웹 페이지에서 사용자 입력 값 변조 방지에 관한 연구
A Study on Protecting for forgery modification of User-input on Webpage
0
조회
0
다운로드
1
인용
0
참고문헌
키워드
초록
인터넷을 통하여 제공되는 대부분의 웹 서비스들은 웹 브라우저를 통하여 사용자에게 제공된다. 웹 브라우저는 텍스트 형태의 웹 페이지를 서버로부터 수신하여 해석하고 사용자에게 보여준다. 웹 브라우저는 추가적으로 설치 할 수 있는 각종 기능들을 통하여 확장성을 제공한다. 하지만 추가로 설치 할 수 있는 기능들도 웹 페이지에 접근하여 내용을위/변조 할 수 있다는 점에서 웹 브라우저를 통한 웹 서비스는 보안상 문제점을 내포할 수 있다. 웹 브라우저는 웹 페이지정보를 DOM구조의 형태로 메모리에 저장한다. 웹 페이지의 변조를 방지하기 위한 방법으로는 DOM구조의 특정 부분에 해쉬(hash)값을 적용하는 방법이 있다. 하지만 웹 페이지의 특성상 해쉬를 이용한 대응방안이 효과를 발휘할 수없는 부분이 있다. 즉, 사용자가 직접 입력하는 부분은 정해진 입력 값이 아니기 때문에 미리 해쉬 값을 계산 해 놓을수도 없고 따라서 임의로 변조되는 것을 막을 수 없다. 본 논문에서는 웹페이지에 입력되는 사용자 입력 값의 위조나변조를 방지 또는 탐지하는 방안을 제안한다. 제안 방법은 사용자가 키보드를 사용하여 입력하는 입력 값을 저장 해 놓았다가 웹 브라우저가 입력 값을 전송하는 순간 저장된 입력 값과 전송되는 값을 비교하여 변조 여부를 파악한다.
Abstract
Most of the web-based services are provided by a web browser. A web browser receives a text-based web page from theserver and translates the received data for the user to view. There are a myriad of add-ons to web browsers that extend browserfeatures. The browser’s add-ons may access web pages and make changes to the data. This makes web-services via webbrowsers are vulnerable to security threats. A web browser stores web page data in memory in the DOM structure. One methodthat prevents modifications to web page data applies hash values to certain parts in the DOM structure. However, a certaincharacteristic of web-pages renders this method ineffective at times. Specifically, the user-input data is not pre-determined, andthe hash value cannot be calculated prior to user input. Thus the modification to the data cannot be prevented. This paperproposes a method that both detects and inhibits any attempt to change to user-input data. The proposed method stores user-inputfrom the keyboard and makes a comparison with the data transmitted from the web browser to detect any anomalies.
참고문헌 (22)
- Joe Marini, "The Document Object Model:Processing Structured Documents" (2002), McGraw-Hill
- Lauren Wood, "Programming the Web :the W3C DOM specification", Internet Computing, IEEE, 3(1), pp.48~54 (1999)
- "Concepts against Man-in-the-Browser Attacks"[URL]
- Suhit Gupta, "Dom-based Content Extraction of HTML Documents", WWW-2003 (2003)
- N. Haller, "A one-time password system", IETF RFC 2289 (1998)
- H.W.Sim, "An one time password based e-finan -cial transaction verification protocol", TTAK.KO-12.0167, ~ (2011)
- Alain Hiltgen, "Secure Internet Banking Authentication", IEEE Security and Privacy, 4(2), pp.21~29 (2006)
- Young-Jae Maeng, "A Vulnerability Analy- sis of MITB in Online Banking Trans- actions in Korea", Internet and Information Security, 1(2), pp.101~118 (2010)
- "O futuro dos backdoors–O pior dosmundos"[URL]
- "Making sense of man-in-thebrowser attacks:Treate analysis and mitigation for financial institution"[URL]
- Timothy Dougan, "Man in the Browser Attacks", International Journal of Ambient Computing and Intelligence, 4(1), pp.29~39 (2012)
- Rauti Sampsa, "Browser Extension-Based Man-in-the -Browser Attacks against Ajax Applic -ations with Countermeasures", Proceeding of the 12th International Conference on Computer Systems and Technologies, pp.251~258 (2012), ACM
- "Defeating Man-in-the-Browser Malware : How to prevent the latest malware attacks against consumer and corporate banking"[URL]
- 모정훈, "BHO 이용한 웹 컨텐츠 변조 탐지 방법", 한국항행학회논문지, 15(4), pp.655~663 (2011), 한국항행학회
- Shin-Bum Kang, "Countermeasure and type of hacking on Internet banking", Korea Institute of Information Security & cryptology Conference, 15(4), pp.28~37 (2008)
- technique of keyboard hacking and Analysis of the countermeasure, "KF", ISAC, 2005
- Muzammi Baig, "A Robust Technique of Anti Key- Logging using Key-Logging Mechani- sm", Digital EcoSystems and Technol- ogies Conference `07. Inaugural IEEE- IES, pp.314~318 (2007)
- INKA-Internet, "K.R. Patent No. 10-2004-0009575: Hacking prevention of key stroke data", ~ (2004)
- Soft Camp, "K.R. Patent No. 2002-0048313", ~ (2002)
- "Document object model level-3 events specification"[URL]
- "Internet Explorer Event"[URL]
- "keydb_event"[URL]