크리덴셜 스터핑

크리덴셜 스터핑(credential stuffing)은 데이터 유출로 인해 획득한 사용자 이름 또는 이메일 주소와 해당 암호 목록으로 구성되는 도난당한 계정 자격 증명을 공격자가 수집한 다음, 해당 자격 증명을 사용하여 웹 애플리케이션을 대상으로 대규모 자동 로그인 요청을 통해 다른 시스템의 사용자 계정에 무단으로 접근하는 사이버 공격 유형이다. 자격 증명 크래킹과 달리 크리덴셜 스터핑 공격은 무차별 대입 공격을 사용하거나 암호를 추측하지 않는다. 대신 공격자는 셀레늄, cURL, 팬텀JS 또는 Sentry MBA, SNIPR, STORM, Blackbullet, Openbullet과 같이 이러한 유형의 공격을 위해 특별히 설계된 도구와 같은 표준 웹 자동화 도구를 사용하여 이전에 발견된 수많은(수천에서 수백만 개) 자격 증명 쌍에 대한 로그인을 자동화한다.

크리덴셜 스터핑 공격은 많은 사용자가 여러 사이트에서 동일한 사용자 이름/암호 조합을 재사용하기 때문에 가능하다. 한 설문 조사에 따르면 사용자의 81%가 두 개 이상의 사이트에서 암호를 재사용했으며, 사용자의 25%는 대부분의 계정에서 동일한 암호를 사용하고 있다. 2017년 FTC는 안전한 암호를 요구하고 공격을 방어하는 등 크리덴셜 스터핑에 대해 기업이 취해야 할 특정 조치를 제안하는 권고를 발표했다. 전 구글 클릭 사기 책임자인 슈만 고세마줌더에 따르면 크리덴셜 스터핑 공격은 최대 2%의 로그인 성공률을 보이며, 이는 백만 개의 도난된 자격 증명으로 2만 개 이상의 계정을 탈취할 수 있음을 의미한다. 와이어드 잡지는 크리덴셜 스터핑을 방어하는 가장 좋은 방법은 암호 관리자에 의해 자동으로 생성된 것과 같이 계정마다 고유한 암호를 사용하고, 2요소 인증을 활성화하며, 기업이 크리덴셜 스터핑 공격을 감지하고 막는 것이라고 설명했다.

 자격 증명 유출 
데이터 유출 또는 유출이라고도 하는 자격 증명 유출은 권한 없는 개인 또는 그룹이 조직이 저장하는 중요한 사용자 자격 증명에 불법적으로 액세스할 때 발생한다. 이러한 자격 증명에는 사용자 이름, 이메일 주소 및 암호가 포함되는 경우가 많다. 자격 증명 유출의 결과는 상당할 수 있는데, 이는 일반적으로 사용자에게 신분 도용, 금전적 사기, 무단 계정 침입을 포함한 다양한 위험을 야기하기 때문이다.

크리덴셜 스터핑 공격은 자격 증명 유출의 양으로 인해 웹 및 모바일 애플리케이션에 대한 가장 큰 위협 중 하나로 간주된다. 2016년에만 30억 개 이상의 자격 증명이 온라인 데이터 유출을 통해 유출되었다.

 기원 

이 용어는 당시 국방부의 차관보로 재직했던 Shape Security의 공동 설립자 수밋 아가왈이 만들었다.

 사건 
2018년 8월 20일, 영국 건강 및 미용 소매업체 슈퍼드럭은 해커들이 회사의 사이트에 침입하여 2만 명의 사용자 기록을 다운로드했다는 증거를 보여주며 협박을 시도했다. 증거는 대부분 해킹 및 유출을 통해 얻었으며, 그 후 크리덴셜 스터핑 공격의 출처로 사용되어 가짜 증거를 만들기 위한 정보를 수집했다.

2016년 10월과 11월, 공격자는 이전에 유출된 직원 사용자 이름과 암호를 사용하여 우버(Uber BV 및 Uber UK) 개발자들이 사용하는 비공개 깃허브 저장소에 액세스했다. 해커들은 이메일 주소와 암호가 다른 플랫폼에서 재사용되었기 때문에 크리덴셜 스터핑 방법을 사용하여 12명의 직원 사용자 계정을 탈취했다고 주장했다. 다중 인증 기능은 있었지만 영향을 받은 계정에는 활성화되지 않았다. 해커들은 저장소 파일에서 회사의 AWS 데이터 스토어 자격 증명을 찾아냈고, 이를 사용하여 미국 외 사용자 3200만 명과 미국 외 운전자 370만 명의 기록과 100개 이상의 S3 버킷에 포함된 기타 데이터에 액세스했다. 공격자는 우버에 데이터 삭제에 동의하는 대가로 10만 달러를 요구했다. 회사는 버그 바운티 프로그램을 통해 비용을 지불했지만, 1년 이상 영향을 받은 당사자에게 사건을 공개하지 않았다. 유출 사실이 드러난 후, 회사는 영국 정보 위원회 사무실로부터 38만 5천 파운드(30만 8천 파운드로 감면)의 벌금을 부과받았다.

2019년 사이버 보안 연구 회사 Knight Lion Security는 보고서에서 크리덴셜 스터핑이 GnosticPlayers가 선호하는 공격 방법이라고 주장했다.

 손상된 자격 증명 확인 

손상된 자격 증명 확인은 웹 사이트, 웹 브라우저 또는 암호 확장 프로그램에서 암호가 유출되었을 때 사용자에게 알림을 받을 수 있도록 하는 기술이다.

2018년 2월, 영국 컴퓨터 과학자 주나드 알리는 암호 공개 없이 암호 유출 여부를 익명으로 확인할 수 있는 통신 프로토콜(k-익명성 및 암호화 해시 사용)을 만들었다. 이 프로토콜은 공개 API로 구현되었으며 현재 암호 관리자 및 브라우저 확장 기능을 포함한 여러 웹 사이트 및 서비스에서 사용되고 있다. 이 접근 방식은 이후 구글의 암호 확인 기능으로 재현되었다. 알리는 코넬 대학교의 학자들과 협력하여 FSB(Frequency Smoothing Bucketization) 및 IDB(Identifier-Based Bucketization)로 알려진 새로운 버전의 프로토콜을 개발했다. 2020년 3월, 암호화 패딩이 프로토콜에 추가되었다.

 손상된 자격 증명 확인 구현 

 프로토콜 개발자 공개 일자 참고 자료 k-익명성 Junade Ali (클라우드플레어), Troy Hunt (Have I Been Pwned?) 2018년 2월 21일 Frequency Smoothing Bucketization & Identifier Based Bucketization 코넬 대학교 (Lucy Li, Bijeeta Pal, Rahul Chatterjee, Thomas Ristenpart), 클라우드플레어 (Junade Ali, Nick Sullivan) 2019년 5월 Google Password Checkup (GPC) 구글, 스탠퍼드 대학교 2019년 8월 Active Credential Stuffing Detection 노스캐롤라이나 대학교 채플힐 (Ke Coby Wang, Michael K. Reiter) 2019년 12월

 같이 보기 
 데이터 유출

 각주 

 외부 링크 
 "OWASP 크리덴셜 스터핑 항목"

분류:인증 방법