패스워드 매니저의 패스워드 저장소 보안 취약점 분석

국문 초록 (Abstract)

웹사이트 이용이 증가하면서, 패스워드들을 암호화하여 데이터베이스에 저장 관리해주는 패스워드 매니저의 사용이 증가하고 있다. 브라우저 기반 패스워드 매니저와 로컬 기반 패스워드 매니저는 암호화된 데이터베이스를 로컬컴퓨터에 저장한다. 웹 기반 패스워드 매니저는 암호화된 데이터베이스를 클라우드 서버에 저장하지만 사용자는 클라우드 서버에 접속하는데 사용하는 마스터 패스워드를 로컬 컴퓨터에 저장할 수 있다. 공격자가 사용자의 컴퓨터에서 패스워드 데이터베이스를 훔쳐 복호화에 성공한다면, 사용자의 모든 패스워드들이 노출되는 심각한 문제가 있다. 본 논문에서는 로컬 컴퓨터에 저장된 패스워드 저장소의 보안 취약점을 분석하는 절차를 제시하고, 패스워드 저장소를 공격하는 시나리오를 제시하며, 공격 프로그램을 개발하여 패스워드 저장소를 공격함으로써 패스워드 저장소의 보안 취약점을 확인한다.

다국어 초록 (Multilingual Abstract)

As the number of services offered on the Internet exponentially increases, password managers are increasing popular applications that store several passwords in an encrypted database (or password vault). Browser-integrated password managers or locally-installed password managers store the password vault on the user’s device. Although a web-based password manager stores the password vault on the cloud server, a user can store the master password used to sign in the cloud server on her device. An attacker that steals a user’s encrypted vault stored in the victim’s device can make an offline attack and, if successful, all the passwords in the vault will be exposed to the attacker. This paper investigates the vulnerability of the password vault stored in the device and develops attack programs to verify the vulnerability of the password vault.

목차 (Table of Contents)

• 요약
• ABSTRACT
• I. 서론
• II. 관련연구
• III. 패스워드 저장소 보안 취약점 분석
• IV. 패스워드 저장소 공격 시나리오 및 프로그램 개발
• V. 결론
• References

참고문헌 (Reference)

1 Python module to read KeePass, "libk eepass – Python module to read Kee Pass files"

2 John the Ripper suite, "keepass2john. py – Python module to extract a has h from KeePass databases"

3 Hashcat, "hashcat–advanced passwor d recovery"

4 NAI Labs, "Windows Data Protection"

5 M. Blanchou, "Whitepaper" iSEC partners 1-6, 2013

6 K. Bhargavan, "Web-based attacks on host-proof encrypted storage" 1-8, 2012

7 J. Bonneau, "The quest to replace passwords: A framework for comparative evaluation of web authentication schemes" 553-567, 2012

8 Z. Li, "The emperor’s new password manager : Security analysis of web-based password managers" 465-479, 2014

9 LastPass, "Technical Whitepaper"

10 E. Burzstein, "Recovering windows secrets and EFS certificates offline" 1-9, 2010

11 D. Silver, "Password managers : Attacks and defenses" 449-464, 2014

12 P. Gasti, "On the security of password manager database formats" 770-787, 2012

13 M. Golla, "On the security of cracking-resistant password vaults" 1230-1241, 2016

14 KeePass Password Safe, "KeePass Password Safe"

15 S. Huber, "Extracting all your secrets:Vulnerabilities in android password managers" 1-50, 2017

16 SQLite, "DB Browser for SQLite"

17 R. Chatterjee, "Cracking-resistant password vaults using natural language encoders" 481-498, 2015

18 S. Huber, "Bypassing android password manager apps without root" 1-58, 2017

19 H. Zhang, "Analysis of encryption mechanism in KeePass Password Safe 2.30" 1-4, 2016

20 X. Li, "A survey on server-side approaches to securing web applications" 46 (46): 1-29, 2014