2025-11-14T09:58:11.521609

Passwords and FIDO2 Are Meant To Be Secret: A Practical Secure Authentication Channel for Web Browsers

Gautam, Yadav, Smith et al.
Password managers provide significant security benefits to users. However, malicious client-side scripts and browser extensions can steal passwords after the manager has autofilled them into the web page. In this paper, we extend prior work by Stock and Johns, showing how password autofill can be hardened to prevent these local attacks. We implement our design in the Firefox browser and conduct experiments demonstrating that our defense successfully protects passwords from XSS attacks and malicious extensions. We also show that our implementation is compatible with 97% of the Alexa top 1000 websites. Next, we generalize our design, creating a second defense that prevents recently discovered local attacks against the FIDO2 protocols. We implement this second defense into Firefox, demonstrating that it protects the FIDO2 protocol against XSS attacks and malicious extensions. This defense is compatible with all websites, though it does require a small change (2-3 lines) to web servers implementing FIDO2.
academic

पासवर्ड और FIDO2 गोपनीय होने के लिए हैं: वेब ब्राउज़र के लिए एक व्यावहारिक सुरक्षित प्रमाणीकरण चैनल

बुनियादी जानकारी

  • पेपर आईडी: 2509.02289
  • शीर्षक: Passwords and FIDO2 Are Meant To Be Secret: A Practical Secure Authentication Channel for Web Browsers
  • लेखक: Anuj Gautam (टेनेसी विश्वविद्यालय), Tarun Yadav (ब्रिघम यंग विश्वविद्यालय), Garrett Smith (ब्रिघम यंग विश्वविद्यालय), Kent Seamons (ब्रिघम यंग विश्वविद्यालय), Scott Ruoti (टेनेसी विश्वविद्यालय)
  • वर्गीकरण: cs.CR (क्रिप्टोग्राफी और सुरक्षा)
  • प्रकाशन सम्मेलन: CCS '25 (ACM SIGSAC कंप्यूटर और संचार सुरक्षा सम्मेलन)
  • पेपर लिंक: https://arxiv.org/abs/2509.02289

सारांश

पासवर्ड प्रबंधक उपयोगकर्ताओं को महत्वपूर्ण सुरक्षा लाभ प्रदान करते हैं, लेकिन दुर्भावनापूर्ण क्लाइंट स्क्रिप्ट और ब्राउज़र एक्सटेंशन पासवर्ड प्रबंधक द्वारा वेबपेज में स्वतः भरे जाने के बाद पासवर्ड चोरी कर सकते हैं। यह पेपर Stock और Johns के पूर्ववर्ती कार्य को विस्तारित करता है, यह दर्शाता है कि इन स्थानीय हमलों से बचाव के लिए पासवर्ड स्वतः भरण को कैसे मजबूत किया जाए। लेखकों ने Firefox ब्राउज़र में अपने डिज़ाइन को लागू किया है और प्रयोग किए हैं जो साबित करते हैं कि यह बचाव XSS हमलों और दुर्भावनापूर्ण एक्सटेंशन के खतरों से पासवर्ड की सफलतापूर्वक रक्षा करता है। अनुसंधान यह भी दर्शाता है कि यह कार्यान्वयन Alexa के शीर्ष 1000 वेबसाइटों में से 97% के साथ संगत है। इसके अलावा, लेखकों ने डिज़ाइन को सामान्यीकृत किया है, FIDO2 प्रोटोकॉल के विरुद्ध हाल ही में खोजे गए स्थानीय हमलों को रोकने के लिए एक दूसरा बचाव तंत्र बनाया है।

अनुसंधान पृष्ठभूमि और प्रेरणा

मुख्य समस्या

पासवर्ड प्रबंधकों में एक स्पष्ट सुरक्षा खामी है: पासवर्ड ब्राउज़र में स्वतः भरे जाने के बाद और वेबसाइट को भेजे जाने से पहले इस समय अवधि में चोरी होने का खतरा होता है। इसमें निम्नलिखित खतरों से चोरी शामिल है:

  1. वेब ट्रैकर्स: संभवतः अनजाने में पासवर्ड जानकारी एकत्र कर सकते हैं
  2. इंजेक्शन हमले (जैसे XSS): दुर्भावनापूर्ण स्क्रिप्ट सीधे DOM से पासवर्ड पढ़ सकते हैं
  3. दुर्भावनापूर्ण ब्राउज़र एक्सटेंशन: उपयुक्त अनुमतियों वाले एक्सटेंशन वेबपेज सामग्री और नेटवर्क अनुरोधों तक पहुंच सकते हैं
  4. समझौता किए गए JavaScript लाइब्रेरी: आपूर्ति श्रृंखला हमलों से दुर्भावनापूर्ण कोड इंजेक्शन

