[論文レビュー] A Survey on Cross-Site Scripting Attacks

Joaquín García-Alfaro, Guillermo Navarro‐Arribas|ArXiv.org|May 29, 2009

Web Application Security Vulnerabilities参考文献 23被引用数 15

ひとこと要約

この論文はクロスサイトスクリプティング（XSS）攻撃を調査し、恒久的（ストレージ済み）と非恒久的（反映型）のタイプに分類し、入力フィルタリング、スクリプト分析、ブラウザベースの強制実行といった既存の予防技術を評価している。現在のアプローチの限界を特定し、XACMLとセキュアなトランスポートを用いたポリシー駆動型、サーバー配備型、ブラウザ強制型メカニズムの導入を提唱することで、セキュリティと使いやすさの向上を図っている。

ABSTRACT

Web applications are becoming truly pervasive in all kinds of business models and organizations. Today, most critical systems such as those related to health care, banking, or even emergency response, are relying on these applications. They must therefore include, in addition to the expected value offered to their users, reliable mechanisms to ensure their security. In this paper, we focus on the specific problem of cross-site scripting attacks against web applications. We present a study of this kind of attacks, and survey current approaches for their prevention. Applicability and limitations of each proposal are also discussed.

研究の動機と目的

• 現代のWebアプリケーションにおけるクロスサイトスクリプティング（XSS）攻撃が引き起こすセキュリティリスクを分析すること。
• 入力フィルタリング、スクリプト分析、ブラウザレベルの強制実行を含む、既存の予防メカニズムを調査・評価すること。
• バイトスルー性、複雑さ、使いやすさの問題といった、現在のアプローチの限界を特定すること。
• サーバーサイドでの定義とクライアントサイドでの強制を統合した、包括的でポリシー駆動型のアプローチを提唱し、XSSの強固な緩和を図ること。
• Webアプリケーション全体にわたるXSS保護を標準的かつ安全かつスケーラブルに展開するための方法を提唱すること。

提案手法

• 実際の攻撃シナリオを用いて、XSS攻撃を恒久的（ストレージ済み）と非恒久的（反映型）のタイプに分類する。
• 既存の防御技術を分析：入力フィルタリング、静的／動的スクリプト分析、およびブラウザでのランタイム強制。
• 特にホワイトリストとサンドボックスメカニズムを用いたポリシー駆動型強制モデルを評価する。
• XACMLを用いて許可される動作を定義する、サーバーに配備されたクライアント強制型ポリシーシステムを提唱する。
• X.509証明書とSSL/TLSを統合し、サーバーとブラウザ間での安全なポリシー交換を実現する。
• 意味的豊富なポリシーランゲージとクライアント・サーバー部品間の安全な認証の必要性を強調する。

実験結果

リサーチクエスチョン

• RQ1 現代のWebアプリケーションにおけるクロスサイトスクリプティング攻撃の主なタイプと特徴は何か？
• RQ2 入力フィルタリング、スクリプト分析、ブラウザ強制といった現在の予防メカニズムは、XSSの緩和においてどれほど効果的か？
• RQ3 セキュリティ、スケーラビリティ、使いやすさの観点から、既存のXSS緩和技術の主な限界は何か？
• RQ4 ポリシー駆動型強制モデルは、WebアプリケーションにおけるXSS保護のセキュリティと信頼性をどのように向上させ得るか？
• RQ5 クライアント・サーバー境界を越えてXSS保護ポリシーを安全に展開・強制するために、必要なアーキテクチャ的およびプロトコルレベルのメカニズムは何か？

主な発見

• 恒久的XSS攻撃は、悪意あるスクリプトがサーバーに保存され、影響を受けるコンテンツを閲覧する全ユーザーに対して実行されるため、特に危険である。
• 非恒久的XSS攻撃は、Webの応答に入力を反映させる仕組みを悪用し、通常はURLパラメータを通じて発生し、セッションハイジャックやデータ漏洩を引き起こす可能性がある。
• 入力検証の不十分さと文脈認識の欠如により、熟練した攻撃者によって既存のフィルタリングや分析技術はしばしば回避可能である。
• ブラウザベースの強制メカニズムは効果的であるが、サーバーサイドのポリシーと連携が不十分であり、複雑なアプリケーション動作への対応が不十分である。
• XACMLとセキュアなトランスポート（SSL/TLSとX.509）を組み合わせたポリシー駆動型強制は、スケーラブルで安全かつ管理可能なXSS保護への有望な道筋を示している。
• 現在のソリューションは、高コストの複雑さ、使い勝手の制限、ポリシー定義における意味的表現力の不足のため、実世界での展開にはまだ十分に成熟していない。