[논문]안전한 HTML5 로컬스토리지 구현에 대한 연구

명희원; 백정하; 이동훈

doi:10.7472/jksii.2012.13.4.83

안전한 HTML5 로컬스토리지 구현에 대한 연구
Study on implementation of Secure HTML5 Local Storage 원문보기

인터넷정보학회논문지 = Journal of Korean Society for Internet Information, v.13 no.4, 2012년, pp.83 - 93

명희원 (고려대학교 정보보호대학원) , 백정하 (고려대학교 정보보호대학원) , 이동훈 (고려대학교 정보보호대학원)

초록
AI-Helper

HTML5는 특정 브라우저에 종속되지 않으며 상호 운용성을 고려하는 동시에 기존 HTML과도 하위 호환성을 갖도록 개발되어 현재 표준화 작업이 진행 중인 새로운 웹 표준이다. 이는 최근 스마트폰 시장의 활성화와 함께 모바일 웹 환경에서 다양한 플랫폼에 공통적으로 적용될 수 있다는 특징으로 인해 관심을 모으고 있다. 특히 HTML5에서 새롭게 추가되는 기능들 중 하나인 Local Storage는 인터넷 접속이 끊긴 상태에서도 웹 어플리케이션의 동작을 가능하게 하는 오프라인 기능을 지원하며 이는 서버와 독립적인 웹 어플리케이션 개발이 가능하게 한다. 그러나 현재 Local Storage는 평문의 데이터를 Client-side에 아무런 보안조치 없이 저장하기 때문에 쿠키와 같은 기존의 클라이언트 측 저장소가 갖는 보안 위협에 그대로 노출되어 보안상 안전하지 않다. 본 연구에서는 Local Storage에 데이터를 저장할 때 성능부하를 최소화 하면서 데이터의 안전한 저장 및 사용을 가능하게 하는 방법을 제안한다. 제안하는 방법은 기존 Local Storage 표준 API와 암호 기능을 제공하는 모듈을 이용하여 안전한 사용자 정보 저장을 지원한다. 또한 제안하는 방법을 실제 구현코드를 바탕으로 성능을 측정하여 효율성을 입증한다.

Abstract ▼ AI-Helper

HTML5 has developed not to have browser dependancy considering interoperability as same as maintaining compatability with lower versions of HTML. HTML5, the newest web standardization is on going of being structured. Along with the smart phone boom, HTML5 is spotlighted because it can be applied to cross platforms in mobile web environments. Specially the local Storage that has been listed in new features in HTML5 supports offline function for web application that enables web application to be run even when the mobile is not connected to 3G or wifi. With Local storage, development of server-independent web application can be possible. However Local storage stores plaintext data in it without applying any security measure and this makes the plaintext data dangerous to security threats that are already exist in other client side storages like Cookie. In the paper we propose secure Local storage methods to offer a safe way to store and retrieve data in Local storage guaranteeing its performance. Suggested functions in this paper follow localStorage standard API and use a module that provide cryptographic function. We also prove the efficiency of suggested secure Local storage based on its performance evaluation with implementation.

주제어

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

따라서 본 논문에서는 Local Storage에 사용자 정보 저장 시, 퍼포먼스를 크게 해치지 않으면서 데이터의 안전한 저장 및 사용을 지원하는 알고리즘을 제안한다. 제안하는 기법은 Local Storage 기술을 사용하기 위한 표준 API 구성을 준수하여 개발자들이 쉽게 보안 기술을 접목할 수 있도록 구성하였고 보안 기술이 적용되었을 경우 직접적인 파일접근을 통한 공격 이외에도 XSS[5]와 같은 실시간 공격도 모두 차단할 수 있을 것으로 기대한다.
본 연구에서 제안하는 Secure localStorage는 평문형태로 저장되는 Local Storage 상의 데이터를 보호하기 위해 제안되는 암^․복호화 할 수 있는 기능을 포함하는 Clientside storage이다.
본 연구에서는 Local Storage에 존재하는 보안 위협에 대비하여 안전하게 데이터를 저장할 수 있는 방법으로 사용자 패스워드 기반의 암호화 방법을 제안하였다. 이를 실제로 구현하여 성능을 측정한 결과, 기존의 HTML5에서 제공하는 Local Storage의 성능에 견줄 만큼 미미한 속도차를 보이는 것을 확인하였다.
본 연구에서는 성능분석을 위해 Secure local storage를 구현하고 성능을 측정해보았다. 10만개의 입력 레코드에 대해 암호화 처리 후 평균 시간을 측정해 본 결과 단일 저장 정보에 대해 암호화를 고려하지 않은 속도에 비해 약 0.

