• 한국산학기술학회논문지
• /
• 제18권11호
• /
• pp.94-103
• /
• 2017

자동으로 해킹을 수행하는 도구 및 기법의 발전으로 인해 최근 신규 보안 취약점들이 증가하고 있다. 대표적인 취약점 DB인 CVE를 기준으로 2010년부터 2015년까지 신규 취약점이 약 8만건이 등록되었고, 최근에도 점차 증가하는 추세이다. 그러나 이에 대응하는 방법은 많은 시간이 소요되는 전문가의 수동 분석에 의존하고 있다. 수동 분석의 경우 취약점을 발견하고, 패치를 생성하기까지 약 9개월의 시간이 소요된다. 제로데이와 같은 빠른 대응이 필요한 취약점에 대한 위험성이 더 부각되는 이유이다. 이와 같은 문제로 인해 최근 자동화된 SW보안 취약점 탐색 및 대응 기술에 대한 관심이 증가하고 있다. 2016년에는 바이너리를 대상으로 사람의 개입을 최소화하여 자동화된 취약점 분석 및 패치를 수행하는 최초의 대회인 CGC가 개최 되었다. 이 외에도 세계적으로 Darktrace, Cylance 등의 프로젝트를 통해 인공지능과 머신러닝을 활용하여 자동화된 대응 기술들을 발표하고 있다. 그러나 이러한 흐름과는 달리 국내에서는 자동화에 대한 기술 연구가 미비한 상황이다. 이에 본 논문에서는 자동화된 SW 보안 취약점 탐색 및 대응 기술을 개발하기 위한 선행 연구로서 취약점 탐색과 대응 기술에 대한 선행 연구 및 관련 도구들을 분석하고, 각 기술들을 비교하여 자동화에 용이한 기술 선정과 자동화를 위해 보완해야 할 요소를 제안한다.

• 한국정보과학회논문지:시스템및이론
• /
• 제37권4호
• /
• pp.226-238
• /
• 2010

OpenSSL은 보안 통신 프로토콜인 SSL을 구현한 공개 소스 기반의 라이브러리이다. 하지만, 이 라이브러리는 리눅스 혹은 유닉스 운영체제에서 공유 라이브러리 형식으로 사용될 때 보안 정보를 쉽게 노출할 수 있다는 취약점이 있다. 본 논문은 이런 취약점을 공격하는 기법을 제안한다. 이 기법은 실행중인 클라이언트 프로그램에 공격 코드를 주입하여 SSL 핸드셰이크 단계에서 보안 취약점을 다음과 같이 공격한다. 첫째, 클라이언트가 서버에게 지원 가능한 암호 알고리즘의 목록을 전송할 때 그 목록의 모든 알고리즘을 임의로 지정한 알고리즘으로 교체한다. 이 교체는 암호 알고리즘의 목록을 수신한 서버로 하여금 지정한 암호 알고리즘을 선택하도록 한다. 둘째, 암복호화에 사용되는 암호 키를 생성 과정에서 가로채고, 그 암호 키를 외부 공격자에게 전송한다. 그 후 외부 공격자는 지정한 암호 알고리즘과 가로챈 암호키를 사용하여 송수신된 암호 데이터를 복호화한다. 제안하는 기법의 실현성을 보이기 위해 본 논문은 리눅스에서 OpenSSL 공유 라이브러리를 사용하는 ftp 클라이언트가 서버로 전송하는 암호화된 로그인(login) 정보를 가로채 복호화하는 실험을 수행하였다.

