Seguridad en JavaScript a través de reescritura de código

Abstract

Debido al crecimiento de la complejidad de las aplicaciones tanto para dispositivos móviles como para web, la eficiencia y seguridad de los programas JavaScript ha captado recientemente la atención de investigadores y desarrolladores. Dentro de esta línea de I+D investigamos la reescritura de código en tiempo de compilación como herramienta para mejorar tanto la eficiencia como la seguridad de este tipo de programas. En este trabajo presentamos esta línea de I+D y en particular los resultados de utilizar una herramienta de introspección de código, desarrollada por nuestro grupo y llamada PumaScript, para atacar el problema de seguridad web conocido como mXSS (Mutation-based Cross-Site-Scripting). Este tipo de ataque se vale de la inyección de código JavaScript malicioso, aprovechando las vulnerabilidades proporcionadas por la propiedad innerHTML y la función Eval. PumaScript reescribe los programas JavaScript donde se encuentren este código vulnerable, utilizando una función segura con una semántica análoga.