समस्या की महत्ता

  • ये हमले अपेक्षाकृत सामान्य हैं, अनुसंधान से पता चलता है कि कम से कम 2-3% लोकप्रिय वेबसाइटों में पासवर्ड लीक करने वाले वेब ट्रैकर्स हैं
  • XSS हमले लगातार OWASP द्वारा शीर्ष 10 वेब एप्लिकेशन सुरक्षा जोखिमों के रूप में सूचीबद्ध हैं
  • दुर्भावनापूर्ण ब्राउज़र एक्सटेंशन की समस्या तेजी से बढ़ रही है, Chrome वेब स्टोर में हजारों एक्सटेंशन हैं जिनके पास इस तरह के हमलों के लिए पर्याप्त अनुमतियां हैं

मौजूदा विधियों की सीमाएं

Stock और Johns ने दस साल पहले यादृच्छिक संख्या प्रतिस्थापन पर आधारित एक पासवर्ड सुरक्षा प्रोटोकॉल का प्रस्ताव दिया था, लेकिन यह प्रोटोकॉल आधुनिक ब्राउज़र डिज़ाइन के साथ संगत नहीं है। भले ही उस समय Firefox ब्राउज़र में काम करता था, लेकिन वह जल्द ही संबंधित कार्यक्षमता को हटा दिया गया, जिससे इस प्रोटोकॉल को अपनाने और बाद के अनुसंधान के विकास में बाधा आई।

मुख्य योगदान

  1. यादृच्छिक संख्या-आधारित पासवर्ड प्रतिस्थापन API का कार्यान्वयन: Stock और Johns प्रोटोकॉल के कार्यशील कार्यान्वयन का समर्थन करने के लिए आधुनिक ब्राउज़र को संशोधित करना
  2. खतरे के मॉडल का विस्तार: दुर्भावनापूर्ण ब्राउज़र एक्सटेंशन के खतरों की पहचान करना और समाधान करना जिन्हें मूल प्रोटोकॉल ने विचार नहीं किया था
  3. FIDO2 सुरक्षित चैनल: FIDO2 प्रोटोकॉल को डिज़ाइन को सामान्यीकृत करना, हाल ही में खोजे गए स्थानीय हमलों से बचाव करना
  4. व्यावहारिक तैनाती सत्यापन: Firefox में कार्यान्वयन और मूल्यांकन, 97% मुख्यधारा की वेबसाइटों के साथ संगतता साबित करना

विधि विवरण

कार्य परिभाषा

एक सुरक्षित ब्राउज़र चैनल डिज़ाइन करना जो पासवर्ड प्रबंधक को DOM स्क्रिप्ट या ब्राउज़र एक्सटेंशन को वास्तविक पासवर्ड सामग्री तक पहुंचने दिए बिना वेबसाइट को पासवर्ड सुरक्षित रूप से प्रेषित करने में सक्षम बनाता है।

पासवर्ड सुरक्षा आर्किटेक्चर डिज़ाइन

मुख्य API डिज़ाइन

मौजूदा WebRequest API को विस्तारित करना, नया onRequestCredentials चरण जोड़ना:

onRequestCredentials → onBeforeRequest → onBeforeSendHeaders → onSendHeaders → ...

कार्य प्रवाह

  1. यादृच्छिक संख्या इंजेक्शन: पासवर्ड प्रबंधक वास्तविक पासवर्ड के बजाय वेबपेज में यादृच्छिक पासवर्ड यादृच्छिक संख्या भरता है
  2. कॉलबैक पंजीकरण: साथ ही onRequestCredentials कॉलबैक हैंडलर पंजीकृत करता है
  3. सुरक्षा जांच: पृष्ठ प्रस्तुत करते समय, निम्नलिखित सुरक्षा सत्यापन निष्पादित करता है:
    • जांचता है कि वेबपेज iFrame में प्रदर्शित नहीं है
    • सत्यापित करता है कि प्रस्तुत चैनल सुरक्षित HTTPS कनेक्शन का उपयोग करता है
    • पुष्टि करता है कि origin पासवर्ड प्रबंधक प्रविष्टि से मेल खाता है
    • सत्यापित करता है कि यादृच्छिक संख्या GET पैरामीटर में नहीं है
    • फ़ील्ड नाम की वैधता जांचता है
  4. सुरक्षित प्रतिस्थापन: यदि सत्यापन पास हो जाता है, तो ब्राउज़र FormSubmission ऑब्जेक्ट में यादृच्छिक संख्या को वास्तविक पासवर्ड से प्रतिस्थापित करता है

