[논문]안드로이드 앱을 이용한 실시간 유료 방송 취약점 분석

최현재; 김형식

doi:10.13089/jkiisc.2016.26.6.1505

안드로이드 앱을 이용한 실시간 유료 방송 취약점 분석
A Vulnerability Analysis of Paid Live Streaming Services Using Their Android Applications 원문보기

情報保護學會論文誌 = Journal of the Korea Institute of Information Security and Cryptology, v.26 no.6, 2016년, pp.1505 - 1511

초록
AI-Helper

동영상 실시간 스트리밍 (Live Streaming)이란 텔레비전 생방송처럼 촬영한 정보를 실시간으로 사용자의 동영상 플레이어로 보내 재생하도록 하는 방식을 말한다. 비디오와 오디오를 실시간으로 인코딩하여 많은 사용자들이 동시에 시청하기 위해서는 RTMP (Real Time Messaging Protocol), HLS (HTTP Live Streaming) 등 실시간 스트리밍을 지원하는 프로토콜이 필요하다. 본 논문에서는 실시간 스트리밍을 제공하는 국내 6개 OTT (Over the Top) 업체의 어플리케이션을 대상으로 패킷 캡처를 통해 어플리케이션들의 패킷을 분석하였다. 채널 목록을 암호화하지 않거나, 유료채널에 적합하지 않은 프로토콜을 사용함으로써 유료채널을 무료로 시청할 수 있다는 취약점을 밝히고자 한다.

Abstract ▼ AI-Helper

Live streaming is a method to provide media service by sending recoded media to a user's video player. In order to provide video and audio contents in real-time for a large number of users simultaneously, live streaming compatible protocols such as RTMP (Real Time Messaging Protocol), HLS (Http Live Streaming), are required. In this paper, we analyzed vulnerability of paid live streaming services with the captured packets from the applications used by six major OTT (over-the-top) companies in Korea supporting live streaming services. We found that streaming channels were not encrypted and access control mechanisms were not properly used. Thus, guest users can freely use paid live streaming services.

주제어

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

따라서 미리 보기용 미디어 서버를 구축하고 비회원에게는 일정 시간 동안만 재생할 수 있는 재생 목록 (m3u8)을 제공한다면 미리 보기로 인한 취약점은 사라질 것이다. 마지막으로 웹서버에서 토큰 생성 시 유효기간을 정하고 주기적인 재발급과 검증을 하는 것이다. 미디어 서버는 사용자가 유료 채널의 스트리밍 주소를 요청할 때 최초로 한번만 토큰을 확인하고 토큰 값이 담긴 재생 목록 (m3u8)을 제공하기 때문에, 다른 디바이스에서 재사용 할 수 있는 취약점이 발생한다.
본 논문에서는 모바일 환경에서의 실시간 유료 방송의 취약점에 대하여 분석하였다. 국내 6개 OTT 업체의 어플리케이션 중 5개의 어플리케이션에서 유료 채널을 무료로 볼 수 있는 취약점을 발견하였다.
본 논문에서는 이러한 문제점을 이용하여 유료 채널을 무료로 시청할 수 있는 취약점을 살펴보고자 한다.
앞서 분석한 취약점을 보완하기 위해 세 가지 대응 방안을 제시한다. 첫 번째로 E사와 같이 비회원 에게 제공하는 유료 채널 미리 보기 기능을 삭제하는 것이다. 미리 보기 기능을 삭제 한다면 미디어 서버의 주소를 알더라도 토큰을 발급 받을 수 없기 때문에 로그인 없이는 유료 채널에 접근 할 수 없을 것이 다.

제안 방법

국내 6개의 OTT 업체 모두 모바일 어플리케이션을 통해 사용자에게 실시간 방송 서비스를 제공한다. PC 환경과 다른 모바일 환경에서는 어떤 프로토콜을 사용하여 스트리밍을 하는지 어플리케이션 패킷을 캡처하여 분석을 진행하였다. 그 결과 몇몇의 OTT 업체는 전체 채널 목록을 암호화 하지 않았고, 인가 되지 않은 사용자가 미디어 서버에 접근 할 수 있는 문제가 있었으며, 유료 채널의 미리 보기 기능만으로 유료 회원이 사용하는 스트리밍 주소가 노출되는 문제점을 찾을 수 있었다.
SHV-E300K 기기를 루팅하여 bitShark[9] 어플리케이션을 통해 OTT 업체의 어플리케이션들의 패킷을 캡처하였고, 캡처한 .pcap 파일은 Windows 10 환경에서 Wireshark 2.
국내 6개의 OTT 업체의 어플리케이션 중 HLS 프로토콜을 사용하며, TLS/SSL 로 패킷을 암호화 하는 어플리케이션 3개가 있었으며, 그 중 C사의 어플리케이션을 3.3과 동일한 방법으로 분석하였다.

