중간자 공격

중간자 공격(man in the middle attack, MITM)은 네트워크 통신을 조작하여 통신 내용을 도청하거나 조작하는 공격 기법이다. 중간자 공격은 통신을 연결하는 두 사람 사이에 중간자가 침입하여, 두 사람은 상대방에게 연결했다고 생각하지만 실제로는 두 사람은 중간자에 연결되어 있으며 중간자가 한쪽에서 전달된 정보를 도청 및 조작한 후 다른 쪽으로 전달한다.

개요

중간자 공격은 오래된 사이버 공격의 한 형태로서 컴퓨터 공학자들은 1980년대 초부터 통신에 간섭하거나 도청하는 위협 활동을 방지하는 방법을 연구해 왔다. 중간자 공격은 두 당사자 사이에서 트래픽을 관찰하거나 조작하는 것으로 구성되는데, 이는 정상적인 네트워크에 간섭을 일으키거나 공격자가 통제하는 가짜 네트워크를 생성하는 방식으로 이루어진다. 해커는 해킹된 트래픽의 암호화를 제거해 트래픽을 훔치거나 변경하며 공격자가 원하는 목적지로 전달한다. 공격자는 가로챈 트래픽을 기록 및 수정한 후 조용히 관찰하거나 재암호화하여 공격을 찾아내기 어렵게 만든다.

작동원리

중간자 공격의 경우 하나의 방식으로만 공격하는 기법이 아니다. 일반적으로 스니핑(Sniffing), 패킷 주입(Packet Injection), 세션 하이재킹(Session Hijacking), 보안 소켓 계층 스트리핑(SSL stripping)의 총 4가지로 구성돼있다.

• 스니핑(Sniffing) : 스니핑 또는 패킷 스니핑은 시스템 및 네트워크에서 들어오고 나가는 데이터 패킷을 캡처하는데 사용되는 기술이다. 네트워크에서 패킷 스니핑은 도청과 비슷한 개념인데, 올바르게 적용되면 합법적이며 보안 목적을 위해 이를 수행할 수 있다.

• 패킷 주입(Packet Injection) : 공격자가 일반 데이터와 함께 악의적인 데이터를 주입하는 것이다. 사용자에게는 합법적 통신 스트림 일부로 제공되어 파일 및 멀웨어 프로그램을 알지 못하게 된다. 이러한 파일은 중간자 공격과 서비스 거부 공격에서 흔히 보인다.

• 세션 하이재킹(Session Hijacking) : 세션 가로채기라고도 불리며 두 시스템 간 연결이 활성화된 상태를 가로채는 것으로, 세션 만료(Session Expired) 오류를 발생시킨다. 세션이란 은행 계좌에 로그인하고 로그아웃 하는데 걸리는 시간을 말하는데 이러한 세션이 해커들의 표적이 되고, 대부분의 경우 해커는 자신의 존재를 이 세션에서 확인하고 제어하여 다양한 방법으로 공격한다.

• 보안 소켓 계층 스트리핑(SSL stripping) : SSL/TLS 인증서는 암호화를 통해 온라인 통신을 안전하게 유지한다. 보안 소켓 계층 스트리핑 공격을 받을 경우 공격자는 SSL/TLS 연결을 차단하여 프로토콜 보안성이 있는 HTTPS에서 안전하지 않은 HTTP로 전환시킨다.

대안

전송 계층 보안(Transport Layer Security, TLS) 통신은 중간자 공격법을 방어하기 위한 목적으로 만들어졌다. 전송 계층 보안 통신은 클라이언트가 연결을 요청하면 서버에서 자신의 공개키가 포함된 인증서를 보내고, 클라이언트는 인증서의 내용을 연결 프로그램 또는 운영체제에 내장된 루트 인증서 정보와 비교하여 무결성을 검증한다. 이후 인증서에 있는 공개키로 대칭형 암호화 키를 만들 수 있는 난수 정보를 공개키로 암호화해 서버로 보내며, 클라이언트와 서버가 각각 이 난수에서 암호화 키를 만들어내 암호화 연결이 개시된다. 여기서 중요한 점은 루트 인증서를 신뢰할 수 있어야 한다는 것이다. 보안성이 충분히 보장되지 않았거나, 내부적으로 악용할 가능성이 있거나 하는 루트 인증서는 허용해서는 안 된다.

전망

분석가들은 인터넷 연결 장치의 수가 향후 5년 동안 수백억 개로 확대되리라 전망 했는데 많은 장치에 보안 기능이 없기 때문에 사물인터넷(IoT)의 성장으로 중간자 공격이 증가할 수 있다. SANS TI(Technology Institute)의 연구 학장 요하네스 울리히(Johannes Ullrich)는 "사물인터넷 장치는 중간자 공격에 대한 많은 표준 완화 조치를 이행하지 않기 때문에 공격에 더욱 취약한 경향이 있다. 많은 사물인터넷 장치가 아직 전송 계층 보안 통신을 이행하지 않거나 최신 버전만큼 탄탄하지 않은 오래된 버전을 이행했다." 고 말했다. 포네몬 연구소와 오픈스카이의 새로운 조사에서 미국 내 보안 실무자 가운데 61%가 기업 내에서 사물인터넷 장치의 확산을 억제할 수 없다고 밝혔으며 60%는 사물인터넷과 관련된 보안 악용 및 데이터 유출을 막을 수 없다고 밝혔다.

