KR20100085902A

KR20100085902A - 인증, 데이터 전송 및 피싱에 대한 보호를 위한 방법 및 시스템

Info

Publication number: KR20100085902A
Application number: KR1020107004876A
Authority: KR
Inventors: 몬세이그낫 베르나르드 드; 스테판 모로
Original assignee: 몬세이그낫 베르나르드 드; 스테판 모로
Priority date: 2007-08-06
Filing date: 2008-08-06
Publication date: 2010-07-29
Also published as: EP2179532A4; CA2697632C; MX2010001549A; NZ583300A; AU2008283847B2; US20090077383A1; MY180093A; BRPI0815605A2; BRPI0815605B1; SG183697A1; IL203763A; US8578166B2; CN101816148A; KR101497742B1; EP2179532B1; CA2697632A1; WO2009021070A1; JP2011517859A; EP2179532A1; JP5941872B2

Abstract

공중 통신망을 사용한 보안 전자 데이터 통신을 위한 방법 및 시스템이 개시된다. 보안 데이터 통신 컴포넌트는 통신 프로토콜을 구현하기 위해 이용될 수 있다. 각각이 상이한 통신 프로토콜을 갖는, 새로운 버전의 보안 데이터 통신 컴포넌트들이 생성될 수 있다. 데이터 통신 컴포넌트의 소스 코드는 상이한 코드 구조를 갖는 기능적으로 등가인 컴포넌트를 생성하기 위해 폴리모프 엔지을 사용하여 수정될 수 있다. 안티피싱 컴포넌트는 사용자에 의해 기동된 전자 통신에서 링크를 인터셉트하고, 이 링크 및 전자 통신을 분석하고, 링크에 의해 야기된 사용자에 대한 피싱 위험을 결정하고, 사용자를 링크에 의해 지시된 주소로 안내하거나 서용자를 유효 위치로 재안내한다. 서버 인증 컴포넌트는 DNS 공격, 주입, 및 디페이싱 작용을 검출하여 방지한다.

Description

인증, 데이터 전송 및 피싱에 대한 보호를 위한 방법 및 시스템{SYSTEM AND METHOD FOR AUTHENTICATION, DATA TRANSFER, AND PROTECTION AGAINST PHISING}

본 발명은 공중 통신망을 사용한 보안 전자 데이터 통신을 위한 방법 및 시스템에 관한 것으로, 상세히는 인증, 데이터 전송 및 피싱에 대한 보호를 위한 방법 및 시스템에 관한 것이다.

온라인 ID 절도, 금융정보 절도, 피싱, 바이러스, 스파이웨어 및 기타 데이터 통신과 관련한 악의적인 활동은 기업, 개인, 교육 기관 및 정부로 하여금 매년 수십억 달러에 이르는 비용을 지출시킨다. 또한, 이러한 악성 활동은 상당한 생산성 손실과 불법을 초래하며 온라인 통신의 사용을 방해할 수도 있다. 그러한 활동들은 상용 서버의 사용자를 괴롭힐 뿐만 아니라 정부기관 컴퓨터 시스템, 은행 컴퓨터 시스템 및 교육기관 컴퓨터 시스템 및 온라인 소매점 플랫폼을 포함한 기타 네트워크 및 시스템의 사용자에겐 주요한 걱정거리이다.

네트워크 데이터 통신과 관련한 상황에서 사용자 식별, 인증 및 공격 및 피싱 체계의 방지에 대한 여러 방법 및 시스템이 제안되어 왔다. 그러한 공지된 기술들은 일반적으로 정교하고 악의적인 및/또는 범죄 활동에 대해 부적합 것으로 증명된 적은 수의 간단한 매커니즘을 기초로 한다. 더욱이, 그러한 공지된 기술들은 악의를 갖고 있는 개체들이 그들의 기술 및 방법을 신속하게 적응시키는 능력을 상기 개체들의 기술 및 기량의 진보에 적응하지 못한다.

따라서, 다양한 형태의 데이터 통신, 피싱 및 보안 관련 위협을 검출하고 검출된 그러한 위협을 무력화하고 및/또는 그 위협의 효과를 없앰으로써 상기 위협 검출에 대응하기 위한 강건하고 적응성 있는 방법 및 시스템이 요망된다.

본원의 제1 양상은, 컴퓨터 디바이스를 사용하여 데이터 통신 하기 위한 방법을 제공할 수 있는 데, 이 방법은 제 1 통신 프로토콜의 정의를 포함하는 데이터 통신 컴포넌트의 제 1 버전을 업그레이드할 것인 지의 여부를 결정하는 것, 데이터 통신 컴포넌트의 제 1 버전을 업그레이드할 것으로 결정된 경우 보안 서버에 연결하는 것, 인증 검사를 수행하는 것, 인증 검사가 성공한 경우 적어도 제 2 통신 프로토콜의 정의를 포함하는 데이터 통신 컴포넌트의 제 2 버전을 포함하는 패키지를 보안 서버로부터 수신하는 것, 패키지에 내장된 디지털 서명이 유효한 지의 여부를 결정하는 것, 디지털 서명이 유효한 경우 데이터 통신 컴포넌트의 제 2 버전을 설치하는 것, 데이터 통신 컴포넌트의 제 2 버전을 실행시키는 것, 및 데이터 통신 컴포넌트의 제 2 버전과 제 2 통신 프로토콜을 이용하여 데이터 통신을 수행하는 것을 포함한다. 이 방법에서, 데이터 통신 컴포넌트의 제 1 버전을 업그레이드시킬 것인 지의 여부를 결정하는 것은 데이터 통신 컴포넌트의 제 1 버전의 이전 실행 시점으로부터 현재 시점까지 경과한 시간을 결정하는 것, 결정된 경과 시간과 소정 트리거 시간값을 비교하는 것, 및 상기 경과 시간이 트리거링 시간값과 같은 경우 또는 큰 경우에 보안 서버에 연결하는 것을 포함할 수 있다. 상기 비교하는 것은 네트워크 타임 프로토콜을 이용하여 현재 시간을 결정하는 것을 포함할 수 있다. 이 방법은 인증 검사가 성공하지 않거나 디지털 서명이 유효하지 않은 경우에 경보를 발생하는 것과 이 경보를 컴퓨터 디바이스의 사용자 또는 보안 서버의 사용자 또는 조사 서버 중 적어도 하나에 전송하는 것을 포함할 수 있다. 보안 서버의 주소는 직접 IP 주소의 풀에 위치될 수 있고 직접 IP 주소의 풀은 보안 통신 컴포넌트의 제 1 버전에 저장된다. 인증 검사는 제로 지식 프로토콜, SSL 인증서 또는 비대칭 암호화 기술중 적어도 하나를 사용하는 것을 포함할 수 있다. 상기 패키지는 데이터 통신 컴포넌트의 제 2 버전에 대해 적어도 하나의 종속 엔티티를 포함한다. 데이터 통신 컴포넌트의 제 2 버전은 데이터 통신 컴포넌트의 제 1 버전의 소스 코드의 수정본을 포함할 수 있고 이 수정본은 소스 코드 레벨의 폴리모프 엔진에 의해 생성된다. 소스 코드 레벨의 폴리모프 엔진은 비기능성 명령어를 이용한 노이즈의 삽입, 변수의 내장, 수학적 함수의 내장, 값의 내장, 점프의 삽입, 시간 시프팅 지연의 삽입, 소스 코드의 무작위적 재순서화, API 및 호출 래핑에 대한 레퍼런스의 삽입, 트레이서 검출 코드의 삽입, 하위 쓰레드 생성기의 삽입, 페이크 코드의 삽입, 또는 자동 보호 시스템의 삽입중 적어도 하나를 수행한다.

본원의 또다른 양상은 컴퓨터 디바이스를 사용하여 데이터 통신 컴포넌트의 제2 버전을 생성하기 위한 방법을 제공할 수 있는 데, 이 방법은 난수의 풀을 생성하는 것, 암호화 키의 풀을 생성하는 것, 난수의 풀을 이용하여 데이터 통신 컴포넌트의 제1 버전의 소스 코드를 수정하는 것, 등가 함수 라이브러리에 링크시키는 것, 수정된 소스 코드를 컴파일하는 것, 컴파일된 소스 코드를 보호하는 것, 컴파일되고 보호된 소스 코드에 서명하는 것, 및 종속 엔티티를 내장시키는 것을 포함한다. 데이터 통신 컴포넌트의 제 2 버전은 데이터 통신 컴포넌트의 제 1 버전의 소스 코드의 수정본을 포함할 수 있고 이 수정본은 소스 코드 레벨의 폴리모프 엔진에 의해 생성된다. 소스 코드 레벨의 폴리모프 엔진은 비기능성 명령어를 이용한 노이즈의 삽입, 변수의 내장, 수학적 함수의 내장, 값의 내장, 점프의 삽입, 시간 시프팅 지연의 삽입, 소스 코드의 무작위적 재순서화, API 및 호출 래핑에 대한 레퍼런스의 삽입, 트레이서 검출 코드의 삽입, 하위 쓰레드 생성기의 삽입, 페이크 코드의 삽입, 또는 자동 보호 시스템의 삽입중 적어도 하나를 수행한다. 상기 보호하는 것은 이진 레벨 코드 보호기에 의해 수행될 수 있고, 이진 레벨 코드 보호기는 이진 레벨의 폴리모프 엔진을 포함할 수 있다. 이진 레벨의 폴리모프 엔진은 코드 보호 함수의 주입, 안티트레이서의 주입, 안티디버거 트랩의 주입, 이진 코드의 압축, 이진 코드의 암호화, 헤더 재기록, 리소스 재기록 또는 로더 재기록 중 적어도 하나를 수행할 수 있다. 컴파일된 소스 코드의 서명은 에디터의 개인키로 서명하는 것을 포함할 수 있다. 종속 엔티티는 안티멀웨어 데이터베이스, 수정, 기타 프로세스의 갱신된 요소중 적어도 하나를 포함할 수 있다.

본원의 또다른 양상은 컴퓨터 디바이스를 사용하여 데이터 통신을 위한 방법을 제공할 수 있는 데, 이 방법은 적어도 하나의 타겟 로케이션 식별자를 포함하고 전자 통신에 내장된 링크가 사용자에 의해 선택되는 경우 데이터 통신을 인터셉트 하는 것, 전자 통신을 디스플레이하는 데에 사용된 애플리케이션의 유형을 결정하는 것, 및, 애플리케이션의 유형이 웹메일 도메인내의 웹 브라우저 소프트웨어 애플리케이션 또는 전자 통신 판독기 애플리케이션 중의 하나인 경우에, 전자 통신의 주제를 추출하는 것, 전자 통신의 내용(contents)을 추출하는 것, 전자 통신을 분석하는 것, 추출된 주제 및 내용을 분석하는 것, 선택된 링크에 대한 분석, 전자 통신의 인간 요인에 대한 분석, 전자 통신에 대한 분석, 추출된 주제 및 내용에 대한 분석, 선택된 링크에 대한 분석, 인간 요인에 대한 분석에 기초하여 위험 인자를 결정하는 것, 및 결정된 위험 인자의 값을 기초로 한 유효 위치 또는 링크에 의해 식별된 타겟 로케이션중의 하나에 대해 사용자에게 지시하는 것을 포함한다. 전자 통신의 주제 및 내용중 적어도 하나를 추출하는 것은 문서 객체 모델을 분석하는 것을 포함할 수 있다. 상기 전자 통신을 분석하는 것은 선택된 링크가 전자 이메일 문서에 내장되어 있는 지를 결정하는 것, 전자 통신의 적어도 하나의 이미지의 위치 및 크기의 검출, 전자 통신의 가시적 및 비가시적 요소의 검출, 전자 통신의 텍스트, 영역, 및 구역중의 하나에 대한 전경색 및 배경색간의 거리를 계산하는 것, 또는 내장된 화상 인식 알고리즘을 이용하여 전자 통신에 포함된 이미지의 분석중 적어도 하나를 포함할 수 있다. 상기 전자 통신의 주제 및 내용을 분석하는 것은 전자 통신에 포함된 워드를 분석하는 것, 피싱 통신에서 흔히 사용되는 워드의 양에 대한 결정, 전자 통신에 포함된 텍스트를 참조하는 링크를 분석하는 것, 또는 전자 통신의 포맷을 분석하는 것들 중 적어도 하나를 포함할 수 있다. 선택된 링크를 분석하는 것은 인코딩된 링크의 검출, 도메인 재방향 설정 검출, 최상위 레벨 도메인 검출, 스푸핑된 링크의 검출, 하위 재방향 설정된 링크의 검출, 부적절하게 포맷팅된 링크의 정렬, 사용자 이름 스푸핑의 검출, 직접 IP 링크의 검출, 보호된 타겟의 검출, 스펠링이 틀린 링크의 검출, 텍스춰 링크의 음성적 의미의 검출, 컴패니언 링크의 검출, 공지된 도메인의 검출, 무료 호스팅 서비스의 검출, 위험한 지리적 지역의 검출, 또는 로컬 호스트 파일에 의한 숨겨진 재방향 설정을 검사하는 것들 중 적어도 하나를 포함할 수 있다. 이 방법은 링크에서 식별된 타겟 로케이션을 분석하는 것을 포함할 수 있다. 사용자를 유효 위치로 지시하는 것은 보호 필드 딕셔너리로부터 디폴트 유효 위치 링크를 획득하는 것을 포함할 수 있다.

본원의 또다른 양상은 컴퓨터 디바이스를 사용하여 인증서를 생성하는 방법을 포함할 수 있는 데 , 이 방법은 서버에서 인증을 위한 요청을 수신하는 것, 외부 검증을 수행하는 것, 적어도 하나의 요청된 옵션을 이용하여 인증서를 생성하는 것, 개인키를 이용하여 인증서에 서명하는 것을 포함하고, 상기 서버는 서버의 TCP/IP 주소와 서버의 완전하게 적합한 도메인 이름으로 식별된다.

본원의 또다른 양상은 컴퓨터 디바이스를 사용하여 인증서를 이용하는 방법을 제공할 수 있는 데 , 이 방법은 적어도 하나의 웹사이트를 호스팅하는 서버에 질의하는 것, 서버의 보호를 결정하기 위해 내부 함수에 대한 호출을 개시시키는 것, 인증서를 다운로드하는 것, 공개키를 사용하여 인증서의 진정성을 검증하는 것, 인증서가 진정한 것으로 검증된 경우 적어도 하나의 인증서 필드를 추출하는 것, 서버로부터 수신된 데이터의 해쉬 코드 또는 디지털 서명 중 적어도 하나를 계산하는 것, 적어도 하나의 인증서 필드와 수신된 데이터의 해쉬 코드 또는 디지털 서명 중 적어도 하나를 비교하는 것, 및 비교 결과를 기초로 웹사이트가 유효한 지를 결정하는 것을 포함한다.

다양한 형태의 데이터 통신, 피싱 및 보안 관련 위협을 검출하고 검출된 그러한 위협을 무력화하고 및/또는 그 위협의 효과를 없앰으로써 상기 위협 검출에 대응하기 위한 강건하고 적응성 있는 방법 및 시스템이 제공된다.

도 1은 예시된 실시예에 따른 보안 통신 컴포넌트의 인터페이스 및 컴포넌트를 나타낸 도.
도 2는 예시된 실시예에 따른 보안 통신 컴포넌트 부트로더의 프로세스를 나타낸 흐름도.
도 3은 예시된 실시예에 따른 보안 통신 컴포넌트의 버전의 생성 시점을 나타낸 시간 순서도.
도 4는 예시된 실시예에 따른 보안 통신 컴포넌트 버전의 생성 방법을 도시하는 흐름도.
도 5는 예시된 실시예에 따른 보안 통신 컴포넌트의 로그인 인터페이스를 나타낸 도.
도 6은 예시된 실시예에 따른 안티피싱 컴포넌트의 일반적인 작업 공정을 나타낸 흐름도.
도 7은 예시된 실시예에 따른 안티피싱 컴포넌트의 프로세스를 도시하는 흐름도.
도 8은 예시된 실시예에 따른 안티피싱 컴포넌트의 컴포넌트 구조에 대한 대안 구조를 나타낸 도.
도 9는 예시된 실시예에 따른 안티멀웨어 컴포넌트의 프로세스를 도시하는 흐름도.
도 10은 예시된 실시예에 따른 안티멀웨어 컴포넌트의 구성요소를 나타낸 도.
도 11은 DNS 공격 체계의 구성요소를 나타낸 도.
도 12는 예시된 실시예에 따른 서버측에서 수행하는 웹사이트 인증 컴포넌트의 프로세스를 나타낸 도.
도 13은 예시된 실시예에 따른 사용자측에서 수행하는 웹사이트 인증 컴포넌트의 프로세스를 나타낸 도.
도 14는 예시된 실시예에 따른 브라우저가 통합한 웹사이트 인증컴포넌트의 구성요소를 나타낸 도.
도 15는 예시된 실시예에 따른 웹사이트 인증 컴포넌트에 의한 웹사이트의 보호에 대한 결정 프로세스를 나타낸 도.
도 16은 예시된 실시예에 따른 웹사이트 인증 컴포넌트에 의한 서버의 보호에 대한 검사 프로세스를 나타낸 도.
도 17은 예시된 실시예에 따른 웹사이트 인증 컴포넌트에 의한 인증서에 대한 검사 프로세스를 나타낸 도.

온라인 ID 절도, 사기, 바이러스, 스파이웨어, 및 컴퓨터 관련 범죄는 기업 및 개인으로 하여금 매년 수십억 달러의 재정 및 자원의 손실 대가를 치르게 한다. 본원의 방법 및 시스템은 컴퓨터 디바이스에 대한 위협, 해킹, 피싱 시도, 허가되지 않은 액세스 및 사용자 신원, 재정 및 기타 민감한 정보를 얻기 위한 시도를 검출하여 방지 하는 것에 관한 것일 수 있다. 피싱 시도는 0-데이 공격을 동적으로 차단할 수 있게 하고 파밍을 제거하는 사전 대책 강구 방법을 이용하여 검출될 수 있다. 검출하여 방지될 수 있는 기타 공격으로는 웜 바이러스, 트로이 목마, 키로거, 스크린 스크레이퍼, 루트킷츠 및 기타 클라이언트측 위협과 같은 멀웨어 관련 위협 뿐만 아니라 리라우팅, 스푸핑등과 같은 국부적인 위협이 포함된다. 게다가, 도메인 네임 시스템(“DNS”) 공격, 주입, 디페이싱 및 불법사용을 포함하는 서버 공격도 서버 인증 및 일반 보호 방법의 이용을 통해 검출되고 방지될 수 있다.

본원에 사용되는 “피싱”은 전자 통신에서 신뢰할 수 있는 엔티티인 것으로 사칭하여 사용자이름, 패스워드, 신원 정보, 신용카드 정보, 금융 계정 정보등과 같은 사용자의 민감한 정보를 획득하려는 프로세스를 일컫는다. 은행 또는 소매상과 같은 공지된 엔티티로부터 오는 통신인 것으로 칭하는 통신은, 의심하지 않는 사용자가 그러한 정보를 제공하도록 유인하는 데에 사용될 수도 있고, 그 결과, 절도, 사기등과 같은 불법적 목적을 위해 악의적인 엔티티에 의해 사용될 수 있다. 피싱 행위는 전자 메일, 인스턴트 메시징, 및/또는 유사한 소프트웨어 애플리케이션을 통해 행해질 수도 있고, 사용자로 하여금 신뢰된 엔티티의 웹사이트 또는 기타 주소를 모방하도록 의도된 웹사이트 및/또는 기타 주소에 민감한 정보를 입력하도록 지시할 수 있고, 이에 의해 입력된 정보는 불법 행위에 사용되도록 악의의 엔티티에 전송될 수도 있다.