• 한국전자파학회논문지
• /
• 제26권11호
• /
• pp.999-1011
• /
• 2015

전자전(Electronic Warfare) 상황에서 레이다는 재머에 의해 전파교란공격(ECM: Electronic Counter Measures)을 받게 된다. Linear-FM 신호는 도플러 특성이 우수하고, 신호의 구현이 용이하여 레이다에서 주로 사용되어 왔지만, 반복된 패턴에 의해 피탐 확률이 높고, 신호 특성변수 추정이 가능하여 기만재밍에 취약하다. 최근 제안된 APCN(Advanced Pulse Compression Noise) 신호는 랜덤 진폭과 랜덤 위상코드로 이루어진 신호로서, 저피탐 성능이 우수한 신호이다. 하지만, APCN 신호를 비롯한 일반적인 위상코드 신호는 도플러 특성이 좋지 않으므로, 주파수 천이에 의해 신호수신 성능이 저하될 수 있다. 따라서 본 논문에서는 도플러 특성을 개선하기 위한 방안으로 랜덤 위상천이 및 부호율 천이(RPCR: Random Phase and Code Rate transition) 레이다 신호 파형을 제안하고, 도플러 성능과 저피탐 성능을 분석하였다. Ambiguity 함수를 이용하여 부호율 천이에 의한 도플러 특성 개선을 제시하며, WHT(Wigner-Hough Transform)을 이용한 신호 특성 변수 추정 실험을 통해 RPCR 신호의 저피탐 성능을 분석하고, 전파교란대응책(ECCM: Electronic Counter Counter Measures)으로의 가능성을 확인한다.

• 한국정보통신학회:학술대회논문집
• /
• 한국정보통신학회 2013년도 춘계학술대회
• /
• pp.666-668
• /
• 2013

최근 스마트 기기의 빠른 보급과 더불어 스마트 기기의 운영체제에서 동작하는 악성코드의 종류와 수가 급격히 증가하고 있다. 특히 시스템 권한에 대한 접근이 용이한 안드로이드 운영체제를 기반으로 하는 스마트 기기의 경우 악성코드에 노출될 위험이 상대적으로 높다. 안드로이드에서 제공하는 전역 메시지 시스템인 인텐트를 이용하면 어플리케이션들 간의 상호 접근이 가능하며, 디바이스에 의해 가공된 데이터의 접근이 가능하다. 인텐트는 컴포넌트의 재사용성 측면에서 어플리케이션 개발에 편의성을 제공하지만 보안 관점에서 위험 요소로 지적될 수 있다. 따라서 악의적인 목적으로 인텐트를 사용하면 보안에 취약한 상태를 쉽게 유도할 수 있다. 즉, 스마트 기기를 제어할 수 없는 상황으로 만들거나 시스템 자원을 소비하는 등 인텐트를 수신하여 동작하는 어플리케이션들이 취급하는 자원에 접근하여 제어할 수 있게 된다. 특히, 시스템 권한을 획득한 경우 악성 코드를 통해 브로드캐스트 인텐트를 악용하면 스마트 기기의 제어 및 개인 정보 유출과 같은 위험도는 더욱 커지게 된다. 본 논문에서는 인텐트 패턴 검사로 인텐트 발생을 모니터링하고 검증되지 않은 패턴의 인텐트에 대해 탐지하고 차단하는 안드로이드 인텐트의 보안 취약성 대응 기법을 제안한다.

• Earthquakes and Structures
• /
• 제12권3호
• /
• pp.359-374
• /
• 2017

The seismic events in Northern Italy, May 2012, have revealed the seismic vulnerability of typical Italian precast industrial buildings. The aim of this paper is to present a seismic fragility model for Italian RC precast buildings, to be used in earthquake loss estimation and seismic risk assessment by comparing two building typologies and three different codes: D.M. 3-03-1975, D.M. 16-01-1996 and current Italian building code that has been released in 2008. Based on geometric characteristics and design procedure applied, ten different building classes were identified. A Monte Carlo simulation was performed for each building class in order to generate the building stock used for the development of fragility curves trough analytical method. The probabilistic distributions of geometry were mainly obtained from data collected from 650 field surveys, while the material properties were deduced from the code in place at the time of construction or from expert opinion. The structures were modelled in 2D frameworks; since the past seismic events have identified the beam-column connection as the weakest element of precast buildings, two different modelling solutions were adopted to develop fragility curves: a simple model with post processing required to detect connection collapse and an innovative modelling solution able to reproduce the real behaviour of the connection during the analysis. Fragility curves were derived using both nonlinear static and dynamic analysis.

