[论文解读] Server Location Verification and Server Location Pinning: Augmenting TLS Authentication

AbdelRahman Abdou, Paul C. van Oorschot|arXiv (Cornell University)|Aug 13, 2016

Spam and Phishing Detection参考文献 27被引用 4

一句话总结

本文提出服务器位置验证（SLV），一种基于测量的实时机制，用于验证网页服务器的地理位置，通过使浏览器能够验证服务器的接近程度，从而增强TLS认证。该研究提出服务器位置绑定作为补充技术，显著提高对中间人攻击的抵抗力，且无需服务器端更改，并通过浏览器扩展和PlanetLab评估验证了其可行性。

ABSTRACT

We introduce the first known mechanism providing realtime server location verification. Its uses include enhancing server authentication (e.g., augmenting TLS) by enabling browsers to automatically interpret server location information. We describe the design of this new measurement-based technique, Server Location Verification (SLV), and evaluate it using PlanetLab. We explain how SLV is compatible with the increasing trends of geographically distributed content dissemination over the Internet, without causing any new interoperability conflicts. Additionally, we introduce the notion of (verifiable) "server location pinning" within TLS (conceptually similar to certificate pinning) to support SLV, and evaluate their combined impact using a server-authentication evaluation framework. The results affirm the addition of new security benefits to the existing SSL/TLS-based authentication mechanisms. We implement SLV through a location verification service, the simplest version of which requires no server-side changes. We also implement a simple browser extension that interacts seamlessly with the verification infrastructure to obtain realtime server location-verification results.

研究动机与目标

• 解决Web认证中缺乏实时、抗对抗性服务器位置验证的问题。
• 通过将物理地理位置作为信任因素，增强基于TLS的服务器认证。
• 设计一种与现代内容分发模型（包括CDN和地理分布服务器）兼容的机制。
• 在无需服务器端修改的情况下，实现在浏览器级别对服务器位置的验证。
• 提出并评估服务器位置绑定，作为证书绑定的并行机制，以提高对伪装攻击的抵抗能力。

提出的方法

• SLV使用分布式的验证者网络，从多个地理位置对目标服务器执行网络测量（例如，往返时间）。
• 系统通过分析来自多个验证者的基于时间的距离估算，验证服务器所声称地理位置的合理性。
• 该方法利用既有的基于网络延迟的地理定位原理，但通过多路径探测和一致性检查，增强了对抗性鲁棒性。
• 浏览器扩展与位置验证服务交互，以获取并显示实时的服务器位置验证结果。
• 提出服务器位置绑定机制，类比于证书绑定，允许客户端强制执行受信任物理服务器位置的白名单。
• 该方法设计为无需服务器端更改即可部署，仅依赖客户端扩展和公共验证基础设施。

实验结果

研究问题

• RQ1 是否可以在不修改Web服务器的前提下，实现无需服务器端更改的实时、抗对抗性服务器位置验证？
• RQ2 如何将服务器位置验证集成到现有的TLS认证工作流中以提升安全性？
• RQ3 SLV在多大程度上降低了中间人攻击的成功率，特别是涉及伪造证书或网络钓鱼的攻击？
• RQ4 位置绑定能否以类比于证书绑定的方式被有效建模和部署？
• RQ5 SLV在包含多个地理分散端点的真实分布式内容分发环境中表现如何？

主要发现

• SLV仅通过客户端扩展和公共验证服务，无需服务器端修改，即可实时验证Web服务器的地理位置。
• 该机制对常见位置欺骗攻击（如IP地址伪造）具有鲁棒性，因其依赖多路径时间测量，而非IP地理定位数据库。
• 在PlanetLab基础设施上的评估证实，SLV在真实网络条件下能够准确验证服务器位置。
• 服务器位置绑定提供了一种实用机制，可将域名绑定到一组受信任的地理位置，从而提升对基于位置伪装攻击的检测能力。
• 该方法与现代内容分发模型兼容，包括CDN和负载均衡架构，其中内容可能从多个物理位置提供。
• 结果表明，SLV通过引入可验证的物理位置作为信任因素，为TLS认证增加了有意义的新维度。