본원의 전체에 걸쳐, 용어 “서버”는 데이터 통신 네트워크를 통해 기타 컴퓨터 디바이스와 통신할 수 있고, 일반적으로는, 요청시 사용자에게 정보를 전송하기 위해 동작할 수 있는 임의의 컴퓨터 디바이스를 지칭하는 데에 사용된다. “서버”는 단일 컴퓨터 디바이스, 및 네트워크를 구성하거나 그렇지 않으면 서로 통신할 수 있고 사용자에게 정보를 제공하기 위해 협력하여 작용하는 개별 컴퓨터 디바이스의 집합체 모두를 포함하는 것을 목적으로 하는 용어이다. 또한, “서버”는 컴퓨터 디바이스의 하드웨어, 및 예를 들어 웹 서버 애플리케이션, 데이터베이스 애플리케이션, 소매상 애플리케이션, 재정 애플리케이션, 및 서버에서 구동되거나 서버에 의해 획득된 임의의 기타 적절한 소프트웨어 애플리케이션을 포함하는 컴퓨터 디바이스에 의해 구동되거나 이 디바이스에 저장된 임의의 소프트웨어를 포함하는 것을 목적으로 하는 용어이다. 따라서, 본원에 사용되는 바와 같은 용어 “서버”는 컴퓨터 디바이스 및 컴퓨터 디바이스상에서 구동되는 웹 서버 애플리케이션에 의해 제공된 데이터를 포함하여 컴퓨터 디바이스상에서 구동되는 웹사이트 양자 모두에 적용되는 것을 목적으로 한다. 그러한 웹사이트는 온라인 점포, 뱅킹 또는 기타 금융 관련 포털, 교육 정보 포털, 사회적 네트워킹 포럼, 정보 배분 포털등과 같은 임의의 적절한 형태를 취할 수 있다. 또한, 서버는 개인 컴퓨터 디바이스, 휴대용 컴퓨터 디바이스, 메인프레임 컴퓨터 디바이스, 핸드헬드 컴퓨터 디바이스, PDA 디바이스, 스마트폰 디바이스, 및 데이터 통신선을 통해 기타 컴퓨터 디바이스와 통신하고 소프트웨어 애플리케이션을 구동시킬 수 있는 임의의 적절한 컴퓨터 디바이스를 포함할 수 있다.

본 발명의 시스템 및 방법은 예를 들어 컴퓨터 디바이스에 저장되어 실행되는 소프트웨어 프로그램 및/또는 루틴을 포함할 수 있고 이 소프트웨어 프로그램 및/또는 루틴은 컴퓨터 통신 하드웨어 및 소프트웨어와 협력하여 기타 컴퓨터 시스템과 통신을 수행하기 위한 소프트웨어 프로그램 및/또는 루틴을 포함할 수 있다. 컴퓨터 시스템간의 통신은 예를 들어 인터넷과 같은 공중 통신망을 통해 또는 공중 통신망과 별개이고 독립적인 사설망을 통해 행해질 수도 있다. 통신은 TCP/IP, FTP, SSH, WIFI등을 포함한 통신 프로토콜 및 방법을 이용하여 행해질 수도 있다. 본원에 사용된 용어 “컴퓨터 시스템” 및 “네트워크”는 고정 및/또는 포터블 컴퓨터 하드웨어, 소프트웨어, 주변장치 및 저장 디바이스들의 다양한 조합을 포함할 수 있다.

각각의 컴퓨터 시스템은 네트워크로 연결되거나 협동하여 수행하도록 링크된 복수개의 개별 컴포넌트를 포함할 수 있거나, 독립형 컴포넌트를 포함할 수 있다. 각각의 컴퓨터 시스템은 적어도 하나의 처리 시스템, 적어도 하나의 내부 저장 디바이스, 적어도 하나의 외부 저장 디바이스, 적어도 하나의 프린팅 디바이스, 판독 디바이스 및 입력/출력 디바이스를 더 포함할 수 있다. 적어도 하나의 외부 저장 디바이스는 하드 드라이브 디바이스, 저장 서버, 저장장치 영역 네트워크, RAID 구성, 광학 매체 드라이브, 홀로그래피 매체 드라이브, 테이프 매체 드라이브, 플래쉬 메모리 디바이스등과 같은, 데이터를 전자적으로 저장하기 위한 디바이스들을 포함할 수 있다.

컴퓨터 시스템은 또한 하나 이상의 임의의 접근 메모리 모듈을 포함하는 컴퓨터 시스템 컴포넌트, 및 키보드, 마우스 및 정보를 컴퓨터 시스템에 입력하거나 컴퓨터 시스템으로부터 출력할 수 있게 하는 모니터를 포함한 입력/출력 디바이스를 포함할 수도 있다. 소프트웨어 루틴 및/또는 프로그램은 내부 저장 디바이스 및 외부 저장 디바이스에 내장 및/또는 저장될 수 있고 각각의 처리 시스템에 의해 구동될 수 있다. 각각의 처리 시스템들은 UNIX, 리눅스, BSD, OS/2, VMS 및, 데이터베이스 애플리케이션, 웹서버 애플리케이션, 파일 서버 애플리케이션, 메일 서버 애플리케이션등 뿐만 아니라 마이크로소프트 애플리케이션을 포함한 소프트웨어 애플리케이션을 구동시킬 수 있다.

추가적으로, 컴퓨터 시스템은 각각 네트워크 통신을 수행할 수 있고, 이 네트워크는 유무선 통신선 및 라우터, 스위치, 허브, 네트워크 인터페이스등과 같은 데이터를 전송, 수신 및 라우팅하는 데에 사용되는 연관된 하드웨어 디바이스들을 포함할 수 있다.

컴퓨터 시스템의 하드웨어 및 소프트웨어 컴포넌트들은 데스크탑, 랩톱, 서버, PDA, 타블렛, 스마트폰, 텔레비전, 라디오, 및 오디오와 비디오 레코딩 디바이스를 포함하는 고정식 및 휴대용 디바이스를 포함하거나 이와같은 고정식 및 휴대형 디바이스에 포함될 수도 있다.

본원의 시스템 및 방법의 다양한 기능들은 하나 이상의 컴포넌트를 통해 구현될 수도 있고, 하나 이상의 컴포넌트들은 하기에 설명하는 바와 같이, 서로 협력하거나 독립적으로 이용될 수 있다. 당업자에게 잘 이해될 수 있는 바와 같이, 다양한 컴포넌트들이 조합되거나 설치되거나 및/또는 집합적으로 위치될 수 있고, 또는 복수의 독립적인 위치 및/또는 디바이스들에 분포될 수 있다.

본원의 시스템 및 방법의 다양한 컴포넌트들은 보안 통신 계층 컴포넌트, 안티피싱 컴포넌트, 하나 이상의 인증서를 이용하는 서버 인증 컴포넌트, 및 안티멀웨어 컴포넌트를 포함할 수 있지만 이들로 한정되는 것은 아니다. 각각의 컴포넌트는 독립적으로 동작하거나 하나 이상의 다른 컴포넌트와 연계하여 동작할 수 있다. 각각의 컴포넌트는 하기에 상세히 설명되는 바와 같이, 컴퓨터 디바이스에 저장되거나, 설치되거나 및/또는 컴퓨터 디바이스에 의해 구동될 수 있다.

보안 통신 컴포넌트는 최종 사용자 컴퓨터 디바이스 및/또는 애플리케이션과 서버와 같은 컴퓨터 디바이스간의 보안 통신 채널을 형성할 수 있다. 서버는 예를 들어 웹사이트 및 관련 소프트웨어 애플리케이션을 호스팅하거나 및/또는 구동시킬 수 있고 웹사이트는 상업적 서비스, 금융적 서비스, 교육적 서비스, 정부기관 서비스 및 기타 서비스들을 제공할 수 있다. 상기 컴포넌트는 컴퓨터 디바이스 및 사용자 식별 및 인증을 위한 인증 시스템을 내장할 수 있고, 이 인증 시스템은 개인 인증서, 하드웨어 인증, 내부 가상 패스워드 시스템, 하드웨어 토큰에 대한 개방형 API, 스마트카드 및 기타 강한 인증 시스템 등을 기초로 할 수 있다.

보안 통신 컴포넌트는 암호화된 네트워크 프로토콜, 키 승인 프로토콜, 랜덤 키 및/또는 시드, 및 세대별 보안 통신 컴포넌트간에 무작위로 선택될 수 있는 프로토콜 신택스(syntax) 및 문법 인코더중 하나 이상을 사용하여 보안 서버와 사용자 컴퓨터 디바이스간에 통신 프로토콜을 설정할 수 있다. 또한, 보안 통신 컴포넌트는 다수의 보호 매커니즘을 이용할 수 있고, 리버스 엔지니어링 및 분석을 금지하기 위해 다양한 버전 또는 세대로 재구성 및/또는 수정될 수 있다. 보안 통신 컴포넌트는 부트스트랩 로더 컴포넌트를 포함할 수 있다. 부트스트랩 로더 컴포넌트는 하나 이상의 보안 조치된 서버와 사용자간에 예를 들어, 보안 통신 모듈과 그 종속관계의 모듈들을 요구하는 경우에 및/또는 여러 시간 간격으로 자동적으로 갱신하는 것에 의해 동기화하도록 동작할 수 있다.

다양한 서버 컴퓨터 디바이스들은 본원의 시스템 및 방법에서 구현될 수 있다. 보안 서버는 업데이트 및 동기화가 요구되는 컴포넌트 및 정보를 공개적으로 노출하는 컴퓨터 디바이스를 포함할 수 있고 보안 서버는 DNS 분석을 우회하기 위해 IP 주소의 풀에 의해 지정될 수 도 있다. 조사 서버는 피싱, DNS 공격, 멀웨어등과 같은 새로운 일반적인 공격뿐만 아니라, 실시간으로 공격을 추적, 분석 및 모니터하기 위해 하나 이상의 컴포넌트로부터 공격 경보 및 정보를 수신할 수 있는 지정된 서버 풀과 연계된 컴퓨터 디바이스를 포함할 수 있다. 또한, 조사 서버는 서버는 DNS 분석을 우회하기 위해 IP 주소의 풀에 의해 지정될 수 도 있다. 센싱할 수 있는 서버는 사용자에게 보안 및 보호를 제공하는 보호 시스템을 포함하는 컴퓨터 디바이스를 포함할 수 있다.

안티피싱은 예를 들어, 전자 메일 메시지와 같은 통신에 내장되거나 포함된 링크 또는 기타 객체가 활성화될 때 이용될 수 있다. 안티피싱 컴포넌트는 통신의 내용 및 컨텍스트를 분석하고 통신, 링크 또는 내장된 객체에 의해 지정된 타겟을 분석하고, 통신, 링크 또는 내장된 객체가 유효한지를 판정하며 통신, 링크 또는 내장된 객체가 유효하지 않다고 결정되는 경우 사용자에게 유효한 위치로 재라우팅시킬 수 있다.

서버 인증 컴포넌트는 예를 들어, 클라이언트측으로부터의 인스턴스에 대해, 웹서버와 같은 컴퓨터 디바이스를 스푸핑하려는 시도 또는 제공된 내용을 변경하려는 시도를 검출할 수 있다. 추가적으로, 서버 인증 컴포넌트는 위조, 파밍, 주입 또는 공격을 디페이싱하는 것 뿐만 아니라 서버측상에서 공용으로 이용 가능한 일반적 형태의 인증서를 제작함에 의해 그리고 강력한 암호화를 이용함에 의한 모든 민감한 문자에 대해 검증할 수 있게 함으로써, DNS 공격을 검출할 수 있다. 서버 인증 시스템은 서버의 도메인 이름과 유효한 IP 주소를 링크시키는 강한 암호화 모델 인증서를 기반으로 할 수 있다. 이 인증서는 서버의 내용, 그 레퍼런스 등에 대한 정적인 또는 동적인 검사를 할 수 있도록 동작할 수 있는 기타 기능성을 더 내장할 수 있다. 상기 인증서는 파일, 쿠키, MIME 정의, 데이터의 스트림, 구조화된 저장장치 정의 형태로, 및/또는 임의의 기타 적절한 형태로 작성될 수 있다. 서버 인증 컴포넌트는 하나 이상의 기타 컴포넌트에 의해 예를 들어 센서블 서버로의 연결이 요구되는 시점마다 사용될 수 도 있다. 그러한 연결의 완료시, 서버의 인증, 내용, 및/또는 페리미터에 대한 완전한 검증은 호출자에게 제어를 반환하기 이전에 수행된다. DNS 구조에 대한 어떠한 수정도 필요치 않으며, 보호는 수동적일 수 있고 클라이언트측에서 행해질 수 있다. 서버 인증 컴포넌트는 자신의 서비스를 여러 인터페이스, 애플리케이션 및 컴퓨터 언어에 보내질 수 있게 하는, 명령어 라인 인터페이스를 제공하는 표준 애플리케이션, 일반 함수, COM 객체 또는 액티브X 서버와 같은 실행가능한 코드의 형태일 수 있다.

안티멀웨어 컴포넌트는 선택된 공지된 위협들로 작성된 데이터베이스를 포함하는 안티바이러스 스캐너를 포함할 수 있다. 안티멀웨어 컴포넌트는 레지스트리, 기동 엔트리, 경로, 폴더, 개방된 포트, 뮤텍스 및 거동들과 같은 항목을 스캐닝하여 위협을 검출할 수 있다. 안티멀웨어 컴포넌트는 지식 기반을 기초로 하여, 공지된 그리고 일반적 위협을 검출하여 식별하고 공격을 검출하고 자동 방어 시스템을 생성하도록 동작할 수 있다.

리디렉션 검출 컴포넌트는 연결을 재전송하려는 시도를 검출하도록, 센서블 서버를 이용하여 연결이 시도될 때 마다 로컬 호스트 및 로컬 DNS 설정과 같은 항목을 분석할 수 있다.

보안 통신 컴포넌트

보안 통신 컴포넌트는 통신 프로토콜 엔진을 포함할 수 있고, 프로토콜, 암호화 계층, 키, 설정값, 언어, 신택스, 문법 등을 포함한 하나 이상의 보안 요소 셋트를 내장할 수 있다. 보안 통신 컴포넌트의 새로운 버전, 또는 “세대”가 생성될 수 있고, 보안 통신 컴포넌트는 상이하고 예상할 수 없는 보안 요소 셋트를 내장하기 위해 다양한 시간 간격으로, 또는 수동 작동시 순서적으로 연속한 버전들 사이에서 수정되거나 및/또는 변경된다. 본원 전체에 걸쳐, 보안 통신 컴포넌트는 “ESB 컴포넌트”로도 칭해질 수 있다. 보안 통신 컴포넌트는 보안 통신 컴포넌트 로더를 포함할 수 있다. 도 1을 참조하면, 보안 통신 컴포넌트 로더는 하나 이상의 방식으로 구현될 수 있다. 한 대표적인 실시예에서, 서버 구동 접속에서, 보안 통신 컴포넌트 로더는 액티브X 서버와 같은 서버 객체를 포함할 수 있다. 보안 통신 컴포넌트 로더는 객체에 대한 참조사항을 포함함으로써 임의의 표준 HTML 웹 페이지로부터 호출될 수 있다. 대표적인 실시예에서, 상기 객체는 예를 들어 “태그 <OBJECT>“를 포함할 수 있다. 대안으로서, 보안 통신 컴포넌트 로더는 운영 체제의 스케쥴러 애플리케이션에 의해 스케쥴링된 명령어 라인으로부터 표준 애플리케이션으로서, 컴퓨터 언어에 의해, 사용자의 컴퓨터 디바이스의 관리자에 의해 그리고/또는 사용자에 의한 수작업으로, MIME 연관관계 등으로서, “COM” 호환 컴퓨터 언어로부터 호출될 수도 있다. 대안으로서, 사용자 구동 접속에서, 보안 통신 컴포넌트 로더는 표준 애플리케이선으로서 일반 COM서버 및/또는, 브라우저 헬퍼 객체를 포함할 수 있다. 당업자는 잘 이해할 수 있는 바와 같이, 다른 방식의 구현도 이용될 수 있고, 보안 통신 컴포넌트 로더는 임의의 적절한 형태 또는 매커니즘으로 구현될 수도 있다.

보안 통신 컴포넌트는 이 컴포넌트를 사용자의 컴퓨터 디바이스상에 위치시키기 위해 다운로드 및 설치 프로시저를 통해 구현될 수도 있다. 상기 설치는 예를들어 HTML 웹페이지에 위치된 링크를 통해 다운로드될 수 있는 객체를 다운로딩하는 것을 포함할 수 있다. 대표적인 실시예에서, 예를 들어, HTML 웹페이지로부터의 다운로드는 예를 들어, "<object src=*.cab>", 형태의 태그인 표준 HTML 태그를 통해, 또는 웹페이지 및/또는 로케이션을 통해 소프트웨어 컴포넌트를 사용자에게 제공하기 위한 임의의 기타 적합한 매커니즘을 통해 수행될 수 있다. 보안 통신 컴포넌트는 안티바이러스 애플리케이션, 다운로더, 표준에 독립적인 애플리케이션, 드라이버, 또는 웹 브라우저 애플리케이션과 같은 확장 또는 플러그인 애플리케이션등과 같은 사용자의 컴퓨터 디바이스상에서 구동되는 또다른 소프트웨어 애플리케이션의 자동화된 다운로드 및 저장 기능을 통해 또는, 물리적 매체를 통한 전달을 사용자에게 제공될 수도 있다. 대안으로, 보안 통신 컴포넌트는 다운로드되거나, 설치되거나, 하나 이상의 웹 브라우저 애플리케이선를 이용하여 동작할 수 있는 브라우저 확장 애플리케이선으로서 구현될 수도 있다.

사용자의 컴퓨터 디바이스상에 위치된 액티브 컴포넌트는 사용자의 컴퓨터 디바이스(“클라이언트 측”) 및 사용자 컴퓨터 디바이스가 통신할 수 있는 서버(“서버측”) 양자 모두에 있는 위협을 검출할 수 있다.

보안 통신 컴포넌트는 사기성 링크를 검출하여 합법적인 링크로 변경하고, 유해한 웹사이트 또는 웹주소로 원치 않게 방문하는 것을 방지하는 유리스틱 검출기를 이용하여, 실시간으로 예를들어 파밍 및/또는 피싱 웹사이트와 같은 사기성 웹사이트에 사용자가 접속을 시도하는 것을 검출할 수 있다.

보안 통신 컴포넌트는 각각의 모듈이 독립적으로 기능하거나 서로 협력하여 기능할 수 있는 복수의 모듈을 포함한다. 또한, 보안 통신 컴포넌트는 하기에 설명하는 하나 이상의 다른 컴포넌트를 호출하거나 이 컴포넌트들에 의해 호출될 수 있다.

보안 통신 컴포넌트는 사용자 컴퓨터 디바이스 및/또는 사용자 컴퓨터 디바이스상에서 구동되는 애플리케이션과 서버간의 보안 통신 채널을 정의할 수 있다. 보안 통신 컴포넌트는 컴퓨터 디바이스 및 사용자 식별 및 인증을 위한 인증 시스템을 포함할 수 있다. 내장된 인증 시스템은 개인 인증서, 하드웨어 인증, 내부 가상 패스워드 시스템, 하드웨어 토큰에 대한 개방형 API, 및/또는 기타 강력한 인증 매커니즘에 기초할 수 있다.

보안 통신 컴포넌트는 암호화된 네트워크 프로토콜을 이용하여 보안 서버와 사용자 컴퓨터 디바이스간에 통신 프로토콜도 설정할 수 있다. 네트워크 프로토콜은 상이한 네트워크 프로토콜의 조합의 풀에서 선택될 수 있다. 보안 통신 컴포넌트는 또한 키 승인 프로토콜을 설정할 수 있고, 키 승인 프로토콜은 상기 풀과는 상이한 풀에서 선택될 수 있다. 보안 통신 컴포넌트는 랜덤 키 및 시드를 설정할 수 있다. 부가적으로, 프로토콜 신택스 및 문법 인코더는 상이한 버전의 보안 통신 컴포넌트에 대해 무작위적으로 선택될 수 있다. 통신 계층은 강력한 인증을 이용하여 SSL/TLS와 같은 표준 옵션으로부터 선택될 수 있다. 대안으로서, 통신 계층은 하나 이상의 비표준 옵션으로부터도 선택될 수 있다. 서버측상에서, 구식 및/또는 쓸모없는 버전의 보안 통신 컴포넌트를 이용하는 사용자 컴퓨터 디바이스로부터의 새로운 접속 시도는 거부될 수 있고 사용자 컴퓨터 디바이스를 새로운 버전의 보안 통신 컴포넌트에 대해 갱신시키는 갱신 프로세스를 개시할 수 있다. 최종 버전의 윈도우는 정의되고 및/또는 조정된 글로벌 룰, 예로서 보안 관리자에 의해 최대 시간 설정값까지, 최근 버전 보다 더 이전의 버전에 대해 현재 접속이 계속될 수 있도록 유지될 수 있다. 대표적인 실시예에선, 적어도 두 개의 최근 버전이 유지될 수 있다.

