• 융합보안논문지
• /
• 제12권1호
• /
• pp.17-25
• /
• 2012

SQL Injection 기법은 공개된지 수년이 지났지만 웹해킹 공격중 가장 위험한 공격으로 분류되어 있다. 웹 프로그래밍은 자료의 효율적인 저장 및 검색을 위해 DBMS를 필수적으로 사용하고 있다. 주로 PHP,JSP,ASP 등의 스크립트 언어를 이용하여 DBMS와 연동한다. 이러한 웹 어플리케이션에서 클라이언트의 잘못된 입력값을 검증하지 않으므로 비정상적인 SQL 쿼리가 발생할 수 있다. 이러한 비정상적 쿼리는 사용자 인증을 우회하거나 데이터베이스에 저장된 데이터를 노출시킬 수 있다. 공격자는 SQL Injection 취약점을 이용하여 아이디와 암호를 몰라도 웹기반 인증을 통과할 수 있고 데이터베이스에 저장된 데이터를 열람해 볼 수 있다. SQL Injection에 대한 대책으로 다수의 방법이 발표되었다. 그러나 어느 한 가지 방법에 의존할 경우 많은 보안 공백이 발생할 수 있다. 단계적 대응모델은 사고 예방적 측면에서 소스코드 작성 단계, 서버 운용단계, 데이터베이스 핸드링 단계, 사용자 입력값 검증 활용 단계 등 대책을 프레임워크로 구성하여 적용하는 방법이다. 이 대응모델 을 적용할 경우 운용과정을 통해 존재하는 SQL Injection의 공격가능성을 보다 효과적으로 차단이 가능하다.

• 한국산학기술학회논문지
• /
• 제13권11호
• /
• pp.5496-5505
• /
• 2012

IT 산업이 발달하면서 활발히 연구되어 지고 있는 스마트폰의 기술과 기능들은 생활 전반에 걸쳐 많은 영향을 주고 있다. 이러한 스마트폰을 이용하여 시간과 장소에 구애받지 않고 인터넷을 이용할 수 있는 무선랜에 대한 관심이 날로 증가하고 있지만, 무선 전파의 특성으로 인해 개인적이면서 중요한 정보들이 악의적인 공격자의 스푸핑, 서비스 거부 공격, 중간자 공격에 쉽게 노출되어 보안성 요구가 더욱 증가 하고 있다. 본 논문에서는 스마트폰 환경에서 사용자가 이동 통신사 AP 접속을 통하여 무선 인터넷을 이용할 때 USIM에 있는 사용자 고유정보와 AP 정보, 통신사 정보를 사용하여 사용자 인증, AP 인증, 통신사 인증을 함으로써 스푸핑, 세션 하이재킹 및 중간자 공격에 대한 취약성을 보완하여 안전한 무선 네트워크 서비스 환경을 제공한다.

• 한국인터넷방송통신학회논문지
• /
• 제16권4호
• /
• pp.41-46
• /
• 2016

최근 들어 국내외 대기업에서는 웨어러블 디바이스 사업에 전폭적으로 투자하고 있으며, 지난해 대비 26% 가량 많은 사용자들이 웨어러블 디바이스 기반의 다양한 서비스를 제공받고 있다. 기존의 헬스케어, 스마트워크, 스마트 홈 환경에서 폭넓게 사용되고 지고 있으며 융합서비스 환경에서 접목할 수 있도록 도입되어지고 있다. 그러나 G사의 제품이 상용화 되면서 개인정보보호 이슈가 사회적으로 큰 파장을 불러일으키고 있으며, 통신의 데이터 관리 및 보안 쪽에서 위험성이 증대되고 있다. 또한 기존의 무선 환경에서 사용되었던 암호체계를 사용하고 있어 신규 및 변종 보안 위협에 대한 취약성이 발생하고 있다. 본 논문에서는 웨어러블 디바이스 기반에서 안전한 통신을 수행할 수 있는 프로토콜에 대해서 연구를 한다. 등록 및 인증과정에서 코드 값을 기반으로 서명값을 생성한다. 서명 값을 기반으로 안전한 통신을 수행할 수 있도록 통신기법을 설계하도록 한다. 웨어러블 디바이스환경에서 발생하는 공격기법에 대해서 안전성을 분석하여, 기존의 암호시스템과 제안시스템의 성능평가를 수행하여 대략 14%의 효율성을 확인할 수 있었다.

