Journal of the Korea Academia-Industrial cooperation Society Vol. 17, No. 11 pp. 148-154, 2016 http://dx.doi.org/10.5762/kais.2016.17.11.148 ISSN 1975-4701 / eissn 2288-4688 SSH 터널링을이용한 CCTV 원격접속보안기법 황기진 1*, 박재표 2, 양승민 3 1 숭실대학교컴퓨터학과, 2 숭실대학교정보과학대학원, 3 숭실대학교컴퓨터학부 Security Technique using SSH Tunneling for CCTV Remote Access GIJIN HWANG 1*, JAEPYO PARK 2, SEUNGMIN YANG 3 1 Division of Computing, Soongsil University 2 Graduated School of Information Sciences, Soongsil University 3 Division of Computing, Soongsil University 요약최근인터넷을통한 CCTV 영상유출사건으로인해, 영상보안문제가중요한화두로떠오르고있다. 한국인터넷진흥원은 "CCTV 개인영상정보보호를위한가이드라인 " 을통해, CCTV 원격접속시암호화된프로토콜사용을권장하고있지만, 아직도다수의제품이이런규칙을지키지않아서해킹과같은보안위협에노출되고있다. 본논문에서는이러한보안취약성문제를해결하기위해서, SSH 터널링기법을사용하여원격지에서접속이가능한 CCTV 시스템을제안하고구현하였다. 시스템은 SSH Secure Shell을사용하여암호화된데이터를전송함으로써, 보안성을강화하였다. 또한터널링기법사용하여방화벽내부에존재하는 CCTV 녹화기로의접근이불가능했던문제를해결하였다. 시스템에대한평가를위해여러가지 CCTV 원격접속기법과보안성에대한비교를하였고, 시스템의효율성에대한실험결과, 전송품질및시간의큰차이없이원격접속이가능함을확인할수있었다. 본논문에서제안하는방법을현장에적용한다면, 해킹의위협으로부터안전한시스템을구성할수있을것이다. Abstract Video security has recently emerged as an important issue owing to CCTV video image spill accidents over the Internet. KISA recommends the use of encryption protocols for remote access through its guidelines for CCTV personal video information protection. But still, many products do not adhere to the guidelines, and those products are easily exposed to security threats, such as hacking. To solve these security vulnerabilities, this paper proposes a CCTV system that connects from remote locations, and is implemented by using secure shell (SSH) tunneling techniques. The system enhances security by transmitting encrypted data by using SSH. By using the tunneling technique, it also solves the problem of not being able to access a CCTV recorder located inside a firewall. For evaluation of the system, this paper compares various CCTV remote access schemes and security. Experimental results on the effectiveness of the system show it is possible to obtain remote access without a significant difference in transmission quality and time. Applying the method proposed in this paper, you can configure a system secure from the threats of hacking. Keywords : CCTV(Closed Circuit Television), Remote Access, Security, SSH, Tunneling 1. 