보안 통신 컴포넌트 부트스트랩 로더

보안 통신 컴포넌트 부트스트랩 로더 즉, 부트로더는 보안 통신 컴포넌트를 필요할 때 마다, 현재 및/또는 새로운 버전의 통신 컴포넌트를 다운로드하여 설치하는 데에 이용된다. 도 2를 참조하면, 단계 202에서, 보안 통신 컴포넌트가 기동하기 시작하고, 단계 204에서 보안 통신 컴포넌트의 최종 실행 이후 경과된 시간이 검사된다. 경과 시간 검사는 로컬 컴퓨터 디바이스 클록, 글로벌 정확도 및 로컬 컴퓨터 디바이스에 대한 독립성을 제공하는 네트워크 타임 프로토콜(“NPT”) 프로토콜, 및/또는 보안 서버에 의해 정의된 신호 프로토콜을 이용한다. 경과된 시간 값은 보안 통신 컴포넌트의 코드에 정의될 수 있는 트리거링 시간 값(“델타T”)와 비교된다. 트리거링 시간 값은 예를 들어, 보안 서버로부터 원격으로 임의의 적절한 시간에 갱신될 수 있다.

경과된 시간 값이 트리거링 시간 값 보다 크고 및/또는 보안 서버로의 버전 검사 요구에 의존하는 경우, 접속은, 단계 206에서, 직접 IP 주소의 풀에 의해 정의된 보안 서버에 대해 접속된다.

보안 서버에 접속되면, 단계 208에서, 인증 검사가 서버 및 데이터에 대한 임의의 스푸핑 및 후킹을 방지하기 위해 수행된다. 인증 프로세스는 임의의 제로 지식 프로토콜, SSL 인증서, 비대칭 암호하, 또는 임의의 적절한 프로토콜에 의존한다.

인증 및/또는 접속이 유효화될 수 없는 경우, 단계 218에서, 경보가 사용자, 사용자의 네트워크 또는 컴퓨터 디바이스의 관리자, 조사 서버 또는 그밖의 엔티티에 전달될 수 있다. 그후, 단계 230에서, 인증 프로세스가 종료된다.

단계 208에서, 인증 및/또는 접속이 유효한 것으로 결정되는 경우, 인증 프로세스는 단계 210으로 진행하고 여기서, 보안 통신 컴포넌트의 현재 및/또는 새로운 버전의 보안 통신 컴포넌트를 정의하는 패키지 및 임의의 필요로 되는 직접적인 종속적 엔티티가 보안 서버로부터 다운로드될 수 있다.

이 단계에서 사용되는 통신 프로토콜은, 델타T 지연, 추가적인 또는 대체 보안 서버 및/또는 조사 서버의 신원 및/또는 주소, 접속 파라미터, 안티멀웨어 데이터베이스등과 같은 설정값을 구현 또는 갱신하기 위해 서버로부터 최종 사용자 컴퓨터, 부트로더 및/또는 하나 이상의 컴포넌트에 전송된 지정된 명령, 명령어 또는 변수 및 값을 정의할 수 있다.

새로운 패키지가 다운로드되면, 단계 212에서 다운로드된 패키지에 대한 진정성 및 무결성이 패키지에 내장될 수 있는 디지털 서명을 검증함으로써 검사될 수 있다. 디지털 서명이 검사될 수 없거나 및/또는 유효하지 않은 것으로 결정되는 경우, 상기 프로세스는 단계 218로 진행하고 여기서 경보가 사용자, 사용자의 네트워크 또는 컴퓨터 디바이스의 관리자, 조사 서버 또는 그밖의 엔티티에 전달될 수 있고, 상기 프로세스는 단계 230에서 종료된다.

단계 212에서, 다운로드된 패키지가 진정한 것으로 결정되는 경우, 단계 214에서 새로운 버전의 보안 통신 컴포넌트가 설치될 수 있고 그후 단계 216에서 실행될 수 있다. 상기 설치는 보안 통신 컴포넌트의 일부 또는 모든 파일을 국부적으로 갱신하는 것을 포함할 수 있고, 갱신된 파일은 다운로드된 패키지에 위치될 수 있다.

추가적으로, 상기 갱신은 테스트 프로세스를 수행하는 것을 포함할 수 있는 데, 이 프로세스에선 새로운 갱신된 보안 통신 컴포넌트는 임의의 외부 컴퓨터 디바이스를 이용하여 임의의 통신을 수행하기 이전에 테스트될 수 있다. 테스트 프로세스에서 다운로드 및 설치된 보안 통신 컴포넌트가 유효하지 않고 및/또는 기능하지 않는 것으로 결정되는 경우, 보안 통신 컴포넌트 갱신 프로세스가 단계 202에서 다시 수행될 수 있다. 또한, 상이한 보안 서버가 이용될 수 있고 그리고/또는 보안 경보가 발생되어 사용자, 사용자의 컴퓨터 디바이스의 관리자, 보안 서버 또는 기타 엔티티에 전달될 수 있다.

도 3을 참조하면, 상기 설명한 보안 통신 컴포넌트 갱신 프로세스에 따라, 보안 통신 컴포넌트의 실행 사이의 경과 시간은 특정 버전의 보안 통신 컴포넌트의 이용 시간이 보안 통신 컴포넌트를 리버스 엔지니어링하거나, 분해, 해체 또는 그렇지않으면 공격하는 데에 필요한 시간 보다 짧도록 정의될 수 있다.

새로운 버전의 보안 통신 컴포넌트 생성

도 4를 참조하면, 각각의 버전의 보안 통신 컴포넌트는 완전히 또는 부분적으로 상이한 소스 코드를 이용하여 재구축될 수 있다. 예시적인 실시예에서, 특정한 버전의 보안 통신 컴포넌트의 소스 코드는 이 컴포넌트의 이전 버전의 소스 코드를 수정 및/또는 재구성하는 것을 포함할 수 있거나 공통 소스 코드 베이스 및 공통 소스 코드 베이스에 추가된 추가적인 소스 코드 콘텐츠를 이용할 수 있다. 대안으로서, 새로 생성된 버전의 소스 코드는 이전 버전의 소스 코드와는 완전히 상이할 수 있다. 또한, 추가된 콘텐츠는 거동으로서 기능을 선택하는 데에 사용되는 외부의 랜덤 시드를 기초로 할 수 있다.

따라서, 각각의 버전의 보안 통신 컴포넌트는 특정한 버전의 보안 통신 컴포넌트상에서 수행된 분해, 해체, 리버스-엔지니어링 또는 기타 작동이 현재 버전의 보안 통신 컴포넌트를 공격하도록 동작할 수 없는 기타 버전의 보안 통신 컴포넌트와 매우 상이할 수 있다. 이러한 폴리모픽 기능 및 거동들은 암호화 모델을 내장할 수 있고, 이 암호화 모델은 조사 서버 벡터등과 같은 외부 정의내용 뿐만 아니라 라이브러리 풀로부터 선택될 수 있다.

새로운 버전의 보안 통신 컴포넌트의 생성은 단계 402에서, 소정 시간 및/또는 날짜의 발생시, 소정 지연 기간의 경과와 같은, 소정 시간에 개시될 수 있다. 대안으로, 버전 생성 프로세스는 임의의 적절한 시점에 수동작업으로 개시되어 질 수 있다. 생성 시간은 가변적일 수 있고, 예를 들어 보안 서버상에서 정의될 수 있다.

단계 404에서, 난수의 풀이 발생될 수 있고 난수의 풀은 난수 또는 의사 난수 발생기 애플리케이션, 알고리즘 또는 디바이스와 같은 임의의 적합한 매커니즘의 사용을 통해 발생될 수 있다. 예시적 실시예에서, 암호화 의사 난수 발생기는 난수의 풀을 생성하는 데에 사용될 수 있다. 난수의 풀은 예를 들어, 하기에 설명하는 바와 같이 시드 서브프로세스 및 암호화 키를 시드하는 데에 사용될 수 있다. 의사 난수 발생기는 “메르센 트위스터(Mersenne-Twister)”, “블럼 블럼 셔브(Blum Blum Shub)”, "포르튜나(Fortuna)”, 야로우(Yarrow)” 또는 암호화면에서 강력한 의사 난수 발생기에 의존할 수 있고, 그 기간을 늘이기 위해 스트림 암호와 조합될 수 있다.

추가적으로, 단계 430에서, 암호화 키의 풀이 생성될 수 있다. 암호화 키의 풀은 하기에 설명하는 바와 같이 통신 프로토콜, 내부 자원 숨김, 기능 라이브러리로부터의 기능들의 선택등을 위해 사용될 수 있다. 암호 키의 풀은 스트림 암호, 해시 함수 및 임의 적절한 유사한 매카니즘을 사용하여 생성될 수 있다.

단계 406에서, 소스 코드는 수정될 수 있다. 예시적 실시예에서, 소스 코드는 소스 레벨 폴리모프 엔진에 의해 수정될 수 있다. 소스 코드 레벨 변형은 생성된 난수의 풀을 이용할 수 있고, 암호화된 자원, 시드 및 데이터를 소스 코드에 삽입하는 것을 수행할 수 있다.

단계 408에서, 등가 함수들의 라이브러리가 링크될 수 있다. 예시적 실시예에서, 폴리모프 프로세서는 노이즈 및/또는 랜덤 코드 및 기능들을 주입하고, 프로세스를 재순서화하고, 오류 코드 및 동작을 주입하고, 자원 및 데이터를 암호화하고, API 에뮬레이터 래퍼를 구현하고, 시간 천이 지연을 통합하고, 자동 보호 기능을 통합하는 등의 등가 함수들의 라이브러리를 소스 코드에 링크시킬 수 있다.

소스 코드 레벨 폴리모프 엔진은 비기능 명령어를 이용하여 노이즈를 소스 코드에 삽입하는 것, 변수, 수학적 연산 기능 및 값을 내장하는 것, 버퍼 오버플로우를 무효화하기 위해 검사된 버퍼 복사본을 사용하거나 동적일 수 있는 동적 스트링 라이브러리를 변경 및/또는 이용하는 것, 예를 들어 메모리내의 주소 및/또는 코드의 임의의 행 및/또는 세그먼트로의 점프와 같은 논리 경로를 만드는 점프의 삽입, 수동적 및 글리치 공격에 대항하기 위한 시간 천이 지연을 삽입하는 것, 랜덤하게 소스 코드를 재순서화 하는 것, 글로벌 분석 및 조사를 허용하지 않도록 API 및 호출 래핑의 삽입 및/또는 참조, 버전들간에 브레익포인트 공격을 숨기는 것, 서브쓰레드 발생기, 트레이서 및 디버거 방지기의 삽입, 페이크 코드, 동작 및 호출의 삽입, 및 자동 보호 시스템 및 검증, 트레이서/모니터/디버거 보호 및 대응책, 버츄얼 머신 기능 등의 삽입 등을 포함하는, 수정을 수행하는 등가 기능들을 이용할 수 있다. 상기 수정은 상당한 변형 및 랜덤한 요소들을 포함하지만, 이전 버전의 소스 코드에 기능적으로 등가일 수 있는 호환가능한 버전의 소스 코드를 산출할 수 있다.

수정된 소스 코드는 단계 410에서, 보안 통신 컴포넌트의 이진 실행가능한 버전을 생성하기 위해 컴파일될 수 있다. 또한, 랜덤화된 컴파일러 파라미터 값은 생성된 객체 코드에 추가의 노이즈 및 변형을 삽입시키기 위해 컴파일하는 동안 이용될 수 있다. 컴파일된 컴포넌트의 복사본은 서비스 핸들러로서 서버측상에서 유지될 수 있고, 따라서 서버의 컴포넌트는 클라이언트측으로부터 전송된 데이터를 암호화하거나 해독할 수 있다. 서버측상에서, 자동 갱신 프로세스는 부트스트랩 로더에 의해 자동적으로 시작될 수 있다.

컴파일된 소스 코드는 단계 412에서, 제2의 이진 레벨 코드 보호기에 의해 보호된다. 이진 실행가능한 버전은 폴리모프 인코더 및/또는 보호된 압축기인 이진 보호 시스템에 의해 보호될 수 있다. 각각의 버전의 보안 통신 컴포넌트는 상이한 보호 시스템에 의해 보호될 수 있고, 이 보호 시스템에는 무작위적으로 선택될 수 있거나 상이한 보호 애플리케이션 구축물을 이용할 수 있다. 상기 선택은 두 개의 연속적으로 생성된 버전의 보안 통신 컴포넌트가 유사한 특징을 포함하지 않도록 암호화 기반 랜덤 발생기를 이용하여 랜덤하게 구동될 수 있다.

예시적 실시예에서, 제2의 이진 레벨 코드 보호기는, 코드 보호 기능, 안티트레이서 및 안티 디버거 트랩을 주입하고, 이진 레벨 코드를 압축 및/또는 암호화하고, 코드 헤더, 자원 및 로더를 재기입하는 폴리모프 엔진을 포함할 수 있다. 대안으로, 각각의 세대, 예를 들어 “ExeProtector," "Armadillo," "SvKp," "Obsidium," "AsProtect," "TheMida," "BeaCryptor," "NtKrnI," 또는 임의의 기타 적합한 애플리케이션과 같은 소프트웨어 애플리케이션에 수정된 파라미터 및 시드를 사용하는 상용 보호 시스템이 이용될 수 있다. 그러면, 단계 414에서, 실행가능하고 보호된 코드는 인증을 위해 서명된다. 서명은 단계 416에서, 에디터의 개인키를 이용할 수 있다. 또한, 새로 발생된 컴포넌트는 예를 들어, 차폐 및 보호 프로세스에 의해 발생된 퇴행 및 문제점들을 검출하기 위해 품질 제어 로봇의 지배하에 새로운 컴포넌트를 실행함으로써 검증될 수 있다.

기타 프로세스의 갱신된 요소, 개정된 안티멀웨어 데이터베이스, 수정본 및 기타 부분들의 진화된 부분들과 같은 코드의 종속 엔티티들은 내장될 수 있고, 실행가능한 컴포넌트들은 단계 418에서 최종 결정된다. 또한, 예시적 실시예에서, 실행가능한 컴포넌트들은 무결성 검사 시스템 통합 및/또는 서명을 이용하여 서명되거나 및/또는 보호될 수 있다.

새롭게 생성된 보안 통신 컴포넌트는 그후 이용가능하게 될 수 있다. 예시적 실시예에서, 예를 들어, 새롭게 생성된 보안 통신 컴포넌트는 자동 갱신 서버의 공용 영역에 복사되어, 원격 부트스트랩 로더가 그것을 현재 보안 통신 컴포넌트로서 다운로드하여 사용할 수 있도록 할 수 있다. 동기화 프로세스는, 모든 가시적 보안 서버가 올바른 버전의 컴포넌트를 내장하거나 올바른 버전의 컴포넌트가 내장되지 않았을 때 예를 들어 이용가능성, 요금, 상태, 내용 컨트롤 등과 같은 부하 밸런싱 및 검증 프로세스들을 이용하여 이용가능한 보안 리스트로부터 숨겨지는 것을 보장하도록 하는 데에 이용될 수 있다.

통신 규칙 및/또는 프로토콜은 다양한 시점에서 리셋트 및/또는 수정될 수 있다. 새로운 보안 통신 컴포넌트가 생성될 때 마다, 클라이언트측에 위치된 부트스트렙 로더는 새로운 버전의 컴포넌트를 다운로드할 수 있고 그것은 완전한 보안 채널을 통해 통신하기 위해 이 컴포넌트를 사용하기 전에 유효화할 수 있다. 임의의 이전 버전의 보안 통신 컴포넌트는 이렇게하여 쓸모없게 되고, 국부적으로 삭제될 수 있다. 따라서, 보안 통신 컴포넌트를 분석, 추적, 디버깅, 리버스 엔지니어링 및/또는 분해하기 위한 시도는 새로운 버전의 보안 통신 컴포넌트를 만남으로써 좌절될 수 있고, 각각의 보안 통신 컴포넌트 버전의 생성시에 그러한 작용의 재시작을 필요로 하게 한다. 버전 생성의 빈도는 버전의 생성이 각각의 버전을 공격하는 데에 필요한 시간 보다 훨씬 고속으로 발생되도록 설정될 수 있다. 예시적 실시예에서, 버전 생성들간에 경과한 시간은 버전을 공격하는 데에 성공할 수 있는 경우에 필요로 되는 시간의 약 반 정도의 기간인 값으로 설정될 수 있다.

보안 통신 컴포넌트의 이용

예시적 실시예에서, 사용자가 온라인 은행 사이트, 상업용 사이트, 및/또는 유사한 로케이션을 컴퓨터 디바이스를 이용하여 접속하는 경우, 사용자는 예로서, 사용자 이름 및/또는 패스워드 정보와 같은 신원정보 크리덴셜을 제공하여 로그인하도록 지시될 수 있다.

사용자는 로케이션을 이용하여 가장 최근 버전의 보안 통신 컴포넌트를 이용할 것이 요구될 수 있다. 예시적 실시예에서, 예를들어, 로그인 정보를 전송하기 위해 사용된 네트워크 프로토콜은 현재 버전의 보안 통신 컴포넌트에 의해서만 정의될 수 있다. 따라서, 정의된 네트워크 프로토콜은 단지 서버측상의 대응하는 컴포넌트가 사용자와의 데이터 통신을 위해 수용할 프로토콜일 수 있다.

서버측상에서, 수신된 데이터는 버퍼 오버플로우 회피기와 같은 정적 및 블라인드 블록 핸들러를 이용하여, 현재 프로토콜 신택스 및/또는 문법 정의에 따라 재할당될 수 있다. 임의의 에러, 예를 들어 부정확한 프로토콜의 사용은 접속시도가 서버에 의해 거절되고 및/또는 접속이 서버에 의해 폐기되어지도록 할 수 있다.

사용자는 예를 들어 감지가능한 서버의 로그인 페이지에 액세스하는 경우 감지가능한 서버로의 각각의 초기 접속으로 상기 컴포넌트를 자동적으로 다운로드할 수 있다. 로그인 페이지가 로딩되는 동안 그리고 새로운 컴포넌트가 서버로부터 다운로드될 수 있는 동안, 특수한 사용자 세션을 위한 솔트 값으로서 난수의 생성과 같은, 기타 적합한 보안 체계가 적용될 수 있다.

표준 세션은 새로운 컴포넌트버전이 설정되기 전에 개방될 수 있고, 합법적인 개방된 세션은 일정 기간 동안 유지될 수 있고 이 기간 동안 새로운 버전이 생성되어 배치된다.

임의의 보호된 서버에 사용된 암호화 프로토콜은 현재 버전의 프로토콜을 이해할 수 있고 및/또는 개방된 접속으로 원격에 있는 이전 버전의 상기 컴포넌트에 의해 사용중인 이전 버전뿐만 아니라 현재 버전의 프로토콜과 통신할 수 있다. 따라서, 임의의 특정한 시점에, 서버는 보안 통신 컴포넌트의 현재 버전에 대응하는 현재 프로토콜의 사용뿐만 아니라 바로 이전 버전의 프로토콜을 사용하여 원격에 있는 컴퓨터 디바이스에 응답 및/또는 통신할 수 있다. 따라서, 적어도 두 개의 기술이 사용되어 다수의 통신 프로토콜이 보호된 서버상에서 동시에 존재할 수 있도록 하는 데에 사용될 수 있다.

