[논문 리뷰] Fidelius: Protecting User Secrets from Compromised Browsers

Saba Eskandarian, Jonathan Cogan외 12명|arXiv (Cornell University)|2018. 09. 13.

Advanced Malware Detection Techniques인용 수 3

한 줄 요약

Fidelius는 하드웨어 에이전트와 신뢰할 수 있는 I/O 경로를 활용하여, 완전히 손상된 브라우저에서 악성 소프트웨어로부터 사용자 비밀 정보—비밀번호 및 신용카드 정보 등—을 보호하는 브라우저 보안 아키텍처이다. 민감한 입력 처리를 신뢰할 수 있는 실행 환경에서 격리하고, 수정된 라즈베리파이 장치를 통해 키보드와 디스플레이에 이르는 안전한 채널을 구축함으로써, 양식 데이터, 자바스크립트 실행, 웹 스토리지의 기밀성과 무결성을 보장하며, 성능 오버헤드는 최소화하고 신뢰할 수 있는 컴퓨팅 기반은 작게 유지한다.

ABSTRACT

Users regularly enter sensitive data, such as passwords, credit card numbers, or tax information, into the browser window. While modern browsers provide powerful client-side privacy measures to protect this data, none of these defenses prevent a browser compromised by malware from stealing it. In this work, we present Fidelius, a new architecture that uses trusted hardware enclaves integrated into the browser to enable protection of user secrets during web browsing sessions, even if the entire underlying browser and OS are fully controlled by a malicious attacker. Fidelius solves many challenges involved in providing protection for browsers in a fully malicious environment, offering support for integrity and privacy for form data, JavaScript execution, XMLHttpRequests, and protected web storage, while minimizing the TCB. Moreover, interactions between the enclave and the browser, the keyboard, and the display all require new protocols, each with their own security considerations. Finally, Fidelius takes into account UI considerations to ensure a consistent and simple interface for both developers and users. As part of this project, we develop the first open source system that provides a trusted path from input and output peripherals to a hardware enclave with no reliance on additional hypervisor security assumptions. These components may be of independent interest and useful to future projects. We implement and evaluate Fidelius to measure its performance overhead, finding that Fidelius imposes acceptable overhead on page load and user interaction for secured pages and has no impact on pages and page components that do not use its enhanced security features.

연구 동기 및 목표

• 완전히 손상된 운영체제와 브라우저에서 악성 소프트웨어가 사용자가 입력한 비밀 정보—비밀번호 및 신용카드 번호 등—을 도용할 수 있는 심각한 보안 격차를 해결하기 위해.
• 운영체제와 브라우저가 공격자에 의해 완전히 제어되더라도 웹 양식 입력, 자바스크립트 실행, 네트워크 요청의 기밀성과 무결성을 보장하는 시스템을 설계하기 위해.
• 잠재적으로 손상된 하이퍼바이저에 의존하지 않고도 물리적 입력 장치(키보드)와 출력 장치(디스플레이)에서 하드웨어 에이전트까지의 신뢰 경로를 확립하기 위해.
• 에이전트에 포함된 필수 功能만 격리함으로써 신뢰할 수 있는 컴퓨팅 기반을 최소화하면서도 전체 웹 애플리케이션 호환성을 유지하기 위해.
• 개발자와 사용자가 기반 운영체제나 브라우저 스택을 신뢰하지 않더라도 웹 애플리케이션과 안전하게 상호작용할 수 있도록 실용적이고 오픈소스 솔루션을 제공하기 위해.

제안 방법

• Fidelius는 민감한 작업—예: 양식 입력 처리, 자바스크립트 실행, 데이터 암호화—을 격리하기 위해 인텔 SGX 기반 하드웨어 에이전트를 사용한다.
• 하이퍼바이저가 손상되었을 수 있으므로 신뢰할 수 있는 키보드 I/O 경로를 위해 라즈베리파이 조로가 물리적 키보드와 에이전트 사이의 안전한 채널을 설정한다.
• 라즈베리파이 3를 통해 디스플레이에 대한 신뢰 경로를 확립하여 에이전트에서 오는 신뢰할 수 있는 이미지를 HDMI 출력에 오버레이함으로써, 악성 소프트웨어가 렌더링된 UI 요소를 조작할 수 없도록 보장한다.
• 에이전트와 안전하게 통신하는 경량 브라우저 컴포넌트를 통합하여, 양식 필드, XMLHttpRequest, 웹 스토리지의 안전한 처리를 가능하게 한다.
• 에이전트 내부에서 클라이언트 측 자바스크립트 실행을 지원하여, 체크섬 검증이나 비밀번호 강도 측정기와 같은 기능을 노출 없이 유지한다.
• 에이전트와 사용자 간의 모든 상호작용—입력 및 출력—이 암호학적으로 인증되고 변조 방지되며, 시간 기반 측면 채널은 최소화한다.

실험 결과

연구 질문

• RQ1 운영체제와 브라우저가 모두 완전히 손상된 상황에서 하드웨어 에이전트 기반 시스템이 사용자 비밀 정보를 악성 소프트웨어로부터 보호할 수 있는가?
• RQ2 신뢰할 수 있는 하이퍼바이저에 의존하지 않고도 물리적 I/O 장치(키보드 및 디스플레이)에서 하드웨어 에이전트까지의 신뢰 경로를 어떻게 확립할 수 있는가?
• RQ3 표준 웹 애플리케이션에 에이전트 기반 보호 기능을 통합할 경우 성능 오버헤드는 얼마나 되며, 실생활 사용에 있어 수용 가능한가?
• RQ4 민감한 데이터가 그대로 기밀로 유지되도록 하면서도 에이전트 내부에서 클라이언트 측 자바스크립트 기능을 어떻게 유지할 수 있는가?
• RQ5 강력한 웹 입력 및 출력 보안 보장을 유지하면서도 최소한의 신뢰할 수 있는 컴퓨팅 기반을 달성할 수 있는가?

주요 결과

• Fidelius는 완전히 손상된 브라우저 환경에서 양식 입력, 자바스크립트 실행, 네트워크 요청, 로컬 스토리지의 보안을 성공적으로 보장한다.
• 시스템은 하이퍼바이저에 의존하지 않고도 하드웨어 가정과 오픈소스 기반의 라즈베리파이 구성 요소만으로 키보드와 디스플레이에 대한 신뢰할 수 있는 I/O 경로를 확립한다.
• 성능 평가 결과, Fidelius는 보호된 페이지의 로드 시간과 사용자 상호작용에 대해 수용 가능한 오버헤드를 유발하며, 비보호 페이지에는 측정 가능한 영향이 없다.
• 입력 및 출력에 대한 종단 간 암호화 및 인증을 지원하는 기능성 프로토타입이 포함되어 있어 실세계 시나리오에서의 실현 가능성과 정확성을 입증한다.
• 사용자 입력 처리 및 렌더링에 대해 상호작용적이고 실시간으로 작동하며, 사용자 입력 시간에 관해 관측 가능한 지연이나 측면 채널 유출이 없다.
• 샘플 코드와 비디오 데모를 포함한 Fidelius의 오픈소스 배포는 보다 넓은 보급과 신뢰할 수 있는 웹 애플리케이션 보안 분야의 향후 연구를 가능하게 한다.