• 한국지진공학회논문집
• /
• 제17권5호
• /
• pp.237-243
• /
• 2013

In the Korean Building Code (KBC), the Design Eccentricity involves the torsional amplification factor (TAF), and the inherent and accidental eccentricities. When a structure of less than 6-stories and assigned to seismic design category C or D is designed using equivalent static analysis method, both KBC-2006 and KBC-2009 use the TAF but apply different calculation methods for the of design eccentricity. The design eccentricity in KBC-2006 is calculated by multiplying the sum of inherent eccentricity and accidental eccentricity at each level by a TAF but that in KBC-2009 is calculated by multiplying only the accidental eccentricity by a TAF. In this paper, the damage indices of a building with planar structural irregularity designed by different design eccentricities are compared and the relationship between the earthquake damage and design eccentricity of the building is evaluated. On the basis of this study, the increment of design eccentricity results in the decrement of final eccentricity and global damage index of structure. It is observed that design eccentricity in KBC-2006 reduces the vulnerability of torsional irregular building compared to design eccentricity in KBC-2009.

• Earthquakes and Structures
• /
• 제20권3호
• /
• pp.279-293
• /
• 2021

Most of the existing seismic codes for RC buildings consider only a scenario earthquake for analysis, often characterized by the response spectrum at the specified location. However, any real earthquake event often involves occurrences of multiple earthquakes within a few hours or days, possessing similar or even higher energy than the first earthquake. This critically impairs the rehabilitation measures thereby resulting in the accumulation of structural damages for subsequent earthquakes after the first earthquake. Also, the existing seismic provisions account for the non-linear response of an RC building frame implicitly by specifying a constant response modification factor (R) in a linear elastic design. However, the 'R' specified does not address the changes in structural configurations of RC moment-resisting frames (RC MRFs) viz., building height, number of bays present, bay width, irregularities arising out of mass and stiffness changes, etc. resulting in changed dynamic characteristics of the structural system. Hence, there is an imperative need to assess the seismic performance under sequential earthquake ground motions, considering the adequacy of code-specified 'R' in the representation of dynamic characteristics of RC buildings. Therefore, the present research is focused on the evaluation of the non-linear response of medium-rise 3D RC MRFs with and without vertical irregularities under bi-directional sequential earthquake ground motions using non-linear dynamic analysis. It is evident from the results that collapse probability increases, and 'R' reduces significantly for various RC MRFs subjected to sequential earthquakes, pronouncing the vulnerability and inadequacy of estimation of design base shear by code-specified 'R' under sequential earthquakes.

• 한국지반환경공학회 논문집
• /
• 제23권2호
• /
• pp.13-23
• /
• 2022

교량 기초의 지반-구조물 상호작용은 지진 시 교량의 거동에 영향을 미치는 주요한 요인으로 지적되어 왔다. 본 연구에서는 지반의 특성 및 기초의 특성이 교량 기초의 지진취약도에 미치는 영향을 분석하였다. 지반의 특성 변화 및 기초의 크기 변화를 고려한 등가정적해석 결과, 상재하중이 작용하는 경우 같은 수준의 횡방향 변위를 발생시키기 위해 요구되는 하중이 증가되는 것을 확인할 수 있었으며, 비선형성은 상재하중이 없는 경우가 더 큰 것으로 나타났다. 느슨한 지반에서 조밀한 지반으로 갈수록 기초의 크기가 증가할수록 동일한 변위를 발생시키기 위해 더 큰 하중을 필요로 하는 것으로 나타났다. 또한, 교량의 지진취약도를 합리적으로 획득하기 위한 접근법을 도출하기 위하여 교량 기초의 지진취약도를 4가지의 조건(고정단 조건, 도로교 설계기준-등가선형강성, 상재하중 고려 시 및 미고려 시 비선형 강성)을 고려하여 비교하였다. 단주교각에 대한 지진해석은 Opensees를 이용하여 수행하였다. 지진취약도 분석 결과, 보수적인 접근법으로 확대기초는 고정단으로 고려할 수 있으며, 말뚝기초의 크기가 작은 경우는 고정단으로 고려하여 안전측 설계를 검토할 수 있으나, 말뚝의 크기가 대형화 하는 경우는 비경제적인 설계가 될 수 있으므로, 지반조건에 따라 기초의 강성을 평가할 수 있는 도로교 등가 선형 스프링 강성을 고려하는 것이 합리적인 접근법으로 판단된다.