대상 데이터

본 논문은 Google Play Store에서 유료 채널을 제공하는 국내 6개 OTT 업체의 안드로이드 어플리 케이션을 대상으로 한다.
RTMP는 비디오 및 기타 데이터를 여러 조각들 (fragments)로 나누기도 한다. 이 조각들의 크기는 클라이언트와 서버 간에 유동적으로 결정되며, 비디오 및 기타 데이터에 대한 스트림 조각들의 기본 크기는 128 바이트이다.

데이터처리

0[10] 프로그램으로 분석하였다. TLS/SSL로 암호화 된 패킷은 임의의 인증서를 SHV-E300K에 설치하여 Fiddler 4[11] 프로그램으로 패킷을 동적 분석하였다.

성능/효과

2와 같이 웹 서버와 미디어 서버를 갖고 있으며, (1) 사용자가 원하는 방송의 채널, 화질 등을 선택하여웹 서버에게 스트리밍 주소를 요청하면 (2)웹 서버는 사용자의 정보와 암호화 알고리즘을 이용하여 토큰을 생성한다. (3)웹 서버는 생성된 토큰을 미디어 서버에 전달함과 동시에 미디어 서버 주소와 토큰을 담은 웹 페이지를 생성하여 사용자에게 전달한다. 사용자는 (4)웹 페이지에 담긴 미디어 서버 주소와 토큰을 이용하여 미디어 서버에게 스트리밍 주소를 요청하고, (5)미디어 서버는 스트리밍 주소를 요청한 사용자의 토큰이 웹 서버에게 전달 받은 토큰과 일치 하는지 확인 후 (6)스트리밍 주소를 사용자에게 알려준다.
Fig. 12와 같이 비회원 계정을 통해 유료 채널 미리 보기만으로 유료 회원과 같은 스트리밍 주소를 받을 수 있었으며, 일정 시간 내에 다시 재생을 한다면 PC 뿐만 아니라 다양한 디바이스에서 시간 제약 없이 유료 채널을 시청할 수 있었다.
결국 비회원 계정만으로 미디어 서버에서 유료 채널의 스트리밍 주소를 받아올 수 있었고, B사에서 제공하는 약 70개의 유, 무료 채널 모두 안드로이드와 PC 환경에서 시청할 수 있었다.
PC 환경과 다른 모바일 환경에서는 어떤 프로토콜을 사용하여 스트리밍을 하는지 어플리케이션 패킷을 캡처하여 분석을 진행하였다. 그 결과 몇몇의 OTT 업체는 전체 채널 목록을 암호화 하지 않았고, 인가 되지 않은 사용자가 미디어 서버에 접근 할 수 있는 문제가 있었으며, 유료 채널의 미리 보기 기능만으로 유료 회원이 사용하는 스트리밍 주소가 노출되는 문제점을 찾을 수 있었다.
첫 번째로는 유료 실시간 방송을 비회원에게 미리 보기로 제공하려면 미디어 서버에서 시간을 제한 시켜야 하는데 어플리케이션에서만 시간을 제한하고 있다는 것이다. 두 번째로는 RTMP 나 HLS 프로토콜 상에도 암호화 기능이 있지만 암호화와 복호화 과정에서 오버헤드가 생기면 실시간 방송의 경쟁력이 떨어지기 때문에 사용하지 않고 있다는 것이다.
미디어 서버 주소에서 받아온 실제 스트리밍 주소는 Fig. 10과 같이 유료 회원과 비회원 모두 같았으며, 비회원의 경우 일정 시간 후 시청이 제한되는 것은 어플리케이션 내에서 작동한 기능임을 알 수 있었다.
비회원 웹 페이 지에는 ‘adUrl’ 광고 항목이 추가되었을 뿐 유료 회원과 미디어 서버 주소가 같다는 것을 알 수 있었다.
국내 6개 OTT 업체 모두 사용자 인증을 하는 웹서버와 스트리밍 주소를 알려주는 미디어 서버가 분리되어 있다. 어플리케이션 초기 실행 단계에 채널 목록을 웹 서버에서 가져오는데 채널 목록이 암호화 되어 있더라도 유료 채널 미리 보기가 가능하다면 미디어 서버에 누구나 접근할 수 있다는 것을 확인하였다. 미리 보기 스트리밍 주소는 유료 회원이 사용하는 스트리밍 주소와 모두 동일하였고 미리 보기의 시간제한은 어플리케이션 내에서 작동하는 기능이기 때문에 스트리밍 주소만 알게 된다면, 시간제한 없이 다양한 디바이스에서 동시 시청이 가능하였다.
어플리케이션 초기 실행 단계에서 암호화 없이 모든 채널 목록을 xml 형식으로 불러오는 것을 확인 하였으며, Fig. 3과 같이 채널 목록으로부터 모든 유료 채널들의 ‘id‘를 알 수 있었다.
위 방법을 통해 A사에서 제공하는 약 250개의 유, 무료 채널 모두 안드로이드와 PC 환경에서 시청 할 수 있었다.
하지만 Fig. 11과 같이 사용자와 미디어 서버 사이에는 암호화 되어 있지 않았고 미디어 서버 주소와 토큰 그리고 OTP 값을 이용하여 미디어 서버에게 스트리밍 주소 요청하는 것을 확인할 수 있었다.

