침해된 웹 SSO 계정 보호를 위한 보안 조치 실험 연구
Measurement of Remediation for Compromised User Account of Web Single Sign-On (SSO)
1
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
계정 통합 시스템(SSO)은 다수의 웹사이트 계정 비밀번호를 통합 관리하기 때문에 높은 보안이 요구된다. 계정 통합 시스템을 이용하는 사용자는 웹사이트 로그인 시 주인증기관(IdP)을 통해 인증된다. 본 논문에서는 주인증기관 계정이 탈취된 사용자의 피해를 최소화하기 위하여 주인증기관이 취할 수 있는 보안 요구사항을 제시한다. 이를 만족하지 않을 시 발생하는 보안 위협을 설명한다. 실험을 통해 주인증기관이 보안 요구사항을 만족하지 않으면 사용자가 공격을 인지하더라도 공격자의 세션을 취소시킬 수 없음을 증명한다.
Abstract
Single Sign-On (SSO) service manages user’s account passwords from multiple websites so that security in a high level is required. Users who use the SSO service are authenticated through the Identity Provider (IdP) when logging into the website. We present the security requirements that IdP can take in order to minimize the user’s risk whose IdP account is compromised. We describe the security threats that arise when the security requirements are not satisfied. Through evaluation, we prove that the attacker’s session cannot be canceled even if the user recognizes the attack if the IdP does not satisfy the security requirements.
참고문헌 (10)
- J.D. Clercq, "Single sign-on architectures", Proceedings of International Conference on Infrastructure Security, pp.40~58 (2002)
- S.T. Sun, "The devil is in the (implementation) details: An empirical analysis of OAuth SSO systems", Proceedings of 2012 ACM Conference on Computer and Communications Security, pp.378~390 (2012)
- C. Yue, "The devil is phishing:rethinking web single sign-on systems security", Proceedings of 6th USENIX Workshop on Large-Scale Exploits and Emergent Threats (2013)
- D. Hardt, "The OAuth 2.0authorization framework", RFC 6749, ~ (2012)
- "OpenID connect core 1.0incorporating errata set 1" (2021)[URL]
- "Assertions and protocols for the OASIS security assertion markup language (SAML) V2.0" (2021)[URL]
- "Puppeteer" (2021)[URL]
- "OpenID connect back-channel logout 1.0 - draft 06" (2021)[URL]
- M. Ghasemisharif, "O single sign-off, where art thou? An empirical analysis of single sign-on account hijacking and session management on the web", Proceedings of 27th USENIX Security Symposium, pp.1475~1492 (2018)
- R. Yang, "Model-based security testing : an empirical study on OAuth 2. 0 implementations", Proceedings of 11th ACM on Asia Conference on Computer and Communications Security, pp.651~662 (2016)