[논문 리뷰] Most Websites Don't Need to Vibrate: A Cost-Benefit Approach to Improving Browser Security

Peter Snyder, Cynthia Taylor외 1명|arXiv (Cornell University)|2017. 08. 28.

Advanced Malware Detection Techniques참고 문헌 29인용 수 12

한 줄 요약

이 논문은 브라우저 API 기능을 평가하기 위한 비용-편익 방법론을 제안하며, 대부분의 웹사이트가 많은 웹 API에 대한 기본 접근 권한이 필요하지 않음을 밝혀낸다. 저자들은 15개의 저비용·고위험 API를 차단함으로써 CVE 관련 코드 경로를 52.0% 감소시키고, 구현 코드를 50.0% 줄였으며, 5.3%의 웹사이트만 손상시키는 데 성공했다. 이는 사용자 설정이 가능한 ES6 Proxy 기반 브라우저 확장 프로그램을 활용해 세밀한 접근 제어를 실현한 결과이다.

ABSTRACT

Modern web browsers have accrued an incredibly broad set of features since being invented for hypermedia dissemination in 1990. Many of these features benefit users by enabling new types of web applications. However, some features also bring risk to users' privacy and security, whether through implementation error, unexpected composition, or unintended use. Currently there is no general methodology for weighing these costs and benefits. Restricting access to only the features which are necessary for delivering desired functionality on a given website would allow users to enforce the principle of lease privilege on use of the myriad APIs present in the modern web browser. However, security benefits gained by increasing restrictions must be balanced against the risk of breaking existing websites. This work addresses this problem with a methodology for weighing the costs and benefits of giving websites default access to each browser feature. We model the benefit as the number of websites that require the feature for some user-visible benefit, and the cost as the number of CVEs, lines of code, and academic attacks related to the functionality. We then apply this methodology to 74 Web API standards implemented in modern browsers. We find that allowing websites default access to large parts of the Web API poses significant security and privacy risks, with little corresponding benefit. We also introduce a configurable browser extension that allows users to selectively restrict access to low-benefit, high-risk features on a per site basis. We evaluated our extension with two hardened browser configurations, and found that blocking 15 of the 74 standards avoids 52.0% of code paths related to previous CVEs, and 50.0% of implementation code identified by our metric, without affecting the functionality of 94.7% of measured websites.

연구 동기 및 목표

• 브라우저 API 기능의 보안과 사용성 간의 상호 교환 평가를 위한 체계적 방법론이 부족한 문제를 해결하기 위해.
• 웹사이트 기능성 측면에서 각 웹 API의 기여도를 수치화하고, 취약성, 코드 복잡도, 학술적 공격 사례 측면에서 비용을 측정하기 위해.
• 각 웹사이트 기반으로 고비용·저편익 API를 선택적으로 비활성화할 수 있는 사용자 설정이 가능한 브라우저 확장 프로그램을 개발하기 위해.
• 선택된 웹 API에 대한 접근 제한을 통해 하드ened 브라우저 설정의 보안 및 사용성 영향을 평가하기 위해.
• 대부분의 웹사이트가 손상되지 않은 채로 상당한 보안 향상을 달성할 수 있음을 입증하기 위해.

제안 방법

• 저자들은 각 웹 API의 기여도를 해당 기능을 위해 필수로 요구하는 웹사이트 수로 모델링한다.
• 각 API와 관련된 CVE 수, 코드 라인 수, 학술적 공격 사례 수를 사용해 비용을 정량화한다.
• 기존 코드가 손상되지 않도록 동적으로 JavaScript API를 비활성화할 수 있도록 ES6 Proxy 객체를 활용한 사용자 설정이 가능한 브라우저 확장 프로그램을 구축한다.
• 15개의 저편익·고위험 웹 API 표준을 식별하고 차단함으로써 두 가지 하드ened 브라우저 설정을 구성한다.
• 확장 프로그램은 200개의 인기 있는 Alexa 웹사이트와 나머지 웹사이트의 무작위 샘플에서 평가되었으며, NoScript 및 Tor Browser Bundle과의 브레이크율을 비교한다.
• 이 방법은 각 웹사이트에 대한 정책 설정을 가능하게 하여, 신뢰할 수 있는 원본에 대해 기능을 선택적으로 허용할 수 있도록 한다.

실험 결과

연구 질문

• RQ1 다수의 웹사이트에 대해 최소한의 기여도를 제공하면서도 심각한 보안 및 개인정보 위험을 초래하는 웹 API 표준은 무엇인가?
• RQ2 선택된 웹 API를 차단함으로써 알려진 취약성과 공격 표면을 얼마나 줄일 수 있으며, 기존 웹사이트의 기능 손상 없이 가능한가?
• RQ3 NoScript 및 Tor Browser Bundle과 같은 기존의 개인정보 보호 중심 도구와 비교해 하드ened 브라우저 설정의 사용성은 어떻게 평가되는가?
• RQ4 ES6 Proxy를 기반으로 한 동적 사용자 설정이 가능한 확장 프로그램이 기존 기능 코드를 손상시키지 않고 세밀한 API 접근 제어를 효과적으로 구현할 수 있는가?
• RQ5 선택적 브라우저 기능 제한을 통해 보안 강화와 웹사이트 호환성 간의 상호 교환은 어떻게 이루어지는가?

주요 결과

• 74개의 웹 API 표준 중 15개를 차단함으로써 저자들이 측정한 지표에 따르면, 이전 CVE와 관련된 코드 경로가 52.0% 감소하고, 구현 코드가 50.0% 감소하였다.
• 하드ened 설정은 200개의 인기 있는 웹사이트 중 5.3%와 Alexa 10k의 무작위 샘플 중 5.3%에서만 손상을 일으켰으며, NoScript 및 Tor Browser Bundle보다 호환성 면에서 뛰어난 성능을 보였다.
• 대부분의 웹사이트(94.7%)는 High Resolution Time Level 2, Canvas, Web Audio와 같은 고위험·저편익 API가 기본적으로 차단되어도 정상적으로 기능하였다.
• 학술 연구에서, Canvas 및 Web Audio와 같은 일부 차단된 API들이 지문 추출 및 사이드채널 공격에 악용된 바가 있으며, 이는 위험 평가의 타당성을 뒷받침한다.
• ES6 Proxy 기반 기능 방화벽은 기존 코드가 API가 존재한다고 기대하는 바를 손상시키지 않고 API를 비활성화하는 데 성공하여 런타임 인터셉션의 실현 가능성을 입증하였다.
• 저자들은 Battery API, High Resolution Time Level 2, Canvas, Web Audio API를 고위험·저편익이므로 기본 브라우저 접근에서 제거할 강력한 후보로 식별하였다.