후속연구

향후 연구에서는 스트리밍을 이용한 유료 VOD 서비스 취약점과 실시간 스트리밍 콘텐츠의 효과적인 보호 방법을 연구할 것이다.

질의응답

핵심어	질문	논문에서 추출한 답변
	실시간 스트리밍을 지원하기 위해 어떤 프로토콜이 필요한가?	동영상 실시간 스트리밍 (Live Streaming)이란 텔레비전 생방송처럼 촬영한 정보를 실시간으로 사용자의 동영상 플레이어로 보내 재생하도록 하는 방식을 말한다. 비디오와 오디오를 실시간으로 인코딩하여 많은 사용자들이 동시에 시청하기 위해서는 RTMP (Real Time Messaging Protocol), HLS (HTTP Live Streaming) 등 실시간 스트리밍을 지원하는 프로토콜이 필요하다. 본 논문에서는 실시간 스트리밍을 제공하는 국내 6개 OTT (Over the Top) 업체의 어플리케이션을 대상으로 패킷 캡처를 통해 어플리케이션들의 패킷을 분석하였다.
	동영상 실시간 스트리밍이란?	동영상 실시간 스트리밍 (Live Streaming)이란 텔레비전 생방송처럼 촬영한 정보를 실시간으로 사용자의 동영상 플레이어로 보내 재생하도록 하는 방식을 말한다. 비디오와 오디오를 실시간으로 인코딩하여 많은 사용자들이 동시에 시청하기 위해서는 RTMP (Real Time Messaging Protocol), HLS (HTTP Live Streaming) 등 실시간 스트리밍을 지원하는 프로토콜이 필요하다.
	토큰 기반 사용자 인증을 통해 실시간 방송 서비스를 사용하는 유료회원과 비회원이 유료채널을 사용하게 되면 가각 웹서버에게 어떤 요청을 보내는가?	Fig. 6과 같이 유료 회원이 유료 채널을 선택하면 ‘credential‘ 항목에 계정의 정보가 암호화되어웹 서버에게 요청을 보내고 비회원이 유료 채널을 선택하면 Fig. 7과 같이 none 값을 넣어 웹 서버에게 요청을 보내는 것을 확인하였다.

참고문헌 (11)

Gi-man Seo, "OTT Understanding and prospects of service," Broadcasting and Media Magazine, 16(1), pp. 91-101, Mar. 2011
Etoday News, "http://www.etoday.co.kr/news/section/newsview.php?idxno1321277," Apr. 2016
Parmar H and M. Thornburgh, "Adobe's Real Time Messaging Protocol," Copyright Adobe Systems Incorporated, Dec. 2012.
Modi Darshan, "Quality Control in Video Streaming," International Research Journal of Engineering and Technology, vol. 2, pp. 1228-1231, Sep. 2015.
Pantos, R and W. May, "HTTP Live Streaming draft-pantos-http-live-streaming-05," Published by the Internet Engineering Task Force, Nov. 2010.
Ma, Kevin J and Radim Bartos, "HTTP live streaming bandwidth management using intelligent segment selection," Global Telecommunications Conference, pp. 1-5, Jan. 2011.
Riegel, Brian M and James S. Sherry, "Token-based security for links to media streams," U.S. Patent No. 8,640,229, Jan. 2014.
Dierks, Tim, and Christopher Allen. "The TLS protocol version 1.0," Published by the Internet Engineering Task Force, Jan. 1999.
bitShark, "https://play.google.com/store/apps/details?idblake.hamilton.bitshark"
WireShark, "https://www.wireshark.org"
Fiddler, "http://www.telerik.com/fiddler"

저자의 다른 논문 :

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증