패스워드 매니저의 패스워드 저장소 보안 취약점 분석
Security of Password Vaults of Password Managers
1
조회
0
다운로드
4
인용
0
참고문헌
키워드
초록
웹사이트 이용이 증가하면서, 패스워드들을 암호화하여 데이터베이스에 저장 관리해주는 패스워드 매니저의 사용이 증가하고 있다. 브라우저 기반 패스워드 매니저와 로컬 기반 패스워드 매니저는 암호화된 데이터베이스를 로컬컴퓨터에 저장한다. 웹 기반 패스워드 매니저는 암호화된 데이터베이스를 클라우드 서버에 저장하지만 사용자는 클라우드 서버에 접속하는데 사용하는 마스터 패스워드를 로컬 컴퓨터에 저장할 수 있다. 공격자가 사용자의 컴퓨터에서 패스워드 데이터베이스를 훔쳐 복호화에 성공한다면, 사용자의 모든 패스워드들이 노출되는 심각한 문제가 있다. 본 논문에서는 로컬 컴퓨터에 저장된 패스워드 저장소의 보안 취약점을 분석하는 절차를 제시하고, 패스워드 저장소를 공격하는 시나리오를 제시하며, 공격 프로그램을 개발하여 패스워드 저장소를 공격함으로써 패스워드 저장소의보안 취약점을 확인한다.
Abstract
As the number of services offered on the Internet exponentially increases, password managers are increasing popularapplications that store several passwords in an encrypted database (or password vault). Browser-integrated password managersor locally-installed password managers store the password vault on the user’s device. Although a web-based passwordmanager stores the password vault on the cloud server, a user can store the master password used to sign in the cloudserver on her device. An attacker that steals a user’s encrypted vault stored in the victim’s device can make an offlineattack and, if successful, all the passwords in the vault will be exposed to the attacker. This paper investigates thevulnerability of the password vault stored in the device and develops attack programs to verify the vulnerability of thepassword vault.
참고문헌 (20)
- J. Bonneau, "The quest to replace passwords: A framework for comparative evaluation of web authentication schemes", Proc. IEEE Symposium on Security and Privacy, pp.553~567 (2012)
- P. Gasti, "On the security of password manager database formats", Proc. European Symposium on Research in Computer Security, pp.770~787 (2012)
- M. Golla, "On the security of cracking-resistant password vaults", Proc. ACM SIGSAC Conference on Computer and Communications Security (CCS), pp.1230~1241 (2016)
- R. Chatterjee, "Cracking-resistant password vaults using natural language encoders", Proc. IEEE Symposium on Security and Privacy, pp.481~498 (2015)
- S. Huber, "Extracting all your secrets:Vulnerabilities in android password managers", Hack In The Box Security Conference, pp.1~50 (2017)
- S. Huber, "Bypassing android password manager apps without root", DEF CON, pp.1~58 (2017)
- Z. Li, "The emperor’s new password manager : Security analysis of web-based password managers", Proc. USENIX Security Symposium, pp.465~479 (2014)
- D. Silver, "Password managers : Attacks and defenses", Proc. USENIX Security Symposium, pp.449~464 (2014)
- M. Blanchou, "Whitepaper", pp.1~6 (2013), iSEC partners
- K. Bhargavan, "Web-based attacks on host-proof encrypted storage", Proc. USENIX Workshop on Offensive Technologies, pp.1~8 (2012)
- X. Li, "A survey on server-side approaches to securing web applications", ACM Computing Surveys, 46(4), pp.1~29 (2014)
- "DB Browser for SQLite"[URL]
- "Windows Data Protection"[URL]
- E. Burzstein, "Recovering windows secrets and EFS certificates offline", Proc. USENIX Workshop on Offensive Technologies, pp.1~9 (2010)
- "Technical Whitepaper"[URL]
- "KeePass Password Safe"[URL]
- H. Zhang, "Analysis of encryption mechanism in KeePass Password Safe 2.30", Proc. IEEE International Conference on ASID, pp.1~4 (2016)
- "keepass2john. py – Python module to extract a has h from KeePass databases"[URL]
- "hashcat–advanced passwor d recovery"[URL]
- "libk eepass – Python module to read Kee Pass files"[URL]