OAuth를 이용한 로그아웃 문제로 인한 취약점 방지 기법에 대한 연구
A Study on Vulnerability Prevention Mechanism Due to Logout Problem Using Oauth
0
조회
0
다운로드
6
인용
0
참고문헌
키워드
초록
많은 웹 서비스가 OAuth 프로토콜을 이용하여 리소스 서버로부터 프로필 정보를 전달받아 사용자를 로그인시켜주는 형태로 제공되어 추가적인 회원가입의 불편함을 줄여주고 있다. 하지만, 작업을 종료한 사용자가 클라이언트 웹 서비스를 로그아웃하더라도 리소스 서버가 로그인 상태로 남아 사용자의 개인정보 및 리소스 서버 자원 유출에 대한 문제가 발생할 수 있다. 본 논문에서는 OAuth 프로토콜을 통해 로그인한 사용자가 클라이언트에서 로그아웃할 경우, 리소스 서버의 로그인 상태에 관한 알림을 통하여 사용자가 리소스 서버의 로그아웃 여부를 판단할 수 있도록 설계 및 구현하였다. 본 논문에서 제안하는 방법을 활용하여 OAuth 프로토콜을 통해 로그인한 사용자가 도서관, 백화점, 인쇄소와같이 여러 사용자가 이용하는 공용 PC 환경에서 리소스 서버에 로그아웃 여부를 확인하지 않아 발생할 수 있는 정보유출 문제를 줄이고 리소스 서버의 자원을 보호할 수 있다.
Abstract
Many web services which use OAuth Protocol offer users to log in using their personal profile information given by resource servers. This method reduces the inconvenience of the users to register for new membership. However, at the time a user finishes using OAuth client web service, even if he logs out of the client web service, the resource server remained in the login state may cause the problem of leaking personal information. In this paper, we propose a solution to mitigate the threat by providing an additional security behavior check: when a user requests to log out of the Web Client service, he or she can make decision whether or not to log out of the resource server via confirmation notification regarding the state of the resource server. By utilizing the proposed method, users who log in through the OAuth Protocol in the public PC environment like department stores, libraries, printing companies, etc. can prevent the leakage of personal information issues that may arise from forgetting to check the other OAuth related services. To verify our study, we implement a Client Web Service that uses OAuth 2.0 protocol and integrate it with our security behavior check. The result shows that with this additional function, users will have a better security when dealing with resource authorization in OAuth 2.0 implementation.
참고문헌 (16)
- I. Faynberg, "On Dynamic Access Control in Web 2. 0 and Beyond : Trends and Technologies", BELL LABS Technical Journal, 16(2), pp.199~218 (2011)
- D. Fett, "SPRESSO : A Secure, Privacy-Respecting Single Sign-On System for the Web", Proceedings of the 22nd ACM SIGSAC Conference on Computer and Communications Security, pp.1358~1369 (2015)
- D. Hardt, "The OAuth 2. 0Authorization Framework", Internet Engineering Task Force(IETF)RFC 6749, ~ (2012)
- R. Wang, "Signing Me onto Your Accounts through Facebook and Google : a Traffic-Guided Security Study of Commercially Deployed Single-Sign-On Web Services", Proceedings of the IEEE Symposium on Security and Privacy, pp.365~379 (2012)
- C. Bansal, "Discovering Concrete Attacks on Website Authorization by Formal Analysis", Proceedings of the IEEE 25th Computer Security Foundations Symposium, pp.247~262 (2012)
- "User Authentication with OAuth 2.0"[URL]
- "OAuth 2.0 and the Road to Hell"[URL]
- R. Wang, "Explicating SDKs : Uncovering Assumptions Underlying Secure Authentication and Authorization", Proceedings of the 22nd USENIX Security Symposium, pp.399~414 (2013)
- S. Sun, "The Devil is in the(Implementation)Details : An Empirical Analysis of OAuth SSO Systems", Proceedings of ACM Conference on Computer and Communications Security, pp.378~390 (2012)
- T. Lodderstedt, "OAuth 2. 0 Threat Model and Security Considerations", Internet Engineering Task Force(IETF)RFC 6819, ~ (2013)
- E. Ferry, "Security evaluation of the OAuth 2. 0 framework", Information & Computer Security, 23(1), pp.73~101 (2015)
- A Comprehensive Formal Security Analysis of OAuth 2. 0, "D. Fett", 1~90 (2016)
- M Jones, "OAuth 2. 0 Mix-Up Mitigation", Internet Engineering Task Force(IETF)draft-jones-oauthmix-up-mitigation-01, ~ (2016)
- "Sign in with NAVER"[URL]
- J. Kim, "An Incomplete Logout problem after using OAuth access token for system Login", Proceedings of APIC-IST 2016 (2016)
- T. Lodderstedt, "OAuth 2. 0 Token Revocation", Internet Engineering Task Force(IETF)RFC 7009, ~ (2013)