[论文解读] WPSE: Fortifying Web Protocols via Browser-Side Security Monitoring

Stefano Calzavara, Riccardo Focardi+4 more|arXiv (Cornell University)|Jun 24, 2018

Network Security and Intrusion Detection被引用 12

一句话总结

WPSE 是一种浏览器端安全监控工具，通过形式化指定并运行时强制执行安全策略，确保 OAuth 2.0 和 SAML 2.0 等网络协议的正确协议流程、机密性和完整性。它在实际部署的 90 个 OAuth 2.0 实现中检测到 55 个（61.1%）存在漏洞的实现，包括由跟踪库引入的严重缺陷，并在 Google 的 SAML 2.0 实现中发现了一项新型漏洞。

ABSTRACT

We present WPSE, a browser-side security monitor for web protocols designed to ensure compliance with the intended protocol flow, as well as confidentiality and integrity properties of messages. We formally prove that WPSE is expressive enough to protect web applications from a wide range of protocol implementation bugs and web attacks. We discuss concrete examples of attacks which can be prevented by WPSE on OAuth 2.0 and SAML 2.0, including a novel attack on the Google implementation of SAML 2.0 which we discovered by formalizing the protocol specification in WPSE. Moreover, we use WPSE to carry out an extensive experimental evaluation of OAuth 2.0 in the wild. Out of 90 tested websites, we identify security flaws in 55 websites (61.1%), including new critical vulnerabilities introduced by tracking libraries such as Facebook Pixel, all of which fixable by WPSE. Finally, we show that WPSE works flawlessly on 83 websites (92.2%), with the 7 compatibility issues being caused by custom implementations deviating from the OAuth 2.0 specification, one of which introducing a critical vulnerability.

研究动机与目标

• 为解决浏览器端协议执行不可预测性带来的安全风险，即浏览器缺乏对协议语义的认知。
• 形式化并强制执行三项核心浏览器端安全属性：协议流程合规性、消息机密性和消息完整性。
• 提供一种实用且向后兼容的浏览器扩展，统一强制执行网站间协议规范，而无需破坏现有功能。
• 通过大规模实证评估，在 OAuth 2.0 和 SAML 2.0 部署中检测真实世界漏洞。
• 证明浏览器端协议监控作为可扩展防御机制，应对常见网络协议攻击的可行性和影响力。

提出的方法

• WPSE 使用安全自动机模型形式化指定网络协议规范，以捕获预期的控制流、消息机密性和完整性。
• 监控器通过分析浏览器请求序列，在运行时强制执行这些属性，并检测与指定协议行为的偏差。
• 该方法实现为 Google Chrome 扩展，可在无需修改网站或服务器端基础设施的情况下进行部署。
• 该方法使用协议规范的静态分析生成有限状态监控器，实时检查浏览器行为。
• 安全策略以从协议语义派生的状态机形式表达，从而检测诸如令牌泄露或错误重定向序列等异常行为。
• 该系统在 90 个真实 OAuth 2.0 网站上进行了评估，并对 SAML 2.0 进行了额外的形式化和测试，以发现新漏洞。

实验结果

研究问题

• RQ1 浏览器端运行时监控能否检测并防止广泛部署的网络协议（如 OAuth 2.0 和 SAML 2.0）中的实际协议实现错误？
• RQ2 在浏览器行为而非协议本身存在缺陷的情况下，形式化协议规范在浏览器监控中能多大程度上防止攻击？
• RQ3 浏览器端安全监控与现有网络应用（尤其是非合规或自定义实现）的兼容性如何？
• RQ4 此类监控能否发现生产系统中此前未知的漏洞，包括 Google 等主要提供商的系统？
• RQ5 在大规模部署中，浏览器端安全监控的实际可行性及其性能影响如何？

主要发现

• WPSE 在测试的 90 个 OAuth 2.0 网站中检测到 55 个（61.1%）存在安全缺陷，包括由第三方跟踪库（如 Facebook Pixel）引入的严重漏洞。
• 该监控在 90 个网站中的 83 个（92.2%）上运行正确，其余 7 个兼容性问题源于非合规的自定义实现，其中一项包含严重漏洞。
• 通过在 WPSE 中形式化 SAML 2.0 规范，作者发现了一项针对 Google SAML 2.0 实现的新攻击，该漏洞已获得 Google 漏洞奖励计划的奖励。
• 该方法兼具实用性和有效性：在不破坏现有功能的前提下强制执行安全策略，并可作为浏览器扩展进行部署。
• 研究结果表明，浏览器端监控可防止因浏览器误操作引发的广泛攻击类别，例如通过 Referer 头部泄露令牌或开放重定向攻击。
• 结果表明，形式化且由浏览器强制执行的协议规范可作为跨多个网站和协议的可扩展、可重用的防御机制。