[論文レビュー] SPRESSO: A Secure, Privacy-Respecting Single Sign-On System for the Web

Daniel Fett, R. Kuesters+1 more|arXiv (Cornell University)|Aug 7, 2015

Advanced Authentication Protocols Security参考文献 19被引用数 11

ひとこと要約

SPRESSOは、ユーザーがどの依頼者（RPs）と認証しているかを身元提供者（IdPs）が学習しないようにする、最初のプライバシー尊重型単一サインオン（SSO）システムである。標準的なHTML5およびウェブ機能のみを用い、ブラウザ拡張機能を必要とせず、モデルベースの形式的セキュリティ解析を通じて強力な認証およびエンドツーエンドのプライバシーを形式的に証明する。これは、OpenID、OAuth、BrowserIDなどの先行システムに見られる深刻な欠陥を是正するものである。

ABSTRACT

Single sign-on (SSO) systems, such as OpenID and OAuth, allow web sites, so-called relying parties (RPs), to delegate user authentication to identity providers (IdPs), such as Facebook or Google. These systems are very popular, as they provide a convenient means for users to log in at RPs and move much of the burden of user authentication from RPs to IdPs. There is, however, a downside to current systems, as they do not respect users' privacy: IdPs learn at which RP a user logs in. With one exception, namely Mozilla's BrowserID system (a.k.a. Mozilla Persona), current SSO systems were not even designed with user privacy in mind. Unfortunately, recently discovered attacks, which exploit design flaws of BrowserID, show that BrowserID does not provide user privacy either. In this paper, we therefore propose the first privacy-respecting SSO system for the web, called SPRESSO (for Secure Privacy-REspecting Single Sign-On). The system is easy to use, decentralized, and platform independent. It is based solely on standard HTML5 and web features and uses no browser extensions, plug-ins, or other executables. Existing SSO systems and the numerous attacks on such systems illustrate that the design of secure SSO systems is highly non-trivial. We therefore also carry out a formal analysis of SPRESSO based on an expressive model of the web in order to formally prove that SPRESSO enjoys strong authentication and privacy properties.

研究の動機と目的

• 既存のSSOシステムにおける深刻なプライバシー欠陥、すなわちIdPがユーザーがどのRPsと認証しているかを学習してしまうという問題を是正すること。
• ブラウザ拡張機能やプラグインに依存しない分散型でプラットフォームに依存しないSSOシステムを設計すること。
• SPRESSOが、誠実だが好奇心をもつ攻撃者および能動的攻撃者に対して、強力な認証およびエンドツーエンドのプライバシーを提供することを形式的に証明すること。
• 最近の実用的攻撃によって破壊された、Mozilla BrowserIDのような先行のプライバシー指向システムにおける根本的な設計欠陥を克服すること。
• 標準的なウェブ技術（HTML5、HTTP、DNSなど）にのみ依存して、形式的検証が可能な実装可能なSSOソリューションを提供すること。

提案手法

• SPRESSOは、暗号的にタグ付けされたアサーションを用いた、新規のチャレンジ・レスポンスメカニズムを採用し、IdPにRPを明らかにせずにユーザーの身元とRPを束ねる。
• クロスオリジン通信、クッキー、DNS解像などのブラウザネイティブ機能を活用し、拡張機能やカスタムクライアントの必要性を回避する。
• ブラウザの状態、ネットワーク通信、攻撃者能力を捉えた形式的ウェブモデルを採用し、現実的な攻撃シナリオをモデル化する。
• RPのアイデンティティをIdPから隠す形式的同値関係に基づく、区別不能性の概念を用いてプライバシー証明を構築する。
• プロセス記法モデルを用いて認証のセキュリティを形式的に検証し、正当なユーザーのみが有効な身元アサーションを生成できることを保証する。
• システム全体が標準的なウェブプロトコルのみを用いて実装されており、既存のウェブインfraに後方互換性を持つように設計されている。

実験結果

リサーチクエスチョン

• RQ1 分散型で標準仕様に基づくSSOシステムを設計でき、身元提供者がユーザーがどの依頼者と認証しているかを学習しないようにできるか？
• RQ2 現実的な脅威モデル下で、そのようなシステムが強力なプライバシーおよび認証保証を形式的に証明できるか？
• RQ3 ブラウザプラグインや拡張機能を必要とせず、標準的なHTML5およびウェブ機能のみを用いて実装できるか？
• RQ4 OpenID、OAuth、BrowserIDの設計欠陥を狙う既知の攻撃に対して、そのシステムが耐性を持つことができるか？
• RQ5 信頼できる第三者に依存せずに、エンドツーエンドのプライバシーを実現できるか？

主な発見

• SPRESSOは、エンドツーエンドのプライバシーを形式的に保証する最初のSSOシステムであり、悪意あるIdPですら、ユーザーがどの依頼者と認証しているかを学習できないことを保証する。
• システムは標準的なウェブ技術（HTML5、HTTP、クッキー、DNS）のみを用いて完全に実装されており、ブラウザやインfraの変更なしに展開可能である。
• 包括的なウェブモデルを用いた形式的検証により、SPRESSOが強力な認証および区別不能性に基づくプライバシー特性を満たしていることが証明された。
• OpenID、OAuth、BrowserIDにおけるアイデンティティの相関攻撃を含む、既知の先行SSOプロトコルの攻撃に対して、システムは耐性を持つ。
• モデルベースの証明により、すべてのネットワークトラフィックを観測し、ブラウザ状態を操作可能な強力な敵対者に対しても、SPRESSOのプライバシーが保たれることを示した。
• 使いやすさを維持しており、ワンクリックログインが可能で、既存のウェブアプリケーションとのシームレスな統合が可能である。