[논문 리뷰] An Application Package Configuration Approach to Mitigating Android SSL Vulnerabilities

Vasant Tendulkar, William Enck|arXiv (Cornell University)|2014. 10. 28.

Advanced Malware Detection Techniques참고 문헌 12인용 수 10

한 줄 요약

이 논문은 Android 애플리케이션 매니페스트에 SSL 설정 설정(예: 인증서 핀딩 및 디버그 모드 SSL 검증)을 직접 통합하여 잘못된 구성의 위험을 줄이는 방법을 제안한다. Google 플레이에서 3,302개의 SSL을 사용하는 앱을 대상으로 평가한 결과, 57.2%의 앱이 이 접근 방식에서 유의미한 이점을 얻을 수 있었으며, 이는 인증서 검증이 잘못된 방식으로 구현된 일반적인 SSL 취약성에 노출되는 위험을 크게 감소시킨다.

ABSTRACT

Computing platforms such as smartphones frequently access Web content using many separate applications rather than a single Web browser application. These applications often deal with sensitive user information such as financial data or passwords, and use Secure Sockets Layer (SSL) to protect it from unauthorized eavesdropping. However, recent studies have confirmed a wide-spread misconfiguration of SSL verification in applications. This paper considers the difficulty faced by Android application developers when modifying SSL code for using common features like pinning or using a self-signed SSL certificate. For example, developing an application that accesses a test Web server with a self-signed certificate requires additional code to remove SSL verification; however, this code is not always removed in production versions of the application. To mitigate vulnerabilities introduced because of the complexity of customizing SSL code in Android applications, we propose that common SSL configuration should be specified in the application's package manifest. We provide two concrete suggestions: 1) linking the application's debug state to SSL verification, and 2) pinning certificates and CAs in the manifest. We evaluate the appropriateness of these two suggestions on over 13,000 applications from Google's Play Store, of which 3,302 use SSL in non-advertisement code, and find that 1,889 (57.20%) of these SSL applications would benefit.

연구 동기 및 목표

• 모든 Android 앱에서 발생하는 맨-in-더-미들(MITM) 공격을 유발하는 광범위한 SSL 잘못된 구성 문제를 해결하기 위해.
• 인증서 핀딩 또는 자체 서명된 인증서 처리와 같은 안전한 SSL 실천 방법을 구현할 때 개발자가 겪는 복잡성을 줄이기 위해.
• 코드에서 SSL 구성 설정을 애플리케이션 매니페스트로 이동시켜 유지보수성과 정확성을 향상시키는 해결책을 제안하기 위해.
• 실제 Android 애플리케이션에 대한 매니페스트 기반 SSL 구성의 타당성과 영향을 평가하기 위해.

제안 방법

• 디버그 모드와 SSL 검증 동작을 연결하여 개발 중에는 자동으로 SSL 검증이 비활성화되고, 프로덕션에서는 활성화되도록 하기 위해.
• AndroidManifest.xml 파일에 직접 인증서 핀딩 및 CA 신뢰 설정을 통합할 수 있는 메커니즘을 도입하기 위해.
• 애플리케이션 코드를 수정하지 않고도 신뢰할 수 있는 인증서 또는 CA를 지정할 수 있도록 매니페스트 기반 구성 시스템을 설계하기 위해.
• Google 플레이의 13,000개 앱을 대상으로 정적 분석을 수행하여, 광고 외 코드에서 SSL을 사용하는 3,302개 앱에 집중적으로 평가하기 위해.
• SSL 잘못된 구성의 빈도를 분석하고, 매니페스트 기반 구성 방식에서 유의미한 이점을 얻을 수 있는 앱의 수를 평가하기 위해.
• 프로토타입을 구현하여 제안된 매니페스트 기반 구성 모델의 기술적 타당성을 검증하기 위해.

실험 결과

연구 질문

• RQ1 SSL 통신을 위해 SSL을 사용하는 Android 애플리케이션에서 얼마나 퍼진 상태로 SSL 잘못된 구성이 존재하는가?
• RQ2 매니페스트 기반 구성 방식이 Android 앱에서 불안전한 SSL 구현의 위험을 어느 정도 줄일 수 있는가?
• RQ3 AndroidManifest.xml에 인증서 핀딩 및 디버그 모드 검증과 같은 SSL 정책을 통합하면 개발자가 안전한 실천 방식을 준수하는 데 도움이 될 수 있는가?
• RQ4 실제 Android 앱 중 얼마나 많은 비율이 매니페스트 기반 SSL 구성 접근 방식을 채택함으로써 유의미한 이점을 얻을 수 있는가?
• RQ5 유지보수성과 보안 측면에서 현재의 코드 수준 구성 패턴과 비교했을 때, 제안된 접근 방식은 어떠한가?

주요 결과

• 광고 외 코드에서 SSL을 사용하는 분 析된 3,302개의 Android 앱 중 1,889개(57.20%)가 제안된 매니페스트 기반 SSL 구성 접근 방식에서 유의미한 이점을 얻을 수 있다.
• Android 앱의 대부분의 SSL 취약성은 잘못된 또는 누락된 인증서 검증 로직에서 기인하며, 일반적으로 개발 단계에서 도입되어 프로덕션 빌드에서는 제거되지 않는다.
• 디버그 플래그와 SSL 검증을 연결하는 제안된 방법은 프로덕션 빌드에서 불안전한 SSL 구성이 의도치 않게 노출되는 것을 방지할 수 있다.
• 매니페스트에 지정된 인증서 핀딩은 오직 사전 정의된 인증서만 수락하도록 하여 맨-인-더-미들 공격의 위험을 줄인다.
• 이 연구는 코드에서 매니페스트로 SSL 구성 설정을 이동시키면 구성 오류 발생 가능성이 감소하고 장기적인 유지보수성이 향상됨을 확인한다.
• 평가 결과, 실세계 Android 앱의 상당 부분이 열악한 SSL 구성으로 인해 취약한 것으로 드러나 플랫폼 수준의 보안 강화의 필요성을 강조한다.