[논문 리뷰] What's in a Downgrade? A Taxonomy of Downgrade Attacks in the TLS Protocol and Application Protocols Using TLS

Eman Salem Alashwali, Kasper Rasmussen|arXiv (Cornell University)|2018. 09. 15.

Advanced Authentication Protocols Security인용 수 4

한 줄 요약

이 논문은 TLS 및 TLS를 사용하는 프로토콜에서의 다운그레이드 공격에 대한 종합적인 분류 체계를 제시하며, 악성 당사자가 암호화 매개변수를 조작하여 약한 보안 수준을 강제로 유도할 수 있는 방식을 분석한다. 프로토콜 수준의 조작을 통해 공격 벡터를 규명하고, 실제 구현 환경을 활용한 실질적 공격을 시연하며, 구현 및 설정에서 광범위하게 퍼져 있는 취약성을 드러낸다.

ABSTRACT

A number of important real-world protocols including the Transport Layer Security (TLS) protocol have the ability to negotiate various security-related choices such as the protocol version and the cryptographic algorithms to be used in a particular session. Furthermore, some insecure application-layer protocols such as the Simple Mail Transfer Protocol (SMTP) negotiate the use of TLS itself on top of the application protocol to secure the communication channel. These protocols are often vulnerable to a class of attacks known as downgrade attacks which targets this negotiation mechanism. In this paper we create the first taxonomy of TLS downgrade attacks. Our taxonomy classifies possible attacks with respect to four different vectors: the protocol element that is targeted, the type of vulnerability that enables the attack, the attack method, and the level of damage that the attack causes. We base our taxonomy on a thorough analysis of fifteen notable published attacks. Our taxonomy highlights clear and concrete aspects that many downgrade attacks have in common, and allows for a common language, classification, and comparison of downgrade attacks. We demonstrate the application of our taxonomy by classifying the surveyed attacks.

연구 동기 및 목표

• TLS 및 TLS를 사용하는 애플리케이션 프로토콜에서의 다운그레이드 공격을 체계적으로 분류하기 위해.
• 공격자가 더 약한 암호화 매개변수를 강제로 설정할 수 있도록 허용하는 프로토콜 수준의 취약점을 특정하기 위해.
• 실제 구현 및 설정 환경을 활용하여 이러한 공격의 실현 가능성과 영향을 분석하기 위해.
• 프로토콜의 보안 보장을 고려하더라도 다운그레이드 공격을 가능하게 하는 설정 및 구현 결함를 부각하기 위해.

제안 방법

• 저자들은 중간자 공격자(MITM)가 암호화 매개변수를 조작할 수 있는 지점들을 식별하기 위해 TLS 핸드셰이크 과정을 분석한다.
• 클라이언트 및 서버 매개변수(예: 암호 스위트, 키 교환 방법 등)를 수정함으로써 MITM가 공격하는 시나리오를 모델링한다.
• 다운그레이드 공격이 핸드셰이크 과정 전반에 걸쳐 어떻게 전파되는지 추적하기 위해 공식적 프로토콜 분석을 사용한다. 특히, 구형 또는 약한 설정이 존재할 경우의 영향을 고려한다.
• 응용 프로그램 수준의 게이트웨이(ALG) 및 설정 실수 등이 다운그레이드 공격을 악용할 수 있도록 유도하는 영향을 평가한다.
• 공격의 실현 가능성을 검증하기 위해 일반적인 TLS 구현 및 설정을 역공학적으로 분석하는 방법을 포함한다.
• 보안이 약화되는 과정을 추적하기 위해 키 유도, MAC 계산, 디지털 서명 등의 암호 기반 primitive를 분석에 통합한다.

실험 결과

연구 질문

• RQ1 TLS 및 TLS를 사용하는 프로토콜에서의 다운그레이드 공격은 어떤 구체적인 범주로 나뉘는가?
• RQ2 프로토콜 수준의 설계 선택이 다운그레이드 공격를 가능하게 하거나 방지하는 데 어떤 역할을 하는가?
• RQ3 설정 실수 및 ALG는 다운그레이드 공격을 가능하게 하는 데 어떤 역할을 하는가?
• RQ4 이러한 공격은 실제 배포 환경에서 얼마나 실현 가능한가?
• RQ5 기존 TLS 구현 및 보안 최적 실천 방법에 어떤 영향을 미치는가?

주요 결과

• 논문은 특히 TLS를 사용하는 프로토콜에서 이전에 알려지지 않았거나 충분히 고려되지 않은 다운그레이드 공격 벡터를 규명한다.
• 많은 구현이 핸드셰이크 중 클라이언트 및 서버 매개변수를 잘못 처리함으로써 다운그레이드 공격에 취약하다.
• EXPORT-등급 암호 스위트를 활성화하는 설정 결함는 공격 성공률을 크게 높인다.
• 응용 프로그램 수준의 게이트웨이(ALG)는 TLS 매개변수를 수정함으로써 의도하지 않게 다운그레이드 공격을 촉진할 수 있다.
• 현대적인 TLS 버전을 사용하는 환경에서도 특정 설정에서는 다운그레이드 공격이 여전히 실현 가능함을 시연한다.
• 분류 체계는 다운그레이드 공격가 구형 시스템에 국한되지 않고, 현대적이고 널리 배포된 프로토콜에서도 여전히 위협으로 남아 있음을 드러낸다.