WO2010008123A1 - 피싱공격 방지 방법 - Google Patents

피싱공격 방지 방법 Download PDF

Info

Publication number
WO2010008123A1
WO2010008123A1 PCT/KR2009/000816 KR2009000816W WO2010008123A1 WO 2010008123 A1 WO2010008123 A1 WO 2010008123A1 KR 2009000816 W KR2009000816 W KR 2009000816W WO 2010008123 A1 WO2010008123 A1 WO 2010008123A1
Authority
WO
WIPO (PCT)
Prior art keywords
plug
web
web server
web page
key
Prior art date
Application number
PCT/KR2009/000816
Other languages
English (en)
French (fr)
Inventor
양대헌
김주현
Original Assignee
인하대학교 산학협력단
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 인하대학교 산학협력단 filed Critical 인하대학교 산학협력단
Publication of WO2010008123A1 publication Critical patent/WO2010008123A1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F15/00—Digital computers in general; Data processing equipment in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1483—Countermeasures against malicious traffic service impersonation, e.g. phishing, pharming or web spoofing
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/51—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems at application loading time, e.g. accepting, rejecting, starting or inhibiting executable software based on integrity or source reliability
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2119—Authenticating web pages, e.g. with suspicious links

Definitions

  • the present invention relates to a phishing attack prevention method, and more specifically, after displaying a thumbnail image and an original image received from a web server on a tray and a web page, respectively, a user compares the thumbnail image with the original image.
  • the present invention relates to a phishing attack prevention method that can block a phishing site using a JavaScript function by directly checking whether the current web page is a phishing site.
  • Phishing is a fraudulent technique that steals a person's authentication number, credit card number, account information, etc., disguised as a website of a financial institution, or an e-mail sent therefrom.
  • a typical phishing technique involves indiscriminately sending an e-mail with the sender's name as the window address of a financial institution.
  • the body of the e-mail contains a notice and a link to a website that prompts the user to enter personal information. Clicking the link displays a regular website of the financial institution and a pop-up window for entering personal information.
  • the site displayed in the main window is real, but the popup page is fake.
  • the method was used to determine whether a phishing site prevention program is a phishing site, not a method of identifying a phishing site on its own. In this way, if the window that tells you that it is not a phishing site is faked using JavaScript, that is, when a fake window is created, it is difficult for the general public to distinguish it, and the user is exposed to a phishing attack. There is this. In fact, phishing sites that deceive users by copying pop-up windows of commercial phishing site prevention programs and outputting them on the screen are increasing, and thus, a preventive measure is required.
  • the present invention has been proposed to solve the above problems of the conventionally proposed methods, and after displaying the thumbnail and original image received from the web server on the tray and web page of the web page,
  • the purpose of this article is to provide a phishing attack prevention method that can block the phishing site by using JavaScript function by directly checking whether the current web page is a phishing site by comparing the original image with the original image.
  • Phishing attack prevention method for achieving the above object
  • step (1) is
  • a hash value (H (Spage)) for the received web page and a hash value (H (Cpage)) for the web page owned are compared with the thumbnail image to be displayed in the tray from the web server. Doing;
  • step b the original image can be requested through a method in the web page code.
  • step a More preferably, before step a,
  • the web server generates a web page and a session ID and transmits the generated web page to the web browser, hashes the generated web page, and generates the generated session ID and the hash value (H) in a web page. Storing in a database together with the Internet Protocol (IP) of the web browser requesting the request;
  • IP Internet Protocol
  • the encrypted session After generating a session key SK to be shared by the plug-in with the web server and encrypting the generated session key with the plug-in unique key (PluginKey) shared with the web server, the encrypted session Generates a message authentication code (MAC) using a key, a plug-in unique ID (PluginID), and a session ID received from the web server, and sends the message authentication code (MAC) to the web server together with the encrypted session key, plug-in unique ID (PluginID) and session ID. Transmitting; And
  • the web server checks the received message authentication code and if there is a problem, transmits an image notifying the plug-in, and if there is no error, the received encrypted session key uses the plug-in unique key for the plug-in. And encrypting the reduced image to be displayed on the tray of the web page using the decrypted session key together with the hash value (H (Space)) for the web page stored in the database and transmitting the encrypted image to the plug-in. can do.
  • a hash value of the web page and the session key transmitted to the web browser the name of the original image for the reduced image sent to the web browser (H (Spage
  • the plug-in In the web browser, the plug-in generates a plug-in unique key (PluginKey) to be used by the plug-in, encrypts the generated plug-in unique key using the public key used by the web server in distributing the plug-in, and then uses the web server. Transmitting to;
  • PluginKey plug-in unique key
  • the web server may further include storing the plug-in unique ID together with the plug-in unique key in the database.
  • the user after displaying the thumbnail image and the original image received from the web server on the tray and the web page of the web page, the user by comparing the thumbnail image and the original image By directly checking whether a web page is a phishing site, you can block phishing sites that take advantage of JavaScript.
