マイクロサービスアーキテクチャにおけるDOM Based XSS攻撃に対するテストベースホワイトリストの有用性

• Item type: Symposium(1)
• 公開日: 2021-10-19
• タイトル: マイクロサービスアーキテクチャにおけるDOM Based XSS攻撃に対するテストベースホワイトリストの有用性
• タイトル / 言語: en
• タイトル: Effectiveness of Examination-Based Whitelist for DOM Based XSS Attacks in Microservice Architectures
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: マイクロサービスアーキテクチャ，マイクロフロントエンド，DOMBasedXSS，テストベースホワイトリスト，セキュリティポリシ
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_5794
• 資源タイプ: conference paper
• 著者所属: 静岡大学
• 著者所属: 静岡大学
• 著者所属: 静岡大学
• 著者所属: 静岡大学
• 著者所属: 静岡大学
• 著者所属: 静岡大学
• 著者所属: 静岡大学
• 著者所属(英): en
• 著者所属(英): Shizuoka University
• 著者所属(英): en
• 著者所属(英): Shizuoka University
• 著者所属(英): en
• 著者所属(英): Shizuoka University
• 著者所属(英): en
• 著者所属(英): Shizuoka University
• 著者所属(英): en
• 著者所属(英): Shizuoka University
• 著者所属(英): en
• 著者所属(英): Shizuoka University
• 著者所属(英): en
• 著者所属(英): Shizuoka University
• 著者名: 井坂, 佑介; 天笠, 智哉; 奥村, 紗名; 佐々木, 葵; 野崎, 真之介; 大木, 哲史; 西垣, 正勝
• 著者名(英): Yusuke, Isaka; Tomoya, Amagasa; Sana, Okumura; Aoi, Sasaki; Shinnosuke, Nozaki; Tetsushi, Ohki; Masakatsu, Nishigaki
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: Web サービスの複雑化に伴い，マイクロサービスアーキテクチャ（MSA）型の Web アプリケーション開発へと移行している．しかし，MSA においては，マイクロサービス同士を組み上げる際に，各マイクロサービスが持つセキュリティポリシによってコンフリクトが発生し得るため，セキュリティバイデザインの実現に課題を抱えている．この課題に対処する方法としては，セキュリティガイドラインの運用によってマイクロサービス間のセキュリティポリシを共通化する方法や，APIGateway によってセキュリティポリシの調停を行う方法が挙げられる．しかし，セキュリティガイドラインの導入は，サービスの開発に注力したい開発者にとって技術的及び作業的負担が大きいという問題がある．また，DOMBasedXSS 攻撃のようにフロントエンドで攻撃が完結するものに対しては，APIGateway での調停が機能しないという問題がある．そこで，本稿では，MSA 型の Web アプリケーションの開発において，テストベースホワイトリストを採用することで，開発テストを通じてマイクロサービス同士の調停を開発者が意識せずに達成することを提案する．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: As the complexity of Web services increases, Web application developments are migrating to microservice architecture (MSA). However, in MSA, the security policies of each microservice may conflict each other when assembling microservices, which poses a challenge in achieving security-by-design. There are two ways to deal with this challenge: one is to standardize security policies among microservices by implementing secure programing guidelines, and the other is to mediate security policies among microservices by using API Gateway. However, the introduction of secure programing guidelines is technically and operationally burdensome for developers. In addition, mediation using the API Gateway doesn't work for attacks that are completed in the front-end, such as DOM Based XSS attacks. Therefore, in this paper, we propose to apply Examination-based Whitelist in the development of MSA-based Web applications, where mediation of conflict in security policies between microservices is achieved through development tests without the developer taking care of it.
• 書誌情報: コンピュータセキュリティシンポジウム2021論文集; p. 1101-1107, 発行日 2021-10-19
• 出版者 / 言語: ja
• 出版者: 情報処理学会