การวิเคราะห์ปัญหาการทำงานผิดพลาดของกลไกเอชเอสทีเอสและการจู่โจมด้วยการเปลือยเอสเอสแอล Problem Analysis of HSTS Malfunction and SSL Stripping Attack

Abstract

การโจมตีด้วยการเปลือยเอสเอสแอลเป็นหนึ่งในเทคนิคที่รู้จักกันอย่างแพร่หลาย เพื่อโจมตีเว็บไซต์ที่ใช้เอชทีทีพีเอส ดังนั้นกลไกเอชเอสทีเอสจึงได้ถูกนำเสนอและใช้งานเพื่อสยบการโจมตีดังกล่าว แต่อย่างไรก็ตามจากการศึกษาเมื่อไม่นานมานี้หลายงาน ได้แสดงให้ว่าการโจมตีด้วยการเปลือยเอสเอสแอลเดิมสามารถนำมาใช้โจมตีระบบธนาคารออนไลน์ และเว็บอีคอมเมิร์ซได้ผลอีกครั้งแม้มีการตั้งค่าเอชเอสทีเอสแล้วก็ตาม ดังนั้นงานวิจัยนี้จึงทำการตรวจสอบและวิเคราะห์หาเหตุผลเบื้องหลังการทำงานล้มเหลวของกลไกเอชเอสทีเอส และการกลับมาโจมตีได้ใหม่ของการโจมตี ด้วยการเปลือยเอสเอสแอล เพื่อวิเคราะห์ปัญหาได้ทำการทดลองบนเครือข่ายเพื่อการทดสอบต่อเว็บธนาคารออนไลน์ของไทย 11 ธนาคาร ระบบเว็บอีคอมเมิร์ซ 4 เว็บ และเว็บอาสาสมัครอีก 2 เว็บ และยังมีการวิเคราะห์เอชทีทีพีเรสพอนซีพเฮดเดอร์ และวิเคราะห์สคริปต์ที่แฮกเกอร์ใช้ในการจู่โจม ในที่สุด สาเหตุของปัญหาก็ได้รับการวิเคราะห์และแนวทางในแก้ปัญหาได้ถูกเสนอแนะ

SSL stripping attack was one of the most notorious techniques to hack HTTPS websites. So, HTTP Strict Transport Security (HSTS) mechanism had been proposed and deployed to subdue the attack. However, a few recent studies have shown that the old SSL stripping attack could be deployed to effectively attack several on-line banking and e-commerce web sites again even with HSTS configuration. Hence, this paper investigates and analyzes reasons behind the malfunction of HSTS and the return of SSL stripping attacks. To analyze the problem, testbed experiments on 11 Thai online banking, 4 e-commerce websites and 2 volunteer websites, an analysis of HTTP response headers and hacker’s scripts are done. The cause of problems has finally been analyzed and the solutions are suggested.