  • FIG. 1 is a diagram illustrating an encryption key and an image exchange protocol between a web browser and a web server according to an embodiment of the present invention.
  • FIG. 2 is a diagram illustrating an encryption key and an image exchange protocol between a web browser and a web server performed at first execution after installing a plug-in according to an embodiment of the present invention.
  • FIG. 3 is a view showing an example screen according to an embodiment of the present invention.
  • Plug-in ID The unique ID given to the plug-in on the client (web browser).
  • Plug-in Key The unique key given to the plug-in on the client (web browser).
  • SSID Session ID passed from the web server to the client (web browser)
  • SK_E Session key shared by web server and client (web browser)
  • SK_MAC Session key for MAC shared by web server and client (web browser)
  • Cpage Login page sent by web server to client (web browser)
  • FIG. 1 is a diagram illustrating an encryption key and an image exchange protocol between a web browser and a web server according to an embodiment of the present invention.
  • a phishing attack prevention method according to an embodiment of the present invention is implemented by an encryption key and an image exchange process between a web browser and a web server.
  • Phishing attack prevention method according to an embodiment of the present invention may be composed of the following processes.
  • the web server When a user requests a web page through a web browser, the web server generates a web page and a session ID to be sent to the web browser in FIG. 1 (step 1).
  • the generated web page is hashed to calculate a hash value (H (Spage)), and the calculated hash value is stored in a database together with the session ID and the Internet Protocol (IP) of the web browser that requested the web page.
  • the web server transmits a web page (Cpage) and a session ID to the web browser, as shown in FIG. 1.
  • the web browser receives the web page generated from the web server and receives the session ID through the cookie.
  • the web page sent from the web server contains the code to run the plug-in, and as a result, the plug-in is executed.
  • the plug-in generates a session key (SK) to be shared with a web server.
  • the generated session key is encrypted using the unique key of the plug-in shared with the web server, and then transmitted along with the unique ID of the plug-in, the session ID received from the web server, and the message authentication code.
  • the message authentication code MAC is generated using the session key SK based on the encrypted session key, the unique ID of the plug-in, the session ID, and the hash value of the web page, as shown in FIG.
  • FIG. 2 is a diagram illustrating an encryption key and an image exchange protocol between a web browser and a web server performed at the first execution after installing a plug-in according to an embodiment of the present invention.
  • a unique key (Pluginkey) to be used by the user is generated in (Step 1) of FIG. 2, encrypted using the public key used when the plug-in is distributed by the web server, and then transmitted to the web server. .
  • the web server decrypts it with the private key, stores it in the database along with the unique ID (PluginID) generated by the web server, and sends the unique ID (PluginID) to the plug-in.
  • the plug-in and the web server can share the plug-in unique key and the plug-in unique ID.
  • the web server first checks the message authentication code (MAC) received from the plug-in and sends an image notifying the plug-in if there is a problem. If there is no error in the message authentication code (MAC), the web server restores the encrypted session key received from the plug-in using the plug-in unique key (PluginKey) specified in the plug-in ID stored in the web server. Using the key, the thumbnail image to be displayed in the tray of the web page is transmitted to the plug-in together with the hash value H (Spage) of the web page stored in the database. In addition, the web server renames the original image for the thumbnail image sent to the plug-in to the name hashed by Spage and the session key (SK) (Image.bmp-> H (Spage
  • SK session key
  • the plug-in first decrypts the content received from the web server using a session key, and then compares H (Spage) among the decrypted contents with H (Cpage). As a result of the comparison, if H (Spage) and H (Cpage) are the same, since the correct contents are received from the web server, the image received from the web server is displayed in the tray of the web page.
  • the web page code requests the original image (H (Spage
  • the original image to be requested is a picture to be displayed on a web page, which was generated in the web server in step 3 as described above.
  • the web server Since the web server already has H (Spage
  • FIG. 3 is a diagram illustrating an example screen according to an embodiment of the present invention.
  • the left web page of FIG. 3 represents a normal web page
  • the right web page represents an abnormal web page, that is, a phishing site.
  • the reduced image to be displayed in the tray of the web page and the original image to be displayed in the web page are the same image, so that the user can easily confirm that the normal site.
  • a no picture display or a warning image is displayed in place of the original image to be displayed in the web page, so that the user can easily identify the phishing site.
  • the present invention allows a user to directly judge a phishing site by comparing images. Instead of using a pop-up method, a program on his computer shows an image directly by using a balloon help function among functions of a tray. At the same time, the reliability of the HTML code is guaranteed while comparing the HTML code from the web server through the hash process. In addition, the present invention improves the reliability of security by using the browser control of the plug-in and various encryption algorithms.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • Computing Systems (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Information Transfer Between Computers (AREA)
  • Storage Device Security (AREA)

