• 한국콘텐츠학회논문지
• /
• 제16권8호
• /
• pp.90-96
• /
• 2016

우리나라는 스마트폰 보급률이 83%로 성인인구 4,000만명 중 3,390만 명이 사용하고 있으며, 이러한 사용자 대부분이 공인인증서에 대한 안전성 문제가 지속적으로 제기됨에도 불구하고 공인인증서를 사용하고 있다. 이러한 안전성의 문제로 인해 SMS를 이용한 휴대폰 소유자 인증기술, 생체인증을 통한 본인 인증기술 등 다양한 인증기술들이 제안되고 있다. 그러나 아직까지도 공인인증서를 대체할 만한 안전하고 믿을 만한 인증체계가 제시되지 않고 있다. 또한 사용자가 제일 많은 공인인증서와 개인키에 대한 탈취 시도가 지속적으로 발생하고 있다. 이러한 이유로 인해 보안전문가들은 공인인증서와 개인키를 USB 플래시 드라이브, 보안토큰, 스마트폰에 저장하도록 권고한다. 하지만 보안전문가가 추천하는 외부 저장매체 중 스마트폰은 앱을 통해 악성코드가 쉽게 전파되고, 악성코드에 의한 인증서나 개인키 파일을 외부로 유출이 가능하다. 해커가 유출한 인증서와 개인키 파일과 함께 개인키 암호용 패스워드만 알아내면 언제든지 정당한 사용자로 위장할 수 있다. 이에 본 논문에서는 스마트폰의 고유정보와 사용자 패스워드를 조합하여 스마트폰에 저장된 개인키 파일의 안전한 관리 방안을 제안한다. 제안 방안을 활용하게 되면 스마트폰에 저장된 개인키와 인증서 파일이 공격자에게 탈취되더라도 스마트폰의 고유 정보를 획득할 수 없으므로 암호화된 개인키의 재사용이 불가능하다. 따라서 제안 방안을 공인인증 체계에 활용한다면 스마트폰 사용자에게 현재보다 훨씬 향상된 보안 서비스를 제공할 수 있을 것으로 예상한다.

• 한국산학기술학회논문지
• /
• 제18권11호
• /
• pp.46-52
• /
• 2017

최근 ICT 및 IoT 제품의 활용 분야가 다양화 되면서 오픈소스 소프트웨어의 활용 분야가 컴퓨터, 스마트폰, IoT 디바이스 등 다양한 기기와 환경에서 활용되고 있다. 이처럼 오픈소스 소프트웨어의 활용분야가 다양해짐에 따라 오픈소스의 보안 취약점을 악용하는 불법적인 사례가 지속적으로 증가하고 있다. 이에 따라 다양한 시큐어 코딩을 위한 도구나 프로그램이 출시되고 활용되고 있지만 여전히 많은 취약점들이 발생하고 있다. 본 논문에서는 안전한 오픈 소스 소프트웨어 개발을 위해 오픈 소스의 취약점 분석 결과에 의한 이력과 패턴을 지속적으로 학습하여 신규 취약점 분석에 활용할 수 있는 방법을 제안한다. 본 연구를통해 취약점 이력 및 패턴 학습기반의 취약점 분석 시스템을 설계하였으며, 프로토타입으로 구현하여 실험을 통해 시스템의 성능을 평가하였다. 5개의 취약점 항목에 대해 평균 취약점 검출 시간은 최대 약 1.61sec가 단축되었으며, 평균 검출 정확도는 약 44%point가 향상된 것을 평가결과에서 확인할 수 있었다. 본 논문의 내용 및 결과는 소프트웨어 취약점 연구 분야에 대한 발전과 소프트웨어 개발자들의 취약점 분석을 통한 시큐어 코딩에 도움이 될 것을 기대한다.

• 한국정보과학회논문지:시스템및이론
• /
• 제31권1_2호
• /
• pp.27-40
• /
• 2004

OSGi 서비스 프레임워크는 다음과 같은 몇 가지 특성을 갖는다. 첫째, 서비스가 번들이라는 자체 설치 가능한 컴포넌트 형태로 제공되어 동적으로 배치된다. 둘째, 서비스가 생명주기에 따라 동적이며 다른 서비스와의 상호 작용이 자주 일어난다. 셋째, 홈 게이트웨이의 시스템 자원이 충분하지 않다. 이러한 특성들로 인하여 네트워크 상에서 인증되지 않은 오퍼레이터에 의해 악의적인 서비스가 배치될 수 있거나 서비스가 변질 될 수 있다. 이러한 변경된 서비스 번들은 서비스 게이트웨이는 물론 사용자에게 보안상의 악영향을 준다. 더불어 현재 OSGi 프레임워크 표준안에는 위의 특성을 고려한 서비스 번들 인증 메커니즘이 제시되어 있지 않다. 따라서 본 논문은 서비스 플랫폼 상에서의 특성을 고려한 서비스 번들 인증 메커니즘을 제안하고자 한다. 본 논문에서는 서비스 번들의 안전한 전송을 위해서 장치를 인식하고 초기설정을 하는 초기화 작업인 부트스트래핑 단계에서 키 공유를 위한 메커니즘을 설계하였고, 이 단계에서 생성된 공유 비밀키를 이용한 MAC 기반 서비스 번들 인증 메커니즘을 제시하였다. 또한 BAN Logic을 이용해 키 공유 메커니즘과 서비스 번들 인증 메커니즘의 안전성을 검증하였다. 이와 같은 서비스 번들 인증 메커니즘은 기존의 PKI 기반의 서비스 번들 인증이나 OSGi에서 권고하고 있는 RSH 프로토콜과 비교해 볼 때 저장 공간이나 연산의 제약된 자원을 가지고 있는 서비스 플랫폼 상에서 더 효율적이다.