दुर्भावनापूर्ण एक्सटेंशन की रक्षा के लिए डिज़ाइन

दुर्भावनापूर्ण एक्सटेंशन के खतरे का सामना करने के लिए, दो महत्वपूर्ण संशोधन किए गए हैं:

  1. onRequestCredentials को सभी requestBody तक पहुंचने योग्य चरणों के बाद स्थानांतरित करना
  2. इस चरण में एक्सटेंशन को प्रतिस्थापन से पहले requestBody दिखाना, वास्तविक पासवर्ड को छिपाना

FIDO2 सुरक्षित चैनल डिज़ाइन

खतरे का मॉडल

FIDO2 प्रोटोकॉल दो प्रकार के स्थानीय हमलों का सामना करता है:

  1. DOM मान संशोधन: दुर्भावनापूर्ण JavaScript के माध्यम से webAuthn API कॉल को फिर से लिखना
  2. अनुरोध प्रतिक्रिया अवरोधन: एक्सटेंशन के माध्यम से HTTP अनुरोध और प्रतिक्रिया को अवरोधित करना

सुरक्षा तंत्र

  1. अनुरोध हैंडलिंग: सर्वर वास्तविक FIDO2 पेलोड को webauthn_request हेडर में रखता है, पृष्ठ प्रतिक्रिया में नकली मान होते हैं
  2. हेडर अवरोधन: ब्राउज़र एक्सटेंशन के सुलभ होने से पहले संवेदनशील हेडर को हटाता है
  3. API प्रतिस्थापन: webAuthn API के अंदर नकली मान को वास्तविक मान से प्रतिस्थापित किया जाता है
  4. प्रतिक्रिया सुरक्षा: API रिटर्न मान को नकली मान से प्रतिस्थापित किया जाता है, वास्तविक मान सुरक्षित रूप से संग्रहीत होता है
  5. अंतिम प्रेषण: निर्दिष्ट एंडपॉइंट को अनुरोध भेजते समय, नकली मान को वास्तविक FIDO2 प्रतिक्रिया से प्रतिस्थापित किया जाता है

प्रायोगिक सेटअप

परीक्षण पर्यावरण

  • ब्राउज़र: Mozilla Firefox 107.0 (पासवर्ड सुरक्षा) और 104.0a1 (FIDO2 सुरक्षा)
  • पासवर्ड प्रबंधक: संशोधित Bitwarden
  • परीक्षण वेबसाइटें: Alexa के शीर्ष 1000 वेबसाइटों में से 573 लॉगिन पृष्ठ वाली वेबसाइटें

मूल्यांकन मेट्रिक्स

  1. संगतता: वेबसाइटों का प्रतिशत जो सामान्य रूप से काम करती है
  2. सुरक्षा: DOM और एक्सटेंशन हमलों की रक्षा की प्रभावशीलता
  3. प्रदर्शन ओवरहेड: अनुरोध प्रसंस्करण समय में वृद्धि

तुलना विधि

  • संशोधित Firefox ब्राउज़र के रूप में baseline
  • तुलना के लिए प्रॉक्सी सर्वर का उपयोग करके सभी आउटबाउंड नेटवर्क अनुरोधों को रिकॉर्ड करना

प्रायोगिक परिणाम

मुख्य परिणाम

पासवर्ड सुरक्षा संगतता

  • 97% संगतता: 554/573 वेबसाइटें पूरी तरह संगत हैं
  • 2% आंशिक संगतता: 11/573 वेबसाइटें DOM में पासवर्ड हैश की गणना करने के कारण विफल होती हैं
  • 1% असंगत: 8/573 वेबसाइटें प्रस्तुत करने से पहले पासवर्ड प्रारूप को संशोधित करती हैं

सुरक्षा सत्यापन

  • सभी परीक्षित DOM हमलों (XSS, दुर्भावनापूर्ण JavaScript इंजेक्शन) की सफलतापूर्वक रक्षा करता है
  • webRequest API के माध्यम से पासवर्ड चोरी करने वाले दुर्भावनापूर्ण एक्सटेंशन को प्रभावी रूप से अवरुद्ध करता है
  • प्रतिबिंबित हमले के खतरे की पहचान और रक्षा करता है

