선택한 단어 수는 입니다.
최소 단어 이상 선택하여야 합니다.
최소 단어 이상 선택하여야 합니다.
선택한 단어 수는 30입니다.
최대 10 단어까지만 선택 가능합니다.
최대 10 단어까지만 선택 가능합니다.
문제 정의
- 이 논문에서는 사용자와 서버 사이에 알려진 계좌 이체 정보를 이용하여 콘텐츠 기반 캡차를 제안하였다. 또한 계좌 이체 정보에 해당되지 않는 요소들을 더미 캡차로 추가하여 악성 프로그램이 선택해야 할대상을 늘림으로서 공격에 성공할 확률을 낮추었다.
- 이 논문에서는 위와 같은 트랜잭션을 변경하는 자동화된 공격에 대응하기 위해 기존의 계좌이체 승인페이지에 캡차를 적용하는 기법으로서 기존의 계좌이체가 가지는 취약점을 보안하고자 한다.
제안 방법
- · 공격자는 OTP 및 SSL/PKI 등을 우회하기 위해서 MITB(Man-in-the-Browser)[5] 공격을 하였고, 계좌 이체 시 사용자에 의해 발생되는 파라미터(수신 계좌, 계좌이체 금액)를 변조하여 악의적인 계좌이체를 수행했다.
- · 온라인 사기 방지 시스템(anti-fraud)에 탐지되는 것을 최소화하기 위해 다음의 두 가지 사항을 고려하여 계좌 이체를 수행 하였다.
- 그러므로 더미 캡차에 쓰이는 문자열은 사용자 정보 기반 캡차에 사용된 문자열과 동일한 문자열을 선택하지 않도록 해야 하며 50개의 캡차는 문자열이 이미지로 렌더링 될 때 모든 문자열의 폭과 높이를 유사하게 렌더링 해야 할 것이다. 50개의 캡차가한 화면에 보인다면 가독성이 저하될 수 있으므로 스크롤하여 해당 캡차를 선택할 수 있게 구성하였다.
- 맹영재 등은 BHO(Brower Helper Object)를 이용한 자동화 악성코드를 제작하여 화면을 변조하는 방법으로 공격을 시도하였다. BHO는 계좌 이체 페이지와 똑같은 입력 폼을 웹브라우저 최상단에 노출시키고 이 노출된 폼에 사용자로부터 이체계좌번호와 이체 금액을 입력받고 별도의 공간에 저장하였으며, 계좌 이체 비밀번호와 같은 사용자만 알고 있는 비밀은 서버에서 제공한 폼에 입력되도록 한 후 별도의 조작을 가하지 않고 서버에 그대로 전송하였다. 사용자가 입력한 내용을 서버에 전송하기 전에 악성코드는 이체계 좌번호 입력란에 BHO를 통해 사전에 정의된 값을 입력하였으며, 이체금액은 은행 사에서 제공하는 함수를 이용하여 이체가능 전액으로 수정하였다.
- VPS와 MS 워터마크는 이체 정보와 OTP를 캡차로 만들거나 보안장비로 확인 가능한 OTP를 캡차로 만들어 전송함으로써, 앞서 언급하였던 승인 페이지의 변조 방지를 위한 필요조건인 ‘인식 가능한 무작위성’을 만족하였다.
- 다음은 사용자가 캡차의 문자열을 인지하고 있을 때와 그렇지 않은 경우에 캡차를 인식하는 정도를 알아보는 실험으로서, 실험 전 피 실험자로부터 몇 가지 정보를 입력받고 이 중 무작위로 하나를 선택한다. 그리고 선택된 피 실험자의 입력한 값과 동일한 길이의 임의의 문자열을 선택해 왜곡의 정도의 따라 [표 2]와 같이 10단계의 캡차를 만들고 왜곡을 줄여가면서 화면에 출력해주며, 피 실험자가 캡차를 인식하는 순간을 기록하였다.
