웹 애플리케이션에서 세션 상태 기반의 쿠키 재전송 공격 방어 기법
A Defense Mechanism Based on Session Status against Cookie Replay Attack in Web Applications
0
조회
0
다운로드
1
인용
0
참고문헌
키워드
초록
웹 접근성이 보다 용이해짐에 따라 사용자 인증이 필요한 웹 애플리케이션에서 보안이 중요시 되고 있다. 웹 애플리케이션에서 쿠키는 세션으로 인한 서버의 부하를 줄이고, 사용자 정보를 효율적으로 관리하기 위해 사용한다. 그러나 사용자 정보가 저장된 쿠키는 공격자에 의해 스니핑될 수 있으며, 이렇게 스니핑된 쿠키를 이용하여 공격자는 마치 합법적인 사용자인 것처럼 사용자의 세션을 유지할 수 있다. 이러한 종류의 공격을 쿠키 재전송 공격이라 하는데, 이것은 웹 애플리케이션에서 중대한 보안 문제를 야기한다. 본 논문에서는 이러한 쿠키 재전송 공격을 탐지하고 방어할 수 있는 기법을 제안하였고 그 효과성을 검증하였다
Abstract
As web accessibility has been easier, security issue becomes much more important in web applications demanding user authentication. Cookie is used to reduce the load of the server from the session in web applications and manage the user information efficiently. However, the cookie containing user information can be sniffed by an attacker. With this sniffed cookie, the attacker can retain the webapplication session of the lawful user as if the attacker is the lawful user. This kind of attack are called cookie replay attack and itcauses serious security problems in web applications. In this paper, we have introduced a mechanism to detect cookie replay attacks anddefend them, and verified effectiveness of the mechanism.
참고문헌 (13)
- 심원태, "쿠키파일의 보안성 향상을 위한 저장 방식", 한국시뮬레이션학회 논문지, 20(1), pp.29~37 (2011), 한국시뮬레이션학회
- DongHee Kim, "A Study on The Efficient Authentication Management Technique of SSO Foundation", Journal of the Korea Institute of Information Technology, 4(1), pp.55~63 (2009)
- Aziz Baayer, "Enhanced Timestamp Discrepancy to Limit Impact of Replay Attacks in MANETs", Journal of Information Security, pp.224~230 (2012)
- D. E. Denning, "Timestamps in Key Distribution Protocols", Magazine Communications of the ACM, 24(8) (1981)
- Leiba, Barry, "OAuth Web Authorization Protocol", IEEE Internet Computing, 16(1), pp.74~77 (2012)
- John Trammel, "Device Token Protocol for Persistent Authentication Shared across Applications", First European Conference, ESOCC, pp.230~243 (2012)
- Mojtaba Ayoubi Mobarhan, "Evaluation of Security Attacks on UMTS Authentication Mechanism", International Journal of Network Security & Its Applications(IJNSA), 4(4), pp.37~52 (2012)
- "Telecommunications Technology Asscociation" (2014)[URL]
- "Analysis of ICT terminology" (2014)[URL]
- "Replay attack - Wikipedia" (2014)[URL]
- "Hash function-KISA" (2014)[URL]
- "Category:OWASP Top Ten Project" (2014)[URL]
- "HttpCookie.HttpOnly" (2014)[URL]