JavaScript Web Cryptography API

Abstract

The purpose of this study is to analyze how recent and upcoming improvements in browser based web cryptography and more specifically the Web Cryptography API help developers to create more secure web applications in the future.

Recently there has been a rise of interest in browser based cryptography, not only because Edward Snowden's revelations about pervasive surveillance by the National Security Agency (NSA) and the United States government interest in the data stored on the cloud services, but also because recent security breaches have made users concerned about their online privacy and data security. All of this has set new requirements for the client-side cryptography and for the web platform standards to evolve to support creation of new (cryptography) applications.

This thesis investigates the challenges and security concerns that developers face when dealing with cryptography on the client-side and the new Web Cryptography API, which brings native cryptographic primitives already implemented in the browser to the JavaScript run-time environment.

As a case study, a proof-of-concept end-to-end secure application for sharing encrypted and digitally signed messages was implemented. The application uses public-key cryptography as a means to encrypt and decrypt messages directly on a web browser, without revealing the plain text message or the master key to the server.

In conclusion, the investigation revealed that the Web Cryptography API specification is an important addition to browser JavaScript capabilities and when combined with other upcoming web security related technologies, it is possible to create cryptographically secure web applications. Finally, it was concluded that creating cryptographically correct applications is hard, full of pitfalls and developers should be proficient with cryptography to be able to understand strengths and weaknesses of algorithms and protocols.

Insinöörityön tavoitteena on analysoida kuinka uusi Web Cryptography API -rajapintamääritys tulee mahdollistamaan tietoturvallisempien selainpohjaisten JavaScript sovellusten toteuttamisen tulevaisuudessa.

Viimeaikaiset kansalaisten tietoturvaan liittyvät paljastukset (mm. Edward Snowdenin paljastama Yhdysvaltain tiedustelupalvelun hyödyntämä laaja valvontakoneisto) sekä viime aikoina tapahtuneet laajamittaiset tietomurrot ovat saaneet kansalaiset huolestuneeksi pilvipalveluihin tallettamansa tiedon tietoturvasta. Tämä asettaa uusia vaatimuksia selainpohjaisen kryptografian ja web-alustan kehittymisen tukemaan uusien kryptografiaa hyödyntävien applikaatioiden tekemistä.

Insinöörityössä tutkittiin, miten uusi Web Cryptography API -rajapintamääritys tulee muuttamaan sitä, kuinka kryptografiaa voidaan toteuttaa selainpohjaisissa sovelluksissa ja kuinka se mahdollistaa uusien kryptografiaa hyödyntävien palveluiden ja sovellusten rakentamisen suoraan JavaScript-ympäristössä.

Työn soveltavassa osassa toteutettiin tietoturvallinen, selainpohjainen sovellus salattujen ja digitaalisesti allekirjoitettujen viestien jakamiseen. Sovelluksessa viestit kulkevat lähettäjältä vastaanottajalle vahvasti salattuna hyödyntäen julkisen avaimen salauksen kryptografiaa, paljastamatta selkokielistä viestiä tai salausavaimia palvelimelle.

Työ paljasti, että Web Cryptography API -spesifikaatio on tärkeä lisäys selainpohjaiselle JavaScriptille ja käytettäessä yhdessä muiden www:n tietoturvaan liittyvien teknologioiden kanssa se mahdollistaa tietoturvallisten selainpohjaisten kryptografiaa hyödyntävien sovelluksien tekemisen. Lisäksi selvisi, että kryptografian oikeanlainen ja tietoturvallinen hyödyntäminen on vaikeaa ja täynnä ongelmakohtia. Ohjelmistokehittäjien tulee perehtyä kryptografiaan liittyvään kirjallisuuteen ymmärtääkseen eri algoritmien ja protokollien vahvuudet ja heikkoudet.