가상키보드 비밀번호 유출 분석
Analysis of the Password Leaking in Virtual Keyboard
1
조회
0
다운로드
1
인용
0
참고문헌
키워드
초록
온라인상에서 안전하게 금융서비스를 이용하기 위해서는 사용자를 인증하는 기술이 요구된다. 키보드를 사용한 비밀번호 입력 방식이 가장 일반적이나, 키보드 입력이 쉽게 유출될 수 있음이 알려짐에 따라 많은 인터넷 뱅킹 서비스 및 간편 결제 서비스에서는 가상키보드를 사용하고 있다. 하지만 안전할 것이라는 기대와 달리, 가상키보드 역시 키보드 입력이 유출될 위험성이 존재했다. 본 논문에서는 가상키보드의 비밀번호 유출 가능성을 분석하고, PC 환경에서 마우스 이벤트 후킹과 화면캡처를 활용한 비밀번호 유출 방안을 제시했다. 또한, 국내 유명 인터넷 뱅킹 웹사이트 및 간편결제 서비스에서 비밀번호 유출 공격 가능성을 직접 검사하였으며, 그 결과 PC 운영체제에서 수행되는 가상키보드를 통한 비밀번호 입력방식이 안전하지 않음을 검증하였다.
Abstract
In order to use online financial services, user authentication technology is necessary. Password check through keyboard typing is the most common technique. However, since it became known that key stokes on the keyboard can be intercepted easily, many Internet banking services and easy payment services have adopted the virtual keyboard. However, contrary to the expectation that the virtual keyboard will be safe, there is a risk that key strokes on the virtual keyboard can be leaked. In this paper, we analyzed the possibility of password leaking on the virtual keyboard and presented a password leaking method using mouse event hooking and screen capture in PC operating system. In addition, we inspected the possibility of password leak attacks on several famous Korea Internet banking websites and simple payment services, and as a result, we verified that the password input method through the virtual keyboard in the PC operating system is not secure.
참고문헌 (17)
- The Bank of Korea, "Use of Korea Bank Internet Banking Service during 2021", ~ (2022)
- The Bank of Korea, "Use of Electronic Payment Service during 2021", ~ (2022)
- 배광진, "키보드 보안의 근본적인 취약점 분석", 정보보호학회논문지, 18(3), pp.89~96 (2008), 한국정보보호학회
- "Window App Development - winuser.h header"[URL]
- Gettys James, "Xlib: C language X interface (X version 11, release 4) Vol. 29" (1990), Silicon Press
- "API Collection - Quartz Event Services"[URL]
- 이종혁, "개인 정보 보호를 위한 화면 캡쳐 방지 모듈 구현", 한국정보통신학회논문지, 18(1), pp.91~96 (2014), 한국정보통신학회[DOI]
- Manu Kumar, "Reducing shoulder-surfing by using gaze-based password entry", SOUPS '07:Proceedings of the 3rd symposium on Usable privacy and security, pp.13~19 (2007), ACM
- 보부르, "가상 온스크린 키보드를 이용한 비밀번호 입력의 취약점 분석", 정보보호학회논문지, 26(4), pp.857~869 (2016), 한국정보보호학회[DOI]
- 조태남, "안드로이드 은행앱의 동적 가상키보드에 대한 취약점 및 대응방안", 정보처리학회논문지. 컴퓨터 및 통신시스템, 8(1), pp.9~16 (2019), 한국정보처리학회[DOI]
- 김성환, "어깨너머공격 모델링 및 보안 키패드 취약점 분석", 정보보호학회논문지, 24(6), pp.1159~1174 (2014), 한국정보보호학회[DOI]
- 이성훈, "자바스크립트 변조를 이용한 국내 인터넷 뱅킹 키보드 암호화 모듈 우회 공격", 정보보호학회논문지, 25(4), pp.941~950 (2015), 한국정보보호학회[DOI]
- "Snake Keylogger Being Distributed via Spam E-mails"[URL]
- "‘Dyre’, a malware that steals financial information"[URL]
- "How FIDO Works"[URL]
- Sang-Nae Cho, "Passwordless Authentication Technology-FIDO", Electronics and telecommunications trends, 29(4), pp.101~109 (2014)
- 유성민, "인증 수준에 의한 서비스 접근제어 프로토콜", 정보보호학회논문지, 28(6), pp.1509~1522 (2018), 한국정보보호학회[DOI]