प्रदर्शन ओवरहेड

  • प्रतिस्थापन की आवश्यकता होने पर औसत अनुरोध समय: 4.5222 सेकंड
  • प्रतिस्थापन ऑपरेशन समय: 0.443 सेकंड (कुल समय का 10.6%)
  • प्रतिस्थापन की आवश्यकता न होने पर: कोई मापने योग्य प्रदर्शन प्रभाव नहीं

FIDO2 सुरक्षा परिणाम

  • 100% वेबसाइट संगतता (सर्वर-पक्ष 2-3 लाइन कोड संशोधन की आवश्यकता)
  • सभी परीक्षित DOM और एक्सटेंशन हमलों की सफलतापूर्वक रक्षा करता है
  • पूर्ण सत्र जवाबदेही लागू किया है

संबंधित कार्य

पासवर्ड प्रबंधक सुरक्षा अनुसंधान

मौजूदा अनुसंधान मुख्य रूप से पासवर्ड प्रबंधकों की समग्र सुरक्षा पर केंद्रित है, जिसमें शामिल हैं:

  • पासवर्ड पीढ़ी, भंडारण और भरण की सुरक्षा विश्लेषण
  • स्वतः भरण प्रक्रिया में कमजोरियों की पहचान
  • मोबाइल डिवाइस पर पासवर्ड प्रबंधकों की सुरक्षा समस्याएं

ब्राउज़र सुरक्षा तंत्र

संबंधित ब्राउज़र सुरक्षा अनुसंधान में शामिल हैं:

  • समान-मूल नीति और सामग्री सुरक्षा नीति
  • ब्राउज़र एक्सटेंशन अनुमति मॉडल
  • WebAuthn और FIDO2 प्रोटोकॉल सुरक्षा

इस पेपर का योगदान स्थिति

यह पेपर पहली बार Stock और Johns प्रोटोकॉल का कार्यशील कार्यान्वयन प्रदान करता है, दस वर्षों के इस क्षेत्र के अनुसंधान अंतराल को भरता है, और FIDO2 प्रोटोकॉल सुरक्षा तक विस्तारित करता है।

निष्कर्ष और चर्चा

मुख्य निष्कर्ष

  1. व्यावहारिकता का प्रमाण: आधुनिक ब्राउज़र में सुरक्षित पासवर्ड प्रेषण चैनल का सफलतापूर्वक कार्यान्वयन
  2. व्यापक संगतता: अधिकांश मुख्यधारा की वेबसाइटों के साथ संगत, व्यावहारिक तैनाती की व्यवहार्यता अधिक है
  3. सुरक्षा में सुधार: कई स्थानीय हमले के खतरों से प्रभावी रक्षा
  4. विस्तारशीलता: डिज़ाइन अन्य ब्राउज़र-सर्वर इंटरैक्शन की सुरक्षा सुरक्षा के लिए सामान्यीकृत किया जा सकता है

सीमाएं

  1. 3% वेबसाइटें असंगत: मुख्य रूप से क्लाइंट-पक्ष पासवर्ड प्रसंस्करण के कारण
  2. प्रदर्शन ओवरहेड: प्रतिस्थापन ऑपरेशन का कुछ समय लागत है
  3. ब्राउज़र संशोधन आवश्यकता: ब्राउज़र निर्माताओं द्वारा API संशोधन को अपनाने की आवश्यकता है
  4. FIDO2 सर्वर संशोधन: हालांकि छोटा है लेकिन फिर भी सर्वर-पक्ष सहयोग की आवश्यकता है

भविष्य की दिशाएं

  1. संगतता में सुधार: प्रोग्राम विश्लेषण के माध्यम से संबंधित JavaScript को स्वचालित रूप से पहचानना और संभालना
  2. मैनुअल इनपुट तक विस्तार: उपयोगकर्ता द्वारा मैनुअल रूप से दर्ज किए गए पासवर्ड की सुरक्षा करना
  3. हमले का पता लगाना: यादृच्छिक संख्या तंत्र का उपयोग करके हमलों का पता लगाना और रिपोर्ट करना
  4. अन्य API सुरक्षा: डिज़ाइन को क्लिपबोर्ड, फ़ाइल सिस्टम आदि अन्य ब्राउज़र API तक विस्तारित करना