가설 설정

6. 데이터는 사용자의 로컬에 파일로 저장된다. 따라서 고정된 키를 사용할 경우, 한 대의 PC를 여러 사용자가 공유하는 환경에서 모든 사용자의 합법적인 접근을 허용할 수 있으므로 각 사용자마다 다른 접근권한을 지원해야 한다.

제안 방법

5만, 5만, 10만개로 구성한 후, 각 경우에 한 레코드의 평균 저장 속도를 측정한 그래프이다. Storage 입/출력 시간 방법과 동일하게 각 구성별로 100회씩 실시한 후 평균 시간을 측정 하였다. 측정 결과는 선형적인 증가율을 보이지만 각각의 속도 차는 0.
localStorage.setItem()함수를 이용하여 Local Storage 및 Secure localStorage에 10만 개의 레코드를 입력하는 작업을 각각 100회 수행하였다. (표 4)의 storage 입/출력 시간은 100회 측정된 시간을 각각 10만으로 나눠 하나의 레코드를 입력하는데 걸린 시간을 구하고 이들의 평균 시간을 구한 것이다.
가장 먼저 초기화 오버헤드를 테스트하기 위해 IV와 Salt가 null 값일 때(초기 사용 시)의 파라미터 세팅 과정과, Local Storage에 IV와 Salt가 존재할 경우의 파라미터 세팅 과정을 100회 시행하여 각각을 측정한 후 평균 시간을 구하였다. (표 3)은 각 경우에 대한 Parameter Setting 소요 시간을 나타낸 것이다.
기존 Local Storage에는 평문 형태로 저장되기 때문에 민감한 정보를 저장할 수 없었으나, 제안하는 방법을 통해 이메일과 같은 개인정보도 Local Storage에 저장할 수 있도록 하였다.
(표 4)의 storage 입/출력 시간은 100회 측정된 시간을 각각 10만으로 나눠 하나의 레코드를 입력하는데 걸린 시간을 구하고 이들의 평균 시간을 구한 것이다. 또한 Storage 출력 시간은 10만 레코드가 저장되어 있는 Local Storage 및 Secure localStorage를 바탕으로 key 값을 랜덤 선택하여 총 10만 레코드를 불러오는 과정을 100회 시행하면서 각각의 시간을 측정 한 후, 동일한 방법으로 하나의 레코드를 불러오는 평균 시간을 구하였다.
클라이언트는 자신의 개인키로 digital envelope을 복호화하고 서버의 서명 및 타임스탬프의 유효성을 검증한 뒤 쿠키를 저장한다. 서버와 클라이언트가 쿠키를 주고받기 위해서는 Mac 주소로 암․복호화 되는 키 링에서 key identifier와 매칭되는 키로 쿠키정보를 확인한다. 위와 같은 공개키 인증서 기반의 암호학적인 방법은 통신 시 마다 클라이언트와 서버가 각자의 인증서 정보를 교환하는 과정이 필요하다.
안전한 Local Storage 사용을 위해 제안한 Secure localStorage의 성능은 암․복호화를 수행하기 위해 Parameter setting에 걸리는 시간과 암․복호화된 레코드를 Local Storage에 저장 및 로드하는 setItem(), getItem() 함수의 수행 시간을 측정하여 확인하였다. 암․복호화 기능을 코드로 구현하기 위해 SJCL(Stanford Javascript Crypto Library)의 sjcl.
만약 공격자에 의해 c_key, c_value가 노출되고 이에 상응하는 p_key, p_value가 예측 가능하다 할지라도 PBKDF2에 사용되는 salt가 도메인마다 다르게 생성되기 때문에 생성되는 키에 대한 사전공격이 시도되기 어렵다[16]. 제안하는 알고리즘에는 PBKDF2의 안전한 사용을 위해 표준에서 권고하는 바에 따라 최소 64bits의 salt를 사용하고 최소 1000번 이상의 iteration을 사용하는지 검사하는 루틴이 포함되어 있다.
제안하는 알고리즘은 기존 Local Storage에 평문으로 저장되는 key, value쌍을 암호화하여 Local Storage의 표준함수인 localStorage.setItem()를 통해 저장하고 이를 localStoage.getItem()로 반환하여 다시 복호화 할 수 있도록 설계되었다.

