Like What You're Reading? Submit your email to be notified of new articles! Really Simple Syndication

Archives

Bookmarks

Categories



무결성 검사없는 코드 다운로드

수동 분석은 일반적으로 코드 다운로드를 트리거하는 동작을 찾고 무결성 검사 메서드가 사용 중인지 여부를 확인하는 데 필요합니다. 적절한 전달 및 역방향 DNS 조회를 수행하여 DNS 스푸핑을 검색합니다. 이는 호스팅 사이트 또는 전송 중에 코드가 수정되는 것을 방지하지 않기 때문에 부분적인 솔루션일 뿐입니다. 파일(및 해당 소프트웨어)의 무결성을 확인하는 두 가지 주요 방법은 암호화 해시및 디지털 서명입니다. 암호화 해시는 본질적으로 멋진 체크섬입니다. 체크섬과 달리 동일한 해시를 가진 두 개의 문서를 찾기가 매우 어렵습니다. 예를 들어 공격자는 코드에 백도어를 추가한 다음 추가 주석이나 빈 코드를 추가하여 해시에 맞출 수 없습니다. 이것은 더 이상 MD5에 대해 완전히 사실이 아닐 수도 있지만 MD5조차도 여전히 “꽤 좋은”이며 특정 조건이 충족되는 경우에만 이 시점에서 악용됩니다. 모니터를 프로세스에 연결하고 네트워크 연결을 스니핑합니다. 코드 다운로드를 강제할 수 있는 제품 업데이트 또는 플러그인 설치와 관련된 기능을 트리거합니다. 파일이 다운로드되고 별도로 실행되는 지 또는 프로세스가 다시 읽히는지 모니터링합니다. 무결성 검사를 사용하는 암호화 라이브러리 호출의 증거를 찾습니다. 소프트웨어가 운영 체제 및 네트워크와 상호 작용할 때 소프트웨어의 프로세스를 검사하는 모니터링 도구를 사용합니다.

이 기술은 소스 코드를 사용할 수 없거나 소프트웨어가 개발되지 않았거나 빌드 단계에서 새로운 약점이 없는지 확인하려는 경우에 유용합니다. 예를 들어 실행 중인 프로세스에 직접 연결하는 디버거가 있습니다. 트러스 (솔라리스) 및 추적 (리눅스)와 같은 시스템 호출 추적 유틸리티; FileMon, RegMon, 프로세스 모니터 및 기타 Sysinternals 유틸리티(Windows)와 같은 시스템 활동 모니터; 네트워크 트래픽을 모니터링하는 스니퍼 및 프로토콜 분석기와 함께 사용할 수 있습니다. 이 문제는 부분적으로 디지털 서명을 사용하여 해결됩니다. 디지털 서명은 소프트웨어의 암호화 해시로 시작하지만 이 해시는 이제 개인 키를 사용하여 서명됩니다. 아무도이 개인 키를 알 필요가 없습니다., 그리고 그것은 멀리 잡아 당기고 손이 닿지 않는 유지 해야 합니다. 이제 공격자가 감지되지 않은 해시를 수정할 수 없습니다. 그러나 서명을 확인하려면 공개 키의 복사본이 필요합니다. 공개 키가 올바른지 확인하려면 어떻게 해야 합니까? 이미 공개 키가 있거나 대역 외의 유효성을 검사할 수 있는 경우 이 작업을 쉽게 수행할 수 있습니다.

그러나 대부분의 경우 서명과 코드를 가져오는 동시에 공개 키를 얻습니다. CWE(공통 약점 열거 사양)는 코드, 디자인 또는 시스템 아키텍처에서 발견되는 소프트웨어 보안 취약점의 원인을 논의, 검색 및 처리하기 위한 일반적인 담론 언어를 제공합니다. 각 개별 CWE는 단일 취약점 유형을 나타냅니다. CWE는 현재 국가 사이버 보안 부 (DHS)의 지원을 받아 MITRE 공사에 의해 유지됩니다. 자세한 CWE 목록은 현재 MITRE 웹 사이트에서 확인할 수 있습니다. 이 목록은 각 개별 CWE에 대한 자세한 정의를 제공합니다. 신뢰할 수 없는 코드를 실행하면 프로그램의 제어 흐름이 손상되어 중요한 리소스가 수정될 수 있습니다. Authenticode와 같은 코드 서명 기술을 사용합니다. 참조를 참조하십시오. 그러나 파일 무결성을 보장하기 위해 해시를 사용하는 데 따르는 근본적인 약점이 있습니다. 대부분의 경우 해시는 원래 코드와 동일한 사용 권한을 가진 동일한 디렉터리에 저장됩니다.

Comments are closed.

Copyright © 2008 The Silver Bee Real Estate by Debbie Cook     Agent Login        Design by Real Estate Tomato     Powered by Tomato Blogs

Find Blogs in the Blog Directory
Real Estate Blogs - Blog Top Sites
HomeInsurance.org
HomeInsurance.org