[논문 리뷰] MITHYS: Mind The Hand You Shake - Protecting mobile devices from SSL usage vulnerabilities

Mauro Conti, Nicola Dragoni외 1명|arXiv (Cornell University)|2013. 06. 28.

Advanced Malware Detection Techniques참고 문헌 9인용 수 5

한 줄 요약

MITHYS는 운영 체제 수정 없이도 특별한 권한 없이 애플리케이션 수준에서 TLS 핸드셰이크를 검증함으로써 SSL 기반 중간자 공격(MITM)으로부터 모바일 애플리케이션을 탐지하고 보호하는 플랫폼 독립적 시스템이다. PayPal 및 페이스북과 같은 취약한 애플리케이션의 위험을 줄이기 위해 런타임 모니터링과 인증서 검증을 수행하며, 약 5초의 측정 가능한 평균 오버헤드를 유발하지만 이는 수용 가능한 수준이다.

ABSTRACT

Recent studies have shown that a significant number of mobile applications, often handling sensitive data such as bank accounts and login credentials, suffers from SSL vulnerabilities. Most of the time, these vulnerabilities are due to improper use of the SSL protocol (in particular, in its \emph{handshake} phase), resulting in applications exposed to man-in-the-middle attacks. In this paper, we present MITHYS, a system able to: (i) detect applications vulnerable to man-in-the-middle attacks, and (ii) protect them against these attacks. We demonstrate the feasibility of our proposal by means of a prototype implementation in Android, named MITHYSApp. A thorough set of experiments assesses the validity of our solution in detecting and protecting mobile applications from man-in-the-middle attacks, without introducing significant overheads. Finally, MITHYSApp does not require any special permissions nor OS modifications, as it operates at the application level. These features make MITHYSApp immediately deployable on a large user base.

연구 동기 및 목표

• SSL/TLS 기반 중간자 공격(MITM)에 취약한 모바일 애플리케이션의 광범위한 취약성 문제를 해결하기 위해.
• 운영 체제 수준의 액세스나 특별한 권한 없이도 응용 프로그램 수준에서 작동하는 솔루션을 제공하기 위해.
• 공용 Wi-Fi 환경에서 데이터 유출을 방지하기 위해 서버 인증서 검증을 강제 적용함으로써 사용자를 보호하기 위해.
• 개발자가 애플리케이션의 MITM 공격에 대한 내구성을 테스트할 수 있도록 도구를 제공하기 위해.
• 실제 배포 환경에서 강력한 보안 보장을 유지하면서 성능 오버헤드를 최소화하기 위해.

제안 방법

• MITHYS는 TLS 핸드셰이크를 프oxy 기반으로 가로채어 인증서 체인을 검사하고 검증하는 방식으로 응용 프로그램 계층에서 작동한다.
• 정확한 로그 시간 측정을 위해 안드로이드의 logcat을 활용하여 로그인/로그아웃 작업의 이벤트를 탐지하고 네트워크 행동의 이질성을 식별한다.
• SSL/TLS 핸드셰이크 시퀀스의 런타임 분석을 수행하여 누락되거나 약한 인증서 검증 체크 여부를 탐지한다.
• 서버 인증서에 대해 엄격한 검증 체크를 구현하여 신뢰할 수 없거나 자체 서명된 인증서를 거부한다.
• MITHYSApp는 기존 애플리케이션에 코드 변경 없이 통합되며, 표준 안드로이드 API를 사용해 네트워크 모니터링을 수행한다.
• 시스템은 취약한 애플리케이션 탐지 시 차단하거나 경고를 표시할 수 있는 사용자 제어 기능을 포함한다.

실험 결과

연구 질문

• RQ1 가벼운 응용 프로그램 수준의 시스템이 SSL/TLS 취약성을 탐지하여 중간자 공격(MITM)을 유도하는가?
• RQ2 운영 체제 수정 없이도 특권 권한 없이 실시간으로 사용자를 MITM 공격으로부터 보호할 수 있는가?
• RQ3 실제 모바일 애플리케이션에서 런타임 SSL 검증 및 모니터링으로 인해 발생하는 성능 오버헤드는 어느 정도인가?
• RQ4 페이스북 및 페이팔과 같은 널리 사용되는 애플리케이션의 알려진 취약성을 탐지하는 데 얼마나 효과적인가?
• RQ5 안드로이드 외의 다른 모바일 플랫폼으로도 확장 가능한가?

주요 결과

• MITHYSApp는 TLS 핸드셰이크 행동과 인증서 검증 방식을 분석함으로써 SSL 기반 MITM 취약성을 성공적으로 탐지한다.
• 시스템은 로그인/로그아웃 작업당 약 5초의 평균 성능 오버헤드를 유발하며, 다양한 애플리케이션 간에 일관되게 유지된다.
• 페이스북의 경우 추가 네트워크 점검과 검증으로 인해 로그인 지연이 약 55% 증가했고, 로그아웃은 33% 증가했다.
• 이러한 성능 오버헤드는 공용 Wi-Fi 환경에서의 데이터 도용 방지 기능를 고려할 때 사용자에게 수용 가능한 것으로 평가된다.
• 저자들은 특히 인증서 캐싱을 통한 최적화로 평균 지연 시간을 2~3초로 줄일 수 있을 것으로 추정한다.
• MITHYSApp는 운영 체제 수정 없이도 특별한 권한 없이 작동하여 대규모 사용자 기반에 즉각적인 배포가 가능하다.