본문 바로가기
KERD
논문KCI 등재

MITM 공격과 리버스 엔지니어링을 이용한 OTP 적용환경의 취약점 연구

A study on the vulnerability of OTP implementation by using MITM attack and reverse engineering

김휘강|강병탁
한국정보보호학회 (Korea Institute Of Information Security And Cryptology)|2011.12|정보보호학회논문지 (Journal of The Korea Institute of Information Security and Cryptology)|제21권 제6호|pp. 83-100

1

조회

0

다운로드

6

인용

0

참고문헌

키워드

Reverse EngineeringMalwareOTPInternet BankingMITM attack
주제분류컴퓨터학

초록

OTP (One Time Password) 인증방식은 국내 금융거래나 포털 및 온라인게임과 같은 인터넷 서비스에서 계정보안을 위한 수단으로 널리 이용되고 있다. OTP 는 국내 금융 거래 시 1등급 보안수단으로 지정될 만큼 보안성을 인정받고 있으나, OTP 인증을 구현한 서비스를 대상으로 한 다양한 해킹 방법들 역시 존재한다. 이러한 해킹 방법들은 대부분 OTP 알고리즘 자체의 결함을 찾아내어 공격하기보다는 OTP 인증방식을 구현한 방식이나 환경에 따라 발생 가능한 취약점을 이용하는 것이 일반적인데, 이 논문에서는 MITM (Man-in-the-Middle) 공격과 같이 기존에 알려져 있던 OTP 기반 인증방식을 대상으로 한 해킹기법 및 리버스 엔지니어링(Reverse Engineering)을 이용한 해킹 방법들에 대해 논의하고, 이에 대한 해결방안을 제시하도록 한다.

Abstract

OTP (One Time Password) is widely used for protecting accounts on Internet banking, portal services and online game services in Korea. OTP is very strong method for enforcing account security but there are several ways for exploiting vulnerabilities caused by implementation errors. These attacks can work because of the weakness from OTP enabled system’s vulnerabilities, not for OTP’s algorithm itself. In this paper, we present the known attack scenarios such as MITM (Man-in-the-Middle) attack and various reverse engineering techniques; also, we show the test result of the attacks and countermeasures for these attacks.

참고문헌 (40)