Abstract

본 발명은 피싱공격 방지 방법에 관한 것으로서, 보다 구체적으로는 (1) 웹 브라우저에서, 웹 서버로부터 전송받은 축소 이미지와 원본 이미지를 각각 웹 페이지의 트레이와 웹 페이지에 표시하는 단계; 및 (2) 사용자로 하여금 상기 축소 이미지와 상기 원본 이미지를 비교하도록 함으로써, 현재 웹 페이지가 피싱 사이트인지 여부를 확인하는 단계를 포함하는 것을 그 구성상의 특징으로 한다. 본 발명에서 제안하고 있는 피싱공격 방지 방법에 따르면, 웹 서버로부터 전송받은 축소 이미지와 원본 이미지를 각각 웹 페이지의 트레이와 웹 페이지에 표시한 후, 사용자로 하여금 축소 이미지와 원본 이미지를 비교하는 것에 의해 현재 웹 페이지가 피싱 사이트인지 여부를 직접 확인하도록 함으로써, 자바 스크립트의 기능을 활용한 피싱 사이트를 원천적으로 차단할 수 있다.

Description

[규칙 제26조에 의한 보정 28.10.2009]　피싱공격 방지 방법
본 발명은 피싱공격 방지 방법에 관한 것으로서, 보다 구체적으로는 웹 서버로부터 전송받은 축소 이미지와 원본 이미지를 각각 웹 페이지의 트레이와 웹 페이지에 표시한 후, 사용자로 하여금 축소 이미지와 원본 이미지를 비교하는 것에 의해 현재 웹 페이지가 피싱 사이트인지 여부를 직접 확인하도록 함으로써, 자바 스크립트의 기능을 활용한 피싱 사이트를 원천적으로 차단할 수 있는 피싱공격 방지 방법에 관한 것이다.
피싱(phishing)이란, 금융기관 등의 웹사이트나 거기서 보내온 메일로 위장하여 개인의 인증번호나 신용카드번호, 계좌정보 등을 빼내 이를 불법적으로 이용하는 사기 수법을 말한다. 대표적인 피싱 수법으로는, 이메일의 발신자 이름을 금융기관의 창구 주소로 한 메일을 무차별적으로 보내는 것이 있다. 메일 본문에는 개인정보를 입력하도록 촉구하는 안내문과 웹사이트로의 링크가 기재되어 있는데, 링크를 클릭하면 그 금융기관의 정규 웹사이트와 개인정보입력용 팝업 윈도가 표시된다. 메인 윈도우에 표시되는 사이트는 진짜이지만, 팝업 페이지는 가짜이다. 진짜를 보고 안심한 사용자가 팝업에 표시된 입력란에 인증번호나 비밀번호, 신용카드번호 등의 비밀을 입력·송신하면 피싱을 하려는 자에게 정보가 송신된다. URL에 사용되는 특수한 서식을 이용하여, 마치 진짜 도메인에 링크되어 있는 것처럼 보이게 하거나, 팝업 윈도우의 어드레스 바를 비표시로 하는 등 교묘한 수법을 이용하고 있어 피해자가 속출하고 있다.
기존의 피싱공격 방지 방법의 경우, 사용자가 스스로 피싱 사이트를 구별하는 방법이 아닌 피싱 사이트 방지 프로그램이 피싱 사이트인지 여부를 판단해주는 방식이었다. 이와 같은 방식에서는, 피싱 사이트가 아님을 알려주는 창을 자바스크립트를 이용하여 위조할 경우, 즉 가짜 창을 만들 경우, 일반인인 사용자가 구별하기가 쉽지 않아 사용자가 피싱공격에 그대로 노출될 수밖에 없다는 문제점이 있다. 실제로, 시중의 피싱 사이트 방지 프로그램의 팝업창을 그대로 복사하여 화면에 출력하는 방식으로 사용자를 속이는 피싱 사이트도 증가하고 있기에, 이에 대한 방지책이 요구된다.
본 발명은 기존에 제안된 방법들의 상기와 같은 문제점들을 해결하기 위해 제안된 것으로서, 웹 서버로부터 전송받은 축소 이미지와 원본 이미지를 각각 웹 페이지의 트레이와 웹 페이지에 표시한 후, 사용자로 하여금 축소 이미지와 원본 이미지를 비교하는 것에 의해 현재 웹 페이지가 피싱 사이트인지 여부를 직접 확인하도록 함으로써, 자바 스크립트의 기능을 활용한 피싱 사이트를 원천적으로 차단할 수 있는 피싱공격 방지 방법을 제공하는 것을 그 목적으로 한다.
상기한 목적을 달성하기 위한 본 발명의 특징에 따른 피싱공격 방지 방법은,
(1) 웹 브라우저에서, 웹 서버로부터 전송받은 축소 이미지와 원본 이미지를 각각 웹 페이지의 트레이와 웹 페이지에 표시하는 단계; 및