서론 최근외국의한인터넷사이트에서 CCTV 영상유출정보를공개하여전국민적관심을받은적이있다. 다행 히해당사이트는차단이되었지만, CCTV 보안문제에대한경각심을일으키기에는충분한사건이었다. "Table. 1" 은인터넷브라우저에서 CCTV 접속링크관련정보를검색할수있는검색어를카메라제조사별로 * Corresponding Author : Gi-Jin Hwang(Soongsil Univ.) Tel: +82-10-8791-3314 email: gjhwang@realtime.ssu.ac.kr Received August 19, 2016 Accepted November 10, 2016 Revised (1st September 12, 2016, 2nd October 14, 2016) Published November 30, 2016 148
SSH 터널링을이용한 CCTV 원격접속보안기법 나열한예이다. CCTV의보안을위협하는기술은여러가지가있다. 그중해킹을통해사용자 ID 와암호를취득하게된다면, 손쉽게 CCTV를제어할수있고, 영상데이터에대한접근이가능하다. 또한데이터의유출및위 변조가가능해진다. 따라서해킹에대비한보안요소를강화하는것은중요한이슈이다. 한국인터넷진흥원에서는 2007년도에 CCTV 개인영상정보보호를위한가이드라인과해설서를제시하였다 [1]. 가이드라인에서는개인영상정보를외부로전송하는경우보안프로토콜을사용하도록명시한점과, 권한이없는사용자의접근을통제하도록지침하고있지만, 우리주변에서설치되어운영되고있는다수의 CCTV 녹화기는암호화되지않은통신방법으로접속하거나, 시스템에서기본적으로제공하는사용자아이디와암호를사용하는등보안과관련된취약점이많이존재한다 [2]. Table 1. Web Query for CCTV Related Link Search CCTV Manufacture Query List for CCTV Link inurl:/view.shtml Web Cam inurl:viewerframe?mode= inurl:viewerframe?mode=refresh Sony /home/homej.html Mobotix /control/userimage.html Flex Watch /app/idxas.html 본논문에서는이러한보안취약성문제를해결하기위해, SSH 터널링기법을사용하여원격지에서접속이가능한 CCTV 시스템구성을제안하고이를구현하였다. SSH 연결방법을사용하면, 암호화된데이터패킷을전달할수있으므로네트워크상에서해킹을통한위협으로부터보호할수있다. 또한외부침입으로부터시스템을보호하기위해방화벽이설치된경우, 외부네트워크상에서 CCTV 녹화기로의접근이불가능하였는데, 이를터널링연결을통해접근할수있도록구성하였다. 본논문 2장에서는관련된연구들을살펴보고, 3장에서는 SSH 터널링을이용한원격접속시스템의구성과동작순서에대해기술한다. 4장에서실험을통해보안성능과서비스품질그리고속도에대한비교및검증을한후 5장에서결론을맺는다. 2. 관련연구한국정보통신기술협회에서는영상감시시스템의보안요구사항을 6가지로정의하고있다. 첫번째가영상데이터의기밀성이다. CCTV 데이터는기밀성이보장되어야하는데, 사용자 ID와암호의유출로인해손쉽게녹화데이터에대한유출이가능하다. 두번째는영상데이터의무결성이다. 녹화데이터가위 변조되면, 어떤사건에대한증거로써의효력이상실된다. 세번째는영상데이터의현재성이다. 영상데이터는현재일어나고있는상황임을보장할수있어야한다. 네번째는카메라의침해방지이다. 원격지에있는카메라에접근하기위해서는인증과침해방지기능이적용되어있어야한다. 다섯번째는서비스가용성이다. 서비스거부공격에대한탐지와대응기능이필요하다. 여섯번째는프라이버시보호이다. 영상에서프라이버시를보호하기위해중요한영역을마스킹할수있어야한다 [3]. 따라서 CCTV 시스템은위의기준에맞춰설계되고운영되어야한다. 암호화와관련된연구로영상데이터를전송하는현장과관제센터구간의네트워크상에보안채널을구성하여, 데이터를암호화함으로써보안문제를해결하고자하는연구가있었다. 이를구현하기위해 TCP/IP 기반패킷을 AES 128bit FPGA 암호화모듈을통해암호화한후 LAN을통해서버로전송하였다. 전송된데이터는복호화를위한 View Server로전달되어암호화된데이터키를통해복호화가이루어진다 [4]. 이연구에서는패킷암호화로인해시스템보안성은높아졌지만, 암 복호화를위한연산처리와방화벽통과등과같은해결해야할문제가남아있다. Fig. 1. Packet Encryption 149
