웹 페이지에서 사용자 입력 값 변조 방지에 관한 연구

국문 초록 (Abstract)

인터넷을 통하여 제공되는 대부분의 웹 서비스들은 웹 브라우저를 통하여 사용자에게 제공된다. 웹 브라우저는 텍스트 형태의 웹 페이지를 서버로부터 수신하여 해석하고 사용자에게 보여준다. 웹 브라우저는 추가적으로 설치 할 수 있는 각종 기능들을 통하여 확장성을 제공한다. 하지만 추가로 설치 할 수 있는 기능들도 웹 페이지에 접근하여 내용을 위/변조 할 수 있다는 점에서 웹 브라우저를 통한 웹 서비스는 보안상 문제점을 내포할 수 있다. 웹 브라우저는 웹 페이지 정보를 DOM구조의 형태로 메모리에 저장한다. 웹 페이지의 변조를 방지하기 위한 방법으로는 DOM구조의 특정 부분에 해쉬(hash)값을 적용하는 방법이 있다. 하지만 웹 페이지의 특성상 해쉬를 이용한 대응방안이 효과를 발휘할 수 없는 부분이 있다. 즉, 사용자가 직접 입력하는 부분은 정해진 입력 값이 아니기 때문에 미리 해쉬 값을 계산 해 놓을 수도 없고 따라서 임의로 변조되는 것을 막을 수 없다. 본 논문에서는 웹페이지에 입력되는 사용자 입력 값의 위조나 변조를 방지 또는 탐지하는 방안을 제안한다. 제안 방법은 사용자가 키보드를 사용하여 입력하는 입력 값을 저장 해 놓았다가 웹 브라우저가 입력 값을 전송하는 순간 저장된 입력 값과 전송되는 값을 비교하여 변조 여부를 파악한다.

다국어 초록 (Multilingual Abstract)

Most of the web-based services are provided by a web browser. A web browser receives a text-based web page from the server and translates the received data for the user to view. There are a myriad of add-ons to web browsers that extend browser features. The browser’s add-ons may access web pages and make changes to the data. This makes web-services via web browsers are vulnerable to security threats. A web browser stores web page data in memory in the DOM structure. One method that prevents modifications to web page data applies hash values to certain parts in the DOM structure. However, a certain characteristic of web-pages renders this method ineffective at times. Specifically, the user-input data is not pre-determined, and the hash value cannot be calculated prior to user input. Thus the modification to the data cannot be prevented. This paper proposes a method that both detects and inhibits any attempt to change to user-input data. The proposed method stores user-input from the keyboard and makes a comparison with the data transmitted from the web browser to detect any anomalies.

목차 (Table of Contents)

• 요약
• ABSTRACT
• Ⅰ. 서론
• Ⅱ. 문제 정의
• Ⅲ. 관련연구
• Ⅳ. 키보드입력 데이터 변조 탐지에 대한 제안
• Ⅴ. 제안방법에 대한 검증
• Ⅵ. 결론 및 향후 연구
• References

참고문헌 (Reference)

1 KF/ISAC, "technique of keyboard hacking and Analysis of the countermeasure" Korea Financial Information Sharing &Analysis Center 2005

2 "keydb_event"

3 Joe Marini, "The Document Object Model:Processing Structured Documents" McGraw-Hill 2002

4 Alain Hiltgen, "Secure Internet Banking Authentication" 4 (4): 21-29, 2006

5 Lauren Wood, "Programming the Web :the W3C DOM specification" 3 (3): 48-54, 1999

6 Gerson Paes de Barros, "O futuro dos backdoors–O pior dosmundos"

7 Timothy Dougan, "Man in the Browser Attacks" 4 (4): 29-39, 2012

8 RSA, "Making sense of man-in-thebrowser attacks:Treate analysis and mitigation for financial institution"

9 Soft Camp, "K.R. Patent No. 2002-0048313"

10 INKA-Internet, "K.R. Patent No. 10-2004-0009575: Hacking prevention of key stroke data"

11 "Internet Explorer Event"

12 Suhit Gupta, "Dom-based Content Extraction of HTML Documents" 2003

13 World Wide Web Consortium, "Document object model level-3 events specification"

14 Entrust, "Defeating Man-in-the-Browser Malware : How to prevent the latest malware attacks against consumer and corporate banking"

15 Shin-Bum Kang, "Countermeasure and type of hacking on Internet banking" 15 (15): 28-37, 2008

16 Philipp Gühring, "Concepts against Man-in-the-Browser Attacks"

17 Rauti Sampsa, "Browser Extension-Based Man-in-the -Browser Attacks against Ajax Applic -ations with Countermeasures" ACM 251-258, 2012

18 모정훈, "BHO 이용한 웹 컨텐츠 변조 탐지 방법" 한국항행학회 15 (15): 655-663, 2011

19 H.W.Sim, "An one time password based e-finan -cial transaction verification protocol"

20 N. Haller, "A one-time password system" 1998

21 Young-Jae Maeng, "A Vulnerability Analy- sis of MITB in Online Banking Trans- actions in Korea" 1 (1): 101-118, 2010

22 Muzammi Baig, "A Robust Technique of Anti Key- Logging using Key-Logging Mechani- sm" 314-318, 2007