(2) 사용자로 하여금 상기 축소 이미지와 상기 원본 이미지를 비교하도록 함으로써, 현재 웹 페이지가 피싱 사이트인지 여부를 확인하는 단계를 포함하는 것을 그 구성상의 특징으로 한다.
바람직하게는, 상기 단계 (1)은,
a. 상기 웹 브라우저에서, 상기 웹 서버로부터 트레이에 표시할 축소 이미지와 함께 전송받은 웹 페이지에 대한 해시 값(H(Spage))과 자신이 가지고 있는 웹 페이지에 대한 해시 값(H(Cpage))을 비교하는 단계;
b. 상기 웹 브라우저에서, 상기 비교 결과, H(Cpage)와 H(Spage)가 동일하면 상기 웹 서버로부터 전송받은 축소 이미지를 웹 페이지의 트레이에 표시하고, 상기 웹 서버로 원본 이미지를 요청하는 단계; 및
c. 상기 웹 브라우저에서, 상기 웹 서버로부터 전송받은 상기 원본 이미지를 웹 페이지에 표시하는 단계를 포함하는 것을 그 구성상의 특징으로 한다.
더욱 바람직하게는, 상기 단계 b에서, 웹 페이지 코드 내에 있는 메서드를 통하여 원본 이미지를 요청할 수 있다.
더욱 바람직하게는, 상기 단계 a 이전에,
(가) 상기 웹 브라우저에서, 상기 웹 서버로 웹 페이지를 요청하는 단계;
(나) 상기 웹 서버에서, 웹 페이지 및 세션 아이디를 생성하여 상기 웹 브라우저로 전송하고, 생성된 상기 웹 페이지를 해시하며, 생성된 상기 세션 아이디 및 상기 해시 값(H(Space))을 웹 페이지를 요청한 상기 웹 브라우저의 IP(Internet Protocol)와 함께 데이터베이스에 저장하는 단계;
(다) 상기 웹 브라우저에서, 수신한 웹 페이지에 포함된 코드에 의하여 플러그인(Plugin)을 실행시키는 단계;
(라) 상기 웹 브라우저에서, 플러그인이 웹 서버와 공유할 세션 키(SK)를 생성하고 생성된 상기 세션 키를 웹 서버와 공유하는 플러그인 고유키(PluginKey)를 이용하여 암호화한 후, 암호화된 세션 키, 플러그인 고유 아이디(PluginID), 상기 웹 서버로부터 전송받은 세션 아이디를 이용하여 메시지 인증 코드(MAC)를 생성하여, 암호화된 세션 키, 플러그인 고유 아이디(PluginID) 및 세션 아이디와 함께 상기 웹 서버로 전송하는 단계; 및
(마) 상기 웹 서버에서, 전송받은 메시지 인증 코드를 확인하여, 이상이 있으면 상기 플러그인으로 오류를 알리는 이미지를 전송하고, 이상이 없으면 전송받은 암호화된 세션 키를 상기 플러그인에 대한 플러그인 고유키를 이용하여 복호화한 후, 복호화된 세션 키를 이용하여 웹 페이지의 트레이에 표시할 축소 이미지를 데이터베이스에 저장된 상기 웹 페이지에 대한 해시 값(H(Space))과 함께 암호화하여 플러그인으로 전송하는 단계를 더 포함할 수 있다.
더더욱 바람직하게는, 상기 단계 (마)에서, 상기 웹 브라우저로 전송한 축소 이미지에 대한 원본 이미지의 이름을 상기 웹 브라우저로 전송한 웹 페이지 및 세션 키를 해시한 값(H(Spage|SK))으로 변경하는 단계를 더 포함할 수 있다.
더더욱 바람직하게는, 플러그인이 처음 설치되는 경우이면, 상기 단계 (다)와 (라) 사이에,
(바) 상기 웹 브라우저에서, 플러그인이 자신이 사용할 플러그인 고유키(PluginKey)를 생성하고, 생성된 상기 플러그인 고유키를 웹 서버가 플러그인 배포 시에 사용한 공개키를 이용하여 암호화한 후, 이를 웹 서버로 전송하는 단계;
(사) 상기 웹 서버에서, 상기 웹 브라우저로부터 전송받은 암호화된 상기 플러그인 고유키를 개인키를 이용하여 복호화한 후, 플러그인 고유 아이디(PluginID)를 생성하여 상기 웹 브라우저로 전송하는 단계; 및
(아) 상기 웹 서버에서, 플러그인 고유 아이디를 플러그인 고유키와 함께 데이터베이스에 저장하는 단계를 더 포함할 수 있다.
