안드로이드 간편결제 애플리케이션 보안 솔루션 결과값 변조를 통한 검증기능 우회 방법에 대한 연구
A Study on Method for Bypassing Verification Function by Manipulating Return Value of Android Payment Application’s Security Solution
0
조회
0
다운로드
1
인용
0
참고문헌
키워드
초록
2014년도부터 금융권의 규제가 완화됨으로써 간단한 인증만으로 대금을 결제 할 수 있는 모바일 간편결제 시장이 확대되어 다양한 간편결제 서비스가 등장하고 있다. 모바일 간편결제 애플리케이션의 보안 위협을 막기 위해 여러 검증 기능을 가진 보안 솔루션들이 애플리케이션에 적용되었지만, 보안 솔루션의 적용 구조상 취약점은 여전히발생할 수 있다. 본 논문에서는 간편결제 애플리케이션과 보안 솔루션을 프로세스 관점에서 분석하여, 검증 결과 값을 변조하는 것만으로도 각 보안 기능의 상세 분석 없이도 보안 솔루션의 검증 기능을 쉽게 우회 할 수 있음을 실제간편결제 애플리케이션들을 대상으로 한 실험을 통해 증명한다. 그리고 본 논문에서 제시한 우회 방법의 대응방안을세 가지 시점으로 나누어 제시함으로써 국내 간편결제 서비스의 보안성을 향상시킬 수 있도록 기여한다.
Abstract
Since 2014, ease of regulations on financial institutions expanded the mobile payment market based on simpleauthentication, and this resulted in the emergence of various simple payment services. Although several security solutionshave been used to mitigate possible security threats to payment applications, there are vulnerabilities which can still befound due to the structure in which the security solution is applied to the payment service. In this paper, we analyze thepayment application and security solution from the process perspective, and prove through experimentation that verificationfunctions of security solutions can be bypassed without detailed analysis of each security function, but by simplymanipulating the verification result value. Finally, we propose methods to mitigate the bypass method presented in this paperfrom three different perspectives, and thereby contribute to the improvement of security level of the payment service.
참고문헌 (21)
- "Survey on Mobile Payment Service (Fintech1)", pp.1~2 (2016)
- "Payment trend in the first half of 2017", pp.2~ (2017)
- State of Security in the App Economy: Mobile Apps Under Attack, Vol. 1, Research Report, , ARXAN, ~ (2012)
- Kyounggon Kim, "Study on Security Diagnosis Method for Android Mobile App", pp.2015
- HPE Security Research - Cyber Risk Report 2016, , Hewlett Packard Enterprise, 42~ (2016)
- Timothy W.Martin, "North Korea's Army of Hackers Has a New Target: Bank Accounts", The Wall Street Journal (2017)
- Heesok Seo, "Status of Legal Regulations on Electronic Payments in Korea", Journal of Consumer Law, 2(2), pp.155~176 (2016)
- 이우진, "안드로이드 뱅킹 어플리케이션 내 중간언어 분석을 통한 보안 검사 지점 우회 취약점 연구", 정보보호학회논문지, 27(3), pp.549~562 (2017), 한국정보보호학회[DOI]
- 김순일, "안드로이드 스마트폰 뱅킹 앱 무결성 검증 기능의 취약점 연구", 정보보호학회논문지, 23(4), pp.743~755 (2013), 한국정보보호학회[DOI]
- Jin-Hyuk Jung, "Repackaging Attack on Android Banking Applications and Its Countermeasures", Wireless Personal Communications, 73(4), pp.1421~1437 (2013)[DOI]
- 김현조, "안드로이드 동적 클래스 로딩 기법을 이용한 개발단계에서의 보안약점 및 시큐어 코딩 연구", 멀티미디어학회논문지, 19(10), pp.1792~1807 (2016), 한국멀티미디어학회[DOI]
- Jeong-min Kim, "A study on the vulnerability strengthening of android banking app using dynamic key value", pp.2017
- 이찬희, "안드로이드 애플리케이션에 대한 역공학 방지 기법", 보안공학연구논문지, 10(1), pp.41~50 (2013), 보안공학연구지원센터
- 이형우, "안드로이드 기반 모바일 단말 루팅 공격에 대한 이벤트 추출 기반 대응 기법", 정보보호학회논문지, 23(3), pp.479~490 (2013), 한국정보보호학회[DOI]
- Taehun Kim, "Breaking Ad-hoc Runtime Integrity Protection Mechanisms in Android Financial Apps", Proceedings of the 2017 ACM on Asia Conference on Computer and Communications Security, pp.179~192 (2017)
- "JEB decompiler software, "JEB""[URL]
- "A tool for reverse engineering Android apk open source, "apktool""[URL]
- Kyounggon Kim, "Countermeasure of e-payment app security solution problem", The Korea Contents Association, 16(2), pp.14~19 (2018)
- Kyuheon Kim, "A Study on Countermeasure for Bypassing Android Security Solution through Manipulating Return Value", Proceedings of the Korea Institutes of Information Security and Cryptology Conference (2017)
- Tim Strazzere, "Dex Education: Practicing Safe Dex" (2012)
- Financial Security Institute, "E-Finance And Financial Security", Financial Security Institute, 1(15), pp.67~98 (2015)