• Journal of Communications and Networks
• /
• 제10권4호
• /
• pp.455-464
• /
• 2008

To provide network services consistently under various network failures, enterprise networks increasingly utilize path diversity through multi-homing. As a result, multi-homed non-transit autonomous systems become to surpass single-homed networks in number. In this paper, we address an inevitable problem that occurs when networks with multiple entry points deploy firewalls in their borders. The majority of today's firewalls use stateful inspection that exploits connection state for fine-grained control. However, stateful inspection has a topological restriction such that outgoing and incoming traffic of a connection should pass through a single firewall to execute desired packet filtering operation. Multi-homed networking environments suffer from this restriction and BGP policies provide only coarse control over communication paths. Due to these features and the characteristics of datagram routing, there exists a real possibility of asymmetric routing. This mismatch between the exit and entry firewalls for a connection causes connection establishment failures. In this paper, we formulate this phenomenon into a state-sharing problem among multiple fire walls under asymmetric routing condition. To solve this problem, we propose a stateful inspection protocol that requires very low processing and messaging overhead. Our protocol consists of the following two phases: 1) Generation of a TCP SYN cookie marked with the firewall identification number upon a SYN packet arrival, and 2) state sharing triggered by a SYN/ACK packet arrival in the absence of the trail of its initial SYN packet. We demonstrate that our protocol is scalable, robust, and simple enough to be deployed for high speed networks. It also transparently works under any client-server configurations. Last but not least, we present experimental results through a prototype implementation.

• Journal of Communications and Networks
• /
• 제9권4호
• /
• pp.457-465
• /
• 2007

Native information provider(IP) anycast suffers from routing scalability issues and the lack of stateful communication support. For this reason, we propose architecture for scalable and transparent anycast services(ASTAS), a proxy-based architecture that provides support for stateful anycast communications, while retaining the transparency offered by native anycast. Dynamic resource assignment for each initiated session guarantees that a connection is established with the most suitable target server, based on network and server conditions. Traffic engineering in the overlay can be realized in an effective way due to the dissemination of aggregated state information in the anycast overlay. To minimize the total deployment cost for ASTAS architectures, we propose optimized proxy placement and path finding heuristics based on look-ahead information gathered in network nodes. Contrary to a regular integer linear program(ILP) formulation, these heuristics allow to optimize proxy placement in large networks. A use case on a European reference network illustrates that lower proxy costs enable proxy deployment closer to the end-users, resulting in a reduced network load.

• 인터넷정보학회논문지
• /
• 제9권6호
• /
• pp.37-48
• /
• 2008

VoIP 서비스는 IP망에서 SIP 프로토콜을 이용하여 음성 데이터를 전송하는 기술이다. SIP 프로토콜은 IP망을 이용하여 다양한 음성과 멀티미디어 서비스를 제공하고 저렴한 통신 비용에 대한 장점 때문에 빠르게 보급되고 있다. 하지만 SIP 프로토콜은 IP기반 위협에 그대로 노출된다는 한계를 가지기 때문에 이에 대한 대처방안이 제시되어야 한다. 기존의 여러 보안 메커니즘이 존재하지만 새로운 방식의 SIP 공격에 즉각 대응하지 못하고, 프로토콜 서비스 지연시간의 문제와 시스템의 과부화의 단점을 해결하지 못하고 있다. 이에 본 연구에서는 기존의 프록시 서버 앞단에 새로운 가상 프록시 서버를 두어 SIP 세션에 대한 상태정보를 분석하고 비정상적인 행위를 효율적으로 탐지하는 방법을 제시하였다. 본 연구에서 제시한 상태정보 기반 가상 프록시 서버(Stateful Virtual Proxy Server) 시스템의 성능평가 결과 최소한의 트래픽 전송지연만으로도 SIP 메시지 폭주(Message Flooding) 공격을 탐지할 수 있었다.

• 한국통신학회:학술대회논문집
• /
• 한국통신학회 2004년도 추계종합학술대회 논문 초록집
• /
• pp.438-438
• /
• 2004

• 한국정보과학회:학술대회논문집
• /
• 한국정보과학회 2006년도 가을 학술발표논문집 Vol.33 No.2 (C)
• /
• pp.575-580
• /
• 2006

