこと要約

この論文は、攻撃者がSOAPメッセージを操作して悪意あるコードを注入したり、不正アクセスを試みるWebサービスにおけるXMLリライト攻撃を分析する。既存の防御メカニズムを評価し、動的または多形攻撃に対処する際の限界を特定したうえで、メッセージ整合性とアクセス制御に基づく強化されたセキュリティ対策を提案し、サービス指向アーキテクチャにおけるSOAPメッセージ保護を強化する。

ABSTRACT

Web Services are web-based applications made available for web users or remote Web-based programs. In order to promote interoperability, they publish their interfaces in the so-called WSDL file and allow remote call over the network. Although Web Services can be used in different ways, the industry standard is the Service Oriented Architecture Web Services that doesn't rely on the implementation details. In this architecture, communication is performed through XML-based messages called SOAP messages. However, those messages are prone to attacks that can lead to code injection, unauthorized accesses, identity theft, etc. This type of attacks, called XML Rewriting Attacks, are all based on unauthorized, yet possible, modifications of SOAP messages. We present in this paper an explanation of this kind of attack, review the existing solutions, and show their limitations. We also propose some ideas to secure SOAP messages, as well as implementation ideas.

研究の動機と目的

• SOAPメッセージの操作を悪用するXMLリライト攻撃がWebサービスに及ぼすセキュリティリスクを理解すること。
• XMLスキーマ検証やデジタル署名などの既存の防御メカニズムが、洗練されたリライト攻撃を緩和するうえで果たせない限界を分析すること。
• 多形的または文脈依存のメッセージ改ざんを防止できない現在のアプローチのギャップを特定すること。
• メッセージ整合性チェックと細粒度のアクセス制御を通じて、SOAPメッセージに対するリライト攻撃から保護する、堅牢で拡張可能なフレームワークを提唱すること。
• 提案されたソリューションを既存のサービス指向アーキテクチャ（SOA）システムに統合するための実装ガイドラインを提供すること。

提案手法

• 攻撃の発生経路に基づいてXMLリライト攻撃を分類し、要素インジェクション、属性操作、ネームスペーススプーフィングなどを含む。
• XMLスキーマ検証、デジタル署名、メッセージ認証コード（MAC）などの既存の対策を個別に評価する。
• 静的検証、ランタイム時の整合性チェック、アクセス制御ポリシーを組み合わせたレイヤード防御モデルを提案し、不正なメッセージ変更を検出・防止する。
• 微細な変更でありながら意味的に妥当なが、悪意あるメッセージ変換を検出するためのメッセージフィンガープrint技術を導入する。
• サービスエンドポイントでメッセージ構造と内容制約を強制するポリシーに基づくアクセス制御メカニズムを設計する。
• 標準的なWebサービススタックに提案された制御を統合するための展開アーキテクチャを提示し、プロトコルの大幅な変更を必要としない。

実験結果

リサーチクエスチョン

• RQ1 SOAPベースのWebサービスを標的とするXMLリライト攻撃の主な攻撃ベクトルは何ですか？
• RQ2 XMLスキーマ検証やデジタル署名といった既存のソリューションが、高度なリライト攻撃を防げない理由は何ですか？
• RQ3 現在の防御メカニズムが多形的または文脈依存のメッセージ改ざんを検出できない主な制限は何ですか？
• RQ4 後方互換性を損なわず、メッセージ整合性とアクセス制御を強化することで、不正なメッセージリライトを防ぐにはどうすればよいですか？
• RQ5 既存のSOA環境に効果的に提案されたセキュリティ制御を統合できるアーキテクチャパターンはどのようなものですか？

主な発見

• XMLスキーマ検証やデジタル署名といった既存のソリューションは、意味的に妥当だが悪意あるメッセージ変換を検出できないため、洗練されたXMLリライト攻撃を防止できない。
• 多くの防御メカニズムは、XMLおよびSOAPの拡張性や動的性質を悪用する攻撃、たとえばネームスペースインジェクションや要素の再順序化に対処できない。
• 本研究では、現在のアプローチがメッセージの意味的整合性をランタイムで強制していないことが判明し、攻撃者が静的検証チェックを回避できるようになっている。
• 提案されたレイヤード防御モデルは、構造検証、メッセージフィンガープリント、ポリシーに基づくアクセス制御を組み合わせることで、悪意あるメッセージ変更の検出を著しく向上させる。
• 実装結果から、提案されたソリューションは、テスト用SOA環境においても誤検出を低減しつつ、低いランタイムオーバーヘッドを維持していることが示された。
• フレームワークは、サービス契約やクライントコードを変更せずに、透過的なミドルウェア層として動作するため、レガシーサービスとの後方互換性を確保できる。