• 융합보안논문지
• /
• 제12권1호
• /
• pp.17-25
• /
• 2012

SQL Injection 기법은 공개된지 수년이 지났지만 웹해킹 공격중 가장 위험한 공격으로 분류되어 있다. 웹 프로그래밍은 자료의 효율적인 저장 및 검색을 위해 DBMS를 필수적으로 사용하고 있다. 주로 PHP,JSP,ASP 등의 스크립트 언어를 이용하여 DBMS와 연동한다. 이러한 웹 어플리케이션에서 클라이언트의 잘못된 입력값을 검증하지 않으므로 비정상적인 SQL 쿼리가 발생할 수 있다. 이러한 비정상적 쿼리는 사용자 인증을 우회하거나 데이터베이스에 저장된 데이터를 노출시킬 수 있다. 공격자는 SQL Injection 취약점을 이용하여 아이디와 암호를 몰라도 웹기반 인증을 통과할 수 있고 데이터베이스에 저장된 데이터를 열람해 볼 수 있다. SQL Injection에 대한 대책으로 다수의 방법이 발표되었다. 그러나 어느 한 가지 방법에 의존할 경우 많은 보안 공백이 발생할 수 있다. 단계적 대응모델은 사고 예방적 측면에서 소스코드 작성 단계, 서버 운용단계, 데이터베이스 핸드링 단계, 사용자 입력값 검증 활용 단계 등 대책을 프레임워크로 구성하여 적용하는 방법이다. 이 대응모델 을 적용할 경우 운용과정을 통해 존재하는 SQL Injection의 공격가능성을 보다 효과적으로 차단이 가능하다.

• 정보과학회 컴퓨팅의 실제 논문지
• /
• 제21권3호
• /
• pp.257-262
• /
• 2015

소프트웨어가 복잡해짐에 따라 개발자가 인지하지 못하는 버그가 증가하고 있다. 공격자들은 시스템을 공격하거나 악성코드를 유포하기 위해 이와 같은 소프트웨어 버그 중 보안에 취약한 버그를 이용한다. 대표적인 방법으로 문서, 멀티미디어 등의 파일을 조작하여 보안에 취약한 버그를 발생시키는 방법으로 최근 지능적 지속 공격 빈번하게 사용되었다. 이에, 본 논문에서는 소프트웨어의 보안 취약점을 찾기 위한 프로그램 자동 분석 방법을 제안한다. 제안 방법은 문서, 멀티미디어 등 입력 값에 의해 발생되는 소프트웨어의 보안에 취약한 버그를 찾는 것을 목표로 한다. 먼저, 동적 오염 분석을 통해 입력 데이터가 취약 코드 지점까지 전파되는 과정을 추적하고 입력데이터 전파와 관련이 있는 명령어를 추출한다. 추출된 연관 명렁어를 수식화하고 이를 SMT 해석기를 이용하여 보안 취약점이 발생할 수 있는 입력 값을 찾는다. 제안 방법을 통해 아래아 한글, 곰 플레이어에서 크래시가 발생할 수 있는 입력값과 취약 코드 6개를 찾았다.