  1. "온라인게임 보안서비스 설문조사"[URL]
  2. 임형진, "전자 금융 거래 환경의 인증 기술 동향 분석", 한국정보보호학회 학회지, 18(5), pp.84~98 (2008)
  3. 유정각, "인터넷뱅킹 호환성을 고려한 보안기술 적용방안", 지급결제와 정보기술, pp.84~98 (2010)
  4. 김소이, "전자금융사고 발생유형 및 대응현황", 지급결제와 정보기술, pp.35~61 (2010)
  5. Petr Hanacek, "E-Banking Security - Comparative Study", 10th ACIS, pp.263~226 (2009)
  6. Alain Hiltgen, "Secure Internet Banking Authentication", IEEE Security & Privacy (2006)
  7. Oppliger, R. Rytz, "Internet Banking: Client-Side Attacks and Protection Mechanisms", IEEE Computer, pp.27~33 (2009)
  8. Steeves, D.J., "Secure online transaction using a CAPTCHA image as a watermark", U.S.Patent, 11, 2005
  9. "지정PC등록제"[URL]
  10. "전화승인서비스"[URL]
  11. "mControl"[URL]
  12. Hangbae Chang, "The study on end- to-end security for ubiquitous commerce", The Journal of Supercomputing, 55(2), pp.228~245 (2011)
  13. 배광진, "키보드 보안의 근본적인 취약점 분석", 정보보호학회논문지, 18(3), pp.89~96 (2008), 한국정보보호학회
  14. Linda D. Paulson, "Key snooping technology causes controversy", IEEE Computer, pp.27~ (2002)
  15. 강병탁, "Bypass AntiVirus – 키보드 보안 솔루션 취약점", 마이크로소프트웨어, pp.204~211 (2009)
  16. 서승현, "OTP기술현황 및 국내 금융권 OTP 도입사례", 한국정보보호학회지, 17(3), pp.18~25 (2007)
  17. "Wikipedia.: One-Time Password"[URL]
  18. S. Mizuno, "Authentication using multiple communication channels", DIM 2005: Proceedings of the 2005 workshop on Digital identity management, pp.54~62 (2005), ACM
  19. "Wikipedia.: Two-factor Authentication"[URL]
  20. Fadi Aloul, "Two factor authentication using mobile phones", IEEE, 2009, 641~644
  21. Hallsteinsen, S., "Using the Mobile Phone as s Security Token for Unified Authentication", ICSNC 2007, pp.68~ (2007), IEEE Computer Society
  22. Thanh, D., "Simple Strong Authentication for Internet Applications Using Mobile Phones", IEEE GLOBECOM, pp.1~5 (2008)
  23. Wei-Chi KU, "Stolen - verifier attack on an efficient smartcard-based one-time password authentication scheme", IEICE Transactions on Communication, E87-B(8), pp.2374~2376 (2005)
  24. "UOTP"[URL]
  25. "Wikipedia.: Man-in-the-middle Attack"[URL]
  26. "Security aspects of the SuisseID"[URL]
  27. Heutige Situation, "Cyber-Kriminalität ist heute zur Normalität geworden", Robert Weiss Consulting "The WEISSBUCH-Company", ~ (2009)
  28. "Phishing attack targets one-time passwords – scratch it and weep"[URL]
  29. "Citibank Phish Spoofs 2-Factor Authentication"[URL]
  30. NetworkWorld, "New Trojan intercepts online banking information", ~ (2008)
  31. Guhring, P, "Concepts against man-in- the-browser attacks", ~ (2007)
  32. 맹영재, "국내 인터넷뱅킹 계좌이체에 대한 MITB 취약점 분석", Internet and Information Security, 1(2), pp.101~118 (2010)
  33. "O futuro dos backdoors - O pior dosmundos" (2005)[URL]
  34. Chun-Ming Leung, "Depress phishing by CAPTCHA with OTP", 3rd International Conference on Anti-counterfeiting, pp.187~192 (2009), Security, and Identification in Communication
  35. "Wikipedia.:No Phishing"[URL]
  36. "RSA Interoperability between JavaScript and RSACryptoServiceProvider - Form Login Example"[URL]
  37. "시큐어브라우저"[URL]
  38. 금융보안연구원, , 이슈리포트 2010-001, ~ (2010)
  39. "Transaction Verification Complements Fraud Detection and Stronger Authentication" (2006)[URL]
  40. "Otimised to Fall: Card Readers for Online Banking" (2009)[URL]

관련 논문AI추천

PC에 탑재된 OTP의 취약점 분석김승주, 원동호, 이광우, 홍우찬한국정보처리학회 · 정보처리학회논문지C2010 · 제17권 제4호OTP를 이용한 인터넷뱅킹 시스템의 다중 채널 인증 기법박재표, 윤승구(사)디지털산업정보학회 · (사)디지털산업정보학회 논문지2010 · 제6권 제4호해시체인 기반 OTP 방식의 안전성 분석이윤호한국엔터프라이즈아키텍처학회 · 정보화연구2023 · 제20권 제3호IoT 디바이스를 위한 MTM 기반의 안전한 OTP 생성기 구현김영세, 김정녀, 전용성, 한진희대한임베디드공학회 · 대한임베디드공학회논문지2015 · 제10권 제4호원타임 키패드의 보안성 분석김종락, 노영건, 이나리, Lucky Erap Galvez한국정보보호학회 · 정보보호학회논문지2017 · 제27권 제4호웹에서의 일회용 인증자를 이용한 가벼운 세션 인증 기법맹영재, 양대헌, 이경희에스케이텔레콤 (주) · Telecommunications Review2009 · 제19권 제4호

이 간행물의 다른 논문 (8건)

VANET에서 RSU의 의존성을 줄이고 차량의 프라이버시를 강화한 인증 프로토콜김상진, 오희국, 김종식, 임원우pp. 21-34이메일 클라이언트 내의 삭제된 이메일 복원에 관한 연구정초롱, 이상진, 이근기pp. 45-54IaaS 유형의 클라우드 컴퓨팅 서비스에 대한 디지털 포렌식 연구오정훈, 정일훈, 이상진, 박정흠pp. 55-66온라인증명서 발급시스템 보호프로파일에 관한 연구이현정, 원동호pp. 109-118재전송 공격에 안전한 개선된 강력한 패스워드 인증 프로토콜 설계김준섭, 곽진pp. 133-140
원문 보기