गहन मूल्यांकन

शक्तियां

  1. उच्च व्यावहारिक मूल्य: लाखों पासवर्ड प्रबंधक उपयोगकर्ताओं को प्रभावित करने वाली वास्तविक सुरक्षा समस्या को हल करता है
  2. पूर्ण इंजीनियरिंग कार्यान्वयन: Firefox का पूर्ण कार्यान्वयन और विस्तृत पोर्टिंग गाइड प्रदान करता है
  3. व्यापक मूल्यांकन: सुरक्षा, संगतता और प्रदर्शन का व्यापक मूल्यांकन शामिल है
  4. सैद्धांतिक विस्तार: FIDO2 प्रोटोकॉल को अवधारणा सफलतापूर्वक सामान्यीकृत करता है
  5. उद्योग प्रतिक्रिया: ब्राउज़र निर्माताओं और पासवर्ड प्रबंधक टीमों से सकारात्मक प्रतिक्रिया प्राप्त की है

कमियां

  1. तैनाती चुनौतियां: ब्राउज़र निर्माताओं के सहयोग की आवश्यकता है, प्रचार में अनिश्चितता है
  2. संगतता समस्याएं: अभी भी 3% वेबसाइटों में संगतता समस्याएं हैं
  3. खतरे के मॉडल की सीमा: ऑपरेटिंग सिस्टम-स्तर के हमलों या TLS मध्य-व्यक्ति हमलों से सुरक्षा नहीं करता है
  4. उपयोगकर्ता भ्रम का जोखिम: उपयोगकर्ता प्रदर्शित यादृच्छिक पासवर्ड के बारे में भ्रमित हो सकते हैं

प्रभाव

  1. शैक्षणिक योगदान: दस साल पहले की रुकी हुई अनुसंधान दिशा को पुनः सक्रिय करता है
  2. व्यावहारिक मूल्य: लाखों उपयोगकर्ताओं के लिए तत्काल सुरक्षा सुधार प्रदान करता है
  3. मानकीकरण क्षमता: W3C मानकीकरण के माध्यम से व्यापक अपनाने को बढ़ावा देने की संभावना है
  4. अनुसंधान प्रेरणा: अन्य ब्राउज़र API की सुरक्षा सुरक्षा के लिए डिज़ाइन प्रतिमान प्रदान करता है

लागू परिदृश्य

  1. एंटरप्राइज़ वातावरण: उच्च सुरक्षा आवश्यकताओं वाली एंटरप्राइज़ तैनाती
  2. उच्च-मूल्य खाते: बैंक, सरकार आदि महत्वपूर्ण सेवाओं की प्रमाणीकरण
  3. सुरक्षा-सचेत उपयोगकर्ता: गोपनीयता और सुरक्षा के प्रति उच्च आवश्यकता वाले उपयोगकर्ता समूह
  4. अनुसंधान प्रोटोटाइप: आगे के ब्राउज़र सुरक्षा अनुसंधान के लिए आधार प्लेटफॉर्म

संदर्भ

यह पेपर 47 संबंधित संदर्भों का हवाला देता है, मुख्य रूप से शामिल हैं:

  • Stock और Johns के मूल यादृच्छिक संख्या प्रतिस्थापन प्रोटोकॉल पेपर
  • पासवर्ड प्रबंधक सुरक्षा विश्लेषण से संबंधित अनुसंधान
  • ब्राउज़र एक्सटेंशन सुरक्षा खतरों का अनुभवजन्य अनुसंधान
  • FIDO2 प्रोटोकॉल सुरक्षा विश्लेषण साहित्य
  • वेब ट्रैकर्स और XSS हमलों की वर्तमान स्थिति अनुसंधान

समग्र मूल्यांकन: यह एक महत्वपूर्ण व्यावहारिक मूल्य वाला प्रणाली सुरक्षा पेपर है, जो सैद्धांतिक डिज़ाइन को कार्यशील प्रोटोटाइप सिस्टम में सफलतापूर्वक परिवर्तित करता है, और व्यापक प्रयोगों के माध्यम से इसकी प्रभावशीलता को सत्यापित करता है। पेपर न केवल वास्तविक दुनिया की महत्वपूर्ण सुरक्षा समस्या को हल करता है, बल्कि भविष्य के अनुसंधान के लिए नई दिशाएं भी खोलता है। हालांकि तैनाती और संगतता के पहलुओं में अभी भी चुनौतियां हैं, लेकिन इसके तकनीकी योगदान और व्यावहारिक मूल्य इसे ब्राउज़र सुरक्षा क्षेत्र में एक महत्वपूर्ण प्रगति बनाते हैं।