[论文解读] Fidelius: Protecting User Secrets from Compromised Browsers

Saba Eskandarian, Jonathan Cogan+12 more|arXiv (Cornell University)|Sep 13, 2018

Advanced Malware Detection Techniques被引用 3

一句话总结

Fidelius 是一种浏览器安全架构，利用硬件飞地（hardware enclaves）和可信 I/O 通道，保护用户机密信息（如密码和信用卡数据）免受完全被攻陷的浏览器中的恶意软件侵害。通过将敏感输入处理隔离在可信执行环境中，并利用经修改的树莓派设备建立与键盘和显示的可信通道，Fidelius 确保表单数据、JavaScript 执行和网页存储的机密性与完整性，性能开销极低，可信计算基（TCB）也较小。

ABSTRACT

Users regularly enter sensitive data, such as passwords, credit card numbers, or tax information, into the browser window. While modern browsers provide powerful client-side privacy measures to protect this data, none of these defenses prevent a browser compromised by malware from stealing it. In this work, we present Fidelius, a new architecture that uses trusted hardware enclaves integrated into the browser to enable protection of user secrets during web browsing sessions, even if the entire underlying browser and OS are fully controlled by a malicious attacker. Fidelius solves many challenges involved in providing protection for browsers in a fully malicious environment, offering support for integrity and privacy for form data, JavaScript execution, XMLHttpRequests, and protected web storage, while minimizing the TCB. Moreover, interactions between the enclave and the browser, the keyboard, and the display all require new protocols, each with their own security considerations. Finally, Fidelius takes into account UI considerations to ensure a consistent and simple interface for both developers and users. As part of this project, we develop the first open source system that provides a trusted path from input and output peripherals to a hardware enclave with no reliance on additional hypervisor security assumptions. These components may be of independent interest and useful to future projects. We implement and evaluate Fidelius to measure its performance overhead, finding that Fidelius imposes acceptable overhead on page load and user interaction for secured pages and has no impact on pages and page components that do not use its enhanced security features.

研究动机与目标

• 解决在操作系统和浏览器完全被攻陷的情况下，恶意软件可窃取用户输入的机密信息（如密码和信用卡号）这一关键安全缺口。
• 设计一种系统，即使操作系统和浏览器完全被攻击者控制，也能确保表单输入、JavaScript 执行和网络请求的机密性与完整性。
• 在不依赖可能已被攻陷的虚拟机监控器（hypervisor）的前提下，建立从用户输入设备（键盘）和输出设备（显示器）到硬件飞地的可信路径。
• 通过仅将必要功能隔离在飞地中，同时保持完整的网页应用兼容性，最大限度减小可信计算基（TCB）。
• 提供一种实用、开源的解决方案，使开发人员和用户能够在不信任底层操作系统或浏览器栈的前提下，安全地与网页应用交互。

提出的方法

• Fidelius 使用基于 Intel SGX 的硬件飞地，隔离敏感操作，如表单输入处理、JavaScript 执行和数据加密。
• 通过一个经过修改的树莓派 Zero 设备实现到键盘的可信 I/O 通道，建立物理键盘与飞地之间的安全通道，防止操作系统层级的拦截。
• 通过一个树莓派 3 设备建立可信显示通道，将飞地中的可信图像叠加到 HDMI 输出上，确保渲染的用户界面元素不会被恶意软件篡改。
• 系统集成一个轻量级浏览器组件，与飞地安全通信，实现对表单字段、XMLHttpRequest 和网页存储的安全处理。
• 支持在飞地内执行客户端 JavaScript，保留校验和验证和密码强度指示器等功能，同时不暴露敏感数据。
• 该架构确保飞地与用户之间所有交互（输入和输出）均经过密码学认证且防篡改，同时缓解了时序侧信道攻击。

实验结果

研究问题

• RQ1 当操作系统和浏览器均被完全攻陷时，基于硬件飞地的系统能否保护用户机密信息免受恶意软件侵害？
• RQ2 如何在不依赖可信虚拟机监控器的前提下，从物理 I/O 设备（键盘和显示器）到硬件飞地建立可信路径？
• RQ3 将飞地保护机制集成到标准网页应用中时，性能开销如何？是否可接受于实际应用场景？
• RQ4 如何在确保敏感数据保密性的前提下，保留飞地内客户端 JavaScript 的功能？
• RQ5 能否在提供强大安全保证的同时，实现极小的可信计算基，以保障网页输入和输出的安全？

主要发现

• Fidelius 在浏览器完全被攻陷的环境中，成功保护了表单输入、JavaScript 执行、网络请求和本地存储的安全。
• 该系统仅依赖硬件假设和开源的树莓派组件，无需可信虚拟机监控器，即实现了对键盘和显示器的可信 I/O 通道。
• 性能评估表明，Fidelius 对受保护页面的页面加载和用户交互引入了可接受的性能开销，对未受保护页面无明显影响。
• 实现包含一个可运行的原型，支持输入和输出的端到端加密与认证，证明了其在真实场景中的可行性与正确性。
• 系统支持交互式、实时的输入处理与渲染，用户输入无可见延迟，也无侧信道信息泄露。
• Fidelius 的开源发布（含示例代码和视频演示）促进了更广泛的应用，也为可信网页应用安全领域的未来研究提供了基础。