블로그 이미지

my hiding place

삶이 힘들 때, 조금이라도 고개를 들고 위를 보세요. 푸른 하늘이 당신을 맞이해줄 날이 있을 테니까. by nulonge


'SSL vpn'에 해당되는 글 1건

  1. 2008.08.08 SSL VPN은 일반적으로 생각하는 것 처럼 그리 안전하지 않다

SSL VPN은 일반적으로 생각하는 것 처럼 그리 안전하지 않다

DNS 취약성으로 시끌 시끌하더니, 연장선상에 있는 것인지, SSL VPN에서 취약성이 있을 수 있다는 발표가 있었네요. 네트워크 월드에 올라온 기사를 서툴지만 번역해보았습니다. 번역 내용중 잘못된 것이 있으면 저에게 알려주세요~.

블랙 햇 컨퍼런스, SSL 웹 클라이언트의 잠재적인 취약성 지적

http://www.networkworld.com/news/2008/080708-black-hat-ssl-vpn-security.html?hpg1=bn

LAS VEGAS - 블랙 햇 컨퍼런스에서 SSL VPN이 원격 사용자 컴퓨터와 내부망을 연결하는 과정에서 취약성이 발생할 수 있다는 발표가 있었다.

Intrepidus Group의 수석 컨설턴트 Michael Zusman은 SSL VPN 세션을 시작하는 단계에서 원격 컴퓨터에 웹 클라이언트를 설치하는 과정에 문제가 있을 수 있다고 말했다. (Dan Kaminsky 또한 역시 블랙햇에서 웹 사이트의 유효성 검증에 사용되는 SSL 인증서가 DNS 공격을 통해 우회될 수 있음을 지적한 바 있다.)

Zusman에 따르면, 이미 컴퓨터에 표준 소프트웨어로서 설치되어 제공되는 SSL VPN 클라이언트는 발견된 취약성에 해당하지 않는다고 한다. 그러나 Zusman이 웹 클라이언트라고 부르는 소프트웨어 구성 요소들은 공격에 노출될 수 있다. (SSL VPN 기능을 제공하는) 웹 클라이언트는 SSL VPN 게이트웨이에서 사용자 컴퓨터에 전송되어 설치되며, Active X를 사용한다. 어떤 벤더의 제품은 원격 사용자의 컴퓨터에서 응용 프로그램 클라이언트를 실행하는 기능을 포함하고 있다.

예를 들어, 원격 사용자가 기업 회계 프로그램에 접근한다고 하자.이때 VPN 포털에 등록되어 있는 응용 프로그램을 클릭하면 VPN 클라이언트가 회계 프로그램을 실행해주는 것이다. 사용자가 직접 회계 프로그램을 실행할 필요가 없어 이용하기 편하게 해준다.

문제는, 응용 클라이언트 프로그램의 Active X 컴포넌트에 대한 신뢰성에 있다. 왜냐면, Zusman이 말했듯이, Active X 컴포넌트는 동시에 악성 코드를 실행할 수 있기 때문이다. 응용 프로그램을 실행해주는 VPN 클라이언트의 편의성은 잠재적인 공격 가능성을 열어주는 셈이다. Zusman은 “매우 나쁜 타협”이라고 표현했다.

실제로, Zusman은 SonicWall SSL VPN에서 Active X이 악용되는 사례를 보여주었다. SonicWall은 Zusman이 회사에 이 문제를 알려주었을 때 취약성을 제거했다. 이와 같은 문제는 다른 SSL VPN 장비에서도 발생할 수 있으며, 시험해보지는 않았다고 한다.

Zusman은 또 신뢰할 수 있는 외부 CA를 이용해 유효한 SSL 인증서를 획득했다. 제3자가 어디인지 언급하지는 않았지만, 내부 사용 용도로 인증서를 사용할 것이라고 말하자 손쉽게 인증서를 획득할 수 있었다고 한다.

그는 또 획득한 인증서를 실제 서비스 사이트의 프록시 서버와 연결되는 SSL 세션에서 사용했다. 사용자들은 피싱 메일을 통해 프록시 서버로 연결될 수 있으며, “공격 대상 컴퓨터는 공격자가 장악한 주소로 라우팅된다.” 인증서는 여전히 유효하기 때문에 사용자들은 인증서의 유효성을 알려주는 팝업 경고를 받지 못한다. 이러한 방법을 사용하여 Zusman은 프록시 서버로부터 악성 프로그램을 실행할 수 있었을 뿐만 아니라, 사용자의 패스워드를 알아낼 수 있었다고 한다.

이러한 취약성이 SSL VPN과 직접적으로 관련있는 것은 아니지만 SSL 자체만으로는 보안을 완벽하게 유지할 수 없음을 보여준다. Zusman이 말했듯이, “SSL을 사용하는 방법에 결함이 있기 때문에 여러가지 악용 가능성이 존재”하는 것이다.

By Tim Greene, Network World, 08/07/2008
Comment 0 Trackback 0
Top

prev 1 next