서버 SSL/TLS 취약점 자동 탐지를 위한 시스템 개발
A System for SSL/TLS Vulnerability Detection of Servers
0
조회
0
다운로드
2
인용
0
참고문헌
키워드
초록
SSL(Secure Socket Layer) 과 TLS(Transport Layer Security)는 네트워크 통신환경에서 주고받는 데이터를 보호하기 위해서 암호화를 해주는 통신 규약으로 널리 사용되고 있다. 그러나 이 통신 규약들의 설계 결함과실제 구현에서의 오류로 인해서 보안 이슈가 끊이지 않고 있으며 특히 많은 서버들이 이를 이용하고 있기 때문에 보안취약점으로 인해 심각한 피해를 일으킬 수 있다. 본 논문에서는 서버의 SSL과 TLS 보안 취약점을 자동으로 빠르게 탐지하고 주기적으로 검사할 수 있는 시스템을 개발하였다. 본 연구에서 개발한 취약점 스캐닝 시스템은 기존의 취약점 검사 툴에 비하여 주요 SSL과 TLS 관련 취약점을 내부 네트워크에서 빠르게 검사하여 탐지하는 것이가능하며 검사 스케쥴링 및 시각화 기능을 제공한다. 개발한 취약점 스캐닝 시스템을 이용하여 네이버 망에서 실제운용되고 있는 서버에서 SSL과 TLS 관련 취약점들을 탐지하여 그 결과를 분석하였다. 네이버 주요 서비스 및 관계사 도메인 213개에 대해 검사를 수행하여 각 도메인 당 평균 4.2개, 즉 총 816개의 취약점이 발견되었다. 7개이상의 취약점이 발견된 도메인 21개 중 일반 사용자들이 직접 사용하는 도메인은 없었으나 46개의 도메인에서2016년도 보안 취약점에 노출되어 있었다. 본 논문에서 개발한 취약점 검사 시스템을 이용해서 네이버 망의 서버에서 발견된 보안 취약점들을 빠르게 대응하여 패치를 수행할 수 있었다.
Abstract
SSL (Secure Socket Layer) and TLS (Transport Layer Security) are widely used protocols for secure and encryptedcommunication over a computer network. However, there have been reported several security vulnerabilities of SSL/TLS overthe years. The vulnerabilities can let an adversary carry out critical attacks on SSL/TLS enabled servers. In this paper, wehave developed a system which can periodically scan SSL/TLS vulnerabilities on internal network servers and quicklydetects, reports and visualizes the vulnerabilities. We have evaluated the system on working servers of Naver services andanalyzed detected vulnerabilities. 816 vulnerabilities are found on 213 internal server domains (4.2 vulnerabilities on average)and most vulnerable servers are not opened to public. However, 46 server domains have old vulnerabilites which were found2016. We could patch and response to SSL/TLS vulnerabilites of servers by leveraging the proposed system.
참고문헌 (15)
- D. Adrian, "Imperfect Forward Secrecy: How Diffie-Hellman Fails in Practice", Proceedings of the 22nd ACM SIGSAC Conference on Computer and Communications Security, pp.5~17 (2015)
- Z. Durumeric, "The matter of Heartbleed", Proceedings of the 2014 ACM Internet Measurement Conference, pp.475~488 (2014)
- C. Brubaker, "Using Frankencerts for Automated Adversarial Testing of Certificate Validation in SSL", TLS Implementations, 2014, 114~129
- Y. Chen, "Guided Differential Testing of Certificate Validation in SSL", TLS Implementations, 2015, 793~804
- J. Somorovsky, "Systematic Fuzzing and Testing of TLS Libraries", Proceedings of the 2016 ACM SIGSAC Conference on Computer and Communications Security, pp.1492~1504 (2016)
- J. De Ruiter, "Protocol State Fuzzing of TLS Implementations", Proceedings of the 24th USENIX Conference on Security Symposium, pp.193~206 (2015)
- S. Sivakorn, "HVLearn: Automated Black-box Analysis of Hostname Verification in SSL", TLS Implementations, 2017, ~