서버와 사용자간 비밀 값을 이용한 보안성이 강화된 CSRF 방어 (Enhanced CSRF Defense Using a Secret Value Between Server and User)

서지정보

· 발행기관 : 한국통신학회
· 수록지 정보 : 한국통신학회논문지B / 39권 / 3호 / 162 ~ 168페이지
· 저자명 : 박진현, 정임영, 김순자

초록

Cross-Site Request Forgery(CSRF)는 오늘날 인터넷 환경에서 발생하는 악의적인 공격방식 중 하나이다. 이는권한이 없는 공격자가 사용자의 브라우저를 통해 웹 서버에 정당한 요청을 전송 하도록 한다. 공격자에 의한 요청은 웹 서버에서 정상적인 요청으로 판단되어 사용자가 원하지 않는 결과를 가져온다. 이러한 문제는 웹 서버에서쿠키에 포함된 정보만으로 사용자를 식별하기 때문에 발생한다. 본 논문에서는 쿠키에 포함된 정보 이외에 페이지식별번호와 사용자 비밀번호의 해시 값을 추가하여 요청을 검증하는 보안성이 강화된 CSRF 방어를 제안한다. 이는 구현이 간단하며 기존 CSRF 대응법으로 알려진 일회성 토큰을 이용한 방식의 문제점인 토큰 노출의 문제점을해결한다.

영어초록

Cross-Site Request Forgery is one of the attack techniques occurring in today's Web Applications. It allowsan unauthorized attacker to send authorized requests to Web Server through end-users' browsers. These requestsare approved by the Web Server as normal requests therefore unexpected results arise. The problem is that theWeb Server verifies an end-user using his Cookie information. In this paper, we propose an enhanced CSRFdefense scheme which uses Page Identifier and user password's hash value in addition to the Cookie valuewhich is used to verify the normal requests. Our solution is simple to implement and solves the problem of thetoken disclosure when only a random token is used for normal request verification.

참고자료

· 없음