[논문 리뷰] TLS Proxies: Friend or Foe?

Mark O'Neill, Scott Ruoti외 2명|arXiv (Cornell University)|2014. 07. 26.

Internet Traffic Analysis and Secure E-voting참고 문헌 19인용 수 10

한 줄 요약

이 논문은 Google AdWords를 통해 배포된 Flash 기반 클라이언트 측 도구를 사용하여 TLS 프록시의 보편성과 행동을 측정하며, 전 세계적으로 0.41%의 TLS 연결(약 1 in 250)이 프록시에 의해 가로막힌 것으로 밝혀졌다. 이 연구는 기업 방화벽과 같은 양호한 목적의 사용과, 여덟 가지 악성 소프트웨어 패밀리 및 기만적인 관행을 포함한 악성 목적의 사용을 식별하며, 사용자 인식 향상과 TLS 프록시 시스템 내 신뢰성 투명성 향상의 긴급한 필요성을 강조한다.

ABSTRACT

The use of TLS proxies to intercept encrypted traffic is controversial since the same mechanism can be used for both benevolent purposes, such as protecting against malware, and for malicious purposes, such as identity theft or warrantless government surveillance. To understand the prevalence and uses of these proxies, we build a TLS proxy measurement tool and deploy it via Google AdWords campaigns. We generate 15.2 million certificate tests across two large-scale measurement studies. We find that 1 in 250 TLS connections are TLS-proxied. The majority of these proxies appear to be benevolent, however we identify over 3,600 cases where eight malware products are using this technology nefariously. We also find numerous instances of negligent, duplicitous, and suspicious behavior, some of which degrade security for users without their knowledge. Distinguishing these types of practices is challenging in practice, indicating a need for transparency and user awareness.

연구 동기 및 목표

• 클라이언트 측 측정을 통해 암호화된 트래픽을 가로막는 TLS 프록시의 전 세계 보편성을 측정하는 것.
• 기업 방화벽과 같은 양호한 목적의 프록시 행동과 악성 소프트웨어, 감시 도구와 같은 악성 목적의 프록시 행동을 구분하는 것.
• 인증서 신뢰 체인을 조작하거나 위조하는 프록시 인스턴스를 식별하고 특성화하는 것.
• Flash 기반 인증서 불일치 검출을 통한 클라이언트 측 검출 기법의 효과성을 평가하는 것.
• 감지되지 않은 TLS 프록시의 위험성에 대한 인식을 높이고 브라우저 및 운영 체제 내 신뢰성 투명성 향상을 주장하는 것.

제안 방법

• Google AdWords 캠프에 Flash 기반 TLS 프록시 검출 도구를 배포하여 클라이언트 측 인증서 체인을 직접 측정.
• 전 세계 연구와 5개의 고위험 국가(중국, 우크라이나, 러시아, Egyptians, 파키스탄)를 대상으로 한 연구를 포함해 총 1,520만 건의 인증서 테스트를 수집.
• 클라이언트가 서버의 진짜 인증서 대신 대체 인증서를 수신할 경우를 식별하기 위해 인증서 불일치 검출을 사용.
• 다양한 도메인에서 측정 가능하게 하기 위해 허용적인 Flash 소켓 정책 파일을 가진 웹사이트를 대상으로 하여 화이트리스트 편향을 방지.
• 대체 인증서의 필드(발행자, 주체, 서명)를 분석하여 프록시 유형을 분류하고, 빈 발행자 또는 위조된 CA와 같은 이상 징후를 탐지.
• 이전 연구들(Huang et al., Netalyzer 등)과 비교하여 프록시 보편성 및 행동의 차이를 평가.

실험 결과

연구 질문

• RQ1 암호화된 TLS 트래픽을 가로막는 TLS 프록시의 전 세계 보편성은 얼마인가?
• RQ2 기업 방화벽과 같은 양호한 목적의 프록시 행동과 악성 소프트웨어, 감시 도구와 같은 악성 목적의 프록시 행동은 어떻게 다를까?
• RQ3 페이스북이나 구글과 같은 일반적으로 사용되는 웹사이트들은 화이트리스트 덕분에 프록시 가로막힘으로부터 보호되는가?
• RQ4 위조된 인증서 기관 또는 익명 프록시와 같은 기만적 또는 비안전한 프록시 행동 유형은 무엇이 있는가?
• RQ5 대규모 클라이언트 측 측정 캠프에 의해 이전에 알려지지 않은 프록시 인스턴스, 특히 악성 소프트웨어나 통신사에서 사용하는 프록시를 감지할 수 있는가?

주요 결과

• 연구에서 0.41%의 모든 TLS 연결—약 1 in 250—이 TLS 프록시에 의해 가로막힌 것으로 나타났으며, Huang et al.(0.20%)가 보고한 비율의 두 배였다.
• 프록시의 대부분(70.87%)이 방화벽 또는 기업 네트워크 소프트웨어에서 온 것으로 나타나, 합법적인 보안 목적을 위한 광범위한 사용을 시사했다.
• 8개의 다른 악성 소프트웨어 패밀리(예: Superfish, Objectify Media, WebMakerPlus)에 의해 3,600건 이상의 연결이 프록시 처리된 것으로 확인되었으며, 이는 이전에 대규모로 감지되지 않았던 사례였다.
• 147개 국가에서 TLS 프록시 활동이 발견되었으며, 통신사 운영 프록시와 빈 또는 위조된 인증서 기관 필드를 가진 인스턴스가 포함되었다.
• 일부 프록시가 신뢰할 수 없는 인증서를 신뢰할 수 있는 인증서로 교체하는 행동을 하는 것으로 밝혀졌으며, 이는 이전에 기록되지 않은 행동이었고, 잠재적으로 기만적인 행동일 수 있었다.
• 이 연구는 봇넷이 TLS 프록시를 사용하고 있으며, Sweesh와 AtomPark에서 비롯된 스팸 감염이 이 측정 캠프에서만 확인된 유일무료한 사례로 드러났다.