• Proceedings of the Korea Institutes of Information Security and Cryptology Conference
• /
• 2003.12a
• /
• pp.458-462
• /
• 2003

기존의 고정적 웹 페이지에, 실시간적으로 변화하는 내용의 제공을 가능하게 하기 위해, 추가적으로 코드를 첨가할 수 있도록 만든 것이 웹 응용 프로그램이다. 그 예로는 cgi, php, jsp, java, python 등이 있다. 많은 수의 언어와 다수의 프로그램들이 빠른 속도로 개발됨에 따라 많은 수의 보안 문제점들이 발생하였고 실제로 대단히 많은 서버들이 침입의 대상이 되었다. 웹 응용 프로그램의 보안에 많은 문제점이 발생한 이유는 첫번째, 기존의 서버 응용 프로그램들에 비하여 웹 응용 프로그램은 휠씬 많은 수가 아주 빠르게 개발되었다는 점이다. 두 번째는 웹 응용 프로그램에서 발생한 새로운 종류의 보안 위험성을 들 수 있다. 기존의 서버 응용 프로그램에서 발생하는 위험성들은 서버프로그램의 버그를 이용한 것이었고, 이들은 외부 입력의 내용보다는 그 크기 등의 간단히 검사 가능한 특징에 의존하는 경우가 많았다. 하지만, 웹 응용 프로그램이 외부 입력의 내용을 코드의 일부로 사용하는 경우가 많음으로 인해서, 웹 응용 프로그램에서는 간단히 검사하기 어려운 특징인 입력의 내용에 의존하는 위험성들이 많이 발생한다. 본 논문에서는 이러한 새로운 방식의 위험성을 소스코드를 이용해서 어떻게 자동적으로 검사할 수 있을 지에 관해서 새로운 아이디어를 제시한다. 이 아이디어는 현재 구현 중에 있으며, 초기 실험 결과 기존의 검사 프로그램들이 찾아내지 못하는 취약점들을 찾아낼 수 있음이 확인되었다.

• The KIPS Transactions:PartA
• /
• v.15A no.3
• /
• pp.181-188
• /
• 2008

Nowadays, most web sites are developed using dynamic web pages where web pages are generated and transmitted by web application programs. Therefore, the ratio of attacks injecting malevolent strings to vulnerable web applications is increasing. In this paper, we present a static program analyzer which analyzes whether a web application program has vulnerabilities to the SQL injection attack and the cross site scripting(XSS) attack. To analyze programs using abstract interpretation framework, we designed an abstract domain which models potential string set along with excluded strings and developed an abstract interpreter for the PHP language. Also, based on them, we implemented a static analyzer. According to our experiments, our analyzer has competitive analysis speed and accuracy compared with related research results.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2007.11a
• /
• pp.1222-1225
• /
• 2007

보안수준 평가 및 개선에 있어서 온라인 웹사이트 응용프로그램의 경우 측정 기준 설정과 보안 수준 표시에 많은 어려운 점이 있다. 이에 모토롤라부터 도입한 경영혁신 도구로서의 6 시그마 수준 표현 및 개선 기법을 웹사이트 보안수준 평가에 적용할 수 있도록, WASC(Web Application Security Consortium)에서 제공하고 있는 웹 애플리케이션 보안 평가 체크리스트를 사용하여 Bottom-Up 방식으로 웹 사이트에 대한 실제 침해 시도의 결과를 측정, 이를 보안수준 측정 및 개선에 활용할 수 있는 방안을 제시한다.

• Proceedings of the Korea Institutes of Information Security and Cryptology Conference
• /
• 2003.12a
• /
• pp.686-690
• /
• 2003

웹 응용프로그램에 대한 위협이 점차 확산되면서 오늘날 많은 Web Application Firewall들이 등장하고 있다. 하지만, 대부분의 기관에서 웹 서버 자체의 변조는 기관의 미지 실추를 제외하면 업무상 큰 문제를 유발하지 않는다. 웹 서버에 대한 보안을 고려하는 이유는 웹 서버가 침입을 당할 경우 DB 서버의 내용에 손상이 가해질 수 있기 때문이다. 본 고에서는 Web Application Firewall과 연동하여 허용되는 SQL 질의패턴을 자동으로 생성하여 불법적인 SQL 질의를 차단하는 DB Application Firewall을 제안한다. 이를 통해 웹 응용프로그램의 취약점으로 인해 SQL 질의가 변조되더라도 DB 서버에 해당SQL질의가 전달되는 것을 차단할 수 있다.

• Proceedings of the CALSEC Conference
• /
• 1999.07a
• /
• pp.185-191
• /
• 1999

최근의 정보통신 기술의 급격한 발달과 인터넷 사용의 폭발적인 증가, 기업의 인트라넷/익스트라넷의 도입으로 인터넷 환경에서의 비즈니스 응용 프로그램의 개발이 다양해지고 있다. 본 논문에서는 기업에서 조달 업무의 투명성과 신속성 및 인터넷을 통한 수요 기관 및 공급 업체간의 글로벌화를 이룰 수 있는 비즈니스 응용 프로그램으로 웹 환경에서의 전자 입찰 시스템의 설계 및 구현을 다룬다. 본 논문에서 설계 및 구현된 전자 입찰 시스템은 구매, 입찰 및 조달 프로세스로 구성되어 있으며 전자 입찰 시스템에서 입찰 가격이나 계약의 보안 및 인증을 위해 PKI 기반의 전자 서명 방식을 사용한다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2000.04a
• /
• pp.922-927
• /
• 2000

