Trusted Computing Sicherheit für Webbrowser

Webbrowser gehören zu den wichtigsten und meistgenutzten Softwareprodukten. Durch das rasante Wachstum des World Wide Webs und den vielfältigen Technologien, die damit verbunden sind, müssen moderne Webbrowser in der Lage sein, mit der Komplexität der Aufgaben umzugehen. In Zeiten, in denen immer öfter von Datenskandalen zu hören ist, gehört es zu den wichtigsten Aufgaben eines Browsers, benutzerbezogene Credentials wie Passwörter angemessen zu schützen. Die Schutzmechanismen der meisten Webbrowser basieren auf Software-Sicherheitsmodulen. Auch wenn die verwendeten kryptographischen Algorithmen stark sind, so sind solche Module dennoch angreifbar. Eine Reihe von Angriffen auf diese Systeme zeigen, dass eine Entwendung von geheimem Datenmaterial ohne großen Aufwand möglich ist. Auf der anderen Seite bieten Trusted Computing Plattformen viele neue Möglichkeiten, sensibles Datenmaterial sicher zu speichern. Durch den Aufbau einer geschützten Schlüsselhierarchie mit Hilfe des Trusted Platform Moduls (TPM) haben Anwendungen wie Webbrowser die Möglichkeit ihre Daten hardwarebasiert zu schützen. In dieser Arbeit wird eine Architektur vorgestellt, wie dies realisiert werden kann. Der Hauptteil der Architektur ist ein zentrales Schlüssel- und Credential-Management, das Anwendungen über eine Schnittstelle die Funktionalitäten des TPM zur Verfügung stellt. Sie können sich TPM-Schlüssel erzeugen und ihre Daten mit diesen verschlüsseln lassen. Von diesen Möglichkeiten kann ein Webbrowser Gebrauch machen, um Credentials besser zu schützen. In Form einer Browser-Erweiterung wird gezeigt, wie die Sicherheit des Credential-Managements von Mozilla Firefox erhöht werden kann. Im Vergleich zu softwarebasierten Lösungen ist es bei der vorgestellten TPM-basierten Lösung schwieriger, unauthorisiert an geheimes Datenmaterial zu kommen. Zudem kann die Lösung in bestehende Systeme integriert werden und kann für diese als sinnvolle Erweiterung dienen.

Today, web browsers are one of the most used software products. As a consequence of the rapid growth of the world wide web, it's the web browser which has to get on with a never ending variety of web technologies. In times where privacy in the web is getting more and more in focus, developers of web browsers are concentrating on security and privacy features. There are a lot of different user credentials that must be protected. A common way of how this protection is implemented is the usage of software based security modules. However, a series of simple attacks show that these protection mechanisms are not adequate. The manipulation of these modules and the revealement of secret data is effortless. On the other hand Trusted Computing offers new ways for the secure storage of secret data. Based on the TPM, a protected key hierarchy can be built. If provided to applications, TPM functionalities can be used by them to store their secret data in a more secure way. In this thesis an architecture is presented which shows how these facilities can be brought to web browsers. As the main part of the architecture, a trusted key and credential management service implements functionalities that can be used by other applications to utilize the TPM services and the protected storage facilities. It is shown how these functionalities can be used by a browser extension to protect the user credentials. Through the basis on a hardware module and its shielded locations, the data is protected in a more secure and less vulnerable way.