- 사용자 정보 기반 캡차 6개와 더미 캡차 44개로 구성된 승인 페이지에 다음과 같은 공격에 대한 안전성을 분석한다.
- BHO는 계좌 이체 페이지와 똑같은 입력 폼을 웹브라우저 최상단에 노출시키고 이 노출된 폼에 사용자로부터 이체계좌번호와 이체 금액을 입력받고 별도의 공간에 저장하였으며, 계좌 이체 비밀번호와 같은 사용자만 알고 있는 비밀은 서버에서 제공한 폼에 입력되도록 한 후 별도의 조작을 가하지 않고 서버에 그대로 전송하였다. 사용자가 입력한 내용을 서버에 전송하기 전에 악성코드는 이체계 좌번호 입력란에 BHO를 통해 사전에 정의된 값을 입력하였으며, 이체금액은 은행 사에서 제공하는 함수를 이용하여 이체가능 전액으로 수정하였다. 계좌 이체 내역 페이지로 이동하게 되면 별도의 공간에 저장되어 있던 사용자 입력 정보를 화면에 덮어쓰는 방식으로 사용자의 눈을 속였다.
- Harada 등이 논문에서 밝힌 내용을 캡차에 적용 하여도 같은 결론을 낼 수 있는지를 확인하기 위해 15명을 대상으로 실험을 진행 하였다. 실험은 영문, 숫자, 또는 영문과 숫자 4자리로 이루어진 서로 다른 기존의 캡차에 동일한 왜곡을 심하게 주어 [그림 3]과 같이 생성하고 피 실험자에게 캡차에 대한 아무런 정보도 주어지지 않은 경우([그림 3]과 같은 캡차를 피실험자에게 제공한 후 캡차의 문자열을 인식 하는지 관찰), 캡차에 대한 약간의 정보를 제공한 경우([그림 3]과 같은 캡차를 제공하고 예를 들어 알파벳 d로 시작하는 캡차를 선택하라는 지문을 제공한 후 캡차의 문자열을 인식하는지 관찰), 그리고 캡차에 대한 모든 정보를 제공한 경우([그림 3]과 같은 캡차를 제공하고 예를 들어 캡차의 문자열이 9ki7인 캡차를 선택하라는 지문을 제공한 후 캡차의 문자열을 인식하는지 관찰) 각각에 대해 5개의 보기를 제공하고 인식률과 시간을 측정하였다.
- 이 논문에서 제시한 기법이 기존의 방법과 비교해서 얼마다 더 안전성이 있는지 비교하기 위해 Arcot 의 VPS와 유사한 캡차를 제작하고 OTP를 추출하는 실험을 진행하였다.
- 이를 알아보기 위한 실험으로 97% 확률의 공격 성공률을 가지는 캡차와 디캡차 오픈소스 pwntcha을 사용하였다. 이미지 프로그램을 사용하여 캡차에 가우 시안 블러 효과를 일정하게 주고 각각을 pwntcha를 이용해 디캡차하였다. 결과는 [표 3]에 20단계부터 정리하였다.
- 제안한 기법에서 출력하는 50개의 캡차 중에서 최대 6개(송·수신 계좌, 송신자, 수신자, 수신 은행, 이체 금액)의 사용자 정보 기반 캡차를 찾아 바꿔야 한다.
대상 데이터
- Harada 등이 논문에서 밝힌 내용을 캡차에 적용 하여도 같은 결론을 낼 수 있는지를 확인하기 위해 15명을 대상으로 실험을 진행 하였다. 실험은 영문, 숫자, 또는 영문과 숫자 4자리로 이루어진 서로 다른 기존의 캡차에 동일한 왜곡을 심하게 주어 [그림 3]과 같이 생성하고 피 실험자에게 캡차에 대한 아무런 정보도 주어지지 않은 경우([그림 3]과 같은 캡차를 피실험자에게 제공한 후 캡차의 문자열을 인식 하는지 관찰), 캡차에 대한 약간의 정보를 제공한 경우([그림 3]과 같은 캡차를 제공하고 예를 들어 알파벳 d로 시작하는 캡차를 선택하라는 지문을 제공한 후 캡차의 문자열을 인식하는지 관찰), 그리고 캡차에 대한 모든 정보를 제공한 경우([그림 3]과 같은 캡차를 제공하고 예를 들어 캡차의 문자열이 9ki7인 캡차를 선택하라는 지문을 제공한 후 캡차의 문자열을 인식하는지 관찰) 각각에 대해 5개의 보기를 제공하고 인식률과 시간을 측정하였다.