• 정보보호학회논문지
• /
• 제25권5호
• /
• pp.1257-1268
• /
• 2015

다기능 주변기기는 원래 이미지 처리 작업을 중심으로 수행하는 장치였지만 팩스 기능이 결합하여 전자화된 이미지 데이터를 전송하는 기능과 네트워크 기능이 추가되어 비약적으로 발전하였다. 또한, 다기능 주변기기는 인터넷 응용, 애플리케이션 확장, 원격 공유, 이미지 처리의 기능이 추가되었다. 하지만 다기능 주변기기는 네트워크 연결로 인한 위협으로 발생하는 데이터 노출 및 도청 등의 보안 취약점이 발생할 수 있다. 따라서 다기능 주변기기에 대한 평가 기준이 필요하지만, 현재는 다기능 주변기기에 대한 공통된 보호프로파일이 존재하지 않아서 제품에 대한 안전성을 평가하는데 구체적인 평가 기준을 적용하지 않아 평가 품질의 균일성을 유지하는 것이 어려웠다. 따라서 본 논문에서는 다기능 주변기기에 대한 위협을 분석하여 안전한 다기능 주변기기를 사용하기 위해서 공통평가기준을 기반으로 다기능 주변기기에 대한 보호프로파일을 개발하였다.

• 정보과학회 컴퓨팅의 실제 논문지
• /
• 제22권7호
• /
• pp.332-337
• /
• 2016

각 조직의 시스템관리자 또는 보안 관리자는 보안 침해사고가 발생한 경우 사고의 원인 분석과 이를 통해 감염 및 피해를 입은 시스템 분석을 위해서 조직 및 기관에서 사용되고 있는 컴퓨팅 기기의 로그 정보를 지속적으로 수집하여야 하여야 한다. 그리고 수집된 로그는 취약성이 있는 기기를 식별하여 보안사고 예방 활동에도 활용 할 수 있다. 또한, 최근 많이 발생하고 있는 내부자를 통한 정보 유출을 사전에 예방하는 데에도 활용 할 수 있다. 이에 본 논문에서는 윈도우 시스템이 기본으로 제공하는 기능과 명령어를 사용 할 수 있는 오픈소스를 이용하여 로그 정보를 수집 시스템을 개발 하였다. 그리고 수집된 로그 정보를 다양한 관점에서 조회 및 분석이 가능 하도록 오픈소스 기반의 검색엔진 시스템과 연동할 수 있는 방안을 제시하고자 한다.

• 정보보호학회논문지
• /
• 제25권6호
• /
• pp.1319-1326
• /
• 2015

AES, ARIA와 같은 대칭키 암호 알고리즘은 각 라운드 마다 사용되는 라운드 키를 키 확장 메커니즘을 통해 생성한다. 이러한 키 확장 메커니즘이 실행 될 때 소비되는 전력은, 비밀키에 대한 정보를 보유하고 있다는 점에 기인하여, 소수의 전력 파형을 이용한 단순전력분석으로 비밀키의 후보를 현저하게 감소시킬 수 있는 취약점이 존재한다. 그러므로, 이러한 공격에 대한 연구 분석을 통해, 정보 누출을 막을 수 있는 대응방법의 연구가 시급한 실정이다. 국제 표준 암호인 AES의 키 확장 SPA에 대한 연구는 2002년 이후 현재까지 진행되고 있으나, 국내에서 많은 분야에 응용되고 있는 국내 표준 암호 알고리즘 ARIA에 대한 키 확장 SPA 연구의 진행은 미흡하다. 이에 본 논문에서는, 마스킹이 적용되어 있지 않은 ARIA-128 버전 8비트 구현시 키 확장 SPA 공격 시나리오를 제안하고, 실험을 통해 ARIA가 해밍 웨이트 누출 기반 키 확장 SPA 공격에 취약함을 보인다.

• 한국융합학회논문지
• /
• 제5권1호
• /
• pp.29-34
• /
• 2014

IT기술의 발전과 더불어 온라인상에서 인적 네트워크 형성을 도와주는 소셜네트워크 서비스가 등장한다. 소셜네트워크의 등장은 전 세계인과 기업 환경에도 많은 변화를 가져오고 있다. 수많은 기업과 많은 사람들이 사용하고 있는 소셜 네트워크 서비스는 급격한 발전을 하고 있지만 보안위협 요소에 대해서는 대수롭지 않게 생각을 하고 있다. 또한 M2M의 발전으로 여러 휴대용 기계로부터의 접속이 많아지고 있지만, 그 취약성에 대한 인식을 하지 않고 있는 것이 사실이다. 본 논문에서는 개인정보에 대해 살펴본 후 소셜 네트워크 상에 있는 보안위협 요소와 M2M상에서의 SNS접속에 대한 취약성과 대응방안에 대하여 살펴본다.