한국산학기술학회논문지제 17 권제 11 호, 2016 연결이완료되면 "B" 는내부적으로가지고있는 CCTV 녹화기 "C" 의접속정보를 "A" 에게전달한다. "A" 는 "B" 로부터전달받은정보를토대로 "A" 와 "C" 사이의암호화된터널을생성한다. 이렇게터널을통해전달되는데이터는보안암호화가되어있어스니핑을통한패킷분석을할수없다. Fig. 2. Remote Access Method using Proxy Server 네트워크카메라에서기본적으로제공하는웹서버에의한인증방식은, 일반적인웹서버인증방식과동일한방법으로, 사용자 ID와암호의노출로인한보안문제와연결된다. 이러한문제를해결하기위해프락시서버를사용하여카메라에접근하는연구가있었다. 프락시서버는방화벽으로보호된네트워크내부에둠으로써외부노출에의한정보유출의위협으로부터보호하였고, 프락시서버를사용함으로써기존에설치된카메라의환경설정정보를직접적으로노출시키지않고은닉할수있으며, 검증된클라이언트만의접속을지원하며, 영상정보에대한등급의설정과등급별클라이언트에대한차별화서비스를제공하여보안문제를강화할수있는연구가있었다 [5]. 이연구에서는카메라로의연결정보에대한은닉과보호가이루어졌지만, 실제데이터에암호화및보호방안과카메라주소에대한직접적인연결가능성등은해결해야할문제이다. Fig. 3. CCTV Remote Access System 두번째로 CCTV 녹화기 "C" 가방화벽혹은 VPN (Virtual Private Network) 내부에존재할경우, 외부로부터침입에대한보안효과는높으나외부에서는접속이불가능한단점이있다. 하지만본논문에서제시한방법을사용한다면, 터널링서버 "B" 가 CCTV 녹화기 "C" 의데이터를중계하여전달해주는역할을함으로방화벽내부로의접속문제를해결할수있다. 3.2 접속알고리즘 "Fig. 4" 는본논문에서제안한시스템의접속알고리즘을나타낸다. 3. 본론 3.1 시스템구성본논문에서제안한 CCTV 원격접속시스템은 "Fig. 3" 과같이원격지접속클라이언트 "A" 와터널링서버 "B", CCTV 녹화기 "C" 로구성된다. 클라이언트 "A" 는터널링서버 "B" 와연결되는응용프로그램으로, SSH Secure Shell 을통해접속한다. 터널링서버 "B" 는클라이언트 "A" 와 CCTV 녹화기 "C" 사이의터널을생성하고데이터를전달하는중계서버역할을한다. "Fig. 3" 은본논문에서제안하는 CCTV 원격접속시스템의구성도이다. 첫번째로보안연결은 "A" 가 "B" 에게 SSH 접속을요청하고, 상호간사용자인증절차가완료되면, "A" 와 "B" 사이의안전한보안연결이수립된다. "A" 와 "B" 의 Fig. 4. Connection Algorithm 150
SSH 터널링을이용한 CCTV 원격접속보안기법 클라이언트가실행되면접속할터널링서버주소를입력하고연결한다. 이때, 터널링을사용하여연결할것인지, 아니면 CCTV 녹화기에직접연결할것인지를선택할수있다. 터널링을사용한다면, 터널링서버가가지고있는녹화장비에대한접속정보를이용하여클라이언트에서 CCTV 녹화기로의연결이가능하도록터널을생성해준다. 터널링채널이완성되면클라이언트와 CCTV 녹화기는상호간암호화된데이터전송이가능하다. 클라이언트 "A" 가서버 "B" 에게영상정보를요청하여요청한영상정보를받을때까지의시간을 T 라고할때, 터널링기법을사용하지않을경우의시간 T NT 는수식 (1) 과같이연결시간과전송시간이총소요시간이된다. (1) (2) 하지만터널링기법을사용하게되면수식 (2) 에서보이는것처럼 T UT 는암호화 (T Encrypt) 와복호화 (T Decrypt) 하는시간이추가적으로필요하게된다. 4. 실험및결과 4.1 실험방법본논문에서제시한시스템의성능을확인하기위해, 3가지방법으로실험을하였다. 첫번째는, 보안성실험을진행하였다. 원격지에서접속할때, 인터넷익스플로러를이용할경우와클라이언트를이용한경우, 마지막으로터널링을사용하였을때스니핑을통한보안성의차이점을확인하였다. 두번째는, 방화벽이설치된환경에서의원격접근여부에대한비교를진행하였다. 세번째는, 네트워크로접속시초기영상데이터가전달되는시간을통해암호화로인한전송지연시간에대한비교분석을진행하였다. "Fig. 5" 는클라이언트에서터널링을사용하는설정을적용하여 CCTV 영상을가져온화면이다. Fig. 5. Remote Access using Tunneling 4.2 실험환경테스트환경은인터넷망에연결된 PC에원격접속용클라이언트를설치하고, 방화벽으로보호된사설네트워크속에터널링서버와 CCTV 녹화기를설치하였다. 터널링서버에는 CCTV 녹화기에대한접속정보를기록해두고, 외부네트워크로의연결은 22번포트를오픈하여클라이언트에서접속이가능하도록하였다. CCTV 녹화기의사용자아이디와암호는 admin 으로설정해두었다. 4.3 패킷보안성검사원격지 PC에서웹브라우져를통해 HTTP 방식으로 CCTV 녹화기에접속을할경우, 패킷스니핑을통해보안성여부를확인하였다. "Fig. 6" 는 WinShark를이용하여전송되는패킷의내용을분석한그림이다. 현재전달되는패킷들중원격지 PC와 CCTV 녹화기호스트정보를필터링하면 "Fig. 7" 과같이사용자의아이디와암호가그대로노출되는것을확인할수있었다. Fig. 6. Packet analysis using WinShark Fig. 7. Data Leakage (User ID and Password) 151