맨 처음 기술에서, 적어도 두 개의 상이한 버전의 프로토콜이 동일한 컴포넌트에 내장될 수 있다. 제1 버전의 프로토콜은 이전 버전의 프로토콜과 관련될 수 있고 이전 버전의 컴포넌트와 통신하는 데에 사용될 수 있다. 제2 버전의 프로토콜은 현재 프로토콜 버전과 관련될 수 있고 현재 버전의 컴포넌트와 통신하는 데에 사용될 수 있다. 따라서, 서버측에 대한 컴포넌트 소스 코드의 “완전한 상태(STATE-FULL)” 생성은 암호화 계층, 암호화 키, 프로토콜 핸들러, 토큰화기 등을 포함는 적어도 두 셋트의 보안 모델을 내장할 수 있다.

두 번째 기술에서, 적어도 두 개의 상이한 버전의 연속하는 통신 컴포넌트는 보호된 서버상에서 동작할 수 있고, 각각의 통신 컴포넌트 버전은 대응하는 버전의 원격 클라이언트를 주시하고 있다. 상기 프로토콜은 글로벌 특징으로 캡슐화될 수 있고, 이 프로토콜은 상기한 암호화 스트림에서 클리어 상태의 버전 태그, 선택 풀로부터의 생성 엔티티들간에 동적으로 스위칭된 상이한 네트워크 포트, 선택 풀로부터의 생성 엔티티들간에 동적으로 스위칭된 동적인 TCP/IP 주소, 및/또는 버추얼 서버 명칭짓기 쇠퇴를 드러낼 수 있다.

보안 통신 컴포넌트는 감지가능한 서버로의 보안 접속을 허용하는 API 및 기능을 내장할 수 있다. 추가적으로, 사용자 컴퓨터 디바이스는 예를 들어 하기에 설명하는 바와 같이, 안티멀웨어 컴포넌트에 대한 스캐닝 및 분석을 이용하여 DNS 및 재방향설정 해킹에 대해 검사될 수 있다.

API를 초월하여, 보안 통신 컴포넌트는 컴퓨터 디바이스에 관한 “컴퓨터UID” 및 사용자에 관한 “사용자UID” 를 생성하기 위해 하드웨어 풋프린트에 기초하여 로컬 컴퓨터 식별정보를 사용할 수 있다. 상기 식별정보는 감지가능한 서버에 보내질 수 있다. 컴퓨터UID 정보는 컴퓨터 디바이스를 식별하는 데에 유용한 큰 정수값을 포함할 수 있고, 사용자를 식별하도록 동작할 수 있는 인간 식별 데이터 또는 임의의 개인 정보는 결핍될 수 있다. 예시적인 실시예에서, 예를 들어, 컴퓨터UID는 프로세서 일련번호와 링크되고, 유사한 비휘발성 정보와 조합된, 사용자 컴퓨터 디바이스의 마더보드의 일련번호의 해쉬코드를 포함할 수 있다. 사용자UID는 예를들어 세션을 기동시키기 위해 사용된 세션 이름에 링크된, 운영체제상에서 사용자와 연관된 GUID의 해쉬 코드를 포함할 수 있다.

보안 통신 컴포넌트의 동작

도 5를 참조하면, 보안 통신 컴포넌트는 사용자에게 로그인 인터페이스를 디스플레이할 수 있다. 로그인 인터페이스는 예를들어 그래픽 대화 상자(502), 사용자이름을 위한 텍스트 입력 필드(504), 패스워드를 위한 텍스트 입력 필드(506), “OK” 버튼(508), 및 “취소” 버튼(510)을 포함할 수 있다. 보안 통신 컴포넌트가 실행되고 및/또는 인스턴스화되는 경우, 로그인 인터페이스는 웹브라우저 소프트웨어 애플리케이션의 html 페이지에 예를들어 실질적으로 종래의 로그인 및 패스워드 필드 및 버튼 형태로 디스플레이될 수 있다.

내부적으로는, 한 버전의 보안 통신 컴포넌트는 배경화면에 안티멀웨어 컴포넌트 스캐닝을 기동시킴으로써, 사용자 컴퓨터 디바이스에 대한 위협에 대해 검사함으로써, 및/또는 키로거 애플리케이션 등을 검출하기 위해 키보드 드라이버의 스택을 검사함으로써 시작할 수 있다. 어떠한 위협을 검출한 경우, 보안 통신 컴포넌트는 위협에 대한 검출 및/또는 식별에 관한 정보를 컴퓨터UID 및/또는 사용자 UID와 같은 정보와 함께 서버에 전송할 수 있고, 이 프로세스를 중지할 수도 있다. 추가적으로, 보안 통신 컴포넌트가 “버추얼 PC”, “VMS”, “VM웨어”, “버추얼박스”등과 같은 임의 종류의 가상화된 머신하에서 구동되거나 또는 메모리내의 디버거 및 디어셈블리 툴을 이용하여 구동되는 지의 여부가 유사한 방식으로 검출될 수 있다. 사용자는 로그인 이름, 패스워드 및/또는 기타 로그인 식별 정보를 입력할 수 있다.

보안 통신 컴포넌트는 하기에 설명하는 바와 같이, 트로이 및 키로거의 검출 및/또는 차단을 예를 들어 안티멀웨어 컴포넌트 엔진을 이용하여 구현할 수 있다.

패스워드 입력은 “사이트키”등과 같은 애플리케이션, 사용자가 선택한 화상, 가상 키보드의 사용을 통해 보호될 수 있다. 또한, 로우 레벨 검출은 로그인 인터페이스가 로딩되는 중에 로우 시스템 프로세스 전체의 DLL 주입을 이용하여 로우 레벨 메시지 및/또는 키보드 차단을 식별하도록 서브프로세스를 시작시킴으로써 수행될 수 있다.

매우 낮은 레벨의 차단이 로그인 인터페이스가 스크린상에 나타나 있는 동안 사용자 운영 체제상에 드라이버를 암묵적으로 설치함으로써 수행될 수 있다. 이 드라이버는 서비스로서 관리될 수 있고 가능한 최저 레벨로 예를 들어 링제로(Ring0)에서 모든 키보드 입력을 차단할 수 있다. 이 드라이버는 인터프로세스 통신("IPC")을 사용하여 또는 다른 드라이버, 애플리케이션, 및 키로거 등을 피함으로써 임의의 직접적인 통신 방식으로 보안 통신 컴포넌트에 결과를 전송하기 전에 키보드 입력을 암호화할 수 있다.

하나 이상의 대안 사용자 식별 매커니즘은 어떠한 민감한 정보 또는 기타 정보도 보안 통신 컴포넌트 외부의 클리어 데이터로서 이용가능하게 되거나 전송되지 않도록 보장하기 위해, 채용될 수 있다. 예시적 실시예에서, 예를 들어, 사용자 이름 및/또는 패스워드 정보, 또는 기타 로그인 정보는 하나 이상의 베르남/모본(Vernam/Mauborgne) 그리드에 기초한 일회성 패드 패스워드를 포함할 수 있다. 랜덤 시드는 적어도 하나의 델타값뿐만 아니라 숫자, 심볼 및 부호의 그리드를 생성하는 데에 이용될 수 있다. 예를 들어, 암호화 난수 발생기로부터의 대형 랜덤 값 스트림을 이용하여, 사용자와 연관된 각각의 시드는 랜덤 값 스트림의 시작 위치를 정의할 수 있고, 이렇게하여 예를 들어, 초기화 벡터(“IV”)로서 사용자 그리드의 제1 부호를 정의한다. 적어도 하나의 델타값은 다음 그리드 값을 얻기 위해 건너 뛰어야 할 다수의 위치를 정의한다. 새로운 그리드는 랜덤 데이터의 전체 스트림을 재생하지 않고, 상기 두 값에 기초하여 생성될 수 있다. 다수의 사용자는 동시에 동일한 스트림의 랜덤값을 공유할 수 있다. 상기 스트림의 크기는 다수의 사용자, 스트림의 글로벌 리셋트 전에 생성할 다수의 조합, 랜덤 스트림의 수명 동안 생성할 다수의 그리드를 사용하여 계산될 수 있다. 상기 그리드는 최종 사용자에게 전송될 수 있고, 로그인이 필요로 될 때 마다 일련의 랜덤값이 고유한 그리드 좌표 리스트를 생성할 수 있다. 사용자는 그후 그리드를 구축하기 위해 시드를 사용하여 서버측상에서 검사될 수 있는, 패스워드와 같은 사용자의 그리드상에서 가시적일 수 있는 대응하는 부호, 숫자 및/또는 심볼을 타이핑할 수 있다. 그리드는 예를 들어, 종이형태로 인쇄되어 전달되거나 전자 메일을 통하는 등의 임의의 적절한 형태로 저장되거나 배포될 수 있다. 상기 그리드는 새로운 사용자의 연관된 시드 및 델타값을 서버측상에 생성시키고 새로운 그리드를 사용자에게 전송함으로써 파기될 수 있다.

대안적인 예시적 실시예에서, 바이오메트릭 패스워드 및/또는 바이오메트릭방식으로 구동된 패스워드가 구현될 수 있다. 패스워드는 키보드 또는 입력 디바이스상에 타이핑된 문자 및/또는 심볼에 의해서 및 예를 들어 키보드상에서 타이핑함으로써, 복수의 영숫자 문자 및/또는 심볼 각각의 입력들간에 상대적 지연, 경과 시간 및 리듬을 획득하여 판독함으로써 발생되어 인식될 수 있다. 상이한 사용자들은 키보드를 상이하게 사용할 수 있고 타이핑 속도 및 리듬이 상이할 수 있고, 이러한 차이는 특정 사용자를 식별하기 위해 인식, 저장 및 분석될 수 있다.

대안적인 예시적 실시예에서, 가상 키보드 입력은 키가 스크램블될 수 있는 스크린상에서 키를 시뮬레이트하는 데에 사용될 수 있고 사용자는 사용자 이름 및/또는 패스워드와 같은 식별 정보를 타이핑하기 위해 각각의 키를 선택하여 클릭하기 위해 마우스와 같은 입력 디바이스를 사용할 수 있다. 추가적으로, 가상 키보드는 메모리내의 알려진 스크린 스크레이퍼의 안티멀웨어 컴포넌트에 의해 수행된 하나 이상의 스캔의 결과를 이용할 수 있다. 또한, 시작 좌표, 크기 및 컬러 체계를 랜덤화함으로써 그리고 키를 클릭할 때 마다 보호 영역의 내부 및 외부로 입력 디바이스를 이동시킴에 의해, 스크린 그리빙은 로우 레벨에서 DirectDraw API를 이용하여 디스에이블될 수 있다. 추가적으로, 페이크 클릭 및 타이핑은 스크린 그래버 및/또는 리코더에 의해 수집된 정보를 혼란스럽게 하거나 그리고/또는 붕괴시키기 위해 “노이즈”를 산출하도록 발생될 수 있다.

사용자 식별 정보의 입력을 위한 추가의 대안적인 매커니즘은 코드북 모델, 해쉬 체인, 케르코프(Kerkhoffs) 코드 등의 사용을 포함한다. 추가적으로, 공지된 패스워드의 재사용은 제한될 수 있다.

또한, 인증 API는, 예를 들어 등록된 소프트웨어 프로그래머에게 에디터에 의해 제공된 키에 의해 잠금된 프로그래밍을 이용하여, 인증을 제공하는 하드웨어 또는 소프트웨어 애플리케이션을 보안 통신 컴포넌트에 인터페이싱할 수 있게 하는 데에 이용될 수 있다. 인증 API는 기존의 소프트웨어/하드웨어에 의해 생성된 값들의 셋트를 보안 서버에 내보냄으로써, 이것이 사용자 정의내용과 매치되도록 할 수 있다. 인증 API는 나중에 “개방 인증 이니셔티브”와 같은 기타 워크그룹에 대한 사양에 적응될 수 있다.

안티피싱 컴포넌트

안티피싱 컴포넌트는 사용자가 이메일과 같은 전자 통신에 내장된 기타 요소 및/또는 하이퍼링크상에서 클릭하는 경우 작동될 수 있다. 본원에서, 안티피싱 컴포넌트는 “트랩(TRAPS) 컴포넌트”로서 칭해질 수 있다.

예시적 실시예에서, 안티피싱 컴포넌트는 전자 메일 메시지와 같은 사기성있는 또는 유효하지 않은 통신과 사용자가 인터페이싱하는 사용자의 부정적 결과를 완화 및/또는 방지하는 데에 이용될 수 있다. 이러한 유효하지 않은 통신은 사용자를 사기성있는 컴퓨터 디바이스에 향하도록 지시하거나 합법적인 디바이스 또는 웹사이트인 것으로 가장하는 기타 내장된 객체 또는 HTTP 하이퍼링크와 같은 링크를 포함할 수 있다. 그러한 사기성있는 사이트는 사용자가 사용자 이름, 패스워드, 금융 정보, 신용카드 상세내역, 주소, 사회 보장번호등과 같은 민감한 정보를 입력하게 하도록 하기 위한 유인하거나 초대하는 내용을 포함하고 있고, 그러면 입력된 정보는 악의적인 엔티티에 의해 불법적인 목적으로 이용될 수 있다. 안티피싱 컴포넌트는 전자 통신의 문맥, 내장된 링크 및/또는 기타 객체, 및 내장된 링크 및/또는 객체에 의해 지시된 하나 이상의 타겟 로케이션을 분석할 수 있다.

안티피싱 컴포넌트는 또한 링크 및/또는 엘리먼트에 의해 타겟으로서 지시된 웹사이트 및 기타 로케이션의 내용을 분석하고 전자 통신, 내장된 링크 및/또는 객체가 부정한 것인지의 여부를 결정한다. 예시적 실시예에서, 상기 결정은 블랙리스트 또는 IP/URL 데이터베이스에 대한 추가적인 접속 또는 이에 대한 참조사항없이 수행될 수 있다. 링크 및/또는 엘리먼트가 부정한 것이 아니라고 결정된 경우, 사용자는 링크 및/또는 엘리먼트에 타겟으로서 지시된 웹사이트 및/또는 기타 로케이션에 안내될 수 있다.

링크 및/또는 엘리먼트가 사기성있는 것이 라고 결정된 경우, 사용자는 합법적이고 인증된 웹사이트 또는 로케이션에 리라우팅될 수 있다. 또한, 타겟으로서 지시된 상기 웹사이트 및/또는 로케이션에 대한 추가적인 분석이 지시될 수 있다. 예시적 실시예에서, 링크 및/또는 내장된 엘리먼트가 부정한 것인 지의 여부에 대한 결정은 현재 알려진 다양한 형태의 스푸핑 기술을 구현하는 지식 룰 셋트, 및/또는 하기에 설명하는 바와 같이, 사용자의 보호된 페리미터에 의해 정의된 네거티브 테스트 데이터베이스에 대한 참조를 기초로 할 수 있다.

보호 필드 딕셔너리("PFD") 가 이용될 수 있고, PFD는 하기에 상세히 설명되는 바와 같이, 보호되어야 할 하나 이상의 엔티티에 대한 정의내용 및 지식을 포함하는 문서를 포함할 수 있다. 또한, 보호 필드 페리미터("PFP")가 각각의 사용자에 대해 생성될 수 있고, PFP는 하기에 상세히 설명되는 바와 같이, 각각의 특정 사용자에 대한 관련 PFD의 리스트를 기술할 수 있다.

안티피싱 컴포넌트의 설치

안티피싱 컴포넌트는 컴퓨터 디바이스 운영체제의 디폴트HTTP 및 HTTPS 프로토콜 핸를러로서 지정될 수도 있고, 이에 의해, 그러한 프로토콜의 작동시 모든 이벤트를 잡아내도록 동작될 수 있다. 안티피싱 컴포넌트는 웹브라우저 소프트웨어 애플리케이션으로부터 URL 클릭을 인터셉트하기 위해 브라우저 헬퍼 객체를 이용할 수 있다. 따라서, 안티피싱 컴포넌트는 사용자 상호작용, 사용자 활동의 차단, 및/또는 중요한 시스템 자원의 사용을 필요로 하지 않고 운영체제 레벨에서 HTTP URL 클릭의 활성화를 수동적으로 감독 및 분석할 수 있다.

안티피싱 컴포넌트의 활성화

세션 동안, 안티피싱 컴포넌트는 활성화될 이벤트에 대해 대기하는 스탠바이 및/또는 휴면 상태에 있을 수 있다. 이러한 이벤트는 예를 들어 사용자가 HTTP URL 링크 및/또는 전자 메일 메시지내에 있는 기타 내장된 객체를 클릭하거나 그렇지 않고 선택하는 것을 포함할 수 있다.

예시적 실시예에서, 예를 들어 사용자가 전자 메일 통신의 본문내의 하나 이상의 하이퍼링크를 클릭하는 경우, 안티피싱 컴포넌트는 전자 메일의 컨텍스트, 전자 메일 메시지에 내장된 모든 URL의 목적지, 및 하나 이상의 내장된 URL에 의해 타겟으로된 웹사이트의 내용을 검사할 수 있다. 안티피싱 컴포넌트는 그후 하기에 설명하는 바와 같이, 이 타겟 웹사이트의 신뢰성을 보증하기 위해 아래의 알고리즘을 따라 수행한다.

안티피싱 컴포넌트는 하기에 설명하는 바와 같이, 하나 이상의 웹사이트 주변의 포괄적인 컨텍스트 프로파일 인식을 수행하고 그러한 웹사이트 각각에 대한 개별적으로 안전성이 제어된 적절한 페리미터를 구성하여, 이 페리미터를 강탈하거나 위반하려는 시도에 대한 검출을 용이하게 할 수 있다.

통신 분석

도 6은 실시예에 따른 안티피싱 컴포넌트의 개괄적인 작업흐름을 예시한다. 도 7을 참조하면, 전자 통신에 내장된 링크 또는 기타 객체를 클릭 및/또는 선택하는 경우, 단계 702에서, 안티피싱 컴포넌트는 이벤트를 인터셉트할 수 있다. 이러한 인터셉트는 하기에 설명하는 바와 같이, 컴퓨터 디바이스가 예로서, 웹브라우저 또는 전자 메일 판독기 소프트웨어 애플리케이션을 통한 추가의 분석을 위해 보류중인, 링크 또는 객체에 의해 지정된 타겟 로케이션과 통신하는 것을 방지할 수 있다.

예시적 실시예에서, 상기 링크 또는 기타 객체에 대한 클릭 및/또는 선택은 컴퓨터 디바이스의 디스플레이상에서 커서를 이동시키기 위해 마우스와 같은 포인팅 디바이스를 활성화시킴으로써 사용자에 의해 수행될 수 있다. 대안으로, 사용자는 키보드 키, 포인팅 디바이스, 음성 인식 시스템, 또는 전자 통신에서 객체를 선택하기 위한 임의의 기타 적절한 매커니즘의 사용으로 상기 링크 또는 기타 객체를 선택할 수 있다. 그후, 안티피싱 컴포넌트는 예를 들어 하기에 설명된 보안 통신 컴포넌트에 의해 이용된 식별 데이터를 사용하여 컴퓨터 디바이스 및 사용자를 식별할 수 있다.

안티피싱 컴포넌트는 단계 704에서, 사용자에게 전자 통신을 디스플레이하는 애플리케이션이 전자 메일 판독기와 같은 전자 통신 소프트웨어 애플리케이션인 지를 결정할 수 있다. 전자 통신을 디스플레이하는 애플리케이션이 전자 통신 판독기 애플리케이션이 아닌 경우엔, 안티피싱 컴포넌트는 단계 706에서, 전자 통신을 디스플레이하는 애플리케이션이, 예를 들어 웹기반 전자 통신을 사용자에게 디스플레이할 수 있는 웹 브라우저 소프트웨어 애플리케이션인 지를 결정할 수 있다. 상기 애플리케이션이 웹 브라우저 소프트웨어 애플리케이션이 아닌 경우엔, 사용자는 단계 740에서, 링크에서 지정된 타겟을 따르는 것이 허용될 수 있고 사용자는 예를 들어, 웹 브라우저 소프트웨어 애플리케이션내의 내장된 객체 및/또는 링크의 타겟을 검사하도록 재안내될 수 있다.