본 발명에서 제안하고 있는 피싱공격 방지 방법에 따르면, 웹 서버로부터 전송받은 축소 이미지와 원본 이미지를 각각 웹 페이지의 트레이와 웹 페이지에 표시한 후, 사용자로 하여금 축소 이미지와 원본 이미지를 비교하는 것에 의해 현재 웹 페이지가 피싱 사이트인지 여부를 직접 확인하도록 함으로써, 자바 스크립트의 기능을 활용한 피싱 사이트를 원천적으로 차단할 수 있다.
도 1은 본 발명의 일 실시예에 따른 웹 브라우저와 웹 서버 간의 암호화 키 및 이미지 교환 프로토콜을 나타내는 도면.
도 2는 본 발명의 일 실시예에 따라서, 플러그인 설치 후 첫 실행 시 수행되는 웹 브라우저와 웹 서버 간의 암호화 키 및 이미지 교환 프로토콜을 나타내는 도면.
도 3은 본 발명의 일 실시예에 따른 예시 화면을 나타내는 도면.
<도면 중 주요 부분에 대한 부호의 설명>
플러그인ID: 클라이언트(웹 브라우저)의 플러그인에 주어지는 고유 아이디
플러그인Key: 클라이언트(웹 브라우저)의 플러그인에 주어지는 고유키
SSID: 웹 서버에서 클라이언트(웹 브라우저)에 전달하는 세션 아이디
SK_E: 웹 서버와 클라이언트(웹 브라우저)에서 공유하는 세션 키
SK_MAC: 웹 서버와 클라이언트(웹 브라우저)에서 공유하는 MAC을 위한 세션 키
Cpage: 웹 서버가 클라이언트(웹 브라우저)에게 전송하는 로그인 페이지
Spage: 웹 서버가 클라이언트(웹 브라우저)에게 전송하기 위해 생성한 페이지
H( ): 해시 함수
ESK_E( ): SK_E를 이용한 암호화 함수
MACSK_MAC( ): SK_MAC를 이용한 메시지 인증 코드
이하에서는 첨부된 도면들을 참조하여, 본 발명에 따른 실시예에 대하여 상세하게 설명하기로 한다.
도 1은 본 발명의 일 실시예에 따른 웹 브라우저와 웹 서버 간의 암호화 키 및 이미지 교환 프로토콜을 나타내는 도면이다. 도 1에 도시된 바와 같이, 본 발명의 일 실시예에 따른 피싱공격 방지 방법은, 웹 브라우저와 웹 서버 간의 암호화 키 및 이미지 교환 과정에 의하여 구현된다. 본 발명의 일 실시예에 따른 피싱공격 방지 방법은 다음과 같은 과정들로 구성될 수 있다.
과정 1.
사용자가 웹 브라우저를 통하여 웹 페이지를 웹 서버에 요청하면, 웹 서버는 도 1의 (과정 1)에서 웹 브라우저에 전송할 웹 페이지 및 세션 아이디를 생성한다. 생성된 웹 페이지를 해시하여 해시 값(H(Spage))을 계산하고, 계산된 해시 값을 세션 아이디 및 웹 페이지를 요청한 웹 브라우저의 IP(Internet Protocol)와 함께 데이터베이스에 저장한다. 이 과정에서, 웹 서버는, 도 1에 도시된 바와 같이, 웹 페이지(Cpage)와 세션 아이디를 웹 브라우저로 전송한다.
과정 2.
웹 브라우저는 웹 서버로부터 생성된 웹 페이지를 전송받고, 또한 쿠키를 통하여 세션 아이디를 전송받는다. 웹 서버로부터 전송받은 웹 페이지에는 플러그인을 실행시키는 코드가 포함되어 있으며, 그 결과 플러그인을 실행시기게 된다. 도 1의 (과정 2)에서, 플러그인은 웹 서버와 공유할 세션 키(Session Key; SK)를 생성한다. 생성된 세션 키를 웹 서버와 공유하고 있는 플러그인의 고유키를 이용하여 암호화한 후, 플러그인의 고유 아이디, 웹 서버로부터 전송받은 세션 아이디, 및 메시지 인증 코드와 함께 전송한다. 여기서, 메시지 인증 코드(MAC)는, 도 1에 도시된 바와 같이, 암호화된 세션 키, 플러그인의 고유 아이디, 세션 아이디 및 웹 페이지의 해시 값에 기초하여 세션 키(SK)를 이용하여 생성된다.
플러그인이 웹 서버와 플러그인의 고유 아이디(PluginID), 및 플러그인의 고유키(PluginKey)를 공유하는 과정을 도 2를 참조하여 설명하기로 한다. 도 2는 본 발명의 일 실시예에 따라서, 플러그인 설치 후 첫 실행 시 수행되는 웹 브라우저와 웹 서버 간의 암호화 키 및 이미지 교환 프로토콜을 나타내는 도면이다.
