[논문 리뷰] Gone in Six Characters: Short URLs Considered Harmful for Cloud Services

Martin Georgiev, Vitaly Shmatikov|arXiv (Cornell University)|2016. 04. 10.

Privacy-Preserving Technologies in Data참고 문헌 9인용 수 5

한 줄 요약

이 논문은 Microsoft OneDrive 및 Google Maps와 같은 클라우드 서비스에서 사용하는 5자리 또는 6자리 토큰 기반의 단축 URL이 브루트포스 열거 공격에 취약하여 전 세계적으로 공유된 파일과 위치 데이터가 노출될 수 있음을 입증한다. 저자들은 이로 인해 광범위한 프라이버시 유출과 쓰기 가능한 클라우드 폴더를 통한 대규모 악성코드 주입이 발생할 수 있음을 보여주며, 노출된 OneDrive 계정 중 7%가 공개 쓰기 접근 권한을 허용하고 있음을 밝혔다.

ABSTRACT

Modern cloud services are designed to encourage and support collaboration. To help users share links to online documents, maps, etc., several services, including cloud storage providers such as Microsoft OneDrive and mapping services such as Google Maps, directly integrate URL shorteners that convert long, unwieldy URLs into short URLs, consisting of a domain such as 1drv.ms or goo.gl and a short token. In this paper, we demonstrate that the space of 5- and 6-character tokens included in short URLs is so small that it can be scanned using brute-force search. Therefore, all online resources that were intended to be shared with a few trusted friends or collaborators are effectively public and can be accessed by anyone. This leads to serious security and privacy vulnerabilities. In the case of cloud storage, we focus on Microsoft OneDrive. We show how to use short-URL enumeration to discover and read shared content stored in the OneDrive cloud, including even files for which the user did not generate a short URL. 7% of the OneDrive accounts exposed in this fashion allow anyone to write into them. Since cloud-stored files are automatically copied into users' personal computers and devices, this is a vector for large-scale, automated malware injection. In the case of online maps, we show how short-URL enumeration reveals the directions that users shared with each other. For many individual users, this enables inference of their residential addresses, true identities, and extremely sensitive locations they visited that, if publicly revealed, would violate medical and financial privacy.

연구 동기 및 목표

• 단축 URL이 클라우드 서비스에 도입한 보안 및 프라이버시 위험을 조사하는 것.
• 단축 URL 토큰 공간에 대한 브루트포스 스캔이 클라우드에 저장된 개인 파일과 지ap 데이터를 어떻게 유출할 수 있는지 분석하는 것.
• 제한된 토큰 엔트로피로 인해 비공개 공유를 목적으로 한 단축 URL이 실제로는 공개적임을 입증하는 것.
• 단축 URL 열거가 클라우드 스토리지 및 지도 서비스에 실질적인 영향을 미치는 정도를 평가하는 것.
• 서비스 제공자와 사용자가 노출 위험을 줄이기 위해 취할 수 있는 대응 전략을 제안하는 것.

제안 방법

• OneDrive 및 Google Maps에서 사용하는 5자리 및 6자리 토큰 공간을 대상으로 대규모 브루트포스 열거를 수행했다.
• 클라우드 서비스의 웹 API 및 메타데이터 검색 메커니즘을 활용하여 직접 접근 없이도 연결된 리소스를 발견했다.
• 계정 이동 기법을 사용하여 한 개의 단축 URL을 발견한 후, 사용자의 기능 키와 관련된 모든 파일과 폴더에 접근했다.
• 공개된 디렉터리(예: 화이트 페이즈)를 활용하여 공유된 경로 정보를 사용자 신원 및 민감한 위치와 연관지었다.
• 분석 API를 모니터링하여 공유 지도에서 시간적 및 사용 메타데이터를 추출하여 비공개 행동을 추론하는 데 활용했다.
• 발견한 사항을 Microsoft 및 Google에 보고하고, 그들의 반응과 단축 URL 정책 변경 사항을 분석했다.

실험 결과

연구 질문

• RQ1 5자리 및 6자리 단축 URL의 소규모 토큰 공간은 효율적으로 스캔되어 개인 클라우드 자원을 발견할 수 있는가?
• RQ2 OneDrive와 같은 클라우드 스토리지 서비스의 단축 URL은 직접적으로 단축 URL과 연결되지 않은 파일들까지도 사용자의 모든 파일에 대한 무단 접근을 허용하는가?
• RQ3 지도 서비스의 단축 URL은 주소 및 정신건강 클리닉, 낙태 클리닉과 같은 민감한 개인 정보와 사회적 유대 관계를 어떻게 폭 드러내는가?
• RQ4 계정이 공개적으로 쓰기 가능할 경우 클라우드와 개인 장치 간 자동 파일 동기화가 어떤 영향을 미치는가?
• RQ5 서비스 제공자는 이러한 취약점에 대해 어떻게 대응하며, 위험을 완화하기 위해 어떤 조치를 취하는가?

주요 결과

• OneDrive 및 Google Maps에서 사용하는 5자리 및 6자리 토큰 공간은 브루트포스로 완전히 스캔 가능할 정도로 작아, 연결된 모든 리소스가 공개적으로 접근 가능해진다.
• 단축 URL 열거를 통해 발견된 OneDrive 계정 중 7%는 세계적으로 쓰기 가능한 상태였으며, 동기화된 파일을 통해 악성코드가 사용자의 장치에 자동으로 주입될 수 있었다.
• OneDrive 파일에 대한 단일 단축 URL 노출만으로도 직접 공유된 링크가 아닌 다른 모든 파일과 폴더까지도 발견 가능했으며, 이는 공유되지 않은 파일들까지도 포함되었다.
• Google Maps의 단축 URL은 공개 디렉터리와의 교차 분석을 통해 주거지 주소, 민감한 위치(예: 정신건강 클리닉, 낙태 클리닉) 및 사회적 유대 관계를 드러냈다.
• Google는 신규 단축 URL에 대해 토큰 길이를 11자리 또는 12자리로 늘려 브루트포스 스캔에 무력화시켰다.
• Microsoft는 이 문제를 보안 취약점으로 분류하지 않았으며, 단축 URL 시스템을 변경하지 않아 이전에 생성된 모든 단축 URL이 영구적으로 노출된 상태로 남아 있다.