인터넷 네트워크에 존재하는 방화벽(Firewall) 또는 라우터(Router) 장비에서의 패킷 필터 기능은 모든 방화벽 장비의 기본적인 기능이 될 수 있다. 하지만 최근에 등장한 세션기반의 악의적 침입과 바이러스의 출현으로 패킷 필터기는 단순한 정적 패킷 필터 기능이 아닌 상태기반 패킷 필터의 동적 패킷 필터 기능을 요구하게 되었다. 또한 최근에 인터넷 속도가 급증하는 환경변화에 맞추어 방화벽 장비의 TCP 패킷 처리기능은 매우 빠른 처리속도를 요구하고 있다. 이에 우리는 매우 빠른 고속의 TCP 상태기반 패킷 필터 처리를 요구하는 에지(Edge)급 라우터의 방화벽 옵션카드를 만들기 위해 하드웨어 기반의 TCAM(Ternary CAM) 관리를 이용한 TCP 세션 상태기반 (Stateful) 패킷 필터기를 구현하였으며, TCAM 제어와 패킷의 상태기반 검사 등 모든 기능처리는 FPGA(Field Programmable Gate Array)를 이용한 하드웨어 로직(Logic) 및 상태기(State Machine)로 구현하였다. 그리고 본 논문의 구현방식을 적용한 방화벽 옵션카드는 인-라인(In-line) 모드로 구성될 경우 1GHz 이상의 Wire Speed를 만족하는 처리성능을 보여주었다.

• KSII Transactions on Internet and Information Systems (TIIS)
• /
• 제3권3호
• /
• pp.251-265
• /
• 2009

VoIP service is the transmission of voice data using SIP protocol on an IP-based network. The SIP protocol has many advantages, such as providing IP-based voice communication and multimedia service with low communication cost. Therefore, the SIP protocol disseminated quickly. However, SIP protocol exposes new forms of vulnerabilities to malicious attacks, such as message flooding attack. It also incurs threats from many existing vulnerabilities as occurs for IP-based protocol. In this paper, we propose a new virtual proxy to cooperate with the existing Proxy Server to provide state monitoring and detect SIP message flooding attack with IP/MAC authentication. Based on a proposed virtual proxy, the proposed system enhances SIP attack detection performance with minimal latency of SIP packet transmission.

• 한국콘텐츠학회논문지
• /
• 제10권1호
• /
• pp.46-58
• /
• 2010

SIP 프로토콜 기반 VoIP 서비스는 편리함과 저렴한 통신비용으로 사용자 수가 급증하고 있다. 하지만 SIP 프로토콜은 텍스트 형태의 SIP 헤더 정보를 UDP 방식으로 전송하기 때문에 손쉽게 위변조 할 수 있으며, 송신자에 대한 인증 기능을 제공하고 있지 않기 때문에 악의적 공격자에 의해 SIP 패킷 폭주 공격등에 매우 취약하다. 따라서 본 논문에서는 이러한 SIP 취약성을 해결하기 위해 SIP 상태코드를 모니터링 하여 SIP 폭주 공격을 탐지하고 SIP 패킷에 대해 인증 및 보안 기능이 강화된 프로토콜을 제시하였다. SIP 공격탐지 시스템을 구축하여 SIP 세션을 능동적으로 관리하였으며 보안 기능을 강화하기 위해 사용자 인증을 적용하여 SIP 프로토콜의 취약점을 해결할 수 있었다. 본 논문에서 제시한 기법은 기존 SIP 프로토콜에서의 보안 취약성을 해결하고 최소한의 트래픽 전송 지연만으로도 안전하게 패킷을 송수신할 수 있도록 하였으며 SIP 프록시 서버에서의 서비스 지연, 서버의 과부하 등의 문제를 최소화할 수 있도록 설계되었다.

• International Journal of Internet, Broadcasting and Communication
• /
• 제13권1호
• /
• pp.26-36
• /
• 2021

The Internet was created as a decentralized and autonomous system of interconnected computer networks used for data exchange across mutually trusted participants. The element technologies on the Internet, such as inter-domain and intra-domain routing and DNS, operated in a distributed manner. With the development of the Web, the Web has become indispensable in daily life. The existing web applications allow us to form online communities, generate private information, access big data, shop online, pay bills, post photos or videos, and even order groceries. This is what has led to centralization of the Web. This centralization is now controlled by the giant social media platforms that provide it as a service, but the original Internet was not like this. These giant companies realized that the decentralized network's huge value involves gathering, organizing, and monetizing information through centralized web applications. The centralized Web applications have heralded some major issues, which will likely worsen shortly. This study focuses on these problems and investigates blockchain's potentials for decentralized web architecture capable of improving conventional web services' critical features, including autonomous, robust, and secure decentralized processing and traceable trustworthiness in tamper-proof transactions. Finally, we review the decentralized web architecture that circumvents the main Internet gatekeepers and controls our data back from the giant social media companies.