CNG 암호 라이브러리의 보안 취약점 분석 (Vulnerability Analysis on the CNG Crypto Library)

서지정보

· 발행기관 : 한국통신학회
· 수록지 정보 : 한국통신학회논문지 / 42권 / 4호 / 838 ~ 847페이지
· 저자명 : 이경률, 오인수, 이선영, 임강빈

초록

최근 마이크로소프트사의 CAPI를 대체하기 위해 제안된 CNG는 플러그인 구조 기반의 독립된 모듈들로 구성되어 있기 때문에 개발비용과 확장 용이성 부분에서 우수하다. 하지만 이러한 이점과 반대로 보안성에 대한 고려는 다소 부족하며, 현재 CNG가 배포되어 활용되고 있는 상황에서 이와 관련된 연구는 반드시 필요하다. 이에 본논문에서는 CNG에서 발생 가능한 보안 취약점을 분석하였다. 분석된 취약점을 토대로 개념 검증 도구를 구현하여 이를 검증하였다. 검증 결과는 CNG를 활용하는 Outlook 프로그램과 Internet Explorer 프로그램에서 메일 및계정정보의 탈취, Amazon, E-bay, Google, Facebook 웹 사이트의 계정정보의 탈취가 가능하였다. 본 논문의 결과는 CNG를 활용하는 다양한 응용의 보안성을 향상시키는데 기여할 것으로 사료된다.

영어초록

CNG which was released as a substitute of the previous CAPI (Cryptography API) library from Microsoft is constructed with individual modules based on the plug-in architecture, this means CNG is exceedingly helpful in the cost of development as well as the facility of extension. On the opposite side of these advantages, considerations on security issues are quite insufficient. Therefore, a research on security assurance is strongly required in the environment of distributing and utilizing the CNG library, hence, we analyze possible security vulnerabilities on the CNG library. Based on analyzed vulnerabilities, proof-of-concept tools are implemented and vulnerabilities are verified using them. Verified results are that contents of mail, account information of mail server, and authentication information of web-sites such as Amazon, E-bay, Google, and Facebook are exposed in Outlook program and Internet Explorer program using CNG library. We consider that the analyzed result in this paper can improve the security for various applications using CNG library.

참고자료

· 없음