[논문 리뷰] Weak Links in Authentication Chains: A Large-scale Analysis of Email Sender Spoofing Attacks

Kaiwen Shen, Chuhan Wang외 9명|arXiv (Cornell University)|2020. 11. 17.

Spam and Phishing Detection참고 문헌 28인용 수 13

한 줄 요약

이 논문은 이메일 인증 체인 내 부일관성들을 악용하여 SPF, DKIM, DMARC 및 사용자 인터페이스 보호 조치를 우회하는 14종의 새로운 이메일 스푸핑 공격을 규명한다. 30개의 이메일 서비스와 23개의 이메일 클라이언트를 대상으로 한 대규모 테스트를 통해 구글 및 아웃룩과 같은 주요 제공자들도 취약한 것으로 드러나, 체인 기반 이메일 보안의 체계적 약점을 규명하고 프로토콜 설계자 및 제공자들을 위한 핵심 대응 조치를 제안한다.

ABSTRACT

As a fundamental communicative service, email is playing an important role in both individual and corporate communications, which also makes it one of the most frequently attack vectors. An email's authenticity is based on an authentication chain involving multiple protocols, roles and services, the inconsistency among which creates security threats. Thus, it depends on the weakest link of the chain, as any failed part can break the whole chain-based defense. This paper systematically analyzes the transmission of an email and identifies a series of new attacks capable of bypassing SPF, DKIM, DMARC and user-interface protections. In particular, by conducting a "cocktail" joint attack, more realistic emails can be forged to penetrate the celebrated email services, such as Gmail and Outlook. We conduct a large-scale experiment on 30 popular email services and 23 email clients, and find that all of them are vulnerable to certain types of new attacks. We have duly reported the identified vulnerabilities to the related email service providers, and received positive responses from 11 of them, including Gmail, Yahoo, iCloud and Alibaba. Furthermore, we propose key mitigating measures to defend against the new attacks. Therefore, this work is of great value for identifying email spoofing attacks and improving the email ecosystem's overall security.

연구 동기 및 목표

• 체인 기반 이메일 인증 모델의 체계적 취약성을 조사하여, 가장 약한 고리가 전체 보안 체인을 약화시킨다는 점을 밝히는 것.
• 여러 이메일 보안 프로토콜과 사용자 인터페이스 보호 조치를 동시에 우회하는 새로운 스푸핑 공격을 규명하는 것.
• 이러한 공격의 실제 세계 영향을 주요 이메일 서비스와 클라이언트에서 대규모로 평가하는 것.
• 모든 제공자에게 취약성을 보고하고, 이메일 생태계 보안을 강화하기 위한 실행 가능한 대응 조치를 제안하는 것.
• 이전 연구의 격차를 메우기 위해 고립된 프로토콜 단계가 아닌 종단 간 체인 수준의 실패를 분석하는 것.

제안 방법

• 스푸핑 공격에 대한 취약성을 평가하기 위해 30개의 주요 이메일 서비스와 23개의 이메일 클라이언트에 대한 대규모 실증 분석을 수행하였다.
• 발송, 수신, 전달, UI 렲영 단계로 나누어 이메일 전달 과정을 체계적으로 분석하였다.
• SPF, DKIM, DMARC 및 UI 기반 탐지 메커니즘을 동시에 우회하기 위해 다수의 취약점을 조합한 '칵테일' 공동 공격을 설계하고 실행하였다.
• 다양한 벤더 간 보안 프로토콜의 실행 부일관성을 분석하였으며, RFC 사양에서의 이격도 발견하였다.
• 구글, 야후, 아이클라우드, 알리바바를 포함한 11개의 주요 제공자에게 모든 발견 사항을 보고하였으며, 긍정적인 반응을 받았다.
• 체인 수준의 스푸핑에 대한 강건성을 높이기 위해 프로토콜 설계자 및 이메일 제공자들을 위한 대응 조치를 제안하였다.

실험 결과

연구 질문

• RQ1 이메일 서비스 간 SPF, DKIM, DMARC의 실행 부일관성이 인증 메커니즘을 우회하는 데 어떻게 기여하는가?
• RQ2 스푸핑된 이메일이 실제 세계의 이메일 시스템에서 프로토콜 수준과 사용자 인터페이스 기반 보호 조치를 동시에 우회할 수 있는 정도는 어느 정도인가?
• RQ3 공격자가 매우 현실적으로 보이는 이메일을 위조할 수 있도록 允許하는 체인 기반 인증 모델의 체계적 약점은 무엇인가?
• RQ4 이러한 취약성은 구글 및 아웃룩과 같은 널리 사용되는 플랫폼을 포함한 주요 이메일 서비스와 클라이언트에서 얼마나 널리 퍼져 있는가?
• RQ5 이러한 취약성의 근본 원인은 무엇이며, 프로토콜 설계 및 실행을 개선함으로써 어떻게 해결할 수 있는가?

주요 결과

• 테스트한 30개의 주요 이메일 서비스 모두가 새로 규명된 스푸핑 공격 중 최소 한 가지 이상에 취약했으며, 구글 및 아웃룩과 같은 주요 제공자들도 포함되었다.
• 테스트한 23개의 이메일 클라이언트 모두가 특정 스푸핑 공격에 취약하여 사용자 인터페이스 수준의 광범위한 노출을 보였다.
• ‘칵테일’ 공동 공격는 SPF, DKIM, DMARC 및 UI 보호 조치를 동시에 우회하여 탐지할 수 없는 스푸핑된 이메일을 생성하였다.
• 몇 년간의 도입에도 불구하고 많은 이메일 서비스가 보안 프로토콜을 일관되게 구현하지 못해 악용 가능한 부일관성이 존재한다.
• ARC 프로토콜의 실행 결함이 오피스 365와 줌조에서 발견되었으며, ARC는 표준화되어 있고 몇몇 벤더에서만 도입된 상태임에도 불구하고 그렇다.
• 구글, 야후, 아이클라우드, 알리바바를 포함한 11개의 주요 제공자들이 보고된 취약성에 대해 긍정적인 반응을 보였으며, 위험을 인식하고 있음을 나타냈다.