플러그인이 최초로 설치되는 경우에, 도 2의 (과정 1)에서 자신이 사용할 고유키(Pluginkey)를 생성하여 웹 서버에서 플러그인 배포 시에 사용한 공개키를 이용하여 암호화한 후, 이를 웹 서버로 전송한다. 웹 서버는 개인키로 이를 복호화하여, 웹 서버에서 생성한 고유 아이디(PluginID)와 함께 데이터베이스에 저장한 후, 플러그인으로 고유 아이디(PluginID)를 전송한다. 이와 같은 과정을 통하여, 플러그인과 웹 서버는 플러그인 고유키와 플러그인 고유 아이디를 공유할 수 있게 된다.
과정 3.
웹 서버는 우선 플러그인으로부터 받은 메시지 인증 코드(MAC)를 확인하여, 이상이 있으면 플러그인에 오류를 알리는 이미지를 전송하게 된다. 만약, 메시지 인증 코드(MAC)에 이상이 없다면, 웹 서버는 플러그인으로부터 받은 암호화된 세션 키를 웹 서버에 저장되어 있는 플러그인의 아이디에 지정된 플러그인 고유키(PluginKey)를 이용하여 복원하고, 복원된 세션 키 이용하여 웹 페이지의 트레이(tray)에 표시할 축소 이미지를, 데이터베이스에 저장되어 있는 웹 페이지의 해시 값(H(Spage))과 함께 플러그인으로 전송한다. 추가로, 웹 서버는 플러그인으로 전송한 축소 이미지에 대한 원본 이미지의 이름을 Spage와 세션 키(SK)를 해시한 이름으로 변경한다(Image.bmp -> H(Spage|SK)).
과정 4.
플러그인은 도 1의 (과정 4)에서, 먼저 웹 서버로부터 받은 내용을 세션 키를 이용하여 복호화한 후, 복호화한 내용 중 H(Spage)를 자신이 가지고 있는 H(Cpage)와 비교한다. 비교 결과, H(Spage)와 H(Cpage)가 동일하면, 웹 서버로부터 올바른 내용을 받은 것이므로 웹 서버로부터 받은 이미지를 웹 페이지의 트레이에 표시하게 된다. 그리고 웹 페이지 코드 내에 있는 메서드를 통하여 원본 이미지(H(Spage|SK).bmp) 파일을 웹 서버에 요청하게 된다. 요청하는 원본 이미지는 웹 페이지에 표시될 그림이며, 앞서 설명한 바와 같이 과정 3에서 웹 서버에서 생성된 바 있다.
과정 5.
웹 서버는 이미 H(Spage|SK).bmp를 가지고 있으므로 웹 브라우저의 이미지 요청에 응답하게 되고, 이에 따라 웹 브라우저는 정상적인 이미지를 출력하게 된다. 최종적으로, 사용자는 트레이에 표시되는 축소 이미지와 웹 페이지 내에 표시되는 원본 이미지를 비교함으로써, 현재 웹 페이지가 피싱 사이트인지 여부를 직접 판단할 수 있게 된다.
도 3은 본 발명의 일 실시예에 따른 예시 화면을 나타내는 도면이다. 도 3의 좌측 웹 페이지는 정상적인 웹 페이지를 나타내며, 우측 웹 페이지는 비정상적인 웹 페이지, 즉 피싱 사이트를 나타낸다. 도 3의 좌측에 도시된 바와 같이, 정상적인 웹 사이트의 경우, 웹 페이지의 트레이에 표시될 축소 이미지와 웹 페이지 내에 표시될 원본 이미지가 동일한 이미지여서 사용자가 손쉽게 정상적인 사이트임을 확인할 수 있다. 이에 비하여, 도 3의 우측에 도시된 바와 같이, 비정상적인 웹 사이트, 즉 피싱 사이트인 경우, 웹 페이지 내에 표시될 원본 이미지 자리에 그림 없음 표시나 경고 이미지가 표시되어 사용자가 손쉽게 피싱 사이트임을 확인할 수 있다.
이상 설명한 바와 같이, 본 발명은 피싱 사이트를 이미지 비교를 통하여 사용자가 직접 판단하도록 한 것으로서, 팝업 방식을 이용하는 것이 아닌 트레이의 기능 가운데 풍선 도움말 기능을 이용함으로써 자신의 컴퓨터에 있는 프로그램이 직접 이미지를 보여준다는 신뢰감을 주는 동시에, 웹 서버로부터 온 HTML 코드를 해시 과정을 통하여 비교하는 과정에서 HTML 코드에 대한 신뢰성을 보장하게 된다. 또한, 본 발명은, 플러그인의 Browser Control과 각종 암호화 알고리즘을 이용하여 보안의 신뢰성을 높였다.
이상 설명한 본 발명은 본 발명이 속한 기술분야에서 통상의 지식을 가진 자에 의하여 다양한 변형이나 응용이 가능하며, 본 발명에 따른 기술적 사상의 범위는 아래의 특허청구범위에 의하여 정해져야 할 것이다.

