$\require{mediawiki-texvc}$

연합인증

연합인증 가입 기관의 연구자들은 소속기관의 인증정보(ID와 암호)를 이용해 다른 대학, 연구기관, 서비스 공급자의 다양한 온라인 자원과 연구 데이터를 이용할 수 있습니다.

이는 여행자가 자국에서 발행 받은 여권으로 세계 각국을 자유롭게 여행할 수 있는 것과 같습니다.

연합인증으로 이용이 가능한 서비스는 NTIS, DataON, Edison, Kafe, Webinar 등이 있습니다.

한번의 인증절차만으로 연합인증 가입 서비스에 추가 로그인 없이 이용이 가능합니다.

다만, 연합인증을 위해서는 최초 1회만 인증 절차가 필요합니다. (회원이 아닐 경우 회원 가입이 필요합니다.)

연합인증 절차는 다음과 같습니다.

최초이용시에는
ScienceON에 로그인 → 연합인증 서비스 접속 → 로그인 (본인 확인 또는 회원가입) → 서비스 이용

그 이후에는
ScienceON 로그인 → 연합인증 서비스 접속 → 서비스 이용

연합인증을 활용하시면 KISTI가 제공하는 다양한 서비스를 편리하게 이용하실 수 있습니다.

SSL/TLS 공격에 대한 신규 대응 방안
New Security Approaches for SSL/TLS Attacks Resistance in Practice 원문보기

한국전자거래학회지 = The Journal of Society for e-Business Studies, v.22 no.2, 2017년, pp.169 - 185  

짠송닷푹 (Department of Computer Science and Engineering, Seoul National University of Science and Technology) ,  이창훈 (Department of Computer Science and Engineering, Seoul National University of Science and Technology)

초록
AI-Helper 아이콘AI-Helper

SSL의 취약점을 이용한 공격 기법인 BEAST를 발표했던 Juliano Rizzo와 Thai Duong이 새로운 공격 기법인 CRIME(Compression Ration Info-leak Made Easy)을 발표하였다. CRIME 공격은 암호화된 데이터에 대한 비밀 정보를 찾아내기 위해 데이터가 압축 및 암호화되는 방법의 취약점을 이용한 공격이다. 공격자는 이 공격법을 반복하여 데이터를 복호화할 수 있고, HTTP 세션의 쿠기 데이터를 복원할 수 있다. 공격자는 SPDY 및 SSL/TLS의 압축 함수를 대상으로 하는 이 보안 취약점을 이용하여 다양한 길이의 입력 데이터를 선택함으로써 암호화된 데이터의 길이를 확인할 수 있다. TLS 프로토콜은 두 통신자(서버 및 클라이언트) 사이에서 발생하는 데이터 통신의 무결성을 보장하고 두 대상에 대한 인증 수단을 제공하고 있으며, 최근 몇 년 동안 이들을 대상으로 TLS 메커니즘의 몇몇 특성들을 이용한 다양한 공격들이 수행되고 연구되었다. 본 논문에서는 CRIME 및 SSL/TLS에 대한 다양한 공격 기법들과 이들에 대한 대응 및 구현 방안에 대하여 논의하며, 실용적인 관점에서 SSL/TLS 공격 대응 방안의 방향을 제시한다.

Abstract ▼ AI-Helper 아이콘AI-Helper

Juliano Rizzo and Thai Duong, the authors of the BEAST attack [11, 12] on SSL, have proposed a new attack named CRIME [13] which is Compression Ratio Info-leak Made Easy. The CRIME exploits how data compression and encryption interact to discover secret information about the underlying encrypted dat...

주제어

#핸드쉐이크 프로토콜   #압축 함수  

참고문헌 (15)

  1. AlFardan, N. and Paterson, K., "Lucky Thirteen: Breaking the TLS and DTLS Record Protocols," IEEE Symposium on Security and Privacy, http://www.ieee -security.org/TC/SP2013/papers/4977a526.pdf, 2013. 

  2. AlFardan, N., Bernstein, D., Paterson, K., Poettering, B., and Schuldt, J., "On the Security of RC4 in TLS and WPA," http://www.isg.rhul.ac.uk/tls/RC4biases.pdf, 2013. 

  3. Bellare, M. and Rogaway, P., "Entity authentication and key distribution," pp. 232-249, 1994. 

  4. Dierks, T. and Allen, C., "The TLS Protocol Version 1.0," RFC 2246, Internet Engineering Task Force, 1999. Available at: http://www.ietf.org/rfc/rfc2246.txt. 

  5. Hwang, S. J. and Lee, C. H., "Padding Oracle Attack on Block Cipher with CBC CBC-Double Mode of Operation using the BOZ-PAD," The Journal of Society for e-Business Studies, Vol. 20, No. 1, pp. 89-97, 2015. 

  6. Jin, C. Y., Kim, A. C., and Lim, J. I., "Correlation Analysis in Information Security Checklist Based on Knowledge Network," The Journal of Society for e-Business Studies, Vol. 19, No. 2, pp. 89-97, 2014. 

  7. Mavrogiannopoulos, N., Vercauteren, F., Velichkov, V., and Preneel, B., "A crossprotocol attack on the TLS protocol," Proceedings of the 2012 ACM Conference in Computer and Communications Security, pp. 62-72, http://doi.acm.org/10.1145/ 2382196.23 82206, 2012. 

    crossref

  8. Popov, A., "Prohibiting RC4 Cipher Suites," Work in Progress, draft-ietf-tls-prohibiting- rc4-01, 2014. 

  9. Prado, A., Harris, N., and Gluck, Y., "The BREACH Attack," http://breachattack.com, 2013. 

  10. Rescorla, E., "SSL and TLS: Designing and Building Secure Systems," Addison-Wesley, 2001. 

  11. Rizzo, J. and Duong, T., "Browser Exploit Against SSL/TLS," http://packetstormsecurity.com/files/105499/Browser-Exploi t-Against-SSL-TLS.html, 2011. 

  12. Rizzo, J. and Duong, T., "Here Come The Ninjas," Ekoparty Security Conference, 2012. 

  13. Rizzo, J. and Duong, T., "The CRIME Attack," EKOparty Security Conference, 2012. 

  14. Rosenfeld, M., "Internet Explorer SSL Vu lnerability," 2008. Available at: http://www.thoughtcrime.org/ie-ssl-chain.txt. 

  15. Seok, O. N., Han, Y. S., Eom, C. W., Oh, K. S., and Lee, B. K., "Developing the Assessment Method for Information Security Levels," The Journal of Society for e-Business Studies, Vol. 16, No. 2, pp. 159-169, 2011. 

저자의 다른 논문 :

관련 콘텐츠

오픈액세스(OA) 유형

GOLD

오픈액세스 학술지에 출판된 논문

저작권 관리 안내
섹션별 컨텐츠 바로가기

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

AI-Helper 아이콘
AI-Helper
안녕하세요, AI-Helper입니다. 좌측 "선택된 텍스트"에서 텍스트를 선택하여 요약, 번역, 용어설명을 실행하세요.
※ AI-Helper는 부적절한 답변을 할 수 있습니다.

선택된 텍스트

맨위로