Detailseite
Projekt
Informationsflusskontrolle für Browser Clients
Antragsteller
Deepak Garg, Ph.D.; Professor Dr.-Ing. Christian Hammer
Fachliche Zuordnung
Softwaretechnik und Programmiersprachen
Förderung
Förderung von 2012 bis 2017
Projektkennung
Deutsche Forschungsgemeinschaft (DFG) - Projektnummer 227985203
Moderne Webapplikationen setzen sich oft aus JavaScript zusammen, das aus sich gegenseitig misstrauenden Quellen stammt (z.B. eine vertrauenswürdige Bürosoftware die von nicht vertrauenswürdigen Werbenetzwerken unterstützt wird.) Allerdings unterstützen die derzeitigen Browser nur grobgranulare Isolation von Kode aus unterschiedlichen Quellen, was zu Vertraulichkeits- und Integritätsverletzungen führt, die sich als Internetwürmer und Identitätsdiebstahl manifestieren. Informationsflusskontrolle (IFC) wirkt diesen Gefahren effektive entgegen. Dementsprechend gab es in den letzten 5 Jahren intensive Forschung in IFC für dynamische Sprachen, die JavaScript ähneln. Allerdings ist der Stand der Forschung in diesem Bereich entweder auf Teilmengen von JavaScript beschränkt oder man benötigt zusätzliche Kodeannotationen um impliziten Fluss zu verfolgen.In jüngster Forschung haben wir einen IFC Mechanismus für vollständiges JavaScript entwickelt, der keinerlei Kodeannotationen benötigt, haben die Zwischensprache einer kommerziellen JavaScript Infrastruktur modelliert und bewiesen, dass unsere IFC-Analyse korrekt bezüglich einer Standardsicherheitseigenschaft, Nichtinterferenz, ist. Nachstehend schlagen wir vor diese Forschungsinfrastruktur auf realistische Webapplikationen zu skalieren, die Client-seitige Vertraulichkeits- und Integritätseigenschaften benötigen. Wir planen uns auf zwei Dimensionen zu fokussieren, die entscheidend für realistische Webseiten sind: Freizügigkeit unserer Analyse und Ausdrucksstärke unserer Sicherheitspolicies, insbesondere Policies für Deklassifikationen.Konkret schlagen wir vor die Freizügigkeit unserer existierenden IFC für JavaScript mithilfe von statischen und dynamischen Programmanalysen sowie durch spekulative Ausführung zu verbessern, die dem aktuellen Stand der Forschung entsprechen, und die entsprechenden theoretischen Grundlagen zu verfeinern. Zusätzlich planen wir unseren IFC Mechanismus um neue Industriestandards zu verbessern, wie z.B. persistente Daten von HTML5, die entscheidend für aufkommende Webapplikationen sind. Wir planen auch Deklassifikationspolicies zu integrieren, um Benutzerdaten vor bösartigem JavaScript zu schützen und Daten von Webseiten vor Benutzern zu schützen. Weiterhin werden wir spekulative Ausführung integrieren, die die Freizügigkeit verbessert, elegante Erholung von Policyverletzungen erlaubt und mächtigere Deklassifikationspolicies unterstützt. Schließlich werden wir unser IFC Framework an realistischen Webseiten mithilfe von gezielten Fallstudien evaluieren.
DFG-Verfahren
Schwerpunktprogramme
