SSL/TLS 주요 보안 이슈

출처 : https://spri.kr/posts/view/19827?code=industry_trend 

SSL/TLS 주요 보안 이슈 - SPRi

 

해당 글의 내용은 위의 링크인 SPRi 소프트웨어정책연구소의 "SSL/TLS 주요 보안 이슈" 글의 내용을 재정리하고 추가 내용을 작성하였습니다. 

 

SSL/TLS 란?

Secue Sockets Layer / Transport Layer Security의 약자

인터넷과 같은 네트워크 통신 환경에서 주고받는 데이터를 암호화해주는 규약

- SSL 1.0 : 심각한 보안 문제로 발표도 안 됨.

- SSL 2.0 : MD5 사용 등의 보안 문제

- SSL 3.0 : POODLE 공격 취약

- TLS 1.0 : SSL 3.0보다 좀 더 보안이 강화 됨.

현재 TLS 1.3 초안 작업 진행 중

- 구글을 비롯해 주요 기업들이 SSL/TLS 기반의 Secure HTTP 사용을 권장, 무료 SSL 인증서 발급 기관도 등장

 

HEIST 공격 (2016년 8월, Black Hat 발표)

HTTP Encrypted Information can be Stolen through TCP-Windows)는 브라우저에 대한 사이드-채널 공격을 통해 SSL/TLS로 암호화된 데이터의 정확한 크기를 알아내는 공격

- 중간자 공격없이 사용자의 브라우저만 있으면 웹사이트의 광고 등에 몰래 숨겨놓은 악성 JavaScript를 이용하여 공격 가능

- 암호화된 데이터 크기를 정확히 파악 ==> "압축-기반 공격" OR "크기-노출 공격"에 취약해져 사용자 계정, 패스워드, 의료데이터 등 민감한 정보 탈취 가능성 높음

 

Fetch API : 데이터 전송 시작

타이밍 API : 데이터 전송 종료

- 첫번째 TCP Window 안에 암호화된 데이터가 전송 완료되었는지

- 두번째 TCP Window 안에 전송 완료되었는지를 알아낼 수 있음

1) 첫번째 TCP window에서 완료된 경우

- T2 ~ T1이 1ms 내외로 매우 짧음

2) 두번째 TCP window에서 완료된 경우

 - ACK를 받기 위한 시간(Found Trip)이 추가되어 상대적으로 길어짐