상기 애플리케이션이 웹 브라우저 소프트웨어 애플리케이션인 것으로 결정되는 경우엔, 단계 708에서, 도메인이 웹메일 도메인인지의 여부에 대한 결정이 내려진다.

단계 704 및/또는 708에서의 결정 결과가 긍정인 경우, 프로세스는 링크 및/또는 내장된 객체를 포함하는 전자 통신의 주제가 추출될 수 있는 단계 710으로 진행하고, 그후 전자 통신의 내용이 추출될 수 있는 단계 712로 진행한다. 전자 통신의 주제 및 내용의 추출은 예를 들어 텍스트 및 HTML 데이터를 포함하는 통신 문서의 트리를 획득하기 위해 웹브라우저 소프트웨어 애플리케이션에 의해 노출된 문서 객체 모델(“DOM”)을 사용, 분석 및/또는 판독함에 의해 수행될 수 있다.

전자 통신의 주제 및 내용의 추출후에, 단계 714에서 전자 통신이 분석될 수 있다. 단계 714에서의 분석은 예를 들어 다음 사항들을 포함할 수 있다.

● 선택된 링크 및/또는 내장된 객체가 전자 메일 또는 기타 유형의 전자 통신에 내장되었는 지의 여부에 대한 결정하는 것;

● 상기 전자 통신에 포함된 임의의 이미지의 로케이션 및 크기에 대한 검출;

● 상기 전자 통신의 가시적인 부분과 비가시적인 부분을 검출하고, 일부분이 사용자에게 의도적으로 숨겨졌는 지 및/또는 필터를 스푸핑할 수 있도록 하기 위해 숨겨졌는 지를 검출하기 위해, 각각의 블록의 텍스트, 영역 및 구역의 전경색 및 배경색간의 거리를 계산하는 것; 및/또는

● 리샘플링되고, 리사이징되고, 변형되고 그리고 수정된 로고 또는 화상뿐만 아니라, 보호된 페리미터를 갖는 엔티티로부터 로고를 검출, 인식 및 식별할 수 있는 내장된 화상 인식 알고리즘을 이용하여 전자 통신내에 포함된 이미지를 분석하는 것;

안티피싱 컴포넌트는 그후 단계 716에서 전자 통신의 컨텍스트를 분석할 수 있다. 상기 컨텍스트에 대한 분석은 예를 들어 다음 사항들을 포함할 수 있다.

● 보안 문제, 계정, 클로우징, 참조 금융 엔티티에 관한 워드, 및 보호된 웹사이트 또는 엔티티와 같은 PFD에 의해 정의된 워드, 및 피싱 시도에 좀처럼 사용되지 않는 워드와 같은 사용자를 스푸핑하기 위해 일반적으로 사용된 하나 이상의 워드의 딕셔너리를 사용하여, 전자 통신에 포함된 워드를 분석하는 것;

● 전자 통신의 전체 크기 및 내용에 대해 통신을 피싱하고 및/또는 스푸핑하는 데에 일반적으로 사용된 워드의 양 및/또는 백분율을 결정하는 것;

● 전자 통신에 포함된 링크를 분석하고, 링크의 타겟과 사용자에게 제공된 링크의 설명을 비교하는 것을 포함하여, 링크를 참조하거나 링크를 사용자에게 설명하는 데에 사용되는 텍스트를 분석하는 것; 및/또는

● 전자 통신의 분류화를 허용하는 수, 크기, 테이블의 형태 비율 및 기타 프리젠테이션 설정값뿐만 아니라, 보호된 페리미터 규칙에 정의되어 있는 보호된 엔티티의 전자 통신에 일반적으로 이용된 바와 같은 표준 규칙을 사용하여 전자 통신의 내용과 비교된 바와 같은 전자 통신의 포맷, 레이아웃 및/또는 프리젠테이션을 분석하는 것;

상기 설명된 분석 항목들은 단지 예시적인 것이고 식별되고 분석된 항목 및 기준들은 변화하는 기술에 적응되도록 임의의 시점에 갱신 및/또는 수정될 수 있다.

선택된 링크에 대한 분석

단계 716에서 전자 통신의 컨텍스트에 대한 분석 이후에, 사용자에 의해 선택된 링크 및/또는 객체는 단계 718에서 분석될 수 있다. 단계 718에서의 분석은 다음과 같은 내용을 포함할 수 있다.

● URL, 유니코드 등과 같은 인코딩된 링크의 검출. URL 인코딩 및 재기입의 형태는 검출되어 디코딩될 수 있다. TLD 및 도메인의 리디렉션의 검출. 공지된 리디렉션 도메인, 동적인 DNS 리졸버 및 프리 호스팅 서비스의 리스트가 참조될 수 있다;

● 위험한 TLD의 검출. 보호된 엔티티의 IT 페리미터는 보호된 엔티티의 임의의 서버를 호스팅하지 않는 지정학적 위치 및 국가를 결정하기 위해 참조될 수 있고, 상기 지정학적 위치를 가리키는 URL은 피싱을 시도하는 것일 수 있다는 것을 지시한다;

● 악의적인 엔티티에 의해 이용된 기술을 설명하는 일반 룰을 이용하여 스푸핑된 링크를 검출;

● 서브리디렉팅된 링크를 검출;

● 정상적 및/또는 부적합하게 포맷팅된 링크를 정렬. 보호된 엔티티의 IT 페리미터는 URL 재기입을 이용하는 엔티티를 결정하기 위해 참조될 수 있고, 그 재기입 기술은 사용될 수 있고, 링크 포맷과 재기입 기술간의 비교가 수행될 수 있다;

● HTTP 프로토콜의 “사용자이름: 패스워드＠” 구문에 기초하여 공격을 식별하기 위해 사용자이름 스푸핑을 검출;

● 내장된 링크 및/또는 객체가 직접 IP를 가리키는 지를 결정하기 위해 직접 IP 링크를 검출;

● PFD에 지정된 것으로서 보호된 엔티티의 도메인 이름 및 루트 이름을 유효화하기 위해 URL의 트리를 분석하고 이 트리를 비교함으로써 보호된 타겟을 검출;

● 다른 링크 블록킹 자원에 의해 피싱 링크로서 인식되지 않은 URL을 식별함으로써 컨텐츠 배포 네트워크(“CDN”) 공격을 검출;

● “레벤쉬타인(Levenshtein) 알고리즘”, “다메라우 레벤쉬타인(Damerau-Levenshtein)” 알고리즘 및 기타 적합한 알고리즘에 의존하여, 틀리게 타이핑되거나 및/또는 철자가 틀린 이름 및 URL을 식별하기 위해 다양한 간격 매칭 알고리즘을 이용하여 틀리게 타이핑되거나 및/또는 철자가 틀린 링크의 검출.

● “와레즈(warez)”유형 스펠링 및 링크 형태를 해독하기 위해 퍼지 패턴 매칭 알고리즘을 사용하여 링크 및/또는 객체의 와레즈(warez)”유형의 타이핑 오류를 검출;

● 수정된 메타폰, 더블 메타폰, 및/또는 샤논 트리 알고리즘을 이용하여 텍스추얼 링크에서의 음운 의미를 검출

● 임의의 컴패니언 링크들을 매치시키기 위해 소정 URL에서 상기 알고리즘으로부터 공지된 루트 이름 및 파생물을 탐색함으로써 컴패니언들의 링크를 검출;

● 스푸핑된 도메인의 부정한 형태를 검출하기 위해 PFD의 링크 및 매칭하는 루트 이름으로 기술된 계층을 분석함으로써 공지 및 공지되지 않은 도메인을 검출;

PFD에서 지정된 프리 호스팅 서비스의 하나 이상의 리스트들을 참조함으로써 프리 호스팅 서비스를 검출;

● 안티피싱 워크그룹 및 기타 자원으로부터 현재 데이터를 사용함으로써 위험한 국가를 검출;

● URL 포맷을 분석함으로써 일반 피싱 키츠를 검출; 및/또는

● 로컬 호스트 파일에 의한 숨겨진 리디렉션을 검사함.

단계 720에서, 휴먼 팩터에 대한 주제 및 토픽에 대한 분석도 수행될 수 있다. 상기 분석은 전자 통신의 전송에 대한 모티브 및 링크 및/또는 내장된 객체의 내용 또는 타겟과 모티브 및/또는 주제의 비교에 대한 결정을 포함할 수 있다. 상기 분석은 또한 전자 통신을 전송한 사람에 대한 결정을 포함하고, 송신자의 신원은 전자 통신의 결정된 모티브 및/또는 주제뿐만 아니라, 링크 및/또는 내장된 객체의 내용과 비교될 수 있다.

위험 인자의 산정

상기한 하나 이상의 분석의 완료시, 안티피싱 컴포넌트는 단계 722에서, 휴리스틱 알고리즘을 이용하여 위험 인자를 계산 및/또는 갱신할 수 있고, 사용자에 대한 대응하는 위험 인자를 결정할 수 있다.

예시적 실시예에서, 사용자에 대한 위험 인자의 결정은 위험 관리자 모듈에 의해 수행될 수 있다. 상기 계산은 링크 및/또는 내장된 객체에 대응하는 위험 레벨에 대한 결정을 포함하고, 위험 레벨은 백분율로 나타내어 질 수 있다. 상기 위험은 악성 로케이션에의 리디렉션, 사용자로부터 민감한 정보를 획득하려는 시도 등을 포함할 수 있다.

예시적 실시예에서, 위험 인자는 백분율로 나타내어진 위험 인자에 기초하여 상대적으로 높은 것으로, 상대적으로 낮은 것으로, 평균적인 것으로 또는 무시할만한 것인 것으로 결정될 수 있다. 예를 들어, 50% 보다 큰 위험 인자는 사용자에게 고 위험 레벨을 지시하는 고위험 인자인 것으로 결정되고, 반면에 1% 미만인 위험 인자는 무시할만한 위험 인자인 것으로 간주될 수 있다. 이 값들은 예시적인 것에 불과하고, 보안 기술에서 환경 및/또는 개량에서의 변화에 좌우되어 임의의 시점에라도 조정될 수 있다.

사용자에 대한 위험 레벨의 결정에 기초하여, 단계 724에서, 링크는 무시할만한 위험 인자를 갖는 것으로 결정되고, 단계 740에서, 사용자는 링크 및/또는 내장된 객체에 의해 지정된 타겟 로케이션에 안내될 수 있고, 링크 및/또는 내장된 객체는 예를 들어 사용자에 의한 항해를 위해 웹브라우저 소프트웨어 애플리케이션에 전송될 수 있다.

사용자에 대한 위험 레벨의 결정에 기초하여, 단계 726에서, 링크는 평균적인 위험 인자를 갖는 것으로 결정되고, 사용자는 단계 740에서, 링크에 의해 지정된 타겟 로케이션에 안내될 수 있고, 링크 및/또는 내장된 객체는 단계 740에서, 예를 들어 사용자에 의한 항해를 위해 웹브라우저 소프트웨어 애플리케이션에 전송될 수 있다. 예시적 실시예에서, 포스트 브라우징 분석기 모듈은 단계 728에서, 링크 및/또는 내장된 객체를 더 분석하기 위해 제2 패스 프로세스로서 기동될 수 있다.

포스트 브라우징 분석기 모듈은 타겟 웹사이트를 로드하는 웹브라우저 소프트웨어 애플리케이션으로서 시작될 수 있다. 그후, 포스트 브라우징 분석기는 상기 웹브라우저 애플리케이션이 타겟으로 된 웹사이트를 로드하는 동안 대기하고, 그후 로드된 웹사이트가 유효한 웹사이트인지 또는 피싱 목적을 위해 이용된 잠재적으로 거짓인 사이트인 지를 결정하기 위해 로드된 웹사이트의 내용을 분석한다. 포스트 브라우징 분석기의 사용은 본래의 웹사이트로부터 프레임된 숨겨진 리디렉션, 스푸핑된 및/또는 소유된 자원인지를 검출할 수 있게 하고 웹사이트의 정적 및/또는 동적 리디렉션 또는 호스팅을 가능하게 한다. 유효하고 보호된 웹사이트의 텍스트, 폼, 로고 및 화상은 입력 필드, 패스워드 필드, 로그인 정보 및 오더에 대한 참조사항 등의 사용을 통해 정보를 훔치는 데에 일반적으로 사용되는 일반 자원으로서 식별되어 검출될 수 있다. 상기 사이트가 거짓 사이트인 것으로 결정된 경우, 위험 인자는 상승될 수 있다.

포스트 브라우징 분석기의 분석은 전체 페이지 및/또는 로케이션이 로드되기 이전에 행해질 수 있고, 내부 타이머는 “타임아웃” 공격에 대해 검사하기 위해 사용될 수 있다. 로드된 버퍼는 이미 로딩하고 있는 데이터의 속성에 대해 검사하기 위해 정규적인 시간에 매칭될 수 있다. 포스트 브라우징 분석기의 분석 결과가 위험 인자를 고레벨로 상승시킬 것이 필요로 된다는 것을 지시하는 경우, 웹브라우저 소프트웨어 애플리케이션은 사용자가 의심스런 사이트 및/또는 로케이션상에서 임의의 추가 항해를 수행하는 것이 허용되기 이전에 PFD에 의해 제공된 것으로서 유효하고 보호된 링크에 즉시 재안내될 수 있다. 타임아웃 공격은 상이한 엔트로피가 청크에 의해 정규적으로 나타나는 동안 필드 및 데이터가 검출되었다면 검출될 수 있다. 이 특징은 상기 컴포넌트가, 휴리스틱 엔진의 정확도 요인에 의해 바이어스가 발생할 수 있도록 하는, 제1 단계에서 “오류”인 컴포넌트가 되는 것을 허용하고 그후 매우 교묘하고 보호되지 않은 피싱 시도인 경우에 자체적으로 정정하도록 할 수 있다.

사용자에 대한 위험 레벨의 결정에 기초하여, 선택된 링크 및/또는 내장된 객체가 고위험 인자를 갖는 것으로 결정되는 경우, 단계 730에서, 링크 및/또는 내장된 객체는 피싱 시도하는 것들로서 분류화되고, 사용자는 단계 740에서, 예를 들어 웹브라우저 소프트웨어 애플리케이션의 사용을 통해 유효하고 보호된 공지된 링크에 재안내될 수 있다. 유효하고 보호된 공지된 링크는 예를 들어 사용자의 PFP에서 식별된 것으로서 공지된 유효한 인자와 선택된 고 위험 인자 링크와의 비교에 의해 결정될 수 있다.

유효한 사이트는 예를 들어 PFD에서의 정보 및 이메일 본문에 대한 분석에 기초하여 결정될 수 있다. 엔티티 또는 회사 이름, 슬로건, 광고 정보, 및/또는 비즈니스 업계 또는 분야와 같은 워드는 매치될 수 있다. 또한, 로고, 상표명, 레터헤드 및 기타 그래픽 색인과 같은 엘리먼트는 인식되어 전자 통신에서 참조된 유효한 엔티티를 식별하기 위해 매치될 수 있다. 또한, 활성화된 링크 또는 그것의 사람이 볼 수 있는 설명간의 유사성은 엔티티의 컴패니어닝 사용, 브랜드 이름, 도메인 이름부, 타이핑오류, 와레즈 폼, 재기입등의 사용과 같은 엔티티의 도메인 이름 사용과 비교될 수 있다.

이러한 인식 및 매칭의 결과들은 통신에 의해 스푸핑되거나 타겟으로 된 적어도 하나의 엔티티의 신원을 지시하는 데에 이용될 수 있다. 식별 후, 엔티티의 PFD에 정의된 디폴트 링크는 메모리에서 활성화된 링크를 재기입하는 데에 사용될 수 있다. 각각의 PFD는 피싱 시도의 경우에 사용될 웹사이트를 합법화하기 위해 디폴트 링크를 포함하고, 이 링크는 피싱 시도를 처리하기 위해 엔티티에 의해 지정된 합법적인 웹사이트의 전용 페이지를 지시하거나, 임의의 기타 적합한 로케이션을 가리킬 수 있다.

따라서, 예시적인 실시예에서, 안티피싱 컴포넌트는 링크상에서 클릭함으로써 휴면 상태로부터 활성화될 수 있고 이 이벤트 및 지시된 URL을 포함하는 이 이벤트의 모든 파라미터를 매우 낮은 레벨에서 인터셉트할 수 있다. 지시된 URL은 사용자를 합법적이고 인증된 로케이션에 안내하기 위해 디폴트 웹브라우저 애플리케이션에 전달되기 전에 재기입될 수 있다.

링크 및/또는 객체를 고위험 인자를 갖는 것으로서 식별한 경우, 보안 갱신 모듈이 미래에 참조하기 위해 링크를 조사 서버에 업로드할 수 있다. 고 위험 링크 및/또는 객체와 리디렉션의 환경을 식별하는 메시지는 사용자 및/또는 사용자의 컴퓨터 디바이스의 관리자에게 전송될 수 있다.

추가적으로, 유효한 웹사이트 또는 로케이션과 연관된 엔티티에게는 피싱 시도가 통지될 수 있고, 및/또는 상기 설명한 리디렉션 및 링크 분석에 대한 상세 내용이 제공될 수 있다. 사용자가 유효한 주소 위치로 안내되는 경우, 사용자가 재안내되었다는 것이 타겟으로된 엔티티에 통지될 수 있도록 하는 트래커는 예를 들어 URL 파라미터, 이전 요구, 전용 링크등을 사용하여 내장될 수 있다. 또한, 사용자를 재안내하기 위해 안티피싱 컴포넌트에 의해 사용된 링크는 PFD에 의해 추가될 수 있다.

보호 필드 딕셔너리 및 보호 필드 페리미터

보호 필드 딕셔너리("PFD")는 보호되어야 할 하나 이상의 엔티티에 대한 정의내용 및 지식을 포함하는 문서를 포함할 수 있다. PFD는 특정한 엔티티에 특정적일 수 있고, 엔티티의 그룹 또는 집합체의 특징을 포함하는 일반적인 PFD가 사용될 수 있다. 하나 이상의 엔티티는 예를 들어, 재정 기관, 상업 엔티티, 정부기관 엔티티, 교육기관 엔티티 등을 포함할 수 있다. 보호된 엔티티는 전형적으로 공중 데이터 통신망으로 액세스가능한 웹사이트 또는 기타 주소 위치를 통해 비교적 대량의 전자 통신을 수신하고 전송하는 대형 엔티티일 수 있지만, 임의의 크기 및 구조의 엔티티도 보호된 엔티티일 수 있다.

PFD내의 정보는 특정하고 공지된 이전의 공격; 일반 공격 특성; 기업 이메일 및 웹사이트에서 사용된 일반 키워드, 폼 및/또는 모델; 보호된 웹사이트의 특징; 자동 갱신과 그들의 설정값간의 퇴행 지연; 예로서, 화상 인식 알고리즘에서 사용하기 위한 기업 로고의 퍼지 벡터; 보호된 엔티티의 합법적인 도메인 이름, 보호된 엔티티등의 서버 위치 및/또는 동작 국가등의 리스트; 및/또는 보호된 엔티티의 공중 IT 영역을 설명하는 키 상세사항등을 포함할 수 있다.

이 정보는 보안 서버상에 유지될 수 있고, 하나 이상의 컴포넌트와 예를 들어, 인터넷과 같은 네트워크를 통해 공유될 수 있는 파일에 포함될 수 있다. PFD는 압축되거나, 암호화되거나 인코딩되거나 디지털적으로 서명될 수 있다. PFD를 삭제, 이동, 패치시키거나 위조, 템퍼시키거나 또는 이전상태로 복귀시키려는 시도는 검출, 중립화 및 수정될 수 있고, 보안 서버에 보고되어 컴퓨터 디바이스 보안 정책의 기술적 조건의 변화 및 진화에 응답하여 정보를 편리하게 동적으로 그리고 고속으로 갱신 및 수정할 수 있도록 할 수 있다.

또한, 보호 필드 페리미터("PFP")가 각각의 사용자에 대해 생성될 수 있고, PFP는 하기에 상세히 설명되는 바와 같이, 각각의 특정 사용자에 대한 관련 PFP의 리스트를 기술할 수 있다. 대안으로, 일반 PFP는 사용자의 그룹 및/또는 부류에 대해 사용될 수 있다. PFP는 자동적으로 유지될 수 있고 사용자에게 관심있는 엔티티의 PFD 리스트는 어셈블될 수 있고 사용자가 통신 및/또는 상호작용하는 회사, 은행, 소매상 등과 같은 엔티티가 보호될 수 있도록 한다.

