HTML5 웹 서비스 환경에서의 개인정보침해 탐지 모듈 구현
Implementation of the Personal Information Infringement Detection Module in the HTML5 Web Service Environment
0
조회
0
다운로드
1
인용
0
참고문헌
키워드
초록
ActiveX와 같은 비표준 기술에 기반을 둔 인터넷 환경을 개선하기 위해 국제 웹 표준 활용 기술인 HTML5의 전환이 진행되고 있다. 웹 페이지를 만들기 위한 기본 프로그래밍 언어인 HTML5 (Hyper Text Markup Language 5)는 HTML4보다 보안을 고려하여 설계되었다. 그러나 새롭게 추가된 신기술들로 인해 웹 기반 취약점에 대한 공격범위가 넓어졌으며, HTML4 환경에서 발생하던 다양한 보안 위협들이 그대로 상속되고 있다. 본 논문에서는 스크립트기반 사이버 공격 및 HTML5 기능 악용 스크립트 중 개인정보 침해가 발생할 수 있는 부분에 초점을 두었으며, 어떤공격에 악용되어 개인정보가 침해되는지 실제 재현하였다. 또한, 개인정보 침해를 유발하는 공격에 대해 클라이언트 기반으로 진단 가능한 플러그인 타입의 탐지 모듈을 구현하였다. 진단 스캐너를 이용한 공격 탐지는 HTML5 기반 웹 어플리케이션이나 웹 페이지에 대한 신뢰도를 자가 진단한 후 웹 서비스를 이용하므로 HTML5의 취약점 공격에 대해 사전대응이 가능하며, 새로운 취약점 발생 시 탐지 기능 추가가 자유로워 확장성이 용이하다.
Abstract
The conversion of the international standard web utilization HTML5 technology is being developed for improvement of the internet environment based on nonstandard technology like ActiveX. Hyper Text Markup Language 5 (HTML5) of basic programming language for creating a web page is designed to consider the security more than HTML4. However, the range of attacks increased and a variety of security threats generated from HTML4 environment inherited by new HTML5 API. In this paper, we focus on the script-based attack such as CSRF (Cross-Site Request Forgery), Cookie Sniffing, and HTML5 API such as CORS (Cross-Origin Resource Sharing), Geolocation API related with the infringement of the personal information. We reproduced the infringement cases actually and embodied a detection module of a Plug-in type diagnosed based on client. The scanner allows it to detect and respond to the vulnerability of HTML5 previously, thereby self-diagnosing the reliability of HTML5-based web applications or web pages. In a case of a new vulnerability, it also easy to enlarge by adding another detection module.
참고문헌 (15)
- "Plans for implementing the dissemination of HTML5" (2012)[URL]
- "A vocabulary and associated APIs for HTML and XHTML, W3C" (2014)[URL]
- "Security issues in environment of the New HTML5 Web services" (2013)[URL]
- "Exposure Guideline for Web pages personal information" (2014)[URL]
- "OWASP Top 10 Privacy Risks Project" (2016)[URL]
- "PERSONAL INFORMATION PROTECT ION ACT"[URL]
- West, William, "Analysis of privacy and security in HTML5 web storage", Journal of Computing Sciences in Colleges, 27(3), pp.80~87 (2012)
- H. Kim, "Exploring and mitigating privacy threats of HTML5geolocation API", Proceedings of the 30th Annual Computer Security Applications Conference. ACM, pp.306~315 (2014)
- G. Dong, "Detecting cross site scripting vulnerabilities introduced by HTML5", Computer Science and Software Engineering(JCSSE), 11th International Joint Conference on IEEE, pp.319~323 (2014)
- D. Bates, "Regular expressions considered harmful in client-side XSS filters", Proceedings of the 19th international conference on World wide web. ACM, pp.91~100 (2010)
- D. Gol, "Web Application security tool to identify the different Vulnerabilities using RUP model", International Journal of Emerging Trends in Electrical and Electronics(IJETEE), 11(2) (2015)
- H.L. Choo, "The Behavior-Based Analysis Techniques for HTML5 Malicious features", Innovative Mobile and Internet Services in Ubiquitous Computing(IMIS), 2015 9th International Conference on. IEEE, pp.436~440 (2015)
- "Common Attack Pattern Enumeration and Classification"[URL]
- "Common Weakness Enumeration"[URL]
- K. Tsipenyuk, "Seven pernicious kingdoms : A taxonomy of software security errors", IEEE Security & Privacy, 3(6), pp.81~84 (2005)