[논문 리뷰] Information Flow Control in WebKit's JavaScript Bytecode

Abhishek Bichhawat, Vineet Rajani외 2명|arXiv (Cornell University)|2014. 01. 17.

Security and Verification in Computing인용 수 6

한 줄 요약

이 논문은 웹킷의 자바스크립트 바이트코드를 대상으로 하는 동적 정보 흐름 제어(IFC) 메커니즘을 제안하며, 명시적 및 암시적 데이터 흐름을 추적하여 신뢰할 수 없는 코드의 안전한 실행을 가능하게 한다. 바이트코드 수준의 인스트루멘테이션, 형식적 의미론, 그리고 후행 지배자 분석과 새로운 허용성 업그레이드 검사 기법을 활용한 허용성 있는 타인트 추적을 통해 평균 45%의 성능 오버헤드로 중간 정도의 성능을 달성한다.

ABSTRACT

Websites today routinely combine JavaScript from multiple sources, both trusted and untrusted. Hence, JavaScript security is of paramount importance. A specific interesting problem is information flow control (IFC) for JavaScript. In this paper, we develop, formalize and implement a dynamic IFC mechanism for the JavaScript engine of a production Web browser (specifically, Safari's WebKit engine). Our IFC mechanism works at the level of JavaScript bytecode and hence leverages years of industrial effort on optimizing both the source to bytecode compiler and the bytecode interpreter. We track both explicit and implicit flows and observe only moderate overhead. Working with bytecode results in new challenges including the extensive use of unstructured control flow in bytecode (which complicates lowering of program context taints), unstructured exceptions (which complicate the matter further) and the need to make IFC analysis permissive. We explain how we address these challenges, formally model the JavaScript bytecode semantics and our instrumentation, prove the standard property of termination-insensitive non-interference, and present experimental results on an optimized prototype.

연구 동기 및 목표

• 현대 웹 애플리케이션에서 제3자 자바스크립트 코드가 초래하는 보안 위험, 특히 정보 흐름으로 인한 기밀성 유출 문제를 해결하기 위해.
• 자체 인터프리터나 추상적 언어가 아닌 실제 웹 브라우저 엔진인 웹킷에서 실용적이고 프로덕션 수준의 IFC 솔루션을 구현하기 위해.
• 비구조적 제어 흐름, 예외 처리, 그리고 코드 애너테이션 없이도 허용성 있는 IFC를 구현하기 위한 도전 과제를 해결하기 위해.
• 웹킷 바이트코드 의미론을 형식적으로 모델링하고, 인스트루먼테이션된 시스템에 대해 종료 감도 없는 비차별성(termination-insensitive non-interference)을 증명하기 위해.
• 실제 벤치마크에서 성능 오버헤드를 평가하고, 사파리와 같은 브라우저에 배포 가능한지의 가능성을 입증하기 위해.

제안 방법

• 기존 최적화 기법을 유지하면서 런타임에 동적으로 타인트를 추적할 수 있도록 웹킷 자바스크립트 바이트코드 인터프리터를 인스트루먼테이션한다.
• 실제 인터프리터 코드(r122160 빌드 기반)를 바탕으로 웹킷의 147개 바이트코드 명령어 집합의 문법과 의미론을 형식화한다.
• 즉각적인 후행 지배자에 대한 실시간 내부 프로시저 정적 분석을 활용해 과다 타인트 추적을 제한하고, 비구조적 제어 흐름에도 불구하고 허용성 있는 추적을 향상시킨다.
• 추가 애너테이션이 필요 없이 예외 처리, break 및 continue 문을 처리하기 위해 후행 지배자 기법을 확장한다.
• 바이트코드 특화된 허용성 업그레이드 검사 기법을 구현하여 타인트 전파 과정에서의 거짓 경고(false positive)를 줄인다.
• 희소 레이블링을 활용해 타인트 추적 최적화: 힙 쓰기 시에만 타인트를 전파하고, 다른 레이블을 가진 힙 값에서 읽을 때까지 기다리는 방식.

실험 결과

연구 질문

• RQ1 실제 웹 브라우저 엔진인 웹킷과 같은 프로덕션 JavaScript 엔진에서 바이트코드 수준의 동적 IFC를 효과적이고 효율적으로 구현할 수 있는가?
• RQ2 비구조적 제어 흐름(예: break, continue, 예외 처리)을 가진 실제 웹 자바스크립트를 애너테이션 없이도 충분히 허용성 있게 처리할 수 있는가?
• RQ3 실제 워크로드에서 바이트코드 수준의 IFC는 어떤 성능 오버헤드를 유발하는가? 그리고 최적화 기법이 이 오버헤드를 크게 줄일 수 있는가?
• RQ4 실제 바이트코드 인터프리터를 형식적으로 모델링하고, 그 인스트루먼테이션된 시스템의 비차별성 보안 성질을 증명할 수 있는가?
• RQ5 JIT 컴파일이 활성화된 상태에서 웹킷의 IFC 성능은 비인스트루먼테이션된 인터프리터와 비교해 어떻게 되는가?

주요 결과

• SunSpider 벤치마크 세트에서 최적화된 IFC의 평균 오버헤드는 45%, 기본 IFC의 경우 121%이며, 표준편차는 안정적인 성능을 나타낸다.
• 최적화된 IFC 버전은 마이크로벤치마크에서 힙 쓰기 시에만 타인트를 전파하고, 레이블이 다른 힙 값에서 읽을 때까지 기다림으로써 타인트 추적 오버헤드를 크게 줄였다.
• 실제 웹사이트에서의 오버헤드는 항상 42% 이하이며 평균 약 29%이며, 네트워크 및 렌더링 시간에 비해 무시할 만하다.
• 마크로벤치마크에서 JIT 최적화 설정은 기본 설정보다 성능이 열 劣하므로, 이 맥락에서 인스트루먼테이션된 코드에선 JIT가 덜 효과적임을 시사한다.
• JSBench 평가 결과, 기본 IFC와 최적화된 IFC 모두 평균 약 38%의 오버헤드를 보였으며, 표준편차는 각각 4.09%와 5.04%였다.
• 웹킷 바이트코드와 그 인스트루먼테이션에 대한 형식적 모델은 종료 감도 없는 비차별성을 증명하여, 동적 타인트 추적 하에서 기밀성을 보장한다.