Claims (6)

  1. (1) 웹 브라우저에서, 웹 서버로부터 전송받은 축소 이미지와 원본 이미지를 각각 웹 페이지의 트레이와 웹 페이지에 표시하는 단계; 및
    (2) 사용자로 하여금 상기 축소 이미지와 상기 원본 이미지를 비교하도록 함으로써, 현재 웹 페이지가 피싱 사이트인지 여부를 확인하는 단계
    를 포함하는 것을 특징으로 하는 피싱공격 방지 방법.
  2. 제1항에 있어서, 상기 단계 (1)은,
    a. 상기 웹 브라우저에서, 상기 웹 서버로부터 트레이에 표시할 축소 이미지와 함께 전송받은 웹 페이지에 대한 해시 값(H(Spage))과 자신이 가지고 있는 웹 페이지에 대한 해시 값(H(Cpage))을 비교하는 단계;
    b. 상기 웹 브라우저에서, 상기 비교 결과, H(Cpage)와 H(Spage)가 동일하면 상기 웹 서버로부터 전송받은 축소 이미지를 웹 페이지의 트레이에 표시하고, 상기 웹 서버로 원본 이미지를 요청하는 단계; 및
    c. 상기 웹 브라우저에서, 상기 웹 서버로부터 전송받은 상기 원본 이미지를 웹 페이지에 표시하는 단계
    를 포함하는 것을 특징으로 하는 피싱공격 방지 방법.
  3. 제2항에 있어서,
    상기 단계 b에서, 웹 페이지 코드 내에 있는 메서드를 통하여 원본 이미지를 요청하는 것을 특징으로 하는 피싱공격 방지 방법.
  4. 제2항에 있어서, 상기 단계 a 이전에,
    (가) 상기 웹 브라우저에서, 상기 웹 서버로 웹 페이지를 요청하는 단계;
    (나) 상기 웹 서버에서, 웹 페이지 및 세션 아이디를 생성하여 상기 웹 브라우저로 전송하고, 생성된 상기 웹 페이지를 해시하며, 생성된 상기 세션 아이디 및 상기 해시 값(H(Space))을 웹 페이지를 요청한 상기 웹 브라우저의 IP(Internet Protocol)와 함께 데이터베이스에 저장하는 단계;
    (다) 상기 웹 브라우저에서, 수신한 웹 페이지에 포함된 코드에 의하여 플러그인을 실행시키는 단계;
    (라) 상기 웹 브라우저에서, 플러그인이 웹 서버와 공유할 세션 키(SK)를 생성하고 생성된 상기 세션 키를 웹 서버와 공유하는 플러그인 고유키(PluginKey)를 이용하여 암호화한 후, 암호화된 세션 키, 플러그인 고유 아이디(PluginID), 상기 웹 서버로부터 전송받은 세션 아이디를 이용하여 메시지 인증 코드(MAC)를 생성하여, 암호화된 세션 키, 플러그인 고유 아이디(PluginID) 및 세션 아이디와 함께 상기 웹 서버로 전송하는 단계; 및
    (마) 상기 웹 서버에서, 전송받은 메시지 인증 코드를 확인하여, 이상이 있으면 상기 플러그인으로 오류를 알리는 이미지를 전송하고, 이상이 없으면 전송받은 암호화된 세션 키를 상기 플러그인에 대한 플러그인 고유키를 이용하여 복호화한 후, 복호화된 세션 키를 이용하여 웹 페이지의 트레이에 표시할 축소 이미지를 데이터베이스에 저장된 상기 웹 페이지에 대한 해시 값(H(Space))과 함께 암호화하여 플러그인으로 전송하는 단계
    를 더 포함하는 것을 특징으로 하는 피싱공격 방지 방법.
  5. 제4항에 있어서,
    상기 단계 (마)에서, 상기 웹 브라우저로 전송한 축소 이미지에 대한 원본 이미지의 이름을 상기 웹 브라우저로 전송한 웹 페이지 및 세션 키를 해시한 값(H(Spage|SK))으로 변경하는 단계를 더 포함하는 것을 특징으로 하는 피싱공격 방지 방법.
  6. 제4항에 있어서, 플러그인이 처음 설치되는 경우이면, 상기 단계 (다)와 (라) 사이에,
    (바) 상기 웹 브라우저에서, 플러그인이 자신이 사용할 플러그인 고유키(PluginKey)를 생성하고, 생성된 상기 플러그인 고유키를 웹 서버가 플러그인 배포 시에 사용한 공개키를 이용하여 암호화한 후, 이를 웹 서버로 전송하는 단계;
    (사) 상기 웹 서버에서, 상기 웹 브라우저로부터 전송받은 암호화된 상기 플러그인 고유키를 개인키를 이용하여 복호화한 후, 플러그인 고유 아이디(PluginID)를 생성하여 상기 웹 브라우저로 전송하는 단계; 및
    (아) 상기 웹 서버에서, 플러그인 고유 아이디를 플러그인 고유키와 함께 데이터베이스에 저장하는 단계
    를 더 포함하는 것을 특징으로 하는 피싱공격 방지 방법.
PCT/KR2009/000816 2008-07-16 2009-02-20 피싱공격 방지 방법 WO2010008123A1 (ko)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR10-2008-0069341 2008-07-16
KR1020080069341A KR100956452B1 (ko) 2008-07-16 2008-07-16 피싱공격 방지 방법

