Mir：针对JavaScript中动态库妥协的自动化可量化权限缩减
密码学与安全
2021-01-05 v2
摘要
第三方库简化了大规模软件系统的开发。然而，它们通常拥有远超完成任务所需的大量权限。即便这些库并非主动恶意，该额外权限也常在运行时通过动态妥协被利用。Mir通过引入库边界处的细粒度读-写-执行(RWX)权限模型来解决此问题。所导入库的每个字段都受一组权限管理，开发者可在导入库时表达这些权限。为了在程序执行期间强制实施这些权限，Mir对库及其上下文进行转换以添加运行时检查。由于权限可能使开发者不堪重负，Mir的权限推断通过分析库被其使用者使用的方式来生成默认权限。应用于50个流行库时，Mir的JavaScript原型表明RWX权限模型兼具简洁与强大：其足够简洁以自动推断99.33%所需权限，足够表达以防御16种真实威胁，足够高效以用于实践(1.93%开销)，并实现了一种新颖的权限缩减量化。
引用
@article{arxiv.2011.00253,
title = {Mir: Automated Quantifiable Privilege Reduction Against Dynamic Library Compromise in JavaScript},
author = {Nikos Vasilakis and Cristian-Alexandru Staicu and Grigoris Ntousakis and Konstantinos Kallas and Ben Karel and André DeHon and Michael Pradel},
journal= {arXiv preprint arXiv:2011.00253},
year = {2021}
}