[논문 리뷰] Protocol channels as a new design alternative of covert channels

Steffen Wendzel|arXiv (Cornell University)|2008. 09. 11.

Internet Traffic Analysis and Secure E-voting인용 수 10

한 줄 요약

이 논문은 패킷 페이로드에 정보를 내장하지 않고도 은밀한 데이터를 전송할 수 있도록, 두 개 이상의 통신 프로토콜 간의 프로토콜 전환을 이용하는 새로운 도용 채널 유형인 프로토콜 채널을 소개한다. 프로토콜 전환을 신호 전달 수 Mittel로 활용함으로써 기존의 검사 방법으로는 탐지되지 않는 은밀한 통신을 가능하게 하며, 네트워크 보안 분야에서 새로운 공격 벡터를 제공한다.

ABSTRACT

Covert channel techniques are used by attackers to transfer hidden data. There are two main categories of covert channels: timing channels and storage channels. This paper introduces a third category called protocol channels. A protocol channel switches one of at least two protocols to send a bit combination to a destination while sent packets include no hidden information themselves.

연구 동기 및 목표

• 기존의 패킷 페이로드 수정이나 타이밍 변동에 의존하지 않는, 새로운 도용 통신 방법을 규명하고 분석함으로써 네트워크 보안 분야에서 더욱 은밀한 데이터 유출 기법에 대한 증가하는 수요를 충족시키기 위한 것이다.
• 패킷 페이로드 수정이나 타이밍 변동에 의존하지 않는, 이전에 탐색되지 않은 도용 통신 방법을 규명하고 분석하는 것.
• 다양한 프로토콜 간의 프로토콜 전환이 은밀한 데이터 전송을 위한 신뢰할 수 있고 탐지되지 않는 신호 전달 수단으로 기능할 수 있음을 입증하는 것.
• 기존의 타이밍 및 스토리지 도용 채널에 비해 프로토콜 채널이 실용적이고 타당한 대체 수단이 될 수 있는지 평가하는 것.

제안 방법

• 이진 데이터를 인코딩하기 위해 최소 두 개 이상의 서로 다른 통신 프로토콜 간의 전환을 기반으로 하는 새로운 도용 채널 모델을 제안한다.
• TCP에서 UDP로의 전환 또는 응용 계층 프로토콜 간의 전환과 같은 프로토콜 전환을 은밀한 비트 전송의 수단으로 사용한다.
• 특정 시점에 선택된 프로토콜이 비트 값(예: TCP = 0, UDP = 1)을 나타내는 신호 전달 메커니즘을 설계하며, 이는 패킷 콘텐츠와 무관하다.
• 전송된 패킷이 의미적으로 유효하고 정상적인 트래픽과 구분되지 않도록 보장함으로써 프로토콜 의미 체계를 유지한다.
• 프로토콜 전환의 순서를 비트 스트림으로 해석할 수 있도록 동기화된 송수신 프로토콜을 구현한다.
• 네트워크 스택 내부의 프로토콜 선택 행동에 기반하여 패킷 데이터를 수정하지 않고도 은밀한 신호 전달 경로를 확립한다.

실험 결과

연구 질문

• RQ1 다양한 프로토콜 간의 프로토콜 전환이 도용 데이터 전송을 위한 신뢰할 수 있는 수단으로 사용될 수 있는가?
• RQ2 패킷 페이로드를 수정하거나 타이밍 의존성을 도입하지 않고 프로토콜 채널을 어떻게 구현할 수 있는가?
• RQ3 기존의 도용 채널과 비교해 프로토콜 채널의 실용적 한계와 탐지 과제는 무엇인가?
• RQ4 표준 네트워크 모니터링 및 침입 탐지 시스템은 프로토콜 채널을 어느 정도 회피할 수 있는가?

주요 결과

• 프로토콜 채널은 패킷 페이로드나 타이밍 조작이 아닌 프로토콜 선택을 신호 수단으로 사용함으로써 새로운 은밀한 도용 통신 방법을 제공한다.
• 패킷 콘텐츠나 타이밍 패턴을 검사하는 기존의 서명 기반 및 이상 탐지 기반 시스템으로서는 탐지되지 않는다.
• 송신자와 수신자에서의 조율된 프로토콜 전환을 통해 신뢰할 수 있는 데이터 전송이 가능하다.
• 패킷에 은밀한 데이터가 포함되지 않고 정상적인 프로토콜 동작을 유지하므로, 프로토콜 채널은 일반적인 네트워크 검사 기법에 강건하다.