각각의 엔티티는 엔티티의 활성화 볼륨, 엔티티의 비지니스 모델, 엔티티의 해당업계, 엔티티의 주소 위치 등 뿐만 아니라 엔티티의 크기에 좌우되어, 연관된 PFD의 특정한 메인티넌스 패턴 및 갱신을 이용할 수 있다. PFD의 수정 및/또는 갱신은 예를 들어 매일, 매달, 매년과 같은 임의의 적합한 빈도로 행해질 수 있다. 대안으로, PFD는 조정을 필요로 하지 않을 수 있다. 특정 사용자의 PFP내의 모든 PFD는 대응하는 PFD가 갱신될 때 보안 서버로부터 자동 갱신될 수 있다.

MIME 유형(예로서, “애플리케이션/트랩 PFD(application/traps-PFD)”)은 사용자의 컴퓨터상에서 예로서 안티피싱 컴포넌트의 설치시에 정의될 수 있다. 따라서, PFD는 보호된 엔티티의 웹페이지 또는 기타 로케이션으로부터 자동적으로 다운로드되거나 및/또는 갱신될 수 있다. 예시적 실시예에서, 예로서 보호된 머천트 웹사이트의 지불 승인 페이지를 브라우징하는 사용자는 머천트의 PFD를 다운로드할 수 있고, 다운로드된 머천트의 PFD는 자동적으로 사용자의 PFP에 추가될 수 있다. 대안으로, 사용자는 머천트로부터, 예로서 머천트의 웹페이지상에 제시된 링크를 선택함에 의해 머천트의 PFD를 다운로드할 수 있다.

따라서, 예시적 실시예에서, PFD는 복수의 엔티티의 각각과 연관될 수 있다. PFP 템플릿은 사용자의 페리미터를 정의할 수 있고 하나 이상의 PFD를 포함함으로써 사용자가 관심있어 하는 합법적인 엔티티를 식별할 수 있다. 따라서, 안티피싱 컴포넌트는 선택된 링크에 지정된 타겟 로케이션이 PFP와 일치하는 지 따라서 사용자가 관심을 갖는 엔티티인지를 결정할 수 있고, 그리고 링크에 대한 위험 인자를 상승 및/또는 하강시키기 위해 상기 결정의 결과를 사용할 수 있다.

안티멀웨어 컴포넌트

안티멀웨어 컴포넌트는 공지된 위협을 포함하는 하나 이상의 데이터베이스를 포함하는 하나 이상의 안티바이러스 스캐너를 포함할 수 있다. 메모리 및 객체 스캐닝에 관한 프로세스를 이용하여, 하나 이상의 안티바이러스 스캐너는 예로서 레지스트리, 시동 엔트리, 경로, 폴더, 개방 포트, 뮤텍스, 및 거동을 스캐닝함으로써 숨겨진 위협의 트레이스에 의해 숨겨진 위협을 검출할 수 있다. 본원의 전체에 걸쳐, 안티멀웨어 컴포넌트는 “AME”컴포넌트로서 지칭될 수 있다.

도 9를 참조하면, 안티멀웨어 컴포넌트는 단계 902에서 사용자의 컴퓨터 디바이스상에서 시작될 수 있다. 단계 904에서 하나 이상의 멀웨어/위협 데이터베이스가 로드될 수 있다. 각각의 멀웨어/위협 데이터베이스는 공지된 멀웨어 및 위협에 관한 식별 정보를 포함하는 압축돠고 디지털로 서명된 파일을 포함할 수 있다. 단계 906에서 멀웨어/위협 데이터베이스는 유효화되고, 인증되고 그리고 탬퍼링, 이전상태로 복귀 또는 수정에 대해 검사될 수 있다.

멀웨어/위협 데이터베이스가 인증되지 않고 및/또는 유효하지 않은 것으로 결정되는 경우, 단계 930에서 하나 이상의 경보가 생성되어 사용자에게, 사용자의 컴퓨터 디바이스상의 관리자에게, 서버에게 또는 다른 엔티티에게 전송될 수 있고, 프로세스는 그후 단계 922에서 종료한다. 상기 경보는 하나 이상의 그래픽 객체, 로그 파일에 대한 엔트리, 전자 통신등을 포함할 수 있다. 사용자에게는 프롬프팅에 따를 것이 요구되거나 인증된 및/또는 유효한 멀웨어/위협 데이터베이스를 획득하는 방법에 관한 명령이 제공될 수 있다.

멀웨어/위협 데이터베이스가 인증되고 유효한 것으로 결정되는 경우, 단계 908에서 메모리내의 모든 프로세스의 리스트는 생성될 수 있고, 각각의 프로세스의 모든 종속 엔티티들은 대응하는 파일의 리스트로서 추출될 수 있다. 이 리스트는 각각의 프로세스의 경로, 및/또는 파일이름에 의하여 정렬될 수 있다. 각각의 객체는 공지된 위협을 스캐닝하기 위해 멀웨어/위협 데이터베이를 사용할 수 있는 객체 스캐너에 제공될 수 있다. 객체 스캐너는 지식 기반으로 구동되고 메모리, 레지스트리, 뮤텍스, 시동 객체, BHO 및 확장본, 핸들, 후크, 파일, TCP/IP등을 스캐닝하도록 동작가능한 검출기 엔진을 포함할 수 있다.

감염 스코어는 스캐닝을 기초로 결정 및/또는 갱신될 수 있고, 감염 스코어는 하나 이상의 결과에 대한 요약을 생성하는 데에 사용될 수 있다. 객체 스캐너는 파일의 md5 식별, 실행가능한 섹션의 식별, 하나 이상의 이진 패턴 매칭 트리를 사용하는 퍼지 탐색의 수행, 뮤텍스 검출, 레지스트리 스캐닝, 경로 및 파일 검출, 개방된 TCP/IP 포트의 검출등과 같은 안티바이러스 기술을 이용하여 위협을 식별할 수 있다.

단계 908에서, 프로세스들을 리스팅 한 후, 단계 910에서, 운영 체제 또는 운영 체제의 종속 엔티티를 시작시키는 동안 로드된 모든 파일의 리스트를 포함하는 시동 객체뿐만 아니라 웹브라우저 소프트웨어 애플리케이션의 확장본 및 운영 체제 데스크탑 컴포넌트를 포함하는 브라우저 헬퍼 객체에 대한 리스트가 생성될 수 있다. 단계 912에서, 개방되고, 주시하고 있고, 접속된 네트워크 포트, 드라이버 및 TCP/IP 스택 드라이버 및, 숨겨진 프로세스 및 숨겨지지 않은 프로세스에 의해 개방된 파일이 리스팅될 수 있다. 단계 914에서, 공지된 위협, 키로거 레코드 파일, 바이러스 마커등에 의해 생성된 경로 및 폴더와 같은 공지된 트레이스, 및 멀웨어에 의해 생성될 것으로 공지된 뮤텍스가 탐색되어 리스팅될 수 있다. 단계 916에서, 로컬 호스트 리디렉션 및 IP 스택 컴프로마이스가 탐색되어 리스팅될 수 있다.

상기 설명한 바와 같은 리스트된 모든 객체는 단계 918에서 스캐닝되고 및/또는 분석된다. 로컬 호스트 파일은 임의의 의심스런 리디렉션을 검출하기 위해 분석될 수 있고, 상기 IP 스택은 임의의 컴프로마이스를 탐색하기 위해 분석될 수 있다.

단계 920에서, 위협이 검출되었는 지에 대한 결정이 행해질 수 있다. 위협이 검출되면, 단계 930에서 하나 이상의 경보가 생성되어 사용자에게, 사용자의 컴퓨터 디바이스상의 관리자에게, 서버에게 또는 다른 엔티티에게 전송될 수 있고, 프로세스는 그후 단계 922에서 종료한다. 예시적 실시예에서, 위협이 검출되는 경우, 안티멀웨어 컴포넌트는 사용자를 어드바이서리 페이지 또는 메시지에 리라우팅할 수 있고, 사용자에게 검출된 위협을 통지하고, 그리고 미래 위협에 대해 자원에 대한 솔루션 또는 디렉션을 제공한다. 또한, 조사 서버엔 식별된 위협이 통지되어 제공될 수 있다.

웹사이트 인증 컴포넌트

인터넷과 같은 종래의 공중 데이터 통신망에서, 통신망상의 컴퓨터 디바이스의 신원은 이름 또는 숫자로 된 TCP/IP 주소에 의해 결정될 수 있다. 숫자로 된 TCP/IP 주소는 사람이 판독할 수 있는 텍스트로 표현된 이름에 매핑될 수 있다. 저레벨 드라이버는 일반적으로 TCP/IP 주소에 의존하는 반면에 고레벨 애플리케이션은 일반적으로 주소 리스트가 도메인 이름 리스트 보다 사람이 생성하고, 이해하고 유지하기가 더 힘들기 때문에 인증 목적으로 도메인 이름을 사용한다. 따라서, 컴퓨터 디바이스 및/또는 엔티티의 신원에 대한 스푸핑은 저레벨 TCP/IP 주소와 그것의 고레벨 도메인 이름간의 매핑을 변경시킴으로써 달성될 수 있다. 이러한 스푸핑후에, 인증자는 관리 및 유지가 매우 어려운 CPU를 많이 사용하고 비용이 드는 암호화 계층 및 인증서에 의존하지 않고 유효한 엔티티와 스푸핑된 엔티티를 구별하지 못할 수 있다. 본원의 전체에 걸쳐, 웹사이트 인증 컴포넌트는 “웹키 컴포넌트”로 지칭되고, 웹키에 의해 이용된 인증서는 “웹키 인증서”로 지칭된다.

도 10 및 아래의 표 1을 참조하면, DNS에 대한 다양한 공격 벡터를 도시하고 있고, 이 DNS 공격 벡터는 여러 방식으로 분류될 수 있다.

공격 벡터	타겟 그룹
휴먼 팩터 인사이더 에지	A	B	C	D	E
휴먼 팩터 인사이더 에지	√	√	√	√
로컬 호스트 및 로컬 네트워크 공격 조사 프로세스의 수정 트래픽 관측 및 수정 중간 공격에 속해 있는 사람	√ √ √	√
도메인 등록 공격 도메인 하이재킹 유사한 도메인 등록 보트넷(Botnet) 네임 서버 등록					√ √ √
도메인 구성 공격 DNS 와일드카드 불충분하게 관리된 DNS 서버		√		√ √
DNS 스푸핑 DNS 캐쉬 포이즈닝 스니핑을 이용한 DNS ID 스푸핑 스니핑에 의하지 않은 DNS ID 스푸핑 생일 공격	√ √ √ √	√ √ √
"새로운" DNS 공격 페이지 등급 상승					√

DNS 공격은 로컬 사용자의 컴퓨터 디바이스로부터 임의의 DNS 서버로, 그리고 사용된 게이트웨이의 각각에, 임의의 링크 단계에서 수행될 수 있다. 따라서, 글로벌 보안은 검증단계가 사용자측에 내장될 것을 필요로 한다.

웹사이트 인증 컴포넌트는 수동적인 방법으로 그리고 DNS 서버 및/또는 DNS 프로토콜을 수정함이 없이 원격에 있는 웹사이트에 대해 DNS 공격, 손상시키는 공격, 파밍 시도, 주입 공격, 감염 공격 및/또는 하이재킹하는 것을 검출, 완화 및 방지할 수 있다. 도 12 및 도 13을 참조하면, DNS 시스템을 보안화하는 프로세스는 인증서의 생성 및 생성된 인증서의 사용을 포함할 수 있다. 도 12를 참조하면, 인증서의 생성은 단계 1202에서, 식별된 공중 서버에서 인증확인을 위한 식별된 요구를 수행함으로써 시작될 수 있다. 식별된 공중 서버는 FQDN(fully qualified domain name) 및 그것의 공중 TCP/IP 주소에 의해 인식될 수 있다. 인증 기관에선, 값들이 올바른 것이고, 검증가능한 것이고 일치하는 값들인 경우에 레지스트라(Registrar) 및 질의 발생기에 대해 검증하기 위해 외부적 검증이 단계 1204에서 수행될 수 있다. 상기 질의가 인증된 웹마스터로부터 온 것인 지에 대해 패스워드 정보, 또는 임의의 기타 적합한 인증 체계를 이용하여 검사될 수 있다.

새로운 인증서는, 단계 1206에서, 서버 및/또는 웹사이트를 관리 및/또는 유지할 수 있는 웹마스터 또는 기타 운영자에 의해 요구된 옵션들 예를 들어, 웹사이트의 만료일 또는 컨텐츠 보호 옵션을 포함하는 옵션들에 기초하여 생성될 수 있고, 그러면 단계 1208에서, 인증 기관 개인키를 이용하여 서명된다. 예시적 실시예에서, 루트 인증 기관의 전체 계층구조가 구현되진 않는다. 단계 1210에서, 생성된 인증서는 예를 들어, 웹마스터에 전송될 수 있다. 이러한 전송은 상기 인증서가 본래의 공중 서버외에는 사용될 수 없으므로 보호된 채널을 필요로 하지 않을 수 있다.

도 13을 참고하면, 생성된 인증서를 사용하기 위한 프로세스는 단계 1302에서, 사용자가 공중 서버에 접속하고 이 서버가 이러한 유형의 인증서에 의해 보호되는 지를 검증하기 위해 상기 공중 서버에 질의함으로써 시작할 수 있다. 단계 1304에서, 웹사이트 인증 컴포넌트의 내부 기능에 대한 호출은 상기 웹사이트가 반드시 검사되어야 하는 지를 검증하기 위해 기동될 수 있다. 보호된 다수의 사이트에 종속하여, 서버의 리스트는 B-트리 데이터베이스로서 국부적으로, 또는 보안 통신 컴포넌트 자동 갱신 모델에 의해 자동적으로 갱신될 수 있다. 큰 리스트에 대해, 서버측상에서 양호하게 부하를 균형화하고 관리할 수 있도록 하기 위해 3개의 상이한 캐싱 방법이 이용될 수 있다. 매우 큰 리스트에 대해, 패밀리 및 히트순위 질의 최적화 프로세스에 기초하여 동적인 트리 버켓 캐쉬를 구현하는 설계가 이용될 수 있다.

큰 리스트에 대해, 제1 레벨은 URL(예를들어, 직접 또는 국부적/제한된 IP 주소, 또는 이미 공지된 도메인) 형태에 의존하고 그후 요구된 도메인의 최상위 레벨 도메인("TLD")에 의존하여, 어느 국가가 보호될 수 있는 지를 필터링한다. 예로서 “고속캐쉬”로 지칭되는 제2 레벨은 소정 기간 동안 수신된 공지된 응답을 처리할 수 있다. 제3레벨은 사용자의 관심사항에 기초하여 자연적으로 응답을 최적화하여 배열하기 위해 수신된 질의 유형 및/또는 특성 및 수에 따라 정렬된, 도메인 이름 및 그 보호 상태 각각을 설명하는 버켓 구조를 포함할 수 있다. 보안 서버에 대한 각각의 질의는 이 도메인 이름 또는 유형에 대한 히트의 수를 증가시킬 수 있고, 이것들을 분류화할 수 있다. 동일한 유형, 카테고리 또는 주제/관심있는 도메인 이름으로서 요구된 하나 이상의 도메인 이름은 사용자로부터의 질의 수에 따라 정렬된다. 따라서, 사용자가 인터넷을 브라우징하는 경우, 다수의 연속적인 응답은 보안 서버에 질의하기 이전에 이미 수신된 캐쉬에서 발견될 수 있다.

웹사이트가 보호되지 않은 경우, 상기 프로세스는 단계 1330에서 종료될 수 있다. 웹사이트가 보호되는 경우, 단계 1306에서 백그라운드 질의는 사용자가 메인 사이트를 로드함에 따라 인증서를 다운로드할 수 있다.

인증서는 예를 들어 하기와 같은 다양한 방식으로 웹사이트상에서 이용가능하게 될 수 있다.

● 정적인 이름, 예로서“web.key“와 같은 이름을 사용하고 가상 서버의 각각의 경로에 또는 파일 “favicon.ico“와 같은 체계를 이용하여, 가상 서버의 루트의 직하에 위치된 독립적인 파일로서 이용가능해짐;

● 쿠키에 내장되고, 서빙된 페이지를 이용하여 직접 전송되어 이용가능해짐;

● 객체로서 HTML 페이지에 내장되어 이용가능해짐;

● 새로운 전용 HTML 태그로서 내장되어 이용가능해짐. 예시적 실시예에서, 태그의 값을 검사하기 이전에 문서로부터 추출될 수 있는, 예로서 “<Authenticate type = rsa expires=07/2l/2008 signature=2f3a7c..,8d9f3a>," 형태의 태그를 구현할 수 있다.

● 상기한 유형의 데이터를 위한 핸들러로서 웹사이트 인증 컴포넌트에 링크되고, 등록된 MIME 유형으로서 내장되어 이용가능해짐;

● 하위 레벨 이식을 할 수 있게 하는, HTTP 헤더로서 내장되어 이용가능해짐; 및/또는,

● 네트워크 프로토콜에 의해 사용될 수 있는 임의 형태의 구조 데이터로서 내장되어 이용가능해짐.

웹사이트 인증 컴포넌트가 인증서를 획득하면, 웹사이트 인증 컴포넌트는 단계 1308에서 인증서의 진정성을 검증하기 위해 인증 기관의 공개 키를 사용할 수 있다. 검증은 인증서의 진정성을 검증하는 임의의 공개 키없이 키잉된 해쉬 메시지 인증 코드("HMAC" 또는 "KHMAC") 체계에 의존할 수 있다.

단계 1308에서의 검증 결과가 긍정인 경우, 하나 이상의 인증서 필드는 추출되어 클라이언트측에서 수신된 데이터에 매치되어 수신된 데이터와 진정한 것으로 확인된 해당 인증서의 서명간의 차이를 검출할 수 있다. 예시적 실시예에서, 클라이언트측에서 수신된 데이터의 해쉬 코드 또는 디지털 서명 중 적어도 하나가 산정될 수 있고, 산정된 해쉬 코드 또는 디지털 서명은 인증서에 내장된 대응하는 값과 비교될 수 있고, 산정된 값과 내장된 대응하는 값들간의 임의의 차이는 검출될 수 있다.

검증된 값들은 TCP/IP 스택으로부터 추출될 수 있고 서버에 접속하기 위해 사용되는 IP주소, 및 TCP/IP 스택으로부터 또한 추출될 수 있는 접속된 서버의 FQDN을 포함할 수 있다. 클라이언트측에서 수신된 임의의 기타 적절한 값들은 수신 데이터가 인증서의 대응하는 값과 매치하는 지를 검증하기 위해 분석될 수 있다.

모든 값들이 진정한 것으로 검증된 경우, 필수 필드가 대응하는 값들과 매칭되고, 임의의 선택적인 필드들이 검증되고, 상기 사이트는 단계 1310에서 검증된 진정한 것으로서 결정될 수 있다.

인증서가 진정하지 않은 것으로서 결정되고 및/또는 임의의 추출된 필드가 인증서에서 정의된 대응하는 값들과 매치되지 않는 경우, 문제상황 또는 공격 경보가 발생되고, 상기 웹사이트는 단계 1312에서 유효하지 않고, 수정되었고 및/또는 해킹된 것으로서 결정될 수 있다. 추가적인 분석은 어느 요인 및/또는 요인들이 오류인 지를 정의하기 위해 수행될 수 있고, 추가적인 분석의 결과는 조사 서버에 전송될 수 있다. 또한, 경보는 사용자에게, 사용자의 컴퓨터 디바이스상의 관리자에게, 또는 기타 적합한 엔티티에게 생성 및/또는 전송될 수 있다. 더욱이, 상기 분석 결과가 IP 주소가 매치되 않음을 지시하는 경우, 인증서내의 정의된 IP 주소로 주소 재안내될 수 있고, 이에 따라 직접 DNS 공격을 비활성화시킬 수 있다.

