動的情報フロー追跡を用いた反射型XSSの検出

• Item type: SIG Technical Reports(1)
• 公開日: 2019-06-04
• タイトル: 動的情報フロー追跡を用いた反射型XSSの検出
• タイトル / 言語: en
• タイトル: Detection of Reflected XSS by Using Dynamic Information Flow Tracking
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: セキュリティ・高信頼技術
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_18gh
• 資源タイプ: technical report
• 著者所属: 東京大学
• 著者所属: 東京大学
• 著者所属: 東京大学
• 著者所属(英): en
• 著者所属(英): The University of Tokyo
• 著者所属(英): en
• 著者所属(英): The University of Tokyo
• 著者所属(英): en
• 著者所属(英): The University of Tokyo
• 著者名: 塚本, 駿佑; 坂井, 修一; 入江, 英嗣
• 著者名(英): Shunsuke, Tsukamoto; Shuichi, Sakai; Hidetsugu, Irie
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: XSS Auditor に代表される XSS フィルタリング機能は反射型 XSS 攻撃をクライアントサイドで検出する機能だが，文字列比較による既存の検出アルゴリズムでは偽陽性誤検出を防げず，この誤検出による特有の脆弱性が存在する．つまり，XSS Auditor のブラウザヘの実装は，反射型 XSS への耐性を強化する一方で，Universal XSS や情報窃取といった別の種類の攻撃の要因となる．偽陽性誤検出の原因はサーバでどのようにデータが使われるのかをクライアントが知ることができないことである．そこで，本論文ではサーバでのデータの流れを追跡し結果をクライアントに伝達することによって，原理的に偽陽性誤検出が発生せず，それに起因する特有の脆弱性を持たない反射型 XSS の検出手法を提案する．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: XSS Auditor is a system that detects reflected XSS attacks in the client side. While it enhances resistance against reflected XSS, it also causes other types of security vulnerability, such as Universal XSS or information leak, because of false positives that structurally cannot be avoided. This article proposes a system that detects reflected XSS with almost no false positives. It is achieved by the server application to track the flow of data which is sent from the client and feed back the result to the client. The experiment shows that the proposed method is able to detect reflected XSS attacks at the same accuracy as the existing system without false positives.
• 書誌レコードID / 収録物識別子タイプ: NCID
• 書誌レコードID / 収録物識別子: AN10096105
• 書誌情報: 研究報告システム・アーキテクチャ（ARC）; 巻 2019-ARC-236, 号 15, p. 1-6, 発行日 2019-06-04
• ISSN / 収録物識別子タイプ: ISSN
• ISSN / 収録物識別子: 2188-8574
• Notice: SIG Technical Reports are nonrefereed and hence may later appear in any journals, conferences, symposia, etc.
• 出版者 / 言語: ja
• 出版者: 情報処理学会