[論文レビュー] XSS-FP: Browser Fingerprinting using HTML Parser Quirks

Erwan Abgrall, Yves Le Traon+4 more|arXiv (Cornell University)|Nov 20, 2012

Advanced Malware Detection Techniques参考文献 11被引用数 7

ひとこと要約

この論文では、XSSベクターを通じてHTMLパーサーの不具合を悪用することで、ブラウザの種別とバージョンを特定する、XSS-FPと呼ばれる新しいブラウザファングリーピング技術を提示する。6つの巧みなXSSテストを実行することで、ブラウザファミリーの同定に98％の正確性、正確なブラウザバージョンの同定に71％の正確性を達成し、アプリケーションレベルでの高精度で偽装が困難なクライアントファングリーピング手法を提供する。

ABSTRACT

There are many scenarios in which inferring the type of a client browser is desirable, for instance to fight against session stealing. This is known as browser fingerprinting. This paper presents and evaluates a novel fingerprinting technique to determine the exact nature (browser type and version, eg Firefox 15) of a web-browser, exploiting HTML parser quirks exercised through XSS. Our experiments show that the exact version of a web browser can be determined with 71% of accuracy, and that only 6 tests are sufficient to quickly determine the exact family a web browser belongs to.

研究の動機と目的

• JavaScriptやネットワーク行動に基づく従来のブラウザファングリーピング手法には、容易に偽装可能な欠陥があるため、それらを是正すること。
• 異なるブラウザ間で固有の、模倣が困難なHTMLパーサー動作の不具合（パーサーの不具合）を活用するファングリーピング技術を開発すること。
• セッション盗難防止などのセキュリティ検出向上のため、ブラウザの種別とバージョン（正確なバージョンを含む）を正確に同定すること。
• 低レベルのネットワークスタックアクセスを必要とせず、サーバーサイドに実装可能な堅牢なアプリケーションレベルのファングリーピング手法を構築すること。
• 実世界のシナリオにおいて、HTMLパーサーの不具合を信頼できるファングリーピングベクターとして使用する可能性と正確性を評価すること。

提案手法

• 特定のHTML入力が、異なるウェブブラウザで固有のパーサー動作を引き起こすという、いわゆる「パーサーの不具合」を悪用する。
• これらの入力は、ブラウザの内部HTMLパーサーに依存して、レンダリングや実行結果が異なる既知のXSSベクターから導出される。
• 複数のブラウザでこれらのXSSベクターを自動的に実行し、その応答を収集するためのカスタムツールを開発した。
• 収集された応答を分析し、同じ不正なまたはエッジケースのHTMLを異なるブラウザがどのようにパースしたかに基づいて、固有のシグネチャを抽出した。
• 精度を維持しつつテスト回数を削減するために、Hallらの手法（例：Hall et al.）を応用した機械学習分類技術を適用した。
• HTMLパーサー動作はブラウザエンジンに深く埋め込まれており、同じパーサーロジックを再現しない限り、模倣が困難であるという事実に依拠している。

実験結果

リサーチクエスチョン

• RQ1 HTMLパーサーの不具合は、異なるブラウザの種別やバージョンを信頼性高く区別するために使用可能か？
• RQ2 少数のXSSベースのテストで、どの程度正確にブラウザファミリーを分類できるか？
• RQ3 JavaScriptやネットワーク行動に基づく既存手法と比較して、バージョンレベルのファングリーピングの正確性はどの程度か？
• RQ4 他のクライアントファングリーピング手法と比較して、このファングリーピング手法は偽装攻撃に対してどの程度耐性があるか？
• RQ5 この手法は、ボットやクローラーなどの偽装クライアントの検出に拡張可能か？

主な発見

• 提案されたXSS-FP手法は、77種類の可能なバージョンの中から正確なブラウザバージョンを同定する際に71％の正確性を達成した。
• わずか6つのXSSベクターで、ブラウザを正しいファミリーに分類する正確性が98％に達した。
• HTMLパーサーの不具合はブラウザエンジンに深く埋め込まれており、同じパーサーロジックを再現しない限り模倣が困難なため、この手法は偽装に対して非常に耐性がある。
• この手法はアプリケーションレベルで動作し、低レベルのネットワークスタック動作へのアクセスを必要としないため、サーバーサイドへの実装がより実用的である。
• 特にサブバージョン検出において、既存のJavaScriptベースのファングリーピングを上回る正確性を示した。
• 本研究では、HTMLパーサーの不具合が安定的かつ固有のファングリーピングベクターを提供することを確認した。また、クローラーなどの非人間クライアントの検出にも応用可能である可能性を示した。