Journal of Internet Computing and Services (인터넷정보학회논문지)

Korean Society for Internet Information (한국인터넷정보학회)
권호 표지

Vulnerability Assessment on the Secured USB Keyboard

보안 USB 키보드의 데이터 탈취 가능성 진단

  • 이경률 (순천향대학교 정보보호학과) ;
  • 임강빈 (순천향대학교 정보보호학과)
  • Received : 2011.04.28
  • Accepted : 2011.08.05
  • Published : 2011.10.31
Download PDF
⟨ Previous Next ⟩

Abstract

The user authentication on the security applications is one of the most important process. Because character based password is commonly used for user authentication, it is most important to protect the keyboard. Due to the reason, several software solutions for keyboard security have been applied to critical sites. This paper introduces vulnerabilities to the commonly used USB keyboard, implements a sample code using the vulnerabilities and evaluates the possibility for the keyboard data to be stolen in the guarded environment. Through the comparison of the result, a countermeasure to the vulnerabilities is proposed.

보안 시스템에서 사용자 인증은 필수적이며 가장 중요한 절차 중의 하나이다. 대개의 사용자 인증은 키보드를 통한 문자기반의 패스워드를 이용하여 이루어지므로 키보드 정보의 보호는 무엇보다 중요하다[7][8]. 이러한 이유로 키보드 보호를 위한 소프트웨어들이 주요 사이트에 적용되어 있다. 본 논문은 현재 보편적으로 사용되고 있는 USB 키보드의 취약점을 소개하고 이를 이용하는 예제 코드를 구현하여 키보드 보안 소프트웨어가 실행되고 있는 상황에서의 키보드 데이터의 탈취 가능성을 진단한다. 또한 결과의 비교를 통하여 해당 취약점에 대응하기 위한 보안 대책을 제안한다.

Keywords

References

  1. Universal Serial Bus Specification Rev2.0, Compaq, HP, Intel, Lucent, MS, NEC, Philips, Apr. 2000
  2. 임강빈, "USB 보안 취약점 보고서", 한국정보보호진흥원, 2008년 11월
  3. 이경률, 배광진, 임강빈, "USB 데이터 보안 취약성 분석", 한국정보보호학회 하계학술대회 논문지, 제19권 제1호, pp.59-63, 2009년 6월
  4. Kyungroul Lee, Kwangjin Bae, Kangbin Yim, "Hardware Approach to Solving Password Exposure Problem through Keyboard Sniff", ACADEMIC SCIENCE RESEARCH, WASET, pp.23-25, 2009. 10
  5. 정태영, 임강빈, "키보드컨트롤러의 하드웨어 취약점에 대한 대응 방안", 한국 정보보호학회 논문지 제18권 제4호, pp187-194, 2008년 8월
  6. 배광진, 임강빈, "키보드 보안의 근본적인 취약점 분석", 한국정보보호학회 논문지 제18권 제3호, pp.88-95, 2008년 6월
  7. 이경률, "개인정보 관리에서의 하드웨어 플랫폼 및 디바이스 인증 취약점에 관한 연구", 순천향대학교 석사학위논문, 2010년 8월
  8. Linda Paulson, "Key Snooping Technology Causes Controversy,"IEEE Computer, pp.27, Mar. 2002
  9. John Clark, Sylvain Leblanc and Scott Knight, "Hardware Trojan Horse Device based on Unintended USB Channels," NSS2009, IEEE Computer Society, pp.1-9, Oct. 2009
  10. Kyungroul Lee, Hyeungjun Yeuk, Youngtae Choi, Sitha Pho, Ilsun You, Kangbin Yim, "Safe Authentication Protocol for Secure USB Memories", JoWUA(Journal of Wireless Mobile Networks, Ubiquitous Computing and Dependable Applications), Vol.1,No.1, pp.46- 55, Jun. 2010
  11. Kyungroul Lee, Wansoo Kim, Kwangjin Bae, Kangbin Yim, "A Solution to Protecting USB Keyboard Data", Proceedings of BWCCA 2010(International Conference on Broadband and Wireless Computing, Communication and Applications), pp.108-111, Nov. 2010
  12. Kangbin Yim, "A new noise mingling approach to protect the authentication password", Proceedings of CICIS2009, pp.191-194, Feb. 2010
  13. Kyungroul Lee, Kangbin Yim et al., "Password Sniff by. Forcing the Keyboard to Replay Scan Codes," Proceedings of. JWIS2010, pp.9-11, Aug. 2010
  14. 이경률, 배광진, 임강빈, "USB 데이터 보안 취약성 분석", 한국정보보호학회 하계학술대회 논문집, pp.59-63, 2009년 6월
  15. 정태영, 이경률, 배광진, 임강빈, "스니핑 방지를 위한 키보드 프로토콜", 정보보호학회 하계학술대회논문집 제18권 제1호, pp.375-379, 2008년 06월
  16. 최영태, 이경률, 임강빈 외, "USB 키보드 후킹을 통한 데이터 탈취 가능성 진단", 정보보호학회 충청지부학술대회 논문집, pp111-115, 2010년 10월
  17. 이경률, 임강빈 외, "터치패드 취약점을 통한 이미지 기반 패스워드의 보안 취약성 분석", 정보보호학회 동계학술대회 논문집, pp.171-175, 2010년 12월
  18. 이경률, 임강빈 외, "코드 난독화를 위한 새로운 가상머신 모델 제안", 정보보호학회 동계학술대회 논문집, pp.176-181, 2010년 12월
  19. Kangbin Yim, "A fix to the HCI specification to evade ID and password exposure by USB sniff", KSII&CSU, Proceedings of APIC-IST 2008, pp.191-194, Dec. 2008
  20. Art Baker, Jerry Lozano, The Windows 2000 Device Driver Book, Prentice Hall, Nov. 2000
  21. Greg Hoglund, Jamie Butler, Rootkit, Addison-Wesley Professional, Jul. 2005
  22. 이경률, 임강빈 외, "분석기법 우회 악성코드 분석방법 연구", 한국인터넷진흥원 연구 보고서, 2010년 11월
  23. 이경률, 임강빈 외, "터치 센서 모듈의 잡음 제거 연구", (주)포인칩스., 2010년 2월
  24. 이경률, 임강빈 외, "PALM Rejection 기능의 투과형 정전용량 터치스크린 개발", 나노티에스(주), 2011년 1월
  25. 이경률, 임강빈 외, "USB 키보드 후킹을 통한 키보드데이터 탈취 가능성 진단", 금융보안연구원 연구보고서, 2010년 5월
  26. 이경률, 임강빈 외, "프레임버퍼 수집을 통한 개인 스크린 정보 탈취 가능성 진단", 금융보안연구원 연구보고서, 2010년 5월