[논문 리뷰] Mitigating CSRF attacks on OAuth 2.0 and OpenID Connect

Wanpeng Li, Chris J. Mitchell외 1명|arXiv (Cornell University)|2018. 01. 24.

Web Application Security Vulnerabilities참고 문헌 6인용 수 5

한 줄 요약

이 논문은 OAuth 2.0 및 OpenID Connect에서 CSRF 공격에 대응하기 위해 클라이언트 측 방어 기법을 제안한다. 이 기법은 인증 응답의 원본을 확인하기 위해 Referer 헤더를 활용한다. 방법은 Referer 헤더가 예상되는 IDP 또는 의존 당사자 도메인과 일치하는지 확인함으로써, IdP 인프라를 수정하지 않고도 의존 당사자들이 위조된 요청을 탐지하고 차단할 수 있도록 한다. 이는 SSO 구현의 보안을 크게 향상시킨다.

ABSTRACT

Many millions of users routinely use their Google, Facebook and Microsoft accounts to log in to websites supporting OAuth 2.0 and/or OpenID Connect-based single sign on. The security of OAuth 2.0 and OpenID Connect is therefore of critical importance, and it has been widely examined both in theory and in practice. Unfortunately, as these studies have shown, real-world implementations of both schemes are often vulnerable to attack, and in particular to cross-site request forgery (CSRF) attacks. In this paper we propose a new technique which can be used to mitigate CSRF attacks against both OAuth 2.0 and OpenID Connect.

연구 동기 및 목표

• 실세계 배포 환경에서 OAuth 2.0 및 OpenID Connect 구현이 널리 퍼져 있는 CSRF 공격에 대응하기 위해.
• IDP나 프로토콜 표준을 수정하지 않아도 되는 경량이고 구현 가능한 완화 기법을 제공하기 위해.
• 의존 당사자들이 Referer 헤더를 사용해 원본 검증을 통해 위조된 인증 응답을 탐지하고 차단할 수 있도록 하기 위해.
• 특히 다중 IdP 환경에서 OAuth 2.0 및 OpenID Connect SSO 플로우의 보안을 향상시키기 위해.
• IdP가 추가 보호 조치를 구현하지 않더라도 의존 당사자들이 독립적으로 채택할 수 있는 실용적인 솔루션을 제공하기 위해.

제안 방법

• 이 방법은 OAuth 2.0 리디렉션 플로우 중 도착하는 인증 응답의 원본을 확인하기 위해 HTTP Referer 헤더를 사용한다.
• redirect_uri 추적을 위해, 의존 당사자는 Referer 헤더의 도메인이 등록된 IdP 또는 자신의 도메인과 일치하는지 확인한다.
• 명시적 사용자 의도 추적을 위해, 의존 당사자는 의도한 IdP를 세션에 저장하고 Referer 헤더를 이 저장된 값과 대조한다.
• 이 접근법은 표준 HTTP 헤더를 사용해 Authorization Code 및 Implicit Grant 플로우 모두에 적용된다.
• XMLHttpRequest 기반 콜백이 Referer 헤더를 의존 당사자 도메인을 향해 유지하는 IdP 전용 클라이언트 라이브러리(예: Google, Facebook)와 함께 사용할 수 있도록 이식된다.
• 이 방어는 IdP 수준에서 상태 없이 작동하며, 의존 당사자 측에서만 서버 측 검증 로직이 필요하다.

실험 결과

연구 질문

• RQ1 의존 당사자들은 실질적으로 OAuth 2.0 및 OpenID Connect 리디렉션 플로우에서 CSRF 공격을 어떻게 탐지하고 방지할 수 있는가?
• RQ2 IdP 동작을 수정하지 않고도 인증 응답의 원본을 검증하기 위해 어떤 클라이언트 측 메커니즘이 사용될 수 있는가?
• RQ3 실세계 OAuth 2.0 배포 환경에서 Referer 헤더를 사용해 정상적인 인증 응답과 위조된 응답을 신뢰성 있게 구분할 수 있는가?
• RQ4 postMessage 및 XMLHttpRequest를 사용하는 IdP 클라이언트 라이브러리와 함께 Referer 헤더 기반 방어가 얼마나 효과적인가?
• RQ5 Referer 헤더를 사용한 CSRF 완화의 실용적 한계는 무엇이며, 이를 어떻게 보완할 수 있는가?

주요 결과

• Referer 헤더 기반 검증 기법은 인증 응답의 원본을 검증함으로써 OAuth 2.0 및 OpenID Connect에서 CSRF 공격을 효과적으로 완화한다.
• 이 방법은 redirect_uri 추적을 사용하는 의존 당사자뿐 아니라, 세션에 저장된 IdP 식별자를 통해 명시적 사용자 의도를 추적하는 의존 당사자에게도 효과적이다.
• Google, Facebook 등의 IdP 클라이언트 라이브러리를 사용하는 의존 당사자들은 Referer 헤더가 항상 RP 도메인을 향하고 있어 신뢰할 수 있는 검증이 가능하다.
• 이 접근법은 실용적이며, IdP 서비스나 프로토콜 표준을 수정하지 않아도 의존 당사자들이 독립적으로 배포할 수 있다.
• 주요 한계는 redirect_uri 등록에 HTTP를 사용할 경우 브라우저 압축으로 인해 Referer 헤더가 제거될 수 있다는 점이며, 이는 등록 시 HTTPS를 요구함으로써 보완된다.
• Amazon 및 Microsoft와 같은 IdP는 HTTPS 등록을 요구하므로, 이 방어 기법은 실세계 배포의 상당 부분에서 유효하게 작동한다.