Wins Security Information

보안 정보

앞 내용 보기 다음 내용 보기
보안 동향유명 이메일 클라이언트에 영향을 미치는 STARTTLS 관련 결함
작성일 2021-08-17 조회 1406

 

 

보안 연구진은 메일 클라이언트와 서버의 기회주의적 암호화 메커니즘과 관련된 최대 40가지 취약성을 공개했는데, 이는 MitM(Man-in-the-middle) 공격의 문을 열 수 있어 침입자가 우편함 콘텐츠를 위조하고 자격 증명을 도용할 수 있도록 허용한다.


다양한 STARTLS 구현에서 확인된 현재 패치가 적용된 결함은 제30회 USENIX 보안 심포지엄에서 Damian Poddebniak, Fabian Ising, Hanno Böck 및 Sebastian Schinzel 연구원 그룹이 상세하게 설명했으며, 연구 기간 동안 실시된 인터넷 전체 스캔에서 32만 대의 전자 메일 서버가 명령 주입 공격에 취약한 것으로 나타났다.


버그의 영향을 받는 유명 클라이언트로는 Apple Mail, Gmail, Mozilla Thunderbird, Claws Mail, Mutt, Evolution, Exim, Mail.ru, Samsung Email, Yandex 및 KMail이 있다.


공격을 수행하려면 악의적인 당사자가 이메일 클라이언트와 공급자의 이메일 서버 간에 설정된 연결을 변조할 수 있고 동일한 서버에 자신의 계정에 대한 로그인 자격 증명을 가지고 있어야 한다.


STARTLS는 SMTP, POP3, IMAP 등의 전자 메일 통신 프로토콜을 암호화된 통신에 별도의 포트를 사용할 필요 없이 일반 텍스트 연결에서 암호화된 연결로 전환하거나 업그레이드할 수 있도록 하는 기회주의적 TLS의 형태를 말한다.


연구진은 "STARTTLS를 통한 연결 업그레이드는 취약하고 여러 보안 취약점과 공격에 취약하다"고 지적하면서 중재자(Meddler-in-the-middle)에게 "서버가 암호화된 연결의 일부인 것처럼 해석할 수 있는" 일반 텍스트 명령 주입을 허용하여 공격자가 SMTP 및 IMAP 프로토콜을 사용해 자격 증명을 훔칠 수 있다고 말했다.


"이메일 클라이언트는 새 이메일을 제출하거나 기존 이메일에 액세스하기 전에 사용자 이름과 비밀번호로 자신을 인증해야 하며, 이러한 연결의 경우 다운그레이드는 사용자 이름과 암호를 공개하고 공격자에게 전자 메일 계정에 대한 전체 액세스 권한을 부여하기 때문에 STARTLS를 통한 TLS로의 전환을 엄격하게 시행해야 한다"고 연구진은 덧붙였다.


사서함 위조를 용이하게 할 수 있는 대체 시나리오에서 TLS 핸드셰이크 전에 STARTTLS 명령에 대한 응답으로 서버 메시지에 추가 콘텐츠를 삽입함으로써 클라이언트가 서버 명령을 암호화된 연결의 일부인 것처럼 처리하도록 속일 수 있어, 연구진은 이 공격을 "반응 주입"이라고 명명했다.


마지막 공격 라인은 이메일 클라이언트가 TCP/IP 연결을 통해 메일 서버에서 이메일 메시지를 검색하는 표준화된 방법을 정의하는 IMAP 프로토콜과 관련이 있으며, 악의적인 행위자는 연결이 이미 외부 수단에 의해 인증되었음을 나타내는 PREAUTH 인사말을 보내 IMAP의 STARTTLS를 우회하여 연결 업그레이드를 방지하고 클라이언트를 암호화되지 않은 연결로 강제할 수 있다.


연구진은 암묵적 TLS가 STARTLS보다 더 안전한 옵션이라고 밝히면서 이메일 서버 및 클라이언트 애플리케이션 개발자에게 기본적으로 암묵적 TLS를 제공하도록 유도하는 것 외에, 사용자가 전용 포트(각각 포트 465, 포트 995 및 포트 993)에서 암시적 TLS와 함께 SMTP, POP3 및 IMAP를 사용하도록 이메일 클라이언트를 구성할 것을 권고하고 있다.


연구원들은 "시연된 공격은 적극적인 공격자가 필요하며 TLS로의 전환을 강제하려는 이메일 클라이언트에 대해 사용될 때 인식될 수 있으며, 일반적인 권장 사항으로 항상 소프트웨어를 업데이트하고 (빠른 연결의 이점을 얻으려면) 암시적 TLS만 사용하도록 이메일 클라이언트를 재구성해야 한다"고 말했다.

 

 

 

출처

https://thehackernews.com/2021/08/dozens-of-starttls-related-flaws-found.html

첨부파일 첨부파일이 없습니다.
태그 STARTTLS