マイクロフロントエンドにおけるDOM Based XSS攻撃に対するテストベースホワイトリストの有用性

DOI 機関リポジトリ 情報処理学会

書誌事項

タイトル別名
  • Effectiveness of Examination-based Whitelist for DOM Based XSS Attacks in Micro Front-end

この論文をさがす

説明

Webサービスの複雑化にともない，マイクロフロントエンド（MFE）型のWebアプリケーション開発へと移行している．しかし，MFEにおいては，マイクロサービスどうしを組み上げる際に，各マイクロサービス間でセキュリティポリシのコンフリクトが発生しうる．この課題に対処する方法としては，セキュアプログラミングガイドラインの運用によってマイクロサービス間のセキュリティポリシを共通化する方法や，API Gatewayによってセキュリティポリシの調停を行う方法があげられる．しかし，セキュアプログラミングガイドラインの導入は，サービスの開発に注力したい開発者にとって技術的・作業的負担が大きいという問題がある．また，DOM Based XSS攻撃のようにフロントエンドで攻撃が完結するものに対しては，API Gatewayでの調停が機能しないという問題がある．そこで本論文では，MFE型Webアプリケーションに対し，テストベースホワイトリストを利用したセキュリティ機構を採用することを提案する．提案方式により，既存のマイクロサービスの再利用性を高めつつ，MFE型WebアプリケーションのDOM Based XSS対策を達成する．

As the complexity of Web services increases, Web application developments are migrating to Micro Front-end (MFE). However, in MFE, the security policies of each microservice may conflict each other when assembling microservices. There are two ways to deal with this challenge: one is to standardize security policies among microservices by implementing secure programing guidelines, and the other is to mediate security policies among microservices by using API Gateway. However, the introduction of secure programing guidelines is technically and operationally burdensome for developers who want to focus on service design. In addition, mediation using the API Gateway does not work for attacks that are completed in the front-end, such as DOM Based XSS attacks. Therefore, in this paper, we propose to adopt a security mechanism using a test-based whitelist for MFE Web applications. The proposed scheme achieves DOM Based XSS attacks countermeasures for MFE Web applications while enhancing the reusability of existing microservices.

収録刊行物

キーワード

詳細情報 詳細情報について

問題の指摘

ページトップへ