[论文解读] Automated Password Extraction Attack on Modern Password Managers

Raúl Iván Herrera González, Eric Yawei Chen+1 more|arXiv (Cornell University)|Sep 5, 2013

User Authentication and Security Systems参考文献 7被引用 5

一句话总结

本文提出Lupin，一种基于网络的攻击，通过滥用HTTP到HTTPS重定向以及基于iframe的表单注入，自动提取现代网页浏览器密码管理器保存的密码。该攻击绕过HTTPS加密，可在35秒内从45,000个顶级网站中的28%提取凭据，揭示了浏览器密码管理器启发式机制中的关键漏洞，并倡导采用类似HSTS的防护措施及改进浏览器级别的防御。

ABSTRACT

To encourage users to use stronger and more secure passwords, modern web browsers offer users password management services, allowing users to save previously entered passwords locally onto their hard drives. We present Lupin, a tool that automatically extracts these saved passwords without the user's knowledge. Lupin allows a network adversary to obtain passwords as long as the login form appears on a non-HTTPS page. Unlike existing password sniffing tools, Lupin can obtain passwords for websites users are not visiting. Furthermore, Lupin can extract passwords embedded in login forms with a destination address served in HTTPS. To determine the number of websites vulnerable to our attack, we crawled the top 45,000 most popular websites from Alexa's top website list and discovered that at least 28% of these sites are vulnerable. To further demonstrate the feasibility of our attack, we tested Lupin under controlled conditions using one of the authors' computers. Lupin was able to extract passwords from 1,000 websites in less than 35 seconds. We suggest techniques for web developers to protect their web applications from attack, and we propose alternative designs for a secure password manager.

研究动机与目标

• 识别并利用现代密码管理器在HTTP与HTTPS网页间处理凭据时的关键漏洞。
• 证明网络攻击者可在无需用户交互或直接访问目标网站的情况下自动提取已保存的密码。
• 通过测量该攻击在前45,000个网站上的可扩展性和成功率，评估其真实世界影响。
• 为网页开发者和浏览器厂商提出兼顾可用性与安全性的实用防御措施。

提出的方法

• Lupin通过ARP欺骗将自身定位为受害者的网络网关。
• 它将恶意iframe注入未加密的HTTP响应中，每个iframe指向不同网站的登录表单。
• 当受害者访问HTTP页面时，Lupin会提供一个嵌入JavaScript的虚假登录表单，以捕获自动填充的密码。
• JavaScript代码从浏览器的自动填充机制中提取密码，并将其外泄至攻击者。
• 该攻击利用了从HTTP页面重定向至HTTPS登录页面的常见做法，使其即使在HTTPS保护的网站上也能窃取密码。
• 该工具在受控环境下进行测试，通过测量1,000个网站的性能来验证其速度与可靠性。

实验结果

研究问题

• RQ1 网络攻击者能否在不直接访问目标网站的情况下，自动提取浏览器密码管理器保存的密码？
• RQ2 为何嵌入在HTTP页面中的HTTPS保护登录表单仍易受密码提取攻击？
• RQ3 该自动化密码提取技术在热门网站中所占的百分比是多少？
• RQ4 此类攻击在多个网站上大规模执行时，其执行速度如何？
• RQ5 网页开发者和浏览器厂商可实施哪些防御措施，以在不牺牲可用性的情况下缓解此威胁？

主要发现

• 在受控测试中，Lupin在35秒内成功从1,000个网站提取了密码。
• 在调查的前45,000个网站中，28%因存在从HTTP重定向至HTTPS登录表单的页面而易受此攻击。
• 即使最终的登录表单通过HTTPS提供，该攻击仍可成功，绕过了加密连接的安全性。
• 该漏洞源于密码管理器根据URL来源自动填充表单，且缺乏对目标协议的验证。
• 现有防御措施如禁用自动填充或单独使用HSTS，不足以完全缓解此攻击。
• 提出一种混合防御方案，结合类似HSTS的强制机制与更严格的来源和目标检查，作为开箱即用的安全解决方案。