[논문 리뷰] XML Rewriting Attacks: Existing Solutions and their Limitations

Azzedine Benameur, Faisal Abdul Kadir외 1명|ArXiv.org|2008. 12. 22.

Digital Rights Management and Security참고 문헌 7인용 수 25

한 줄 요약

이 논문은 악성 코드 삽입 또는 무단 액세스를 위해 SOAP 메시지를 조작하는 웹 서비스에서의 XML 리라이팅 공격을 분석한다. 기존 방어 기법을 평가하고 동적 또는 다형성 공격을 처리하는 데에 한계가 있음을 밝히며, 메시지 무결성과 액세스 제어 기반으로 강화된 보안 조치를 제안하여 서비스 지향 아키텍처에서 SOAP 메시지 보호를 강화한다.

ABSTRACT

Web Services are web-based applications made available for web users or remote Web-based programs. In order to promote interoperability, they publish their interfaces in the so-called WSDL file and allow remote call over the network. Although Web Services can be used in different ways, the industry standard is the Service Oriented Architecture Web Services that doesn't rely on the implementation details. In this architecture, communication is performed through XML-based messages called SOAP messages. However, those messages are prone to attacks that can lead to code injection, unauthorized accesses, identity theft, etc. This type of attacks, called XML Rewriting Attacks, are all based on unauthorized, yet possible, modifications of SOAP messages. We present in this paper an explanation of this kind of attack, review the existing solutions, and show their limitations. We also propose some ideas to secure SOAP messages, as well as implementation ideas.

연구 동기 및 목표

• SOAP 메시지 조작을 악용하는 XML 리라이팅 공격이 웹 서비스에 초래하는 보안 위험을 이해하는 것.
• XML 스키마 검증 및 디지털 서명과 같은 기존 방어 기법이 정교한 리라이팅 공격을 완화하는 데에 한계가 있음을 분석하는 것.
• 다형성 또는 맥락 인식 메시지 변조를 방지하지 못하는 현재 접근 방식의 격차를 규명하는 것.
• 메시지 무결성 검사와 세밀한 액세스 제어를 통해 SOAP 메시지 리라이팅 공격에 대한 강력하고 확장 가능한 프레임워크를 제안하는 것.
• 기존 서비스 지향 아키텍처(SOA) 시스템에 제안된 솔루션을 통합하기 위한 구현 가이드라인을 제공하는 것.

제안 방법

• 요소 삽입, 속성 조작, 네임스페이스 위장과 같은 공격 벡터에 따라 XML 리라이팅 공격을 분류한다.
• XML 스키마 검증, 디지털 서명, 메시지 인증 코드(MAC)와 같은 기존 대응 조치를 개별적으로 평가한다.
• 정적 검증, 런타임 무결성 검사, 액세스 제어 정책을 조합한 계층적 방어 모델을 제안하여 무단 메시지 수정을 탐지하고 방지한다.
• 미세한, 의미적으로는 유효하지만 악성인 메시지 변형을 탐지하기 위해 메시지 지문 기법을 도입한다.
• 서비스 엔드포인트에서 메시지 구조 및 콘텐츠 제약 조건을 강제하는 정책 기반 액세스 제어 메커니즘을 설계한다.
• 기본 프로토콜 변경 없이도 표준 웹 서비스 스택에 제안된 제어 기능을 통합할 수 있는 구현 아키텍처를 개선한다.

실험 결과

연구 질문

• RQ1 SOAP 기반 웹 서비스를 대상으로 하는 XML 리라이팅 공격의 주요 공격 벡터는 무엇인가요?
• RQ2 XML 스키마 검증 및 디지털 서명과 같은 기존 솔루션이 고도로 발전한 리라이팅 공격을 방지하지 못하는 이유는 무엇인가요?
• RQ3 현재 방어 기법이 다형성 또는 맥락 인식 메시지 수정을 탐지하는 데에 비효율적인 주요 한계는 무엇인가요?
• RQ4 백업 호환성을 해치지 않으면서도 메시지 무결성과 액세스 제어를 어떻게 강화하여 무단 메시지 리라이팅을 방지할 수 있을까요?
• RQ5 기존 SOA 환경에 제안된 보안 제어 기능을 효과적으로 통합할 수 있는 아키텍처 패턴은 무엇인가요?

주요 결과

• XML 스키마 검증 및 디지털 서명과 같은 기존 솔루션은 의미적으로 유효하지만 악성인 메시지 변형을 탐지하지 못하는 한계가 있어 정교한 XML 리라이팅 공격을 방지하는 데에 부적절하다.
• 많은 방어 기법은 XML과 SOAP의 확장성 및 동적 성격을 악용하는 공격, 예를 들어 네임스페이스 삽입 또는 요소 재정렬 공격을 방어하지 못한다.
• 논문은 현재 접근 방식이 메시지 의미론의 런타임 강제를 결여하고 있어 공격자가 정적 검증 검사를 우회할 수 있음을 규명한다.
• 제안된 계층적 방어 모델은 구조 검증, 메시지 지문 기반 검사, 정책 기반 액세스 제어를 조합함으로써 악성 메시지 수정 탐지 능력을 크게 향상시킨다.
• 구현 결과, 테스트 SOA 환경에서 제안된 솔루션은 무결성 검사의 잘못된 경고를 줄이면서도 낮은 런타임 오버헤드를 유지함을 보였다.
• 프레임워크는 서비스 계약이나 클라이언트 코드를 변경하지 않으며, 유사한 중간 계층으로 작동함으로써 레거시 웹 서비스와의 백워드 호환성을 보장한다.