패스워드 매니저 취약점을 이용한 사용자 계정 탈취 방법 = Method of hijacking a user account using a password manager vulnerability

국문 초록 (Abstract)

사용자는 다수의 인터넷 서비스 사용을 위해 각각에 대한 아이디와 패스워드를 갖게 된다. 이는 다수의 아이디와 패스워드를 갖게 됨으로써 관리의 어려움을 발생시키고, 유사한 아이디와 패스워드 사용으로 인해 한 사이트의 정보 유출로 다른 사이트에 위험을 초래할 수도 있다. 이러한 문제 해결을 위해 패스워드 매니저 사용이 늘고 있다. 패스워드 매니저는 사용자 계정 정보를 관리해 줌으로써 사용자에게 관리의 편리함과 취약한 아이디와 패스워드에 대해 보안성을 제공한다. 하지만 패스워드 매니저는 취약점이 존재한다. 본 논문은 관련연구를 바탕으로 안드로이드 환경에서의 패스워드 매니저의 취약점을 분석하고 모든 계정 정보 유출 가능성 여부와 대응방안을 제안한다.

다국어 초록 (Multilingual Abstract)

User has an ID and password for each of the multiple Internet services. This can lead to administrative difficulties by having multiple IDs and passwords, and may cause other sites to be compromised by information leakage from one site due to the use of similar IDs and passwords. Password managers are increasingly used to solve these problems. The password manager manages the user account information to provide the user with the convenience of management and security against vulnerable IDs and passwords. However, a vulnerability exists in the password manager. This paper analyzes vulnerability of password manager in Android environment based on related research and suggests possibility of all account information leakage and countermeasures.

참고문헌 (Reference)

• 1 김수린, "패스워드 매니저의 보안성 분석" 28 (28): 36-42, 2018
• 2 최종원, "안드로이드 구글 계정 앱의 개인정보 유출 취약점 분석" 한국디지털포렌식학회 8 (8): 65-82, 2014
• 3 LI, Zhiwei, "The Emperor's New Password Manager: Security Analysis of Web-based Password Managers" 465-479, 2014
• 4 HUTH, Alexa, "Password security, protection, and management" United States Computer Emergency Readiness Team 2012
• 5 Gasti, Paolo, "On the security of password manager database formats" 770-787, 2012
• 6 "LastPass"
• 7 Shafqat, Narmeen, "Forensic Investigation of User's Web Activity on Google Chrome using various Forensic Tools" 16 (16): 123-, 2016
• 8 "DB Browser for SQlite"