이론/모형
- 이를 알아보기 위한 실험으로 97% 확률의 공격 성공률을 가지는 캡차와 디캡차 오픈소스 pwntcha을 사용하였다. 이미지 프로그램을 사용하여 캡차에 가우 시안 블러 효과를 일정하게 주고 각각을 pwntcha를 이용해 디캡차하였다.
성능/효과
- [그림 4-b] 결과로 보아 피 실험자가 정보를 인지 하고 있었을 경우 그렇지 않았을 경우에 비해 더 어려운 캡차도 잘 인식할 수 있으며, 분산 분석 결과 표본 평균간 유의 수준 a=0.05에서 유의한 차이가 있다는 결론을 얻었다. 따라서 이를 인터넷 뱅킹에 적용한다는 가정 하에 사용자와 서버 간 송신자, 수신자, 계좌 번호, 금액과 같은 사전 정보가 공유되고 이를 캡차 문자열로 사용한다면 캡차의 난이도가 높아도 사용자는 이를 유추해 낼 수 있음을 알 수 있다.
- 이 논문에서는 사용자와 서버 사이에 알려진 계좌 이체 정보를 이용하여 콘텐츠 기반 캡차를 제안하였다. 또한 계좌 이체 정보에 해당되지 않는 요소들을 더미 캡차로 추가하여 악성 프로그램이 선택해야 할대상을 늘림으로서 공격에 성공할 확률을 낮추었다. 악성 프로그램이 인공지능 및 이미지 프로세싱 기술 등을 이용해 캡차 문자열을 읽어 승인 페이지를 변조하는 공격에 대해서도 다양한 필터를 강도 높게 적용 하는 방식을 통해 기존 방법들보다도 유연하게 대응할 수 있다는 장점을 가진다.
- 실험 결과 피 실험자가 실험자로부터 캡차의 문자열을 힌트로 더 많이 제공받을수록 피 실험자의 캡차 인식률이 높아짐을 알 수 있었다. 분산 분석 결과 표본 평균간 유의 수준 a=0.05에서 유의한 차이가 있다는 결론을 얻었으며, 또한 Harada 등이 논문에서 밝힌 내용이 캡차에서 적용 가능함을 실험의 결과를 통해알 수 있다.
- 실험에 대한 결과를 [표 4]에 기록하였다. 세 번의 실험을 통한 결과 모두 80% 이상의 확률로 VPS의 OTP를 추출할 수 있었다.
- 실험자가 피 실험자에게 제공하는 정보의 양은 인식률을 실험하기 위한 독립변인이다. 실험 1과 실험 3을 비교하면 인식률은 5.3%에서 80%로 캡차를 인식 하는 평균 시간도 약 1.68초 빨라졌음을 알 수 있다. 실험 결과 피 실험자가 실험자로부터 캡차의 문자열을 힌트로 더 많이 제공받을수록 피 실험자의 캡차 인식률이 높아짐을 알 수 있었다.
- 68초 빨라졌음을 알 수 있다. 실험 결과 피 실험자가 실험자로부터 캡차의 문자열을 힌트로 더 많이 제공받을수록 피 실험자의 캡차 인식률이 높아짐을 알 수 있었다. 분산 분석 결과 표본 평균간 유의 수준 a=0.
