Secure Session Protocol - Concept and Implementation of a Protocol to Securely Operate Web Applications

The importance of web services has steadily increased over the last couple of years. Furthermore, web services have often the requirement to be usable on any device, including standalone computer as well as mobile devices like smartphones and tablets. With the development of advanced web technologies, even more applications are realized as web services. This also includes web services that process sensitive data. Therefore, these web services are a profitable target for adversaries to steal sensitive data of users using the web service. The used attacks are become more complex and often using a combination of several security vulnerabilities to successfully break into the system. On the other hand, new web security techniques are introduced to mitigate upcoming attacks by adversaries. However, a proper client-side security is not deployed as of today. This work Secure Session Protocol Concept and Implementation of a Protocol to Securely Operate Web Applications, describes an advanced security concept, which provides web services a mechanism to increase the client-side security and therefore the overall security of the used web service. The presented concept discusses the Secure Session Protocol, which enables the web service to enforce security properties on the client-side. Together with a trustworthy partner of the web service on the client-side, the so called Secure Session Protocol Extension(SSP-Extension), the web service creates a Secure Session at the client-browser. The security properties of the Secure Session are based on correct information collected by the SSP-Extension beforehand. In order to securely exchange Secure Session Protocol related information, the web service and the SSP-Extension are using a covert channel. This channel is secured through the Secure Session Key. Together with the HTTPS certificate of the web service, the protocol provides mutual identification. Finally, we show an example implementation of the Secure Session Protocol. Kurzfassung Aktuelle Web Browser und damit auch Web Anwendungen gewinnen immer mehr an Bedeutung. Die geforderte Nutzbarkeit aller Anwendungen auf mobilen und stationären Endgeräten führt dazu, dass immer mehr Anwendungsfälle vom klassischen Programm in das Internet wandern. Die Komplexität der Anwendungen, die abgebildet werden muss, steigt stetig. Zusätzlich dazu erhöht sich auch der Anteil an Web Anwendungen, welcher sensitive Daten verarbeitet. Als Folge daraus steigt das Interesse eines Angreifers Schwachstellen einer Anwendung auszunutzen, um an sensitive Daten zu gelangen. Man kann beobachten, dass einige Schwachstellen sehr lange bekannt sind und andere durch sehr komplexe Konstellationen erst geöffnet werden. Aktuell gibt es für die meisten Probleme eine Lösung, allerdings sind diese oft nicht effektiv eingesetzt um alle Gefahren sicher abwehren zu können. Sicherheitsgarantien für den Betreiber einer Web Anwendung gibt es im Allgemeinen nicht. Die Arbeit „Secure Session Protocol Konzept und Implementierung eines Protokolls zum sicheren Betrieb von Web Anwendungen“ stellt ein erweitertes Sicherheitskonzept für Web Anwendungen vor, welches den Browser gegen clientseitige Angriffe besser schützen soll und der Web Anwendungen die Möglichkeit gibt, die Umgebung auf der Clientseite besser zu kontrollieren. Dem Provider der Web Anwendung wird durch das „Secure Session Protocol“ ein Mechanismus vorgestellt, der es ermöglicht, Web Sicherheitskonzepte innerhalb des Client-Browsers sichergestellt umzusetzen. Dazu wird eine sogenannte „Secure Session“ zwischen der Web Anwendung und dem Browser des Nutzers aufgebaut, welche alle Sicherheitsanforderungen des Providers der Web Anwendung erfüllt. Die Sicherheitsanforderungen werden anhand von authentischen Informationen über den Client-Browser erstellt. Dazu wird eine Erweiterung innerhalb des ClientBrowsers verwendet, welche als vertrauenswürdiger Partner der Web Anwendung auf der Seite des Nutzers agiert und dafür sorgt, dass alle Regeln der „Secure Session“ während der Nutzung der Web Anwendung aktiv sind. Dazu verwendet die Erweiterung und die Web Anwendung einen separaten verschlüsselten Kanal, welcher durch den „Secure Session Key“ abgesichert wird. Zusammen mit dem HTTPS Protokoll wird dadurch zusätzlich eine beidseitige Identifizierung ermöglicht. Die folgende Arbeit stellt das gesamte Konzept des „Secure Session Protocols“ vor und zeigt anhand einer beispielhaften Implementierung grundlegende Sicherheitskonzepte des Protokolls.