참고자료

• 〈중간자 공격〉, 《나무위키》
• Dan Swinhoe, 〈MitM 공격이란 무엇인가 "MitM 공격의 메커니즘과 예방법"〉, 《아이티월드》, 2019-02-18
• 유서트, 〈중간자 공격(Man-in-the-middle attack)이란? 그 대처방법은?〉, 《네이버 블로그》, 2018-02-05

같이 보기

• 해킹
• 에이알피 스푸핑
• 랜섬웨어

이 중간자 공격 문서는 보안에 관한 글로서 검토가 필요합니다. 위키 문서는 누구든지 자유롭게 편집할 수 있습니다. [편집]을 눌러 문서 내용을 검토·수정해 주세요.

개발 : 프로그래밍, 소프트웨어, 데이터, 솔루션, 보안 □■⊕, 하드웨어, 컴퓨터, 사무자동화, 인터넷, 모바일, 사물인터넷, 게임, 메타버스, 디자인 보안 CVE • CWE • 관리자권한 • 관리적 보안 • 권한 • 권한관리 • 금융 분산원장기술 보안규범 • 기밀 • 기밀성 • 기술적 보안 • 누설 • 누출 • 누출금지정보 • 니모닉 • 데이터베이스 암호화 • 디지털 워터마킹 • 레인보우 테이블 • 루트킷 • 무결성 • 물리적 보안 • 백신 프로그램 • 버그 바운티 • 보안 • 봇 • 봇넷 • 블랙리스팅 • 블랙박스 • 블록체인 보안 • 비밀 • 비회원 권한 • 사고 • 사용자권한 • 사회공학 • 생체인증 • 시큐어코딩 • 신뢰실행환경 • 암호 • 암호키 • 예방 • 유출 • 이중인증(2FA) • 인증 • 일회용 비밀번호(OTP) • 잠금장치(시건장치) • 접근 • 접근권한 • 접근제어 • 접근차단 • 정보보호관리체계 • 침입방지시스템 • 침입탐지시스템 • 컴퓨터 바이러스 • 킬 스위치 • 통합위협관리(UTM) • 패치 • 페이로드 • 핀(PIN) • 해킹사고 • 화이트박스 • 회원권한 • 효율성 취약점 공격 51% 공격 • OWASP • 그라인딩 공격 • 네트워크 공격 • 누킹 • 디도스 • 디엔에스 스푸핑(DNS스푸핑) • 랜섬웨어 • 레베톤 • 레이스 공격 • 롱레인지 공격 • 리플레이 공격 • 리플레이 프로텍션 • 멀웨어(악성코드) • 모의해킹 • 무차별 대입 공격 • 미라이 봇넷 • 백도어 • 버그 • 버퍼 오버플로 • 벡터76 공격 • 부채널 공격 • 블랙해커 • 블록보류 공격 • 블록체인 해킹 • 사이트 간 스크립팅(XSS) • 사이트 간 요청 위조(CSRF) • 사전공격 • 셸쇼크 • 스누핑 • 스니퍼 • 스니핑 • 스미싱 • 스파이웨어 • 스푸핑 • 시빌공격 • 아이피 스푸핑(IP스푸핑) • 암호화폐 거래소 해킹 • 암호화폐 해킹 • 애드웨어 • 에스큐엘 인젝션(SQL인젝션) • 에이알피 스푸핑(ARP스푸핑) • 원격파일삽입 • 웜 • 웹셸 • 이클립스 공격 • 인젝션 • 제로데이 공격 • 중간자 공격 • 지능형 지속 공격(APT) • 취약점 • 침해사고 • 크래킹 • 크립토락커 • 크립토재킹 • 키로깅 • 트로이목마 • 패스워드 크래킹 • 페니스펜드 • 포맷스트링 공격 • 피니 공격 • 피싱 • 해커 • 해커원 • 해킹 • 혹스 • 화이트해커 개인정보보호 가명 • 개인정보 • 개인정보보호 • 개인정보보호법 • 성명 • 실명 • 유럽연합 일반개인정보보호법(GDPR) • 익명 양자보안 광자분리공격(PNS) • 복제 불가능성 원리 • 양자보안 • 측정 후 붕괴 보안 솔루션 V1 • V3 • ZAP • 내PC지키미 • 노턴안티바이러스 • 디아모 • 랩스플러스 • 레드마인 • 레드캐슬 • 맥아피 • 버그질라 • 빅룩 • 빅룩와스 • 빅룩퓨저 • 샤크라 • 소나큐브 • 스패로우 • 스팸스나이퍼 • 시큐브토스 • 시큐어디비 • 아베스트 • 야스카 • 엔스토커 • 엔프로텍트 • 와플즈 • 웹필터 • 제큐어디비 • 제큐어웹 • 지라 • 카스퍼스키 • 파인드벅스 • 피엠디(PMD) 위키 : 자동차, 교통, 지역, 지도, 산업, 기업, 단체, 업무, 생활, 쇼핑, 블록체인, 암호화폐, 인공지능, 개발, 인물, 행사, 일반