정보화 시대에 도달하면서 대량의 정보 홍수 속에서 교육은 LAN 및 인터넷 환경 보급으로 급속히 발전하고 있다 .그런데 교육 현장에서의 필요한 소프트웨어 개발은 매우 미흡하다. 그나마 많이 진척된 부분은 웹 환경 분야와 CAI 프로그램이라 볼 수 있다. 그러나 웹 환경은 실시간의 교육의 학습환경에 문제점을 가지고 있고, 보안성 측면에서 취약점을 가지고 있고 더욱 어려운 것은 시설준비에 막대한 시설투자가 이루어져야한다는 것이다. 그리고 CAI 프로그램은 상호 작용이 필요한 교육환경에서 단방향이 면서 정해진 틀에서만이 학습이 이루어지는 단조로움으로 다소 현장과는 멀어지는 결과를 가져오고 있다. 이러한 상황에서 실시간의 학습과 외부로부터의 보안성이 있고 상호작용성의 수업환경을 구축하는 프로그램이 제작이 필요하다. 본 연구에서는 Winsock의 네트워크 프로그램을 이용하여 클라이언트/서버 환경에서 다중 텍스트전송, 이미지전송, 동영상전송, 기타 응용문서 전송, 데이터 베이스 저장활용 및 학습평가 활용 등을 교사와 학생들간의 다중 실시간 상호작용성의 수업에 활용하는 지원도구를 구현하였다.

• Journal of the Korea Society of Computer and Information
• /
• v.19 no.10
• /
• pp.117-124
• /
• 2014

Software Development Security is defined as a sequential procedure such as deleting potential security vulnerability for secure software development, designing or implementing various functions with considering security, and so on. In this paper, we research on domestic or international hacking cases that could damage us mentally or financially. Seventy five percent of Web-site attacks abuses weak points of application programs, or software. We also research on major issues related to software development security with these demerits. And then, we propose public and private laws, regulations, or systems and give some examples with detailed descriptions.

• The KIPS Transactions:PartA
• /
• v.18A no.5
• /
• pp.193-204
• /
• 2011

Since web applications are accessed by anonymous users via web, more security risks are imposed on those applications. In particular, because security vulnerabilities caused by insecure source codes cannot be properly handled by the system-level security system such as the intrusion detection system, it is necessary to eliminate such problems in advance. In this paper, to enhance the security of web applications, we develop a static analyzer for detecting the well-known security vulnerability of PHP file inclusion vulnerability. Using a semantic based static analysis, our vulnerability analyzer guarantees the soundness of the vulnerability detection and imposes no runtime overhead, differently from the other approaches such as the penetration test method and the application firewall method. For this end, our analyzer adopts abstract interpretation framework and uses an abstract analysis domain designed for the detection of the target vulnerability in PHP programs. Thus, our analyzer can efficiently analyze complicated data-flow relations in PHP programs caused by extensive usage of string data. The analysis results can be browsed using a JAVA GUI tool and the memory states and variable values at vulnerable program points can also be checked. To show the correctness and practicability of our analyzer, we analyzed the source codes of open PHP applications using the analyzer. Our experimental results show that our analyzer has practical performance in analysis capability and execution time.

• Proceedings of the Korean Society of Computer Information Conference
• /
• 2014.07a
• /
• pp.81-82
• /
• 2014

국내외로 자주 발생하는 해킹 사례로 인하여 웹 사이트들이 중단되거나 상당한 금전적 피해를 보고 있다. 이러한 웹사이트 공격의 대부분이 응용프로그램(SW)의 취약점을 악용한 것이다. 본 논문에서는 이러한 S/W의 취약점을 이용한 S/W 개발 보안의 주요 이슈를 다루어 본다. 또한 보안 관련법 제도 및 규정 현행 정보 보호 관련 법령은 법률인 정보통신망 이용 촉진 및 정보보호 등에 관한 법률을 기본법으로 하여 분야 및 적용 대상에 따라 산발적인 개별 법규를 두어 각 분야별, 적용 대상별로 정보보호를 위한 규율을 실시하고 있다.

• Proceedings of the KAIS Fall Conference
• /
• 2001.11a
• /
• pp.236-239
• /
• 2001

전세계는 웹을 이용하여 모든 사람들과 통신이 가능한 시대이다. 많은 컴퓨터에 연결되어있는 수많은 자료를 플랫폼과 응용 프로그램에 종속되지 않고 사용할 수 있다면 우리들은 많은 자료를 효율적으로 어느 곳에서든지 활용할 수 있을 것이다. 또한 개발환경이 인터넷과 인트라넷의 급격한 증가로 인해 개발자들은 분산된 환경에서 작업을 수행하는 일이 많아지면서 기존의 HTML을 이용한 문서의 공유나 교환은 HTML의 제한점들로 인해 많은 부담이 된다. 본 논문에서는 공유되어진 XML데이터의 출력 인터페이스를 작성하여 효율적인 인터페이스를 제안하였으며, 분산환경에서의 정보 공유와 교환을 위해 HTML의 제한점들을 보안하도록 XML을 연구하였다.