Publications (1)

Publication Number Publication Date
WO2010008123A1 true WO2010008123A1 (ko) 2010-01-21

Family

ID=41550515

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2009/000816 WO2010008123A1 (ko) 2008-07-16 2009-02-20 피싱공격 방지 방법

Country Status (2)

Country Link
KR (1) KR100956452B1 (ko)
WO (1) WO2010008123A1 (ko)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103685277A (zh) * 2013-12-17 2014-03-26 南京大学 一种浏览器访问网页安全保护系统及方法
WO2015167544A1 (en) * 2014-04-30 2015-11-05 Hewlett-Packard Development Company, Lp Verification request

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101505934B1 (ko) * 2012-12-26 2015-03-25 농협은행(주) 인터넷 금융 서비스의 개인화페이지 제공 방법
KR101940310B1 (ko) * 2013-05-24 2019-01-21 한국전자통신연구원 웹 사이트 검증 장치 및 그 방법
KR101473671B1 (ko) * 2013-06-25 2014-12-17 주식회사 안랩 이미지 비교를 통한 피싱 사이트 탐지 방법 및 장치

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005303553A (ja) * 2004-04-09 2005-10-27 Dainippon Printing Co Ltd シンボル表示プログラム、ブラウザ装置、サーバ、照合装置
KR20050112508A (ko) * 2005-10-21 2005-11-30 한재호 바코드 기술을 이용한 인터넷 사이트 인증강화 방법과 그시스템
US20050283609A1 (en) * 2004-06-17 2005-12-22 Langford Ronald N Authenticating images identified by a software application
JP2007179522A (ja) * 2005-12-01 2007-07-12 Nippon Telegr & Teleph Corp <Ntt> リンク情報検証方法、システム、装置、およびプログラム

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20060019926A (ko) * 2004-08-30 2006-03-06 인천대학교 산학협력단 이미지를 이용한 인증시스템 및 인증방법
KR100616240B1 (ko) * 2004-09-07 2006-10-25 황재엽 피싱 방지 방법
US20080046738A1 (en) * 2006-08-04 2008-02-21 Yahoo! Inc. Anti-phishing agent
KR20070067651A (ko) * 2007-05-09 2007-06-28 한재호 인터넷 사이트 패턴 분석을 통한 피싱방지 방법

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005303553A (ja) * 2004-04-09 2005-10-27 Dainippon Printing Co Ltd シンボル表示プログラム、ブラウザ装置、サーバ、照合装置
US20050283609A1 (en) * 2004-06-17 2005-12-22 Langford Ronald N Authenticating images identified by a software application
KR20050112508A (ko) * 2005-10-21 2005-11-30 한재호 바코드 기술을 이용한 인터넷 사이트 인증강화 방법과 그시스템
JP2007179522A (ja) * 2005-12-01 2007-07-12 Nippon Telegr & Teleph Corp <Ntt> リンク情報検証方法、システム、装置、およびプログラム

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103685277A (zh) * 2013-12-17 2014-03-26 南京大学 一种浏览器访问网页安全保护系统及方法
WO2015167544A1 (en) * 2014-04-30 2015-11-05 Hewlett-Packard Development Company, Lp Verification request
US10277584B2 (en) 2014-04-30 2019-04-30 Hewlett Packard Enterprise Development Lp Verification request

Also Published As

Publication number Publication date
KR100956452B1 (ko) 2010-05-06
KR20100008729A (ko) 2010-01-26

Similar Documents

Publication Publication Date Title
US7562222B2 (en) System and method for authenticating entities to users
US8286225B2 (en) Method and apparatus for detecting cyber threats
US7958555B1 (en) Protecting computer users from online frauds
US8386784B2 (en) Apparatus and method for securely submitting and processing a request
EP3219068B1 (en) Method of identifying and counteracting internet attacks
JP5008851B2 (ja) インターネットの安全性
RU2279186C2 (ru) Система и способ использования безопасности, присущей защищенному коммуникационному каналу, для обеспечения безопасности незащищенного коммуникационного канала
US6510523B1 (en) Method and system for providing limited access privileges with an untrusted terminal
CN102624740B (zh) 一种数据交互方法及客户端、服务器
US8332627B1 (en) Mutual authentication
US8880885B2 (en) Mutual authentication schemes
KR20130031660A (ko) 컨텐츠 이름 기반의 네트워크 장치 및 컨텐츠 이름 생성 방법, 그리고 인증 방법
US20080229109A1 (en) Human-recognizable cryptographic keys
Herzberg Why Johnny can't surf (safely)? Attacks and defenses for web users
CA2762706A1 (en) Method and system for securing communication sessions
CN105657474A (zh) 在视频应用中使用基于身份签名体制的防盗链方法及系统
WO2010008123A1 (ko) 피싱공격 방지 방법
KR101429304B1 (ko) 신뢰되지 않는 기계에 기밀 정보를 입력하기 위한 컴퓨터 구현 방법
JP4698751B2 (ja) アクセス制御システム、認証サーバシステムおよびアクセス制御プログラム
JP4698239B2 (ja) Ｗｅｂサイトの成りすまし検出方法及びプログラム
WO2015009247A1 (en) System for granting web trust seals with detection of ip-address redirection attacks
Xu et al. SDD: A trusted display of FIDO2 transaction confirmation without trusted execution environment
KR101265448B1 (ko) 네트워크 필터 드라이버를 이용한 피싱 사이트 검사방법
Kindberg et al. Authenticating ubiquitous services: a study of wireless hotspot access
WO2005094264A2 (en) Method and apparatus for authenticating entities by non-registered users

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09798026

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 09798026

Country of ref document: EP

Kind code of ref document: A1