SSLStrip for Windows 2011.04.04 http://www.netlab.co.kr

Synopsis 본 문서는 SSL Sniffing 기법 중의 하나인 SSL Strip에 대해서 설명을 하고 있습니다. 본 문서에 대한 내용을 교육 & 연구를 위한 용도로만 활용될 수 있습니다. 본 문서에서 사용된 이미지의 일부는 Cisco에서 제공되는 문서(Packet® Icon Library)에서 인용하였습니다. 본 문서의 무단 복제는 법으로 규제되어 있습니다.

SSL Vulnerabilites 지금까지 수많은 해커들에 의해서 SSL 취약점에 대한 많은 내용들이 발표되어져 왔다. 지금까지 공개된 SSL 취약점은 기본 암호화 알고리즘의 취약점이 아니라 외적인 요소(side effect)들에 대한 취약점이다.

SSL Sniff의 기본 Server Victim SSL I can see plain text !!! Attacker는 Victim과 Server의 중간에 위치한다. Attacker는 Packet을 SSL Proxy로 라우팅시켜 준다. SSL Proxy는 2개의 SSL Session을 이용하여 Proxying을 한다. Private Server Public Victim SSL I can see plain text !!! I can see plain text !!! Private Server Private Server Public Victim Public Victim Attacker Attacker SSL Proxy SSL Proxy SSL SSL SSL SSL Private Private Public Public

SSL Sniff 방지 SSL Sniff는 중간에서 SSL certificate의 정보가 바뀌어 지기 때문에 Client 혹은 Server단에서 certificate의 변경을 알 수가 있다. 이를 이용하여 SSL Sniff를 방지할 수 있다. Client Authenticaion, Server Authentication에 대해서 면밀히 검토해 봐야 한다.

HTTPS 차원에서 SSL Sniff의 방지 1. 인증서 날짜가 유효한가? 2. 신뢰된 인증 기관에서 발행했느냐? 3. domain name과 certificate common name이 같은가?

Rogue CA 신뢰된 인증 기관에서 인증하지 않으면 인증서 경고창이 뜬다. Rogue CA 취약점은 MD5 collision 취약점을 이용하여 어떠한 이라도 Rogue CA 가 될 수 있도록 하는 기법을 말한다. 인증서 서명 알고리즘을 MD5를 SHA1으로 바꾸는 것을 권고한다. http://www.win.tue.nl/hashclash/rogue-ca/

허위 인증서 발급 인증 기관에서 관리 보안의 부재로 발생한 사건. 허위 발급된 인증서의 common name : login.live.com, mail.google.com, www.google.com, login.yahoo.com, login.skype.com, addons.mozilla.org, Global Trustee http://www.boannews.com/media/view.asp?idx=25411 http://www.pcworld.com/businesscenter/article/223147/google_skype_y ahoo_targeted_by_rogue_comodo_ssl_certificates.html 본 사건은 SSL 자체의 취약점이 아닌 관리 부재의 취약점

SSLStrip I can see plain text !!! Server Victim HTTP HTTPS Web Client에게는 HTTP 통신을, Web Server에게는 HTTPS 통신을 하게끔 하여 SSL Warning Dialog를 원천적으로 뜨지 않게 하는 기법. http://www.thoughtcrime.org/software/sslstrip/ http://www.youtube.com/watch?v=Rvp0oPluuLE I can see plain text !!! Private Server Public Victim Attacker SSL Proxy HTTP HTTPS Private Public

Raise your hand if you want to be a victim!!! SSLStrip online Demonstration Raise your hand if you want to be a victim!!! http://www.youtube.com/watch?v=41eY9ID1ejQ

How to protect yourself against SSLStrip attack 1. Using "Strict Transport Security" HTTP response header. http://en.wikipedia.org/wiki/HTTP_Strict_Transport_Security 2. Using cipher text algorithm in java script to send critical information such as ID and password. 3. Sending client URL information by using "location.href" java script including schema (http:// or https://) to the web server so that web server could verify that its URL is valid. 4. Using another methods using a platform specific binary module such as ActiveX or other plugin.

SSL can not provide perfect protection in the real world. Conclusion SSL is safe itself !!! SSL can not provide perfect protection in the real world.

Thank you Name 이경문(Gilbert Lee) Nick gilgil 휴대폰 010 – 8칠25 - 8구08 메신저 Google : gilgil1973 at gmail.com Skype : gilgil1973 Nate : gilgil1973 at lycos.co.kr MSN : gilgil1973 at hotmail.com 메일 gilgil1973 at gmail.com gilgil1973 at hanmail.net 홈페이지 http://www.gilgil.co.kr http://www.gilgil.net http://gilgil.springnote.com