안드로이드 스마트폰에서 웹사이트 핑거프린팅을 통한 피싱 공격

국문 초록 (Abstract)

안드로이드 운영체제는 웹페이지에서 사용자가 입력하는 보안 정보를 가로채는 피싱 공격에 노출되어 있다. 본 논문은 피싱 공격을 가능하게 하는, 두 가지 보안 취약점을 발견하였다. 첫째, always-on-top 기법은 공격 앱 이 최상위 화면 위에 투명한 UI를 배치하여 사용자의 입력을 가로챌 수 있게 한다. 둘째, 공격 앱이 웹 브라우저 가 현재 방문 중인 웹페이지의 정보를 안드로이드 API를 통해 접근할 수 있다. 본 논문은 이 취약점을 이용하여 웹페이지를 공격하는 기법을 제안한다. 이 기법은 보안 관련 웹페이지 방문을 탐지하고, 이 웹페이지에 입력하는 정보를 탈취한다. 인기 있는 웹사이트를 대상으로 한 실험을 통해 제안된 기법의 정확도와 공격 위험성을 확인 하였다.

다국어 초록 (Multilingual Abstract)

The Android operating system is exposed to a phishing attack of stealing private information that a user enters into a web page. We have discovered two security vulnerabilities of the phishing attack. First, an always-on-top scheme allows malware to place a transparent user interface (UI) on the current top screen and intercept a user input. Second, the Android provides some APIs that allow malware to obtain the information of a currently visited web page. This paper introduces a phishing that attacks a web page by exploiting the two vulnerabilities. The attack detects a visit to a security-relevant web page and steals private information from the web page. Our experiments on popular web sites reveal that the attack is significantly accurate and dangerous.

목차 (Table of Contents)

• 요약
• ABSTRACT
• 1. 서론
• 2. 관련 연구 및 배경 지식
• 2.1 관련 연구
• 2.2 배경 지식
• 3. 공격 기법
• 3.1. 개요
• 3.2 사용자 터치 감지
• 3.3 웹 브라우저 앱 실행 탐지
• 3.4 공격 대상 웹페이지 탐지
• 3.5 보안 정보 탈취
• 4. 실험
• 5. 논의
• 6. 결론
• 참고문헌

참고문헌 (Reference)

1 "닐슨 코리아클릭"

2 A. Panchenko, "Website fingerprinting in onion routing base d anonymization networks" 2011

3 R. Meier, "Professional android application devel opment" CreateSpace Independent Publishing Platform 2014

4 A. P. Felt, "Phishing on mobile devices" 2011

5 Q. A. Chen, "Peeking int o your app without actually seeing it: UI state inference and novel Android attacks" 2014

6 S. Jana, "Memento: learning s ecrets from process footprints" 2012

7 M. Liberatore, "Inferring the sourc e of encrypted HTTP connections" 2006

8 A. Hintz, "Fingerprinting websites using traffic analysis" 2002

9 R. Prodduturi, "Effective handli ng of low memory scenarios in Android using l ogs" Indian Institute of Technology 2013

10 T. Wang, "Effective attacks and provable defenses for we bsite fingerprinting" 2014

11 "Android developers"

12 X. Gu, "A novel website fingerprinting attack against multi-tab browsin g behavior" 2015