[논문 리뷰] SOK: On the Analysis of Web Browser Security

Jung‐won Lim, Yonghwi Jin외 7명|arXiv (Cornell University)|2021. 12. 31.

Web Application Security Vulnerabilities인용 수 4

한 줄 요약

이 논문은 크롬, 파이어폭스, 사파리, 익스플로러의 아키텍처를 통합하여 현대 웹 브라우저 보안에 대한 체계적인 분석을 수행하며, 10년에 걸친 브라우저 버그, 악용 기법, 완화 전략에 대한 종단 간 연구를 수행한다. 주요 취약점들을 규명하고 최신 버그 탐지 도구의 성능을 평가하며, 사전 방어 조치의 효과성을 입증함으로써 향후 브라우저 강화 및 설계 시 보안을 우선시하는 개발을 위한 실질적인 통찰을 제공한다.

ABSTRACT

Web browsers are integral parts of everyone's daily life. They are commonly used for security-critical and privacy sensitive tasks, like banking transactions and checking medical records. Unfortunately, modern web browsers are too complex to be bug free (e.g., 25 million lines of code in Chrome), and their role as an interface to the cyberspace makes them an attractive target for attacks. Accordingly, web browsers naturally become an arena for demonstrating advanced exploitation techniques by attackers and state-of-the-art defenses by browser vendors. Web browsers, arguably, are the most exciting place to learn the latest security issues and techniques, but remain as a black art to most security researchers because of their fast-changing characteristics and complex code bases. To bridge this gap, this paper attempts to systematize the security landscape of modern web browsers by studying the popular classes of security bugs, their exploitation techniques, and deployed defenses. More specifically, we first introduce a unified architecture that faithfully represents the security design of four major web browsers. Second, we share insights from a 10-year longitudinal study on browser bugs. Third, we present a timeline and context of mitigation schemes and their effectiveness. Fourth, we share our lessons from a full-chain exploit used in 2020 Pwn2Own competition. and the implication of bug bounty programs to web browser security. We believe that the key takeaways from this systematization can shed light on how to advance the status quo of modern web browsers, and, importantly, how to create secure yet complex software in the future.

연구 동기 및 목표

• 크롬, 파이어폭스, 사파리, 익스플로러와 같은 주요 벤더들이 사이버 보안 분야에서 핵심적인 역할을 다하고 있음에도 불구하고, 이들의 보안 설계에 대한 통합적이고 객관적인 체계화가 부족한 데에 대응하기 위해.
• 10년 간의 기간 동안 브라우저 취약점, 악용 기법, 완화 전략의 변화를 분석하기 위해.
• 자동화된 버그 탐지 도구(예: 퍼저, 정적 분석)가 복잡한 브라우저 취약점을 탐지하는 데 얼마나 효과적인지 평가하기 위해.
• 2020년 Pwn2Own 경연 대회에서의 실제 전방위 악용 사례를 통해 사전 방어 조치의 가치를 입증하기 위해.
• 연구자들과 벤더들이 공유된 설계 원칙과 조율된 패치 적용을 통해 브라우저 보안을 향상시킬 수 있도록 실질적인 통찰을 제공하기 위해.

제안 방법

• 샌드박싱 및 메모리 안정성 메커니즘에 중점을 두어, 크롬, 파이어폭스, 사파리, 익스플로러의 보안 설계를 비교·대조할 수 있는 통합 아키텍처 모델을 개발하였다.
• CVE, 이슈 트래커, 벤더 보고서를 활용하여 공개된 브라우저 취약점에 대한 10년 간의 종단 간 연구를 수행하여 버그 유형 및 악용 가능성의 추세를 규명하였다.
• 브라우저 엔진 취약점을 탐지할 수 있는 능력을 평가하기 위해 최신 퍼저 도구(예: ClusterFuzz, LangFuzz, DIE) 및 정적 분석 도구(예: SYS)를 평가하였다.
• 2020년 Pwn2Own 경연 대회에서의 전방위 악용 사례를 분석하여 공격 체인을 역공학적으로 분석하고 기존 완화 조치의 효과성을 평가하였다.
• 새로운 완화 조치(예: StructureID 랜덤화)를 공개 공개 이전에 고립된 안전한 브라우징 환경에 배포하는 사전 방어 모델을 제안하였다.
• 브라우저 간 공유 가능한 자바스크립트 엔진 라이브러리를 도입하여 오버-the-에어 패치 적용 속도를 높이고 브라우저 엔진의 동질성으로 인한 영향을 줄이기 위한 조치를 제안하였다.

실험 결과

연구 질문

• RQ1 크롬, 파이어폭스, 사파리, 익스플로러의 보안 아키텍처는 샌드박싱 및 메모리 안정성 측면에서 어떻게 다를까? 이는 악용 표면에 어떤 영향을 미치는가?
• RQ2 지난 10년 동안 브라우저 취약점의 주요 유형은 무엇이며, 새로운 완화 기법의 도입에 따라 어떻게 변화해 왔는가?
• RQ3 최신 자동화된 버그 탐지 도구(퍼저 및 정적 분석)가 대규모 브라우저 소스 기반에서 복잡한 논리 버그를 탐지하는 데 얼마나 성공적인가?
• RQ4 사전 방어 조치는 제로데이 악용에 대해 얼마나 효과적인가? 그리고 공개 이전에 배포가 가능한가?
• RQ5 브라우저 엔진의 동질성이 취약점의 영향을 어떻게 확대시키며, 조율된 패치 적용을 향상시킬 수 있는 아키텍처적 변화는 무엇인가?

주요 결과

• ClusterFuzz와 같은 퍼저 도구는 크롬에서만 29,000개 이상의 버그를 발견했으며, 산업 규모의 퍼저(예: 25,000코어 클러스터)는 학술적 도구보다 뚜렷이 뛰어난 성능을 보였다.
• SYS와 같은 정적 분석 도구는 정적 검사를 통해 고위험 영역을 선별한 후 상징적 실행을 집중적으로 적용함으로써 대규모 브라우저 소스 기반으로도 확장 가능성을 보였다.
• 다양한 발전에도 불구하고, 복잡한 논리 버그를 탐지하기 위해서는 여전히 수동 코드 감사를 대체할 수 없는 자동화 도구의 한계가 드러나, 현재 취약점 탐지의 핵심 격차를 드러냈다.
• 사용자 사이트 분리 기능은 UXSS를 방지하기 위해 설계되었지만, 스펙트르/멜트다운 공격에도 효과를 보였으며, 이는 사전 방어 및 다층 보안 설계의 가치를 입증한다.
• 브라우저 엔진의 동질성(예: V8, JavaScriptCore)은 단일 취약점이 여러 브라우저에 영향을 줄 수 있음을 의미하며, 이는 공유 가능한 패치 가능한 엔진 라이브러리의 필요성을 강조한다.
• 공개 이전에 새로운 완화 조치(예: StructureID 랜덤화)를 고립된 안전한 브라우징 샌드박스에 배포함으로써, 실제 환경에서의 제로데이 악용을 탐지하고 차단할 수 있다.