한국산학기술학회논문지제 17 권제 11 호, 2016 동일한방법으로, SSH 접속이이루어진상태에서패킷확인을해보았다. "Fig. 8" 과같이암호화접속이이루어진패킷속에서는사용자정보와암호정보를확인할수없었다. Fig. 10. Delay Time Analysis Fig. 8. Encrypted packet 4.4 방화벽내부시스템접속여부사설네트워크나 VPN 혹은방화벽내부에있는시스템으로의접속은접속에대한인증과허가가없는경우접근이불가능하였다. 제안하는시스템은터널링기법을이용하여, 사설네트워크와방화벽내부에존재하는시스템에대한접근이가능한것을확인할수있었다. 4.5 패킷지연시간검사제안하는시스템을사용함으로써발생하는접속지연시간에대한비교를진행하였다. "Fig. 9" 와 "Fig. 10" 은클라이언트가서버에접속하여초기영상을가져오기까지의시간을비교한것이다. 전체접속시간은네트워크의상황에따라차이가나지만, 터널링을통한암호화기법을사용할경우가사용하지않을경우보다평균적으로 0.7초정도의더지연됨을실험을통해확인할수있었다. 4.6 실험결과 "Table. 2" 는여러가지 CCTV 원격접속기법과터널링을사용한원격접속기법을비교분석한결과이다. Table 2. Performance Analysis HTTP HTTPS Client Tunneling Security Weak Strong Weak Strong Encrypt X O X O Extra Packet X O X O Time Delay X O X O Connection possibility located in Firewall X X X O HTTP 프로토콜을이용한원격접속방법은보안성이결여되어있다. 이것을개선한 HTTPS와같은프로토콜이존재하지만방화벽내부에있는시스템에접근하기는어렵다. 터널링을사용하여원격지에서 CCTV 녹화기에접속을할경우, 암 복호화에따른전송지연이발생하고패킷의정보도추가가된다. 또한내부접속을위한별도의포트연결정보를보존하고있어야하는작업이있지만, 보안성강화를위한필요조건으로볼수있다. Table 3. Network Environment Fig. 9. Connection Delay Time Based Configuration Location Firewall VPN SSL VPN SSH Tunneling H/W H/W H/W S/W Server Router Router App Server Router App Server Service Cost O O O X 152
SSH 터널링을이용한 CCTV 원격접속보안기법 "Table. 3" 는네트워크구축환경에따른차이점을터널링기법과비교한것이다. 방화벽이나, VPN, SSL-VPN은네트워크보호를위한하드웨어기반기술이다. 네트워크상의라우터나서버를통해서비스할수있다 [10]. 보안품질이우수하지만, 서비스및운영비용이든다는단점이있다. 본논문에서제안하는방법은추가적인서비스비용없이보안성강화를할수있다. 5. 결론영상보안시스템의보안성능을높이기위해서는기본적으로원격서비스접근차단, 접근가능 IP 제한, 시스템의기본암호변경등과같은보안조치를취해야하지만, 많은 CCTV 사용자는이러한권고사항을지키지않는다. 본논문에서는여러가지해킹위협으로부터안전하게영상정보를관리할수있는 SSH 터널링을이용한 CCTV 보안관제기법에대해제안하고실험하였다. 또한여러가지 CCTV 원격접속기법들과의비교를통해장단점을확인해보았다. 제안하는시스템은보안을위한암복호화로인한지연시간이발생하지만, 방화벽과네트워크장애물을우회접속하면서도보안우수성이높아짐을확인할수있었다. 향후연구과제로영상채널수가증가할수록네트워크지연시간이증가하는문제에대한추가적인연구가필요하다. References [6] Y.D. Hwang, D.K. Park, "Design and Implementation of Android-based NVR System," The Journal of Korea Institute of Information Technology, Apr. 2016. DOI: http://dx.doi.org/10.14801/jkiit.2016.14.4.109 [7] D.S. Kim, E. J. Yoon, "Study of Imaging Security Using Lightweight Cryptography and Data Hiding Technique on IoT," The conference of the institute of electronics and information