- 실험에서는 보안에 취약한 캡차를 사용하였지만, 공격 성공률이 낮은 캡차를 사용해 왜곡을 줄수록 기존 캡차가 가지는 공격 성공률보다도 더 낮은 공격 성공률을 가지는 캡차를 얻을 수 있다.
- 이 공격은 모든 보안 프로그램을 우회하여 자동으로 공격이 가능하였으며, 보안 카드나 OTP등을 사용 하더라도 인터넷 뱅킹이 안전하지 않다는 점을 증명하였다.
- 1절에서 설명한 MITB 공격이 실제 국내 인터넷 뱅킹 환경에서 실행될 수 있음을 증명하였다[6]. 이 논문 또한 계좌 이체 시에 발생되는 트랜잭션에 대한 검증이 수행되지 않는 점을 이용 하였으며 웹 보안, 개인 방화벽, 키보드 해킹방지 및 암호화 프로그램이 설치되고 실행 중 이더라도 이러한 공격이 가능하다는 점을 보였다.
- OTP 문자열에 필터 적용 강도를 높이더라도 악성 프로그램은 여전히 OTP문자열을 분리해낼 수 있으며, 사용자는 OTP 문자열을 인식하기 어렵기 때문에 서버가 보낸 OTP 문자열이 자신의 OTP 생성 기기로 부터 생성된 OTP 문자열과 일치하는지 여부를 판단하기 쉽지 않다는 문제점이 여전히 존재한다. 이 논문에서 제안한 기법은 앞선 문제점들을 개선하였기 때문에 MS 워터마크보다 높은 안정성을 가진다.
- VPS와 MS 워터마크에서 캡차를 읽는다는 것은 서버에 유효한 OTP 문자열을 전송한다는 것을 의미 하지만, 이 논문에서 제안하고 있는 콘텐츠 기반 캡차를 읽는다는 것은 서버에서 제시하는 올바른 계좌 이체 정보를 담고 있는 캡차를 선택할 수 있는지를 의미 한다. 이 논문에서 제안한 기법을 사용할 때 악성 프로그램이 이체 정보를 변조할 경우, 변조된 계좌 이체 정보들이 캡차에 반영되기 때문에 사용자는 계좌 이체 정보가 변조되었음을 알 수 있다. 또한 우연히 사용자가 입력한 계좌 이체 정보가 더미 캡차로 생성된다면 사용자는 더미 캡차를 선택할 것이기 때문에 계좌 이체가 실행되지 않을 것이다.
- 하지만 이 논문에서 제안한 기법의 경우에는 이 같은 공격이 성공할 확률은 1/(50 ×···×49) = 4.08×10-4~1/(50 ×···×46) = 3.93×10-9로 VPS 에 비해 상당히 낮은 공격 확률을 보인다.
후속연구
- 향후 연구과제로는 실험을 통해 다수의 캡차 생성이 서버의 성능에 얼마나 영향을 미치는지를 살펴보고 캡차의 개수를 적절하게 조정해야 한다. 더불어 모바일 뱅킹이 가능한 단말기에도 적용이 가능한지 여부를 살펴 봐야할 것이며, 사용자에 따른 식별정도의 적절성을 올바르게 제시할 수 있어야할 것이다.
- 더불어 자동화 프로그램에 의해 실행되는 공격에 적극적으로 대응할 수 있기 때문에 수많은 단말기가 동시에 공격당하는 것을 미연에 방지하여 피해규모를 줄일 수 있을 것이다. 향후 연구과제로는 실험을 통해 다수의 캡차 생성이 서버의 성능에 얼마나 영향을 미치는지를 살펴보고 캡차의 개수를 적절하게 조정해야 한다. 더불어 모바일 뱅킹이 가능한 단말기에도 적용이 가능한지 여부를 살펴 봐야할 것이며, 사용자에 따른 식별정도의 적절성을 올바르게 제시할 수 있어야할 것이다.
※ AI-Helper는 부적절한 답변을 할 수 있습니다.