이론/모형

안전한 Local Storage 사용을 위해 제안한 Secure localStorage의 성능은 암․복호화를 수행하기 위해 Parameter setting에 걸리는 시간과 암․복호화된 레코드를 Local Storage에 저장 및 로드하는 setItem(), getItem() 함수의 수행 시간을 측정하여 확인하였다. 암․복호화 기능을 코드로 구현하기 위해 SJCL(Stanford Javascript Crypto Library)의 sjcl.cipher.aes을 사용하였으며 운영 모드는 CBC 모드를 채택하였다[17].

성능/효과

1. 기존 사용자는 보안을 적용한 Local Storage에도 직접적으로 접근하여 데이터 조회, 삭제 및 수정할 수 있어야 한다. 따라서 보안에 필요한 비밀 파라미터 등은 사용자가 생성하고 관리할 수 있어야 한다.
본 연구에서는 성능분석을 위해 Secure local storage를 구현하고 성능을 측정해보았다. 10만개의 입력 레코드에 대해 암호화 처리 후 평균 시간을 측정해 본 결과 단일 저장 정보에 대해 암호화를 고려하지 않은 속도에 비해 약 0.03 ms 정도 딜레이가 생기는 것으로 측정되었다. 이는 실제 웹 페이지 로딩 속도 등을 고려해 봤을 때 사용자 인지에 영향을 미치지 않는 것으로 판단된다.
3. Local Storage에 데이터를 저장하는 기능은 browser에서 제공하며 모두 평문 형태의 파일로 저장되기 때문에 악성 프로그램 등을 통한 외부 공격자의 절대 경로 접근 시에도 저장 정보를 안전하게 보호해야 한다.
4. 보안기법을 구현 시 웹 스크립트 언어의 특성 때문에 공격자가 구현 코드를 쉽게 조회할 수 있으므로 구현 코드 내에 키를 포함한 암호학적 비밀정보를 명시하면 안 되고, 구현 기법으로부터 어떠한 비밀정보도 노출 되서는 안 된다.
022 ms의 시간이 소요되는 것으로 나타났다. Secure localStorage.getItem() 함수를 통해 value를 불러오는 Secure localStorage의 경우 약 0.061 ms의 시간이 소요되는 것으로 측정되어 기존 Local Storage와 약 0.039 ms의 차이를 보였다.
Storage 입력 시간은 (표 4)에서 보는 것과 같이 HTML5에서 기본으로 제공하는 Local Storage의 setItem() 함수를 통해 key 및 value를 저장하는 경우 테스트 결과 약 0.026 ms의 시간이 소요되는 것으로 나타났다. Secure localStorage.
Storage 출력 시간은 HTML5에서 기본으로 제공하는 localStorge.getItem() 함수를 통해 value를 불러오는 경우 테스트 결과 약 0.022 ms의 시간이 소요되는 것으로 나타났다. Secure localStorage.
모든 테스트 결과들을 종합한 결과, 데이터 암/복호화 연산 및 현재 storage에 저장된 레코드의 수(스토리지의 크기)는 Local Storage의 데이터 입/출력 시간에 큰 영향을 미치지 않음을 알 수 있었으며, Secure localStorage와 기존 Local Storage 속도 차이는 사용자가 감지하지 못할 정도의 차이를 보인다.
본 연구에서는 Local Storage에 존재하는 보안 위협에 대비하여 안전하게 데이터를 저장할 수 있는 방법으로 사용자 패스워드 기반의 암호화 방법을 제안하였다. 이를 실제로 구현하여 성능을 측정한 결과, 기존의 HTML5에서 제공하는 Local Storage의 성능에 견줄 만큼 미미한 속도차를 보이는 것을 확인하였다.
Secure cookie set은 클라이언트의 인증서와 서버의 공개키로 암호화된 대칭키, 그리고 대칭키로 암호화된 사용자의 패스워드를 포함한다. 최종적으로는 서버의 개인키로 Cookie set의 다이제스트를 생성하여 쿠키를 보호한다.
Storage 입/출력 시간 방법과 동일하게 각 구성별로 100회씩 실시한 후 평균 시간을 측정 하였다. 측정 결과는 선형적인 증가율을 보이지만 각각의 속도 차는 0.02ms ~ 0.03ms 정도로 매우 미미하게 나타났다.

