선택한 단어 수는 입니다.
최소 단어 이상 선택하여야 합니다.
최소 단어 이상 선택하여야 합니다.
선택한 단어 수는 30입니다.
최대 10 단어까지만 선택 가능합니다.
최대 10 단어까지만 선택 가능합니다.
문제 정의
- 네트워크 통신환경에서 주고받는 데이터를 보호하기 위해서 SSL/TLS가 널리 이용되고 있다. 그리나 설계 결함과 실제 구현에서의 오류로 인해서 보안 이슈가 끊이지 않고 있는데, 본 논문에서는 이러한 보안 취약점을 SSL/TLS 취약점을 자동으로 빠르게 검사하기 위한 취약점 검색 도구를 개발 하였다. MVS는 tls-rookie에 종속적인 도구가 아니라, 어떠한 취약점 스캐너라도 붙일 수 있는 플랫폼이므로 TLS 취약점 외에 다른 취약점 검사 도구와 연동하여 자동 검사를 수행할 수 있다.
- 체인을 표시해준다. 다음으로 서버에서 지원하는 모든 프로토콜과 암호화 알고리즘을 알려주고, 자주 사용되는 브라우저 및 봇에서 어떤 암호화 알고리즘을 선택하여 연결이 성립되는지 보여준다. 다음으로 (1) Heartbleed 등 개별적인 취약점 존재 여부와 (2) 지원하는 EC(elliptic curve)알고리즘 등 SSL/TLS의 상세한 설정, (3) HSTS(HTTP strict transport security) 지원 여부 등 HTTPS 설정에 관련된 부가적인 정보를 표시한다.
- 그러나 이 도구는 사용자의 컴퓨터에 설치된 OpenSSL과 Linux socket을 사용하여 검사를 수행하므로 Linux 외의 환경은 지원하지 않으며 사용자의 컴퓨터에 설치된 OpenSSL 버전에 따라 일부 검사가 불가능한 단점이 있다. 또한, Insecure client-initiated renegotiation 검사를 하지 않는 등 Qualys 사의 검사 도구보다 적은 항목에 대해 검사한다.
- 본 연구에서는 기존 문제를 해결하고자 주기적으로 여러 서버의 SSL/TLS 취약점을 검사할 수 있는 SSL/TLS 스캐너 시스템을 개발하였고, 실제로 네이버(Naver)에서 운용중인 서버들을 대상으로 스캐닝을 수행하고 그 결과를 분석하였다. 특히, 본 연구에서 개발된 시스템은 보안상 중요한 취약점 항목과 관련 없는 부가적인 검사 항목이나 부수적인 기능을 빼고 외부 라이브러리나 구현체에 의존하지 않고 개발을 하여 검사 속도가 매우 빠르다.
가설 설정
- - 모든 검사 결과를 DB에 저장하며, Elastic Stack으로 쉽게 시각화가 가능하다.
- 부가적인 정보 제공 등의 기능을 제외, 3. 병렬처리를 통해 속도를 극대화, 4. 외부 라이브러리나 구현체에 의존하지 않음의 이유 때문이다. 테스트에서 사용된 213개의 도메인은 외부에 오픈되어 있는 도메인들인데 Qualys의 경우, 내부 망에서 접근 가능한 서버의 테스트로 인하여 정보유출 가능성이 있기 때문에 공개되어 있는 도메인들에 대해서만 테스트를 수행하였다.
※ AI-Helper는 부적절한 답변을 할 수 있습니다.