• 정보보호학회논문지
• /
• 제26권2호
• /
• pp.335-344
• /
• 2016

부채널 분석 중 전력 분석 공격은 가장 실용적이며 강력한 기법으로 알려져 있다. 전력 분석 공격 중 단일 파형공격은 단 하나의 파형을 이용하여 공개키 암호 시스템의 비밀정보를 복원하는 강력한 분석기법으로 최근에 활발히 연구되고 있다. 가장 최근에 Sim 등은 이러한 공격에 높은 안전성을 갖는 새로운 지수승 알고리즘을 소개하였다. 본 논문에서 Sim 등이 제안한 단일 파형 공격에 높은 공격 복잡도를 갖는 알고리즘의 취약점을 분석한다. 메시지 블라인딩과 지수 분할 기법에 윈도우 기법을 적용해 높은 공격 복잡도를 갖는 알고리즘을 제안하였지만 사전 연산과정에서 발생하는 정보를 이용하여 비밀정보를 복원할 수 있음을 확인하였다. 또한 취약점을 보완하여 단일파형 공격에 높은 공격 복잡도를 갖는 지수승 알고리즘을 새롭게 제안하였다. 설계된 알고리즘은 사전 연산 과정에서 실제지수 연산에 사용되는 값들의 재사용을 최소화 하여 충돌 공격에 대해 높은 안전성를 보장한다.

• 정보처리학회논문지C
• /
• 제15C권6호
• /
• pp.481-492
• /
• 2008

인터넷과 네트워크의 발전에 따라 유선 네트워크와 무선 네트워크가 결합되어 유/무선 통합시대가 전개되고 있다. 유/무선 통합 서비스 중에서 이기종 네트워크 환경에서의 보안 기술에 대한 연구는 아직 미흡한 실정이며, 이기종 네트워크의 융합은 서로 다른 네트워크의 융합으로 인해 기존의 보안 기술 및 통신 기술을 그대로 적용하기가 매우 어려워 보안 측면에서도 많은 취약점을 내포하고 있다. 또한 사용자들이 제공 받는 서비스의 형태는 대부분 이동 사용자를 위한 서비스가 될 것이며, 이러한 서비스에서는 로밍 시 빠른 인증 및 안전성을 제공하여야 한다. 따라서 본 연구는 이기종 네트워크 환경에서 로밍 및 AAA 메커니즘에 관한 연구를 진행하여 안전성과 효율성을 제공할 수 있도록 하였다.

• 한국컴퓨터산업학회논문지
• /
• 제2권10호
• /
• pp.1269-1284
• /
• 2001

SSL은 인터넷의 표준 프로토콜인 TCP/IP 트래픽의 암호화를 위해, 기밀성과 인증, 그리고 데이터 무결성을 제공하는 프로토콜이다. 또한 SSL은 인터넷 클라이언트/서버 통신 보안을 위해, 여러 어플리케이션 계층에 적용할 수 있는 연결 중심형 메커니즘을 제공하기 위한 것을 목적으로 한다. 넷스케이프사에 의해 개발된 SSL은 현재 모든 클라이언트의 브라우저와 보안을 제공하는 서버에 의해 지원된다. 현재 SSL의 버전은 3.0이며, 1999년 1월 IETF의 TLS 작업 그룹이 TLS v1.0 명세서를 발표하였다. SSL은 여러 버전을 거치면서, 많은 취약성을 드러내었다. SSL과 TLS는 핸드쉐이크 프로토콜을 이용하여 암호학적 파라미터들을 교환하여 비밀키를 생성하는데, 이 과정에서 많은 공격이 취해질 수 있으며, 또한 레코드 프로토콜에서도 공격이 일어날 수 있다. 본 논문에서는 SSL 프로토콜을 분석하고, TLS와의 차이점을 비교하였으며, 현재 알려진 공격들을 자세히 분석하여, 개발자들이 구현 시 주의해야 할 것들을 제시하였다.