후속연구

위에서 언급한 것처럼 Local Storage는 단순한 함수를 바탕으로 동작하기 때문에 구현이 쉽고 브라우저 타입에 독립적으로 적용되어 호환성이 보장된다. 또한 기존 Client-side storage에 비해 큰 용량을 제공하여 보다 많은 데이터를 저장할 수 있으며 애플리케이션 데이터 저장 시에는 오프라인에서도 웹 애플리케이션을 사용할 수 있도록 하는 장점 등을 바탕으로 웹 애플리케이션 및 웹 서비스에 다양하게 활용될 것으로 기대한다.
따라서 본 논문에서는 Local Storage에 사용자 정보 저장 시, 퍼포먼스를 크게 해치지 않으면서 데이터의 안전한 저장 및 사용을 지원하는 알고리즘을 제안한다. 제안하는 기법은 Local Storage 기술을 사용하기 위한 표준 API 구성을 준수하여 개발자들이 쉽게 보안 기술을 접목할 수 있도록 구성하였고 보안 기술이 적용되었을 경우 직접적인 파일접근을 통한 공격 이외에도 XSS[5]와 같은 실시간 공격도 모두 차단할 수 있을 것으로 기대한다.
HTML5 Local storage는 기술의 보급이 아직까지는 대중화 되어 있지 않기 때문에 보안기술에 대한 고려가 구체적으로 이루지지 않은 반면 기존의 Client-side storage 기능을 제공한 쿠키에 대한 보안 연구는 상당히 활발하게 이루어진 편이다. 특히 쿠키는 메모리의 지정된 경로 상에 저장된다는 점에서 Local Storage와 유사하지만 쿠키를 보호하기 위해 제안된 기술을 Local Storage에 접목시키기 위해서는 다양한 고려가 반드시 선행적으로 이루어져야 할 것으로 보인다.
향후에는 이와 관련하여 Local Storage에 대한 보안을 웹 서비스 제공자 측에서 제공하지 않더라도 사용자가 개별적으로 보안을 적용 할 수 있는 방안에 대해 연구할 계획이다.

질의응답

핵심어	질문	논문에서 추출한 답변
	Local Storage는 무엇으로 구성되어 있는가?	Local Storage를 구성하는 interfaceWindow- -LocalStorage는 setItem(key, value), getItem(key), removeItem(key), 그리고 clear() 함수로 이루어진다. setItem()은 key/value 쌍으로 저장되는 Local storage에 두 값을 저장하는 함수이다.
	Local Storage는 어떠한 장점으로 인해 모바일과 같이 온라인(Online) 상태를 계속적으로 보장할 수 없는 환경에서 유용하게 사용될 수 있는가?	Local Storage는 기존의 브라우저 저장 공간인 쿠키보다 큰 용량을 제공하며 오프라인 환경에서도 열람 및 편집이 가능한 장점이 있어 모바일과 같이 온라인(Online) 상태를 계속적으로 보장할 수 없는 환경에서 특히 유용하게 쓰일 수 있다. 또한 HTTP request시 마다 파일을 서버에 전송할 필요가 없다는 점도 쿠키와 다르며 이는 네트워크 트래픽 절감 및 페이지 재탐색 속도 향상 등에 기여한다[5].
	이전 HTML 표준과 비교하여 HTML5에서 지원하는 저장 공간 기능은 무엇인가?	HTML5에서는 Web Storage(웹 스토리지)[4]라는 새로운 표준을 제시하여 브라우저간의 호환성을 유지하면서도 사용자 저장 공간을 활용하는 기능을 제공한다. HTML5에서 Client-side storage에 대한 표준 접근방법을 제시함으로서 기존 기술들이 갖는 한계점을 극복할 수 있는 방안을 마련하였다.