예로서 도 14 및 15에 도시된 웹사이트 인증 컴포넌트의 브라우저 통합체의 요소들은 웹사이트 인증 컴포넌트에 의해 웹사이트의 보호에 대한 결정에 대한 예시적 프로세스를 나타낸다.

인증서의 필드 부류를 나타내는 아래의 표 2를 참조하여 인증서의 예시적 구조를 설명한다.

특성	필드	주석
의무적 사항	IP 주소	도트가 포함된 스트링, 또는 수치 값으로서 나타낸, 서버의 공중 IP 주소
	도메인 이름	도트가 포함되거나 포함되지 않은, 완전하게 자격을 갖춘 도메인 이름
	서명	에디터의 개인키를 사용할 수 있는 것으로서, 상기 인증서에 노출된 모든 필드의 딥지털 서명
선택적 사항	만료일	상기 인증서의 선택사항인 만료일
	정적 컨텐츠	(홈 페이지)의 정규화되거나(정규화되지 않은) 노출된 컨텐츠의 해쉬 값(md5(), sha1(),...)
	동적 도메인	임의의 종속 엔티티에 대해 사용된 고유 도메인 이름의 정규화된(또는 정규화되지 않은) 정렬된 리스트의 해쉬 값(md5(), sha1(),...)
	코드 컨텐츠	디폴트 자원상에서 가시적인 정규화된(또는 정규화되지 않은) 스크립트 코드의 해쉬 값(md5(), sh1(),...)
	자원 컨텐츠	글로벌하게, 또는 속성별로, 상기 페이지상에서 사용된 고유 자원 컨텐츠의 정규화된(또는 정규화되지 않은) 정렬된 리스트의 해쉬 값(md5(), sha1(),...)

예시적 실시예에서, 인증서는 적어도 3개의 값들로서, 사용자의 컴퓨터 디바이스상의 TCP/IP스택에 의해 사용된 값과 매치될 수 있는 보호된 웹사이트의 공중 IP 주소; 서버에 접속하기 위해 사용된 애플리케이션, 웹 브라우저 소프트웨어 애플리케이션 및/또는 TCP/IP스택에 의해 사용된 값과 매치될 수 있는 보호된 웹사이트의 FQDN; 코드에 내장된 및/또는 보안 서버로부터 갱신되었지만 인증서엔 저장되지 않은 공개 키를 사용할 수 있는, 인증서의 디지털 서명을 정의할 수 있다.

HMAC 또는 기타 적합한 암호화 체계와 같은 표준 메시지 인증 코드(MAC)가 사용될 수 있다.

부가적으로, 상기 인증서는 하기의 옵션 값을 정의할 수 있지만, 이들로 한정되진 않는다.

● 만료일: 만료일은 키 만료, 취소 및 야만적인 공격에 대해 처리할 수 있게 한다. 만료일은 임의의 인증서에 대한 유효성 제한을 정의할 수 있다.

정적 컨텐츠:

● 정적 컨텐츠는 예를 들어 보호된 웹사이트가 정적 웹 페이지인 경우 사용될 수 있다. 예를 들어, 상기 인증서는 웹 페이지의 컨텐츠의 해쉬 코드를 저장할 수 있다. 따라서, 클라이언트측 프로세스는 다운로드된 웹 페이지가 본래 웹 페이지의 웹마스터에 의해 서명된 것으로서의 본래의 유효한 웹 페이지와 매치되는 지의 여부를 검사할 수 있다. 상기 검사에서 차이가 있는 것으로 지시되는 경우, 디페이싱 공격 및 주입, 위조, 파밍 또는 기타 컨텐츠를 기반으로 한 공격이 지시될 수 있다. 프로세스, IP 프레임 및 메모리 주입 기반 공격들은 상기 검사가 클라이언트측상에서 수행됨에 따라 검출될 수 있다. 해쉬 값은 서버의 예를 들어 HTML 컨텐츠와 같은 문서 컨텐츠를 획득하여 궁극적으로는 획득된 컨텐츠를 정규화하여, 그리고 정규화된 컨텐츠의 해쉬 값을 md5, shal, sha512, ripemd, 또는 임의의 적합한 함수와 같은 표준 해쉬 함수를 사용하여 계산함으로써 산정될 수 있다.

● 동적 도메인: 동적 도메인 정보는 예를 들어 컨텐츠가 동적으로 생성되는 경우 사용될 수 있다. 예시적 실시예에서, 사용된 자원에 의해 참조된 모든 도메인은 보호될 메인 문서 및/또는 전체 웹사이트에 대해 리스팅될 수 있다. 종속 엔티티 패턴을 정의하는 모든 HTML 태그는 리스팅될 수 있고, 리스팅된 도메인 이름은 추출될 수 있고, 상기 리스트는 정렬될 수 있고, 중복 항목은 문서에 의해 참조된 모든 고유한 서브 도메인, 또는 전체 사이트의 리스트를 획득하기 위해 제거될 수 있다. 종속 엔티티 패턴을 정의하는 예시적인 HTML 태그가 아래의 표 3에 나타나 있다. 상기 리스트에 대한 해쉬 값은 서브 도메인의 리스트를 잠금될 수 있도록 하고, 검출에 의하지 않고도 임의의 새로운 외부 참조가 삽입되는 것을 허용하지 않도록 생성될 수 있다.

● 코드 컨텐츠: 코드 컨텐츠는 예를들어 웹페이지에 내장된 기타 코드 또는 스크립트에 관한 것일 수 있다. 모든 스크립팅 모듈은 HTML 태그로부터 추출될 수 있다. 정규화 프로세스를 이용하여, 유리한 변동이 걸러질 수 있고, 상기 코드 컨텐츠는 해슁될 수 있고, 스크립트 검증 해쉬 코드가 생성될 수 있다. 따라서, 클라이언트측 코드는 서버에 저장된 활성 코드가 수정, 주입 또는 그렇지 않으면 조작되었는 지의 여부를 검사할 수 있다.

● 자원 컨텐츠: 자원 컨텐츠는 예를 들어 문서 및/또는 전체 웹 사이트에 의해 사용된 외부 자원에 관한 것일 수 있다. 예를 들어, 이미지, 객체, 자바, 플래시 애니메이션, 사운드 및 기타 멀티미디어 파일은 멀웨어 벡터 또는 사기성있는 엘리먼트를 내장하는 데에 사용할 수 있다. 이 종속 엔티티의 각각은 패밀리 또는 유형에 의해 리스팅 및/또는 링크될 수 있고, 상기 종속 엔티티의 본래의 형태 및/또는 컨텐츠의 핑거프린트가 생성될 수 있도록 한다. 정의 내용의 리스트는 자원 이름의 특성 또는 패밀리에 의해 각각의 정의 내용 및 선택된 정의 내용을 인증서의 본문의 핑거프린트와 링크시킨다. 상기 리스트는 인증서의 값에 대해 다운로드된 자원의 핑거프린트를 계산함으로써 클라이언트측 상에서 사용될 수 있고 차이는 연구된 자원에 대한 주입, 스푸핑, 탬퍼링 또는 해킹을 지시할 수 있다.

아래의 표 3은 참조내용 및 종속 엔티티를 검출하여 보호하는 데에 사용될 수 있는 다양한 HTML 태그를 나타낸다.

HTML 속성	컨테이너 HTML 태그	검출 필드
src=	<img, <embed, <script, <frame, <bgsound, <frame, <iframe, <input, >meta	도메인, 코드, 자원.
href=	<a, >area, <base, <map, <link	도메인, 자원
url=	<meta, <embed	도메인, 자원
pluginspage=	<object	도메인, 코드, 자원.
Value=	<object	도메인, 코드, 자원.
codebase=	<object, <applet	도메인, 코드, 자원.
Code=	<applet	도메인, 코드, 자원.
background=	<body	도메인, 자원
archive=	<applet	도메인, 코드, 자원.
cite=	<blockquote	도메인, 자원.
action=	<form	도메인, 자원
longdesc=	<img, <frame	도메인, 자원
profile=	<head	도메인, 자원
xmlns	<html	도메인, 자원
ismap=	<img	도메인, 자원
usemap=	<img, <object	도메인, 코드, 자원.
archive=	<object	도메인, 코드, 자원.
Data=	<object	도메인, 코드, 자원.
Value=	<object	도메인, 코드, 자원.

추가적으로, 그리고 RFC 4871 ("DKIM")의 체계와 유사한 체계를 이용하여, 임의의 웹사이트의 공개키는 웹사이트가 소유한 DNS 서버상의 “TXT” 필드에 공개될 수 있고, 광범위하게 이용될 수 있고 취소될 수도 있다. 완전한 인증서가 전용 HTML 태그, 쿠키 또는 페이지내에 구현될 수 있다.

도 16은 웹사이트 인증 컴포넌트에 의한 서버의 보호에 대한 예시적 검사 프로세스를 나타낸다.

도 17은 웹사이트 인증 컴포넌트에 의한 인증서에 대한 예시적 검사 프로세스를 나타낸다. 도 17을 참조하면, 인증서를 로드하라는 요구는 단계 1702에서 수행될 수 있고, 인증서가 획득 및/또는 다운로드될 수 있는 지의 여부가 단계 1704에서 결정된다. 인증서가 획득될 수 없는 경우, 단계 1720에서, 경보가 발생되어 사용자, 사용자의 네트워크의 관리자 또는 기타 엔티티에 전송될 수 있고, 캐쉬는 단계 1722에서 갱신될 수 있고, 상기 프로세스는 단계 1724에서 결과를 반환하고 종료할 수 있다. 인증서를 획득할 수 있는 경우, 단계 1706에서, 상기 필드는 획득된 인증서로부터 추출될 수 있고, 그리고 단계 1708에서, 인증서의 디지털 서명이 검사될 수 있고, 단계 1710에서, 유효한 지 또는 유효하지 않은 지가 결정될 수 있다. 상기 디지털 서명이 유효하지 않은 것으로 결정되는 경우, 상기 프로세스는 단계 1720으로 진행한다. 상기 디지털 서명이 유효한 것으로 결정되는 경우, 단계 1712에서, 인증서의 FQDN이 요구된 FQDN과 매치하는 지의 여부가 결정될 수 있다. FQDN이 매치되지 않는 경우에, 상기 프로세스는 단계 1720으로 진행한다. FQDN이 매치하는 경우, 단계 1714에서 접속에 대한 IP 주소가 인증서의 IP 주소와 매치하는 지의 여부가 결정될 수 있다. IP 주소가 매치되지 않는 경우에, 상기 프로세스는 단계 1720으로 진행한다. IP 주소가 매치하는 경우에, 단계 1716에서 만료일에 도달되었는 지가 결정된다. 만료일에 도달한 경우, 상기 프로세스는 단계 1720으로 진행한다. 만료일에 도달하지 않은 경우, 로컬 컴퓨터 디바이스의 시계를 현재 날짜 및/또는 시간에 대해 미래에 발생하는 날짜 및/또는 시간인 것으로 설정함으로써 현재 날짜 및/또는 시간을 스푸핑하려는 시도가 단계 1718에서 결정된다. 레지스트리 파일, 시스템 시동 파일, 로그 파일, 캐쉬 파일등과 같은 잠금된 로컬 파일 및/또는 하나 이상의 시스템의 날짜 및/또는 시간이 미래에 속하는 것으로 위치되는 경우, 시스템 클록에 대한 수정이 지시될 수 있다. 시스템 일자가 미래인 일자인 경우, 상기 프로세스는 단계 1720으로 진행한다. 시스템 일자가 현재 일자 보다 앞선 일자가 아닌 경우, 단계 1722에서 캐쉬가 갱신될 수 있고, 상기 프로세스는 단계 1724에서 결과를 반환하고 종료할 수 있다.

일반 인증확인 인터페이스 컴포넌트

일반 인증확인 인터페이스("GCI") 모델은 전자 메일 인증확인 인터페이스를 구현하는 데에 이용될 수 있다. GCI 컴포넌트는 예를 들어 “DKIM” 또는 “DomainKeys”로 설명된 표준인 기존의 전자 메일 인증확인 표준을 이용할 수 있다. GCI API는 전자 메일 및/또는 기타 전자 통신의 DKIM 상태의 검출를 전자 메일 판독 소프트웨어 애플리케이션에 또는 임의의 확장본에 제공할 수 있다.

또한, 이러한 인증확인 모델의 구현은 기타 기능들을 제공할 수 있다. 예를 들어, GCI 모델은 사용자에 의해 사용된 네트워크가 DKIM의 매커니즘에서와 같이, DNS 서버를 통해 공개 키를 제공하지 않는 경우엔 공개 키 “개방” 리포지토리로서 전용 서버 구조를 제공할 수 있다. GCI 컴포넌트는 전자 메일 클라이언트 소프트웨어 통신을 인터셉트하기 위해 표준 POP/SMTP/IMAP 프록시로서 구현될 수 있다.

네트워크가 네트워크 소유의 DKIM 키들의 셋트를 생성할 수 있도록 하기 위한 방법은 키 취소의 남용을 제한하고 키 취소에 대한 추적을 제공하기 위해 GCI 컴포넌트의 하드웨어UID 및 사용자UID를 이용할 수 있다. 따라서, 엔티티들은 인증확인 프로세스로부터 이점을 얻을 수 있고 상기 키들이 그들의 DNS 서버 각각에 링크될 수 있기 이전에 단대단(peer-to-peer)구조를 이용할 수 있다.

GCI 컴포넌트의 초기 기동시, 공개키-개인키 쌍의 존재여부가 검사될 수 있고, 키 쌍은 정의되지 않은 것으로 결정되는 경우 생성될 수 있다. 개인키는, 생성 및/또는 정의된 경우, 로컬 컴퓨터 디바이스상에 보안상태로 유지될 수 있고, 반면에 공개 키는 공개 키 서버에 전송될 수 있다. 공개 키는 컴퓨터UID와 사용자UID 뿐만 아니라 네트워크와 연관된 정보에 링크될 수 있다.

공개 키 서버는 추가적인 질의가 공개 키의 존재 및 값을 검증할 수 있도록 하기 위해 공개키를 등록할 수 있다.

GCI 컴포넌트를 사용하여 로컬 컴퓨터로부터 전송된 전자 메일 및/또는 기타 전자 통신은 DKIM 선택기로서 컴퓨터UID와 사용자UID를 사용하여 서명될 수 있다. 전자 메일의 “도메인키-서명”필드는 버전 및 대안 키 서버 인프라구조를 설명할 수 있다. 버전 및 대안 키 서버에 대한 설명은 예를 들어, 공개키를 처리하기 위한 GCI 개인 키 서버 모델과 DNS 공개 키 모델간의 미스매칭을 방지하기 위해 사용될 수 있다.

전자 메일 또는 기타 전자 통신의 수신시, GCI 컴포넌트는 전자 메일의 “도메인키-서명“ 필드를 분석할 수 있다. “도메인키-서명:“ 필드가 존재하지 않는 경우, 전자 메일은 인증될 수 있다. “도메인키-서명:“ 필드가 존재하고 표준 DKIM버전을 정의하는 경우, 공개키를 질의하기 위해 DNS 서버를 사용하는 표준 모델이 사용될 수 있다. “도메인키-서명:“ 필드가 GCI 버전을 정의하는 경우, 공개 키 리포지토리에 대한 대안적인 키 서버 인프라구조가 사용될 수 있다.

예시적 실시예에서, GCI 컴포넌트는 로컬 컴퓨터 디바이스상의 프록시로서 구현될 수 있다. GCI 컴포넌트는 로컬 컴퓨터 디바이스상의 프록시로서 구현되는 경우, GCI 컴포넌트는 외부로 나가는 전자 메일 및/또는 기타 전자 통신을 인증하면서, 내부로 들어오는 전자 메일 및/또는 기타 전자 통신을 묵시적으로 검사할 수 있다.

GCI 컴포넌트는 일단 설치되면, 일반 DKIM 기능성을 투명하게 그리고 자동적으로 제공할 수 있고, DNS 서버가 공개 키 관리를 구현하기 위해 표준 인터페이스를 구현하는 경우엔 표준 DKIM으로 진화할 수 있다. 대안으로, GCI 컴포넌트는 대안 키 서버 하부구조로서 정의되어 유지될 수 있다.

GCI 컴포넌트는 무료 이메일 서비스, 개방 게이트웨이, 및 전자 메일의 내용을 수정하거나 데이터를 전자 메일에 추가하는 안티바이러스 및 기타 시스템을 이용하여 전송되는 동안 전자 메일의 내용에 대해 서명할 수 있도록 하는 일반 정규화 모델에 대해 제공될 수 있다. 예를 들어, 전자 메일에 추가된 전자 메일 게이트웨이, 광고 삽입 및/또는 안티바이러스 통지는 여분의 추가 데이터를 전자 메일에 추가하고, 전자 메일 라인폭 등을 수정할 수 있다.

GCI 컴포넌트는 예를 들어 안티바이러스 소프트웨어, 무로 이메일 서버 및/또는 게이트웨이와 같은 애플리케이션에 의해 수행된 컨텐츠 수정으로 인해 서명을 폐기하거나 무효화하는 것을 방지하기 위해, 전자 메일의 컨텐츠 본문의 서명을 산정하기 위해 대안 산정 알고리즘을 이용할 수 있다.

전자 메일의 텍스트데이터는 추출될 수 있고, HTML 코드는 걸러질 수 있고, 스페이싱, 특수 문자 및 캐리지 리턴, 라인 피드, 타블레이션, 특수 문자등과 같은 제어 문자등은 스페이스 문자에 의해 대체될 수 있다. 스페이스 문자의 중복 발생은 단일한 스페이스 문자에 의해 대체될 수 있다. 버퍼의 길이는 예를 들어 바이트로 계산될 수 있고 기타 문자들은 예를 들어 URL 인코딩을 설명하는 "RFC 3986" 신택스를 사용하여 소정 매커니즘을 사용하여 정규화될 수 있다.

정규화는 게이트웨이 재포맷팅 라인 길이에 기인하여 임의 포맷 수정을 무효로 할 수 있는 반면에, 처리된 버퍼의 길이를 저장하는 것은 임의의 추가 이전에, 언제나 동일한 텍스트 버퍼 부분을 검사할 수 있도록 한다. 최종 결과 데이터는 해슁 패스를 위한 고 엔트로피 버퍼를 발생시키는, 허프만 트리 함수기능, 또는 임의의 적절한 함수기능을 이용하여 압축될 수 있다. 압축은 정규화 대신 사용되어, 임의의 문자의 재인코딩을 무효로 할 수 있다. 버퍼의 해쉬 코드는 데이터의 컨텐츠 해쉬 코드로서 예를 들어 "Sha1"인 표준 해쉬 함수를 이용하여 계산될 수 있다. 버퍼 길이 값은 예를 들어 서명 설명에 대한 동작 필드에 저장될 수 있다.

GCI 컴포넌트는 동일한 공개 키 리포지토리 구조를 이용하여 인증확인을 서명하고 파일, 오피스 문서, 소스 및 구성 파일 등에 추가할 수 있도록 한다.

일반 API는 여러 기능들을 제공할 수 있다. 예시적 실시예에서, 예를 들어 상기 기능들은 문서에 서명하고 문서를 검증하는 것을 포함할 수 있다.

문서 서명 기능에서, 데이터의 버퍼가 획득될 수 있다. 상기 버퍼는 예를 들어 활성 윈도우의 컨텐츠를 파일 컨텐츠등을 포함하는 데이터의 버퍼에 복사하거나 이 버퍼로 향하도록 함에 의해 추출함으로써 획득될 수 있다. 개인키는 데이터의 셋트를 포함하는 특정한 버퍼에 서명하기 위해 사용될 수 있다. 이 데이터의 셋트는 예를 들어 서명 컴퓨터의 “컴퓨터UID”, 서명 사용자의 “사용자UID”, 날자 및 시간, 예를 들어 정규화되고 및/또는 압축된 데이터 버퍼의 내용에 대한 해쉬 코드, 및 연속적인 버전들로서 또는 이 버전들간의 동일한 문서를 인식하기 위해 생성된 특정값(“DocUID”)를 포함하는, 문서의 고유 식별자를 설명하는 구조를 정의할 수 있다. 문서 서명 기능은 그러면 일련의 수치 값을 문자 스트링으로 재인코딩하기 전에 압축을 수행하기 위해 수치 기반에서 일련의 수치 값으로서 이 구조를 직렬화할 수 있다. 상기 문자 스트링은 그러면 문서의 끝에 삽입될 수 있고, 특정 마커의 셋트로 경계를 결정하고, 이 셋트들의 이전에 발생된 매칭된 것들을 대체할 수 있다. 예시적 실시예에서, 특수 문자는 "{" 및/또는 "}"와 같은 문자를 포함할 수 있다.

