[논문 리뷰] Harvesting SSL Certificate Data to Mitigate Web-Fraud

Mishari Al Mishari, Emiliano De Cristofaro외 2명|arXiv (Cornell University)|2009. 09. 21.

Digital Rights Management and Security인용 수 6

한 줄 요약

이 논문은 정상 및 악성 도메인의 SSL 인증서 메타데이터를 분석하여 HTTPS 기반 웹 위협 도메인을 탐지하는 새로운 방법을 제안한다. 광범위한 SSL 인증서 측정 데이터를 기반으로 훈련된 분류기 덕분에 피싱 및 타이포스코팅 도메인을 높은 정확도로 식별할 수 있으며, HTTPS 메타데이터가 원래의 보안 기능을 넘어서 보완적인 대응 기법으로 활용될 수 있음을 입증한다.

ABSTRACT

Web-fraud is one of the most unpleasant features of today’s Internet. Two eminent examples of web-fraudulent activities are phishing and typosquatting. Phishing aims to elicit sensitive information from users by presenting them with mock-ups of legitimate web sites. Typosquatting is the nefarious practice of fielding web sites with names closely resembling those of legitimate and popular Internet destinations. Effects range from relatively benign (such as unwanted or unexpected ads) to downright sinister (especially, when typosquatting is combined with phishing). Prior work has assessed the risks of phishing and typosquatting and even attempted to profile and mitigate them. However, the problem remains largely unsolved. This paper presents a novel technique to detect web-fraud domains that utilize HTTPS. To achieve this, we conduct the first comprehensive study of SSL certificates for legitimate and popular domains, as opposed to those used for web-fraud. Drawing from extensive measurements, we build a classifier that detects malicious domains with high accuracy. We validate our methodology with large amounts of data collected from the Internet. Our prototype is orthogonal to existing mitigation techniques and can be integrated with other available solutions. Our work shows that, besides its intended benefits of confidentiality and authenticity, the use of HTTPS can help mitigate web-fraud. 1

연구 동기 및 목표

• 사용자가 정상적으로 보이는 웹사이트를 악용하는 지속적인 웹 위협, 특히 피싱 및 타이포스코팅 문제를 해결하기 위해.
• HTTPS 도메인의 SSL 인증서 메타데이터가 악성 도메인을 식별하는 신뢰할 수 있는 신호로 기능할 수 있는지 조사하기 위해.
• SSL 인증서 특성에 기반해 악성 도메인과 정상 도메인을 구분하는 분류기를 개발하기 위해.
• 대규모 인터넷 측정을 통해 방법을 검증하여 실용적 적용 가능성을 확보하기 위해.

제안 방법

• 저자는 정상 및 악성 도메인의 SSL 인증서에 대한 종합적인 측정 연구를 수행한다.
• 발급자, 유효 기간, 공통 이름, 대체 주제 이름 등의 인증서 속성을 추출하고 분석하여 구분 가능한 패턴을 식별한다.
• 이러한 특징을 기반으로 기계 학습 분류기를 훈련시켜 웹 위협 도메인을 나타내는 이질성을 탐지한다.
• 분류기는 인터넷에서 수집한 대규모 데이터를 사용하여 평가되어 강건성과 일반화 능력을 확보한다.
• 기존의 대응 기법과 수직적(orthogonal)으로 설계되어 현재의 보안 솔루션과의 통합이 가능하다.

실험 결과

연구 질문

• RQ1 SSL 인증서 메타데이터는 악성 및 정상 HTTPS 도메인을 신뢰성 있게 구분할 수 있는가?
• RQ2 피싱 및 타이포스코팅 도메인은 정상 도메인과 비교해 SSL 인증서 속성에 어떤 특징적인 패턴을 보이는가?
• RQ3 SSL 인증서 데이터를 기반으로 한 분류기는 대규모 환경에서 웹 위협 도메인을 얼마나 효과적으로 탐지하는가?
• RQ4 이 방법은 기존 탐지 기법과 얼마나 잘 보완되는가?

주요 결과

• 연구는 특히 신뢰할 수 있는 발급자, 도메인 이름 패턴, 인증서 발급 행동 측면에서 악성 도메인과 정상 도메인 간의 SSL 인증서 특성에 상당한 차이가 있음을 밝혀냈다.
• 제안된 분류기는 SSL 인증서 메타데이터를 입력으로 사용해 악성 도메인을 높은 정확도로 탐지할 수 있었다.
• 이 방법은 피싱 및 타이포스코팅을 포함한 다양한 웹 위협 시나리오에 대해 강력한 일반화 능력을 보였다.
• 이 방법은 기존 탐지 기법과 수직적 관계를 유지하므로, 중복 없이 현재의 보안 스택과의 통합이 가능하다.