참고문헌 (17)

W3C Working Draft 'A vocabulary and associated APIs for HTML and XHTML.', May 2011.
W3C Working Draft 'HTTP Specifications and Drafts.', Mar 2002.
Adobe Flash Player, 'Flash Professional CS6 / Tech specs.'
W3C Working Draft 'Web Storage Editor's Draft', April 2002.
SANS Institute InfoSec Reading Room, 'The RIsks of Client-Side Data Storage', 2011.
OWASP(The Open Web Application Security Project), 'Cross-site Scripting(XSS)', Aug 2011.
Jong-Phil Yang, Kyung-Hyune Rhee 'The Design and Implementation of Improved Secure Cookies Based on Certificate', INDOCRYPT 2002, LNCS 2551, pp.314-325, 2002.
Heng Wu, Weiting Chen, Zhongjie Ren 'Secure Cookies with a MAC Address Encrypted Key Ring'', IEEE Computer Science, Vol 2, pp.62-65, 2010.
Alvin T.S Chan 'Mobile Cookies Management on a Smart Card', Communication of the ACM, Vol 48. No.11, page 38-43, 2005.
Rattinpong Putthacharoen, Pratheep Bunyatnoparat, 'Protecting Cookies from Cross Site Script Attacks Using Dynamic Cooies Rewriting Technique', ICACT 2011, pp.1090-1094, 2011.
심원태, 최요한, 서희석, 노봉남, '쿠키파일의 보안성 향상을 위한 저장 방식', 한국시뮬레이션학회 논문지, Vol 20, No 1, pp.29-37, 2011.

원문보기 상세보기
NetworkWorld, 'HTML5 raises new security issues', [Online]. Available : http://www.networkworld.com/news/2010/082010-html5-raises-new-security.html
SEC Discover, 'Abusing HTML 5 Structured Clientside Storage', July 2008
Compass Security, 'HTML5 web security', Dec 2011
W3C, 'Web Storage Candidate Recommendation' , Dec 2011
NIST Special Publication 800-132, 'Recommendation for Password-Based Key Derivation Part 1 : Storage Applications', Dec 2010
Stanford Javascript Crypto Library, [Online]. Available : http://crypto.stanford.edu/sjcl/

저자의 다른 논문 :

LOADING...

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증

안전한 HTML5 로컬스토리지 구현에 대한 연구
Study on implementation of Secure HTML5 Local Storage 원문보기

초록
AI-Helper

Abstract ▼ AI-Helper

주제어

AI 본문요약
AI-Helper

문제 정의

가설 설정

제안 방법

이론/모형

성능/효과

후속연구

질의응답

참고문헌 (17)

이 논문을 인용한 문헌

저자의 다른 논문 :

연구과제 타임라인

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

연합인증

안전한 HTML5 로컬스토리지 구현에 대한 연구 Study on implementation of Secure HTML5 Local Storage 원문보기

초록 용어보기논문에서 용어와 풀이말을 자동 추출한 결과로, 시범 서비스 중입니다. AI-Helper

Abstract ▼ AI-Helper

주제어

AI 본문요약 엑셀 다운로드 AI-Helper

문제 정의

가설 설정

제안 방법

이론/모형

성능/효과

후속연구

질의응답

참고문헌 (17)

이 논문을 인용한 문헌

저자의 다른 논문 :

백정하 (3) 이동훈 (142)

연구과제 타임라인

전체(0) 논문(0) 특허(0) 보고서(0)

전체(0) 논문(0) 특허(0) 보고서(0)

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

안전한 HTML5 로컬스토리지 구현에 대한 연구
Study on implementation of Secure HTML5 Local Storage 원문보기

초록
AI-Helper

AI 본문요약
AI-Helper