• 정보보호학회논문지
• /
• 제29권4호
• /
• pp.859-866
• /
• 2019

최근의 사이버 보안 위협은 특정 표적을 대상으로 하는 특징이 있으며 보안을 강화시키기 위한 지속적인 노력에도 불구하고 APT 공격에 의한 피해 사례는 계속 발생하고 있다. 인터넷망과 업무망이 분리된 망분리 환경은 외부 정보의 유입을 봉쇄시킬 수 있으나 업무의 효율성과 생산성을 위해서는 현실적으로 외부 정보의 유입을 모두 통제할 수는 없다. 이에 망연계 시스템 등 보안 정책을 강화시키고 파일 내부에 포함된 불필요한 데이터를 제거할 수 있도록 CDR 기술이 적용된 솔루션을 도입하더라도 여전히 보안 위협에 노출되어 있다. 본 연구는 망분리 환경에서 망간 파일을 전송할 때 파일의 형식을 변환하여 전송함으로써 문서삽입형 악성코드의 보안 위협을 방지하는 방안을 제안한다. 또한 포렌식 준비도를 고려하여 문서파일이 원활한 사고대응을 위한 정보를 보관할 수 있는 기능을 포함하여 망 분리 환경에서 활용할 수 있는 시스템을 제안한다.

• 인터넷정보학회논문지
• /
• 제21권6호
• /
• pp.13-21
• /
• 2020

안드로이드 저자 식별 연구는 좁은 범위에서는 출처를 밝히기 위한 방법으로 해석할 수 있으나, 넓은 범위에서 본다면 알려진 저작물을 통해 유사한 저작물을 식별하는 통찰력을 얻기 위한 방법으로 해석할 수 있다. 안드로이드 저자 식별 연구에서 발견되는 문제점은 안드로이드 시스템 상 중요한 코드이지만 의미가 없는 코드들로 인하여 저자의 중요한 특징을 찾기 어렵다는 것이다. 이로 인해 합법적인 코드 또는 행동들이 악성코드로 잘못 정의되기도 한다. 이를 해결하기 위하여 서바이벌 네트워크 개념을 도입하여 여러 안드로이드 앱에서 발견되는 특징들을 제거하고 저자별로 정의되는 고유한 특징들을 생존시킴으로써 문제를 해결하고자 하였다. 제안하는 프레임워크와 선행된 연구를 비교하는 실험을 진행하였으며, 440개의 저자가 식별된 앱을 대상으로 실험한 결과에서 최대 92.10%의 분류 정확도를 도출하였고 선행된 연구와 최대 3.47%의 차이를 보였다. 이는 적은 양의 학습데이터를 이용하였으나 저자별 중복된 특징 없이 고유한 특징들을 이용하였기에 선행 연구와 차이가 나타났을 것으로 해석하였다. 또한 특징 정의 방법에 따른 선행 연구와의 비교 실험에서도 적은 수의 특징으로 동일한 정확도를 보일 수 있으며, 이는 서바이벌 네트워크 개념을 통한 지속적으로 중복된 의미 없는 특징을 관리할 수 있음을 알 수 있었다.

• 한국산학기술학회논문지
• /
• 제18권7호
• /
• pp.1-8
• /
• 2017

IT 환경 발전되고 융합서비스가 제공됨에 따라서 다양한 보안위협이 증가하고 있으며, 이로 인해 사용자들로부터 심각한 위험을 초래하고 있다. 대표적으로 DDoS 공격, 멀웨어, 웜, APT 공격 등의 위협들은 기업들에게 매우 심각한 위험요소가 될 수 있으므로 반드시 적절한 시간 내에 적절한 조치 및 관리가 되어야 한다. 이에 정부는 '정보통신기반보호법'에 따라 국가안보 및 경제사회에 미치는 영향 등을 고려하여 중요 시스템에 대해 주요정보통신기반시설로 지정 관리하고 있다. 특히 사이버침해로부터 주요정보통신기반시설을 보호하기 위하여 취약점 분석 평가, 보호대책 수립 및 보호조치 이행 등의 지원과 기술가이드 배포 등의 관리감독을 수행하고 있다. 현재까지도 '주요정보통신기반시설 기술적 취약점 분석 평가방법 가이드'를 베이스로 보안컨설팅이 진행되고 있다. 적용하고 있는 항목에서 불필요한 점검항목이 존재하고 최근 이슈가 되는 APT공격, 악성코드, 위험도가 높은 시스템에 대해 관리부분이 취약하다. 실제 보안 위험을 제거하기 위한 점검은 보안관리자가 따로 기획해서 전문업체에게 발주를 주고 있는 것이 현실이다. 즉, 현재의 시스템 취약점 점검 방법으로는 해킹 및 취약점을 통한 공격에 대비하기 어려움이 존재하여 기존의 점검방법과 항목으로는 대응하기가 힘들다. 이를 보완하기 위해서 본 논문에서는 시스템 취약점 점검의 고도화 필요성을 위해 효율적인 진단 데이터 추출 방법, 최근 트렌드를 반영하지 못한 점검 항목을 최신 침입기법 대응에 관하여 기술적 점검 사례와 보안위협 및 요구사항에 대해서 관련 연구를 수행하였다. 국내 외의 보안 취약점 관리체계 및 취약점 목록을 조사 후 이를 기반으로, 효율적인 보안취약점 점검 방법을 제안하며 향후, 제안방법을 강화하여 국외의 취약점 진단 항목을 국내 취약점 항목에 연관되도록 연구하여 개선하고자 한다.