문서 검증 기능은 상기 설명한 것과 유사한 프로시저에 따라 데이터 버퍼를 포함할 수 있고, 특정 마커의 발생을 탐색할 수 있다. 하나 이상의 특수 문자가 발견되면, 특정 마커들 사이에 포함된 스트링은 데이터의 구조를 획득하기 위해 추출되고, 디코딩되고 직렬화가 해제될 수 있다. 이 구조는 하기의 내용 즉, 문서를 생성한 엔티티 및/또는 개인, 생성한 컴퓨터 디바이스, 생성 날짜, 생성 시간 및 문서에 대해 수행된 수정이 존재한다면 이들에 대한 식별 및/또는 추적이 될 수 있도록 분석될 수 있다.

서명을 문서의 본문에 내장하는 것은, 게이트웨이, 기타 소프트웨어, 및 서명/광고에 의한 임의의 데이터 추가를 방지하기 위해 서명 프로세스의 임의의 시점에 문서의 “끝”, 검증 프로세스를 검사하기 위해 문서의 한계를 암묵적으로 정의할 수 있도록 한다. 이 체계는, 검사하기 위해 문서의 길이를 저장할 필요가 없는, “DKIM” 서명 체계를 위한 메인 서명 포맷 시스템으로서 사용될 수 있다.

공중 서버는 위조 시도를 무효로 함에 의해 이중으로 인증될 수 있도록 하는, 문서 서명 기능에 의해 생성된 임의의 새로이 생성된 서명을 등록할 수 있다. 문서를 검사하는 동안, 추출된 문서 서명은 예를 들어, 제1 컴퓨터 디바이스에 의해 사용된 시간 기준 보단 독립적인 시간 기준을 이용하여, 등록되었다면 그 서버에 질의하여 검증할 수 있도록 한다.

또한, 다수 버전에 걸친 문서의 진화에 대한 추적은 다수 서명과 연속적인 서명간의 문서에 대한 DocUID 고유 식별자를 유지시킴으로써 수행될 수 있다.

API는 액티브X 서버로서 구성되고 및/또는 설계될 수 있고, 예를 들어, “마이크로소프트 오피스”, “마이크로소프트 윈도우”, 및 “인터넷 익스플로러”와 같은 소프트웨어 애플리케이션과 같은 특정 애플리케이션 뿐만 아니라 메이저 오피스 및 기타 소프트웨어 애플리케이션에 내장될 수 있다.

GCI 컴포넌트는 사용자가 상기와 같은 보호를 구현할 수 있도록 함으로써 도메인키 시스템을 확장시킬 수 있다. 디폴트 표준은 사용자에 의해 직접적으로 사용가능하지 않을 수 있는, 메인 공개키 리포지토리로서 DNS 서버를 정의한다. 또한, 안전하게 개인 및 공개 키들의 셋트를 생성 및 관리하는 것은 종래의 사용자가 수행하기엔 어려운 작업이다.

예를 들어, “마이크로소프트 윈도우”와 같은 운영체제인 종래의 운영 체제는 “CAPICOM” 객체 또는 “.NET”암호화 계층과 같은 지정된 인터페이스를 통해 보호되고 이용될 수 있는, 머신 및 사용자 키 셋트를 구현한다. GCI 컴포넌트는 사용자를 위한 임의의 기존의 키 셋트를 사용하거나 새로운 키를 정의하기 위해 이들 암호화 인터페이스들에 의존할 수 있는 한편, 상기 운영 체제의 인터페이스 및 보호된 컴포넌트들에 대한 저장 및 관리 작업을 가능하게 한다. GCI 컴포넌트는 분리된 사용자 또는 소형 네트워크 및 기존의 DKIM 하부구조간에 독립적인 인터페이스로서 동작할 수 있다.

따라서, 파일, 오피스 문서, 이메일 및 임의 종류의 디지털 데이터가 서명될 수 있다. 예시적 실시예에 따른 데이터 서명은 예를 들어 서명된 데이터의 끝을 결정하는 서명된 텍스트의 엘리먼트로서 디지털 서명을 내장하는 것을 포함할 수 있다. 서명된 데이터는 수정된 포맷 및 데이터의 추가로 인해 서명이 손상되는 방지하기 위해 정규화될 수 있다. 사용자측 하부구조를 갖지 않는 일반 문서 인증 시스템을 정의하기 위한 공개키 리포지토리를 갖는 DKIM, 도메인키 및 임의의 적합한 체계를 포함하는 표준 서명 체계가 링크될 수 있다. 디지털 서명은 서명 컴퓨터 디바이스 및 사용자 익명 식별자와 링크될 수 있고, 및/또는 디지털 서명은 다수의 문서 버전을 추적할 수 있도록 하는 문서 고유 식별자와 링크될 수 있다. 디지털 서명은 문서 버전을 추적할 수 있도록 하기 위해 문서의 서명 날짜와 링크될 수 있다. 공개 문서 서명 리포지토리는 문서에 대한 글로벌 익명 추적 시스템뿐만 아니라 로컬 날짜 및/또는 시간에 대해 고려함이 없이 임의의 서명에 대해 이중으로 검사할 수 있도록 한다.

상기 설명한 실시예들은 본원에 대한 예시적인 예들이고 본원은 이 특정한 실시예들로 한정되는 것으로 이해되지 않아야 한다. 당업자는 첨부된 특허 청구범위에 장의된 바와 같은 본원의 사상 및 범위로부터 벗어나지 않고 다양한 변경 및 수정을 행할 수 있다. 예를 들어, 상이한 예시적인 실시예들의 구성요소 및/또는 특징들은 본원의 개시내용의 범위 및 첨부된 특허 청구범위내에서 서로 조합될 수 있고 및/또는 서로가 서로를 대체할 수 있다. 또한, 본원의 개시내용, 도면 및 첨부된 특허 청구범위를 읽은 후 당업자에게 명백할 수 있는 개선 및 수정들은 본원의 사상 및 범위내에 속하는 것이라 생각된다.

Claims

컴퓨터 디바이스를 사용한 데이터 통신 방법에 있어서,
제 1 통신 프로토콜의 정의를 포함하는 데이터 통신 컴포넌트의 제 1 버전을 업그레이드할 것인 지의 여부를 결정하는 것;
상기 데이터 통신 컴포넌트의 제 1 버전을 업그레이드할 것으로 결정된 경우 보안 서버에 접속하는 것;
인증 검사를 수행하는 것;
상기 인증 검사가 성공한 경우 적어도 제 2 통신 프로토콜의 정의를 포함하는 상기 데이터 통신 컴포넌트의 제 2 버전을 포함하는 패키지를 상기 보안 서버로부터 수신하는 것;
패키지에 내장된 디지털 서명이 유효한 지의 여부를 결정하는 것;
상기 디지털 서명이 유효한 경우 상기 데이터 통신 컴포넌트의 제 2 버전을 설치하는 것;
상기 데이터 통신 컴포넌트의 제 2 버전을 실행하는 것; 및
상기 데이터 통신 컴포넌트의 제 2 버전과 상기 제 2 통신 프로토콜을 이용하여 데이터 통신을 수행하는 것
을 포함하는 것인, 컴퓨터 디바이스를 사용한 데이터 통신 방법.
제1 항에 있어서, 상기 데이터 통신 컴포넌트의 제 1 버전을 업그레이드할 것인 지의 여부를 결정하는 것은,
상기 데이터 통신 컴포넌트의 제 1 버전의 이전 실행 시점으로부터 현재 시점까지 경과한 시간을 결정하는 것,
상기 경과 시간과 미리결정된 트리거 시간값을 비교하는 것, 및
상기 경과 시간이 상기 트리거 시간값과 같은 경우 또는 큰 경우에 상기 보안 서버에 연결하는 것
을 포함하는 것인, 컴퓨터 디바이스를 사용한 데이터 통신 방법.
제2 항에 있어서, 상기 경과 시간과 미리결정된 트리거 시간값을 비교하는 것은, 네트워크 타임 프로토콜을 이용한 현재 시간의 결정을 포함하는 것인, 컴퓨터 디바이스를 사용한 데이터 통신 방법.
제1 항에 있어서,
상기 인증 검사가 성공하지 않거나 상기 디지털 서명이 유효하지 않은 경우에 경보를 발생하는 것과,
상기 발생된 경보를 상기 컴퓨터 디바이스의 사용자, 또는 상기 보안 서버의 사용자, 또는 조사 서버중 적어도 하나에 전송하는 것
을 더 포함하는 것인, 컴퓨터 디바이스를 사용한 데이터 통신 방법.
제1 항에 있어서,
상기 보안 서버의 주소는 직접 IP 주소의 풀에 위치될 수 있고,
상기 직접 IP 주소의 풀은 상기 보안 통신 컴포넌트의 제 1 버전에 저장되는 것인, 컴퓨터 디바이스를 사용한 데이터 통신 방법.
제1 항에 있어서, 상기 인증 검사는 제로 지식 프로토콜, SSL 인증서 또는 비대칭 암호화 기술 중 적어도 하나를 사용하는 것을 포함하는 것인, 컴퓨터 디바이스를 사용한 데이터 통신 방법.
제1 항에 있어서, 상기 패키지는 상기 데이터 통신 컴포넌트의 제 2 버전의 적어도 하나의 종속물을 더 포함하는 것인, 컴퓨터 디바이스를 사용한 데이터 통신 방법.
제1 항에 있어서, 상기 데이터 통신 컴포넌트의 제 2 버전은 상기 데이터 통신 컴포넌트의 제 1 버전의 소스 코드의 수정본을 포함할 수 있고, 이 수정본은 소스 코드 레벨의 폴리모프(polymorph) 엔진에 의해 생성되는 것인, 컴퓨터 디바이스를 사용한 데이터 통신 방법.
제8 항에 있어서, 상기 소스 코드 레벨의 폴리모프 엔진은, 비기능적 명령어를 이용한 노이즈의 삽입, 변수의 내장, 수학적 함수의 내장, 값의 내장, 점프의 삽입, 시간 시프팅 지연의 삽입, 상기 소스 코드의 무작위적 재순서화, API 및 호출 래핑에 대한 레퍼런스의 삽입, 트레이서 검출 코드의 삽입, 서브쓰레드 생성기의 삽입, 페이크 코드의 삽입, 또는 자동 보호 시스템의 삽입 중 적어도 하나를 수행하는 것인, 컴퓨터 디바이스를 사용한 데이터 통신 방법.
컴퓨터 디바이스를 사용하여 데이터 통신 컴포넌트의 제2 버전을 생성하기 위한 방법에 있어서,
난수의 풀을 생성하는 것;
암호화 키의 풀을 생성하는 것;
상기 난수의 풀을 이용하여 데이터 통신 컴포넌트의 제1 버전의 소스 코드를 수정하는 것;
등가 함수 라이브러리를 링크시키는 것;
상기 수정된 소스 코드를 컴파일하는 것;
상기 컴파일된 소스 코드를 보호하는 것;
상기 컴파일되고 보호된 소스 코드에 서명하는 것; 및
종속물들을 내장시키는 것
을 포함하는 것인, 컴퓨터 디바이스를 사용한 데이터 통신 컴포넌트의 제2 버전 생성 방법.
제10 항에 있어서, 상기 데이터 통신 컴포넌트의 제 2 버전은 상기 데이터 통신 컴포넌트의 제1 버전의 소스 코드의 수정본을 포함하고,
이 수정본은 소스 코드 레벨의 폴리모프 엔진에 의해 생성되는 것인, 컴퓨터 디바이스를 사용한 데이터 통신 컴포넌트의 제2 버전 생성 방법.
제11 항에 있어서, 상기 소스 코드 레벨의 폴리모프 엔진은, 비기능성 명령어를 이용한 노이즈의 삽입, 변수의 내장, 수학적 함수의 내장, 값의 내장, 점프의 삽입, 시간 시프팅 지연의 삽입, 상기 소스 코드의 무작위적 재순서화, API 및 호출 래핑에 대한 레퍼런스의 삽입, 트레이서 검출 코드의 삽입, 서브쓰레드 생성기의 삽입, 페이크 코드의 삽입, 또는 자동 보호 시스템의 삽입 중 적어도 하나를 수행하는 것인, 컴퓨터 디바이스를 사용한 데이터 통신 컴포넌트의 제2 버전 생성 방법.
제10 항에 있어서, 상기 보호하는 것은 이진 레벨 코드 보호기에 의해 수행되고,
상기 이진 레벨 코드 보호기는 이진 레벨의 폴리모프 엔진을 포함하는 것인, 컴퓨터 디바이스를 사용한 데이터 통신 컴포넌트의 제2 버전 생성 방법.
제13 항에 있어서, 상기 이진 레벨의 폴리모프 엔진은, 코드 보호 함수의 주입, 안티트레이서의 주입, 안티디버거 트랩의 주입, 이진 코드의 압축, 이진 코드의 암호화, 헤더 재기록, 리소스 재기록 또는 로더 재기록 중 적어도 하나를 수행하는 것인, 컴퓨터 디바이스를 사용한 데이터 통신 컴포넌트의 제2 버전 생성 방법.
제10 항에 있어서, 상기 컴파일되고 보호된 소스 코드에 서명하는 것은 에디터의 개인키로 서명하는 것을 포함하는 것인, 컴퓨터 디바이스를 사용한 데이터 통신 컴포넌트의 제2 버전 생성 방법.
제10 항에 있어서, 상기 종속물들은 안티멀웨어 데이터베이스, 수정, 기타 프로세스의 갱신된 요소 중 적어도 하나를 포함하는 것인, 컴퓨터 디바이스를 사용한 데이터 통신 컴포넌트의 제2 버전 생성 방법.
컴퓨터 디바이스를 사용한 데이터 통신 방법에 있어서,
전자 통신정보에 내장된 링크(상기 링크는 적어도 하나의 타겟 로케이션 식별자를 포함함)가 사용자에 의해 선택되는 경우 데이터 통신정보를 인터셉트 하는 것,
상기 전자 통신정보를 디스플레이하는 데에 사용된 애플리케이션의 유형을 결정하는 것, 및
상기 애플리케이션의 유형이 웹메일 도메인내의 웹 브라우저 소프트웨어 애플리케이션 또는 전자 통신정보 판독기 애플리케이션 중의 하나인 경우에,
상기 전자 통신정보의 주제를 추출하는 것,
상기 전자 통신정보의 내용을 추출하는 것,
상기 전자 통신정보를 분석하는 것,
상기 추출된 주제 및 내용을 분석하는 것,
상기 선택된 링크를 분석하는 것,
상기 전자 통신정보의 휴먼 팩터를 분석하는 것,
상기 전자 통신정보에 대한 분석, 상기 추출된 주제 및 내용에 대한 분석, 상기 선택된 링크에 대한 분석, 및 상기 휴먼 팩터에 대한 분석에 기초하여 위험 인자를 결정하는 것, 및
상기 결정된 위험 인자의 값에 기초하여 유효 위치 또는 상기 링크에 의해 식별된 타겟 로케이션 중의 하나로 사용자를 안내(direct)하는 것
을 포함하는 것인, 컴퓨터 디바이스를 사용한 데이터 통신 방법.
제17 항에 있어서, 상기 전자 통신정보의 주제 또는 내용 중 적어도 하나를 추출하는 것은 문서 객체 모델을 분석하는 것을 포함하는 것인, 컴퓨터 디바이스를 사용한 데이터 통신 방법.
제17 항에 있어서, 상기 전자 통신정보를 분석하는 것은 상기 선택된 링크가 전자 이메일 문서에 내장되어 있는 지에 대한 결정, 상기 전자 통신정보에서의 적어도 하나의 이미지의 위치 및 크기의 검출, 상기 전자 통신정보의 가시적 및 비가시적 요소의 검출, 상기 전자 통신정보의 텍스트, 영역, 및 구역 중의 하나에 대한 전경색 및 배경색간의 거리의 계산, 또는 내장된 화상 인식 알고리즘을 이용한 상기 전자 통신정보에 포함된 이미지의 분석 중 적어도 하나를 포함하는 것인, 컴퓨터 디바이스를 사용한 데이터 통신 방법.
제17 항에 있어서, 상기 전자 통신정보의 주제 및 내용을 분석하는 것은 상기 전자 통신정보에 포함된 워드를 분석하는 것, 피싱 통신에서 흔히 사용되는 워드의 양에 대한 결정, 상기 전자 통신정보에 포함된 텍스트 참조 링크를 분석하는 것, 또는 상기 전자 통신정보의 포맷을 분석하는 것 중 적어도 하나를 포함하는 것인, 컴퓨터 디바이스를 사용한 데이터 통신 방법.
제17 항에 있어서, 상기 선택된 링크를 분석하는 것은 인코딩된 링크의 검출, 도메인 재안내 검출, 최상위 레벨 도메인 검출, 스푸핑된(spoofed) 링크의 검출, 하위 재안내된 링크의 검출, 부적절하게 포맷팅된 링크의 정렬, 사용자이름 스푸핑의 검출, 직접 IP 링크의 검출, 보호된 타겟의 검출, 철자가 잘못된 링크의 검출, 텍스춰 링크의 음성적 의미의 검출, 동반자 링크의 검출, 공지된 도메인의 검출, 무료 호스팅 서비스의 검출, 위험한 지리적 지역의 검출, 또는 로컬 호스트 파일에 의한 은닉된 재안내를 검사하는 것들 중 적어도 하나를 포함하는 것인, 컴퓨터 디바이스를 사용한 데이터 통신 방법.
제17 항에 있어서, 상기 링크에서 식별된 상기 타겟 로케이션을 분석하는 것을 더 포함하는 것인, 컴퓨터 디바이스를 사용한 데이터 통신 방법.
제17 항에 있어서, 상기 사용자를 유효 위치로 안내하는 것은 보호 필드 딕셔너리로부터 디폴트 유효 위치 링크를 획득하는 것을 포함하는 것인, 컴퓨터 디바이스를 사용한 데이터 통신 방법.
컴퓨터 디바이스를 사용한 인증서 생성 방법에 있어서,
서버에서 인증을 위한 요청을 수신하는 것;
외부 검증을 수행하는 것;
적어도 하나의 요청된 옵션을 이용하여 상기 인증서를 생성하는 것;
개인키를 이용하여 상기 인증서에 서명하는 것
을 포함하고, 상기 서버는 상기 서버의 TCP/IP 주소와 상기 서버의 완전하고 자격을 갖춘 도메인 이름(FQDN; fully qualified domain name)에 의해 식별되는 것인, 컴퓨터 디바이스를 사용한 인증서 생성 방법.
컴퓨터 디바이스를 사용한 인증서 이용 방법에 있어서,
적어도 하나의 웹사이트를 호스팅하는 서버에 질의하는 것;
상기 서버의 보호를 결정하기 위해 내부 함수에 대한 호출을 개시시키는 것;
인증서를 다운로드하는 것;
공개키를 사용하여 상기 인증서의 진정성을 검증하는 것;
상기 인증서가 진정한 것으로 검증된 경우 적어도 하나의 인증서 필드를 추출하는 것;
상기 서버로부터 수신된 데이터의 해쉬 코드 또는 디지털 서명 중 적어도 하나를 계산하는 것;
적어도 하나의 인증서 필드와, 상기 수신된 데이터의 해쉬 코드 또는 상기 디지털 서명 중 적어도 하나를 비교하는 것; 및
상기 비교의 결과에 기초하여 상기 웹사이트가 유효한 지를 결정하는 것
을 포함하는 것인, 컴퓨터 디바이스를 사용한 인증서 이용 방법.