[论文解读] Prime+Probe 1, JavaScript 0: Overcoming Browser-based Side-Channel Defenses

Anatoly Shusterman, Ayush Agarwal+4 more|arXiv (Cornell University)|Mar 8, 2021

Security and Verification in Computing参考文献 36被引用 4

一句话总结

本论文展示了首个完全以CSS和HTML实现的浏览器端侧信道攻击，无需依赖JavaScript，可绕过基于JavaScript的防御机制（包括完全的脚本阻止）。该攻击实现了跨Intel、AMD、Apple M1和三星Exynos芯片的架构无关缓存型网站指纹识别，准确率高，可绕过Chrome Zero、DeterFox和Tor浏览器的保护机制。

ABSTRACT

The "eternal war in cache" has reached browsers, with multiple cache-based side-channel attacks and countermeasures being suggested. A common approach for countermeasures is to disable or restrict JavaScript features deemed essential for carrying out attacks. To assess the effectiveness of this approach, in this work we seek to identify those JavaScript features which are essential for carrying out a cache-based attack. We develop a sequence of attacks with progressively decreasing dependency on JavaScript features, culminating in the first browser-based side-channel attack which is constructed entirely from Cascading Style Sheets (CSS) and HTML, and works even when script execution is completely blocked. We then show that avoiding JavaScript features makes our techniques architecturally agnostic, resulting in microarchitectural website fingerprinting attacks that work across hardware platforms including Intel Core, AMD Ryzen, Samsung Exynos, and Apple M1 architectures. As a final contribution, we evaluate our techniques in hardened browser environments including the Tor browser, Deter-Fox (Cao el al., CCS 2017), and Chrome Zero (Schwartz et al., NDSS 2018). We confirm that none of these approaches completely defend against our attacks. We further argue that the protections of Chrome Zero need to be more comprehensively applied, and that the performance and user experience of Chrome Zero will be severely degraded if this approach is taken.

研究动机与目标

• 确定微架构侧信道攻击所需的最低浏览器功能。
• 评估Chrome Zero、DeterFox和Tor浏览器等浏览器端防御机制在防范此类攻击方面的有效性。
• 开发一种与硬件特定微架构细节无关的侧信道技术。
• 证明即使完全禁用JavaScript，缓存型侧信道信息泄露依然存在。

提出的方法

• 通过CSS过渡和外部DNS服务器的基于时间的探测，实现CSS Prime+Probe攻击。
• 使用协作的DNS服务器远程测量探测延迟，避免依赖JavaScript计时器。
• 采用基于字符串的编码方案（String和Sock），通过DNS查询传输探测结果。
• 通过分析不同网站的探测延迟分布，实现网站指纹识别。
• 在多种架构上验证了攻击效果：Intel Core、AMD Ryzen、Apple M1和Samsung Exynos。
• 使用受控的追踪数据集，评估了攻击在Chrome Zero、DeterFox和Tor浏览器等强化浏览器环境下的鲁棒性。

实验结果

研究问题

• RQ1 当JavaScript完全禁用时，是否仍可在浏览器中实施微架构侧信道攻击？
• RQ2 哪些浏览器功能是侧信道攻击所必需的，哪些可以被消除？
• RQ3 是否可以实现跨多种CPU微架构的架构无关侧信道攻击？
• RQ4 Chrome Zero、DeterFox和Tor浏览器等强化浏览器环境是否能有效阻止此类攻击？
• RQ5 是否可能仅使用CSS和HTML实现网站指纹识别，而无需任何JavaScript？

主要发现

• CSS Prime+Probe攻击在完全无JavaScript环境下成功实现侧信道信息泄露，在DeterFox上达到Top-1准确率66%和Top-5准确率88%。
• 在Tor浏览器上，攻击达到Top-1准确率20%和Top-5准确率49%，显著高于基线水平（1%和5%）。
• 该攻击在Apple M1、AMD Ryzen、Samsung Exynos和Intel Core处理器上均有效，无需任何硬件特定修改。
• Chrome Zero的计时器限制未能阻止攻击，因为该技术完全绕过了JavaScript计时API。
• DeterFox的确定性计时模型未能阻止攻击，因为时间测量发生在外部DNS层面。
• 本研究证实，当微架构资源共享持续存在时，当前浏览器端防护措施不足以防止侧信道信息泄露。