[논문 리뷰] Stealth-MITM DoS Attacks on Secure Channels

Amir Herzberg, Haya Shulman|arXiv (Cornell University)|2009. 10. 19.

Network Traffic and Congestion Control참고 문헌 26인용 수 6

한 줄 요약

이 논문은 IPsec의 재전송 방지 창이 크거나 올바르게 설정되어 있어도, TCP의 혼잡 제어를 악용하여 패킷 재정렬 및 중복을 통해 스텔스성 MITM DoS 공격을 수행하는 새로운 방법을 보여준다. 저자들은 TCP나 종단 호스트를 수정하지 않고도 성능을 복구하기 위해, 중복 ACK를 정상 패킷 수신 시까지 지연시키는 방화벽 기반의 재정렬 내성 터널링 메커니즘을 제안한다.

ABSTRACT

We define stealth Man-in-the-Middle adversaries, and analyse their ability to launch denial and degradation of service (DoS) attacks on secure channels. We show realistic attacks, disrupting TCP communication over secure VPNs using IPsec. We present: First amplifying DoS attack on IPsec, when deployed without anti-replay window. First amplifying attack on IPsec, when deployed with a `small' anti-replay window, and analysis of `sufficient' window size. First amplifying attack on IPsec, when deployed with `sufficient' window size. This attack (as the previous) is realistic: attacker needs only to duplicate and speed-up few packets. We also suggest a solution designed to prevent the presented attacks, and to provide secure channel immune to degradation and other DoS attacks. Our solution involves changes (only) to the two gateway machines running IPsec. In addition to their practical importance, our results also raise the challenge of formally defining secure channels immune to DoS and degradation attacks, and providing provably-secure implementations.

연구 동기 및 목표

• IPsec의 재전송 방지 메커니즘이 존재하더라도 TCP에 대한 DoS 공격을 충분히 보호하지 못함을 보여주기 위해.
• 스텔스성 MITM 환경에서 패킷 재정렬 및 중복을 통해 TCP 혼잡 제어가 어떻게 악용될 수 있는지 분석하기 위해.
• 소형, 충분한 크기, 무한대 크기의 IPsec 재전송 방지 창 설정에서의 취약점 규명하기 위해.
• TCP나 종단 호스트를 수정하지 않고도 재정렬 공격으로 인한 성능 저하를 방지하기 위해 방화벽 수준의 솔루션을 제안하기 위해.
• DoS 및 성능 저하 공격에 대해 공식적으로 증명 가능한 내성 보장이 가능한 안전한 채널을 정의하기 위한 설계 원칙을 제시하기 위해.

제안 방법

• 최소한의 노력으로 패킷을 중복 및 가속화할 수 있는 스텔스성 MITM 악성 공격자 모델을 제안한다.
• 패킷 재정렬 공격을 통해 중복 ACK를 유도하고, 이를 통해 TCP의 빠른 재전송과 혼잡 창 축소를 유도한다.
• 종단 호스트가 아닌 IPsec 게이트웨이(방화벽)에서만 구현된 재정렬 내성 터널링 프로토콜을 설계한다.
• 게이트웨이 간의 일반적인 지연 시간을 기반으로 이상한 패킷 도착 시간을 감지한다.
• 경고 플래그를 도입하고 중복 ACK를 지연 전달한다: 정상 패킷이 예상 지연 시간 내에 도착하면 중복 ACK는 기각한다.
• 두 단계 기반 메커니즘을 구현한다: 지연된 도착을 통해 공격 가능성을 탐지하고, 정상 패킷 수신 후에만 중복 ACK를 보냄으로써 방지한다.

실험 결과

연구 질문

• RQ1 스텔스성 MITM 공격자가 IPsec에서 패킷 재정렬 또는 중복을 통해 TCP 성능을 저하시키면서도 탐지되지 않을 수 있는가?
• RQ2 IPsec의 재전송 방지 메커니즘이 크거나 올바른 크기의 창을 사용하더라도, 왜 TCP에 대한 DoS 공격을 방지하지 못하는가?
• RQ3 IPsec의 재전송 방지 창 크기가 다양할 경우, 재정렬 공격이 TCP 혼잡 제어에 미치는 성능 영향은 무엇인가?
• RQ4 TCP나 종단 호스트를 수정하지 않고도 방화벽 기반 솔루션이 재정렬 기반 DoS 공격을 탐지하고 완화할 수 있는가?
• RQ5 DoS 및 성능 저하 공격에 대해 공식적으로 증명 가능한 내성 보장이 가능한 안전한 채널을 정의하기 위해 필요한 설계 원칙은 무엇인가?

주요 결과

• 논문은 재전송 방지 창이 설정되어 있지 않은 IPsec 환경에서 첫 번째 증폭형 DoS 공격을 보여주며, 심각한 대역폭 저하를 초래한다.
• 소형 재전송 방지 창을 가진 IPsec 환경에서도 첫 번째 증폭형 DoS 공격을 입증하며, 창 크기가 잘못 설정되면 재정렬 공격 취약성이 발생함을 보여준다.
• 무한대 크기의 재전송 방지 창이 설정되어 있어도 IPsec에서 첫 번째 증폭형 DoS 공격이 발생함을 드러내며, IPsec의 재전송 방지 메커니즘이 성능 저하 공격을 방지하지 못함을 증명한다.
• 제안된 방화벽 기반 솔루션은 중복 ACK를 지연시킴으로써 재정렬 기반 DoS 공격을 성공적으로 완화하고, 공격 상황에서도 TCP 성능을 복구한다.
• 이 솔루션은 IPsec 게이트웨이에 대한 최소한의 변경만 필요하며, 방화벽 뒤의 모든 호스트를 보호할 수 있으며, 종단 호스트의 TCP 스택을 수정할 필요가 없다.
• 저자들은 GRE 터널링도 보호되지 않은 상태에서는 DoS 공격에 취약하며, IPsec 위에서 실행되더라도 이러한 공격에 대해 충분한 보호를 제공하지 못함을 보여준다.