[논문 리뷰] Harvesting SSL Certificate Data to Identify Web-Fraud

Mishari Al Mishari, Emiliano De Cristofaro외 2명|arXiv (Cornell University)|2009. 09. 21.

Spam and Phishing Detection참고 문헌 30인용 수 14

한 줄 요약

이 논문은 HTTPS 기반 웹 위협 도메인을 식별하기 위해 SSL 인증서 메타데이터를 분석하는 새로운 방법을 제안한다. 유사한 도메인과 위조 도메인 간의 인증서 특성 차이를 활용하여, 종합적인 측정 연구와 훈련된 분류기로 인해 피싱 및 타이포스quat팅 도메인을 높은 정확도로 식별하는 데 성공한다. SSL 인증서 데이터의 특징적인 패턴을 통해 실현된다.

ABSTRACT

Web-fraud is one of the most unpleasant features of today's Internet. Two well-known examples of fraudulent activities on the web are phishing and typosquatting. Their effects range from relatively benign (such as unwanted ads) to downright sinister (especially, when typosquatting is combined with phishing). This paper presents a novel technique to detect web-fraud domains that utilize HTTPS. To this end, we conduct the first comprehensive study of SSL certificates. We analyze certificates of legitimate and popular domains and those used by fraudulent ones. Drawing from extensive measurements, we build a classifier that detects such malicious domains with high accuracy.

연구 동기 및 목표

• 암호화된 연결을 악용해 탐지되는 것을 피하는 HTTPS 기반 웹 위협, 특히 피싱 및 타이포스quat팅의 증가하는 위협을 해결하기 위해.
• SSL 인증서 메타데이터에 정상 도메인과 위조 도메인 간의 구분 가능한 특징이 포함되어 있는지 조사하기 위해.
• SSL 인증서 데이터를 활용해 높은 정확도로 악성 도메인을 탐지할 수 있는 분류기를 개발하기 위해.

제안 방법

• 연구는 정상적이며 인기 있는 도메인과 알려진 위조 도메인의 SSL 인증서에 대한 종합적인 측정을 수행한다.
• 발급자, 유효 기간, 키 크기, 주제 대체 이름 등의 인증서 속성을 추출하고 분석하여 차별화되는 패턴을 식별한다.
• 추출된 인증서 특징을 기반으로 기계학습 분류기를 훈련시켜 정상 도메인과 악성 도메인을 구분한다.
• 기존에 알려진 위조 및 정상 도메인의 레이블이 붙은 데이터를 기반으로 지도 학습을 수행하여 새로운 도메인의 악성 여부를 예측한다.

실험 결과

연구 질문

• RQ1 SSL 인증서 메타데이터는 정상 도메인과 위조 도메인 간의 차별화 가능한 특징을 드러낼 수 있는가?
• RQ2 위조 도메인은 정상 도메인과 비교해 SSL 인증서 속성에서 체계적인 차이를 보이는가?
• RQ3 SSL 인증서 데이터를 기반으로 훈련된 분류기는 얼마나 높은 정확도로 피싱 및 타이포스quat팅 도메인을 탐지할 수 있는가?

주요 결과

• 위조 도메인은 발급자, 유효 기간, 키 크기 등의 SSL 인증서 속성에서 정상 도메인과 통계적으로 유의미한 차이를 보인다.
• 분류기는 SSL 인증서 메타데이터만을 기반으로 악성 도메인을 높은 정확도로 식별하는 데 성공한다.
• 짧은 유효 기간과 비표준 발급자를 가진 특정 인증서 패턴은 위조 도메인과 강하게 연관되어 있다.
• 본 연구는 SSL 인증서 데이터만으로도 HTTPS 환경에서 웹 위협을 신뢰할 만한 신호로 활용할 수 있음을 입증한다.