engineers, pp 1791-1793, Jun. 2015. [8] H.J. Kong, H.S.Chu, "Inter-PMIPv6-Domain Hand over Scheme Based on Tunneling," The conference of Korea Information Society, May 2009. [9] Y.S. Ko, K.H. Park, C.S. Kim, "Problem Analysis and Countermeasures Research through Security Threat Cases of Physical Security Control System," The Journal of Korea Multimedia society, vol. 19, no. 1, January, 2016. DOI: http://dx.doi.org/10.9717/kmms.2016.19.1.051 [10] Kuwar Kuldeep V V Singh, Himanshu Gupta, "A New Approach for The Security of VPN," Proceedings of the Second International conference on Information and Communication Technology for Competitive Strategies, Mar. 2016. 황기진 (Gi-Jin Hwang) [ 정회원 ] < 관심분야 > 실시간시스템, 운영체제, 영상보안 2001 년 8 월 : 숭실대학교컴퓨터학과 ( 공학석사 ) 2014 년 8 월 : 숭실대학교컴퓨터학과 ( 박사수료 ) [1] KISA, "CCTV Personal Video Information Protection Guideline", http://www.kisa.or.kr, 2007. [2] T.W. Seo, S.R. Lee, B.C. Bae, "An Analysis of Vulnerabilities and Performance on the CCTV Security Monitoring and Control," Journal of Korea Multimedia Society, vol. 15, no. 1, pp 93-100, Jan. 2012. DOI: http://dx.doi.org/10.9717/kmms.2012.15.1.093 [3] TTA, "Security Requirements of the Video Surveillance System", http://www.tta.or.kr, 2012. [4] Y.S. Won, S. H. Yun, "CCMP Packet design for security CCTV environment," The conference of Korea Communication Society, Dec. 2013. [5] K.J. Bae, K.R. Lee, K.B. Yim, "Proxy Server Providing Multi-level Privileges for Network Cameras on the Video Surveillance System," Journal of Korea Internet Information Society, vol. 12, no. 2, pp 123-133, Apr. 2011. 박재표 (Jae-Pyo Park) [ 종신회원 ] 1998년 2월 : 숭실대학교컴퓨터학과 ( 공학석사 ) 2004년 2월 : 숭실대학교컴퓨터학과 ( 공학박사 ) 2008년 3월 ~ 2009년 2월 : 숭실대학교정보미디어기술연구소전임연구원 2010년 3월 ~ 현재 : 숭실대학교정보과학대학원교수 < 관심분야 > 컴퓨터통신, 보안, 암호학, 멀티미디어통신 153
한국산학기술학회논문지제 17 권제 11 호, 2016 양승민 (Seung-Min Yang) [ 정회원 ] 1983 년 2 월 : University of South Florida. Dept of Computer Science (MS.) 1986 년 8 월 : University of South Florida. Dept of Computer Science (Ph.D.) 1987 년 3 월 ~ 1991 년 2 월 : Professor in the Department of Computer Science, University of Texas at Arlington. 1993 년 3 월 ~ 현재 : 숭실대학교컴퓨터학부교수 < 관심분야 > Real Time System, System Fault Tolerance, Wireless Sensor Networks, Operating System, etc 154