[논문 리뷰] A Security Analysis of Browser Extensions

Abhay Rana, Rushil Nagda|arXiv (Cornell University)|2014. 03. 13.

Advanced Malware Detection Techniques참고 문헌 1인용 수 4

한 줄 요약

이 논문은 브라우저 확장 기능에 대한 종합적인 보안 분석을 수행하여, 암시적 설치, 권한 남용, 개발자 계정이 해킹되어 발생하는 공급망 공격 등의 위험을 규명한다. 설치 전에 확장 기능의 진위성을 검증할 수 있는 프레임워크를 제안하고, 브라우저 간 최소 권한 접근 원칙을 수립하여 확장 기능 생태계의 신뢰성과 보안 수준을 크게 향상시킨다.

ABSTRACT

Browser Extensions (often called plugins or addons) are small pieces of code that let developers add additional functionality to the browser. However, with extensions comes a security price: the user must trust the developer. We look at ways in which this trust can be broken and malicious extensions installed. We also look at silent installations of plugins in various browsers and work on ways to make silent installations possible in browsers that work against it. We compare the browser extension mechanism among various browsers, and try to create a set of rules to maintain the principle of least privileges in the browser. We track various plugins and determine whether the least privileges required match with the privileges asked for. We also work on a survey of extensions (for various browsers) and determine the nature of attacks possible. For eg, if a developer account gets hacked, updating of a normal extension with a malicious one is possible. We look at privilege abuse and survey extensions that ask for more privileges than they use. We finally provide a solution and allow a person to check the authenticity of the extension even before they download it.

연구 동기 및 목표

• 사용자가 개발자에게 신뢰를 두기 때문에 발생하는 브라우저 확장 기능의 보안 위험을 조사하기 위해.
• 원래 기능을 지원하지 않는 브라우저에서 암시적 설치 기법을 분석하기 위해.
• 확장 기능이 실제로 필요한 수준에 비해 과도한 권한을 요청하는지 평가하기 위해.
• 해킹된 개발자 계정으로 인해 악성 업데이트가 공식 업데이트 채널을 통해 배포되는 공격 벡터를 식별하기 위해.
• 사용자가 설치 전에 확장 기능의 진위성을 검증할 수 있는 메커니즘을 제안하기 위해.

제안 방법

• 주요 웹 브라우저의 확장 기능 메커니즘을 비교 분석하였다.
• 실제 확장 기능을 추적하고 분석하여 권한 요청 수준과 실제 사용 사례 간의 불일치를 평가하였다.
• 사용자가 다운로드 전에 암호학적으로 확장 기능의 진위성을 확인할 수 있도록 검증 시스템을 개발하였다.
• 보안적인 확장 기능 설계 및 브라우저의 강제 적용을 안내하는 최소 권한 규칙 세트를 제안하였다.
• 설계상으로 암시적 설치를 차단하는 브라우저에서의 암시적 설치 기법을 평가하였다.
• 과도한 권한 부여 및 남용 패tern을 탐지하기 위해 확장 기능 생태계를 설문 조사하였다.

실험 결과

연구 질문

• RQ1 브라우저 확장 기능은 어떻게 과도하거나 정당성 없는 권한을 통해 사용자 보안을 위협하는가?
• RQ2 암시적 설치 기능을 원래 지원하지 않는 브라우저에서 악성 확장 기능은 어떻게 암시적으로 설치될 수 있는가?
• RQ3 확장 기능 업데이트 채널에서 해킹된 개발자 계정과 관련된 위험은 무엇인가?
• RQ4 확장 기능이 실제로 사용하는 것보다 얼마나 많은 권한을 요청하는가?
• RQ5 사용자는 설치 전에 확장 기능의 진위성을 검증할 수 있으며, 이를 어떻게 안전하게 구현할 수 있는가?

주요 결과

• 많은 확장 기능이 필요 이상의 권한을 요청하여 공격 표면이 증가한다.
• 원래 기능을 지원하지 않는 브라우저에서도 암시적 설치 기법을 성공적으로 구현하였다.
• 해킹된 개발자 계정은 공식 업데이트 채널을 통해 악성 확장 기능을 배포할 수 있다.
• 많은 수의 확장 기능이 권한 남용을 보이며, 최소 권한 원칙에 대한 기술적 강제 조치가 없다.
• 제안된 설치 전 진위성 검증 메커니즘을 통해 사용자는 설치 전에 확장 기능을 독립적으로 검증할 수 있다.
• 브라우저들이 권한 경계를 어떻게 시행하는지에 대해 일관성이 없음을 확인하여, 표준화된 최소 권한 시행 필요성이 드러났다.