[논문 리뷰] TCP SYN Cookie Vulnerability

Dakshil Shah, Varshali Kumar|arXiv (Cornell University)|2018. 07. 20.

IPv6, Mobility, Handover, Networks, Security참고 문헌 1인용 수 3

한 줄 요약

이 논문은 SYN 쿠키를 통해 연결 상태 추적을 제거하여 DoS 공격을 방지하기 위해 설계된 TCP SYN 쿠키가, 초기 시퀀스 번호(ISN)를 8개의 유효한 조합만으로 추측함으로써 정상적인 연결을 위조할 수 있는 심각한 취약성을 야기한다는 것을 입증한다. 저자들은 구조화된 ACK 패킷을 사용하여 이 공격을 성공적으로 실행하여 가짜 로그를 심고, 이는 제어된 환경에서 실현 가능하며 실제 환경에서 세션 위조나 감사 로그 조작을 가능하게 할 수 있음을 보여준다.

ABSTRACT

TCP SYN Cookies were implemented to mitigate against DoS attacks. It ensured that the server did not have to store any information for half-open connections. A SYN cookie contains all information required by the server to know the request is valid. However, the usage of these cookies introduces a vulnerability that allows an attacker to guess the initial sequence number and use that to spoof a connection or plant false logs.

연구 동기 및 목표

• TCP SYN 쿠키가 연결 상태 추적을 제거함으로써 DoS 공격을 방지하기 위해 도입된 배경에서 발생하는 보안 위험을 조사하기 위해.
• SYN 쿠키 내 ISN 생성 메커니즘이 오직 ACK 패킷만으로도 유효한 연결을 위조할 수 있음을 입증하기 위해.
• 실제 또는 에뮬레이션된 네트워크 환경에서 연결을 위조하고 가짜 액세스 로그를 심는 것이 얼마나 실현 가능한지 평가하기 위해.
• 특히 법적 효력을 지닌 로그가 요구되는 환경에서 감사 로그 무결성에 미치는 영향을 부각하기 위해.
• 이 취약성이 프레임업이나 추적 회피를 위해 악용될 가능성이 있어 공개 노출을 촉구하기 위해.

제안 방법

• 공격자는 SYN 플러드를 통해 백로그 큐가 오버플로우되도록 하여 서버가 SYN 쿠키 모드로 전환하도록 유도한다.
• 공격자 기계는 위조된 IP 주소를 설정하고 들어오는 패킷을 버림으로써 RST 응답을 방지하여 침묵스럽게 연결을 위조하도록 구성한다.
• 가짜 ISN을 추측한 후 생성된 ACK 패킷을 사용하며, 타이머와 MSS 값의 8가지 유효 조합으로 인해 총 24비트만 추측하면 된다.
• 비선형 증가 전략을 사용하여 ISN 공간을 효율적으로 커버하며, 서버 응답 시간과 시계 동기화를 기반으로 최적화된다.
• 공격 성공 여부는 tcpdump로 패킷 캡처가 버퍼 오버플로우로 인해 신뢰할 수 없기 때문에 Apache 서버 로그에서 연결 완료 여부를 확인함으로써 검증된다.
• 가상 머신 및 실제 LAN 환경에서 실험을 수행하여 다양한 네트워크 조건 하에서의 실현 가능성 평가를 수행한다.

실험 결과

연구 질문

• RQ1 SYN 쿠키가 사용 중일 때 공격자가 오직 ACK 패킷만으로 서버에 TCP 연결을 위조할 수 있는가?
• RQ2 SYN 쿠키 생성에서 유효한 ISN 조합의 수는 얼마이며, 이를 효율적으로 추측하여 연결 위조를 가능하게 할 수 있는가?
• RQ3 공격 시점과 서버 응답 시간이 ISN 추측 성공률에 얼마나 영향을 미치는가?
• RQ4 이 취약성의 실질적 영향은 감사 로그 무결성과 보안 조사에서의 증거 확보에 어떤 영향을 미치는가?
• RQ5 이 공격은 실제 네트워크에서 실현 가능한가? 공용 또는 무선 네트워크 환경에서는 어떤 제약이 있는가?

주요 결과

• 공격은 가상 머신 및 실제 LAN 환경 모두에서 성공적으로 연결을 위조하여, 제어된 조건에서 연결 스푸핑이 기술적으로 실현 가능함을 입증했다.
• 유효한 ISN 조합 수는 이전 버전의 32개에서 8개로 감소되었지만, SYN 쿠키의 예측 가능한 구조로 인해 여전히 유의미한 추측 가능성이 존재한다.
• 서버 응답 시간과 시계 동기화를 기반으로 한 최적의 공격 시점은 성공까지의 시간을 26분 이내로 줄일 수 있으며, 일부 시도는 시작 후 1분 내로 성공하였다.
• 공용 무선 네트워크에서는 네트워크 불안정성과 혼잡으로 인해 공격에 실패하였으며, 이로 인해 시스템 충돌과 패킷 전달 실패가 발생했다.
• 서버 로그에서 유일하게 성공한 연결 완료 기록은 유효한 ISN을 포함한 위조된 ACK 패킷에서만 관찰되었으며, 이는 공격이 가짜 액세스 기록 생성에 성공했음을 확인한다.
• 이 취약성은 감사 로그 무결성에 심각한 위협을 가하며, 위조된 액세스 로그가 무고한 사용자를 프레임업하거나 악성 활동을 가리기 위해 악용될 수 있다.