• 정보보호학회지
• /
• 제25권1호
• /
• pp.7-17
• /
• 2015

정보시스템의 안전을 위한 시큐어 코딩의 중요성이 강조되고 있으며, 이를 지원하기 위한 보안약점 및 보안취약점 관련 연구로서 보안약점목록의 구축, 주요 보안약점의 발표, 보안취약점목록의 구축, 보안약점과 보안취약점 중요도 정량평가 방법의 개발 등이 수행되고 있다. 특히 대표적인 국내 사례로 행정자치부와 한국인터넷진흥원에서는 SW 개발단계에서 보안약점 제거활동을 의무화하는 SW 개발보안을 법제화하여 시행하고 있다. 본 논문에서는 시큐어 코딩을 지원하기 위한 국내외 연구 동향을 소개하고, 행정자치부 SW 개발보안을 위한 보안약점 표준목록 연구결과를 소개한다.

• 정보보호학회지
• /
• 제26권1호
• /
• pp.9-19
• /
• 2016

프로그램 개발단계에서 개발자의 실수로 인한 소스코드 내의 보안약점을 제거하여 정보시스템의 안전성을 강화하려는 노력이 이루어지고 있는 가운데, 의도적으로 삽입된 악의적인 보안 약점에 대한 대응의 필요성이 증가하고 있다. 본 논문에서는 상용 및 공개 소프트웨어의 의도적 보안약점에 의한 침해 사례 및 관련 취약점의 주요 형태와 모바일 앱의 의도적 보안약점 개요 및 관련 사례를 기술한다. 이를 통하여 의도적 보안약점에 대한 개괄적 내용을 제시하고 이에 대한 대응방안을 모색하고자 한다.

• 정보처리학회논문지:컴퓨터 및 통신 시스템
• /
• 제6권1호
• /
• pp.43-50
• /
• 2017

최근 컴퓨터 시스템 내부에 존재하는 웹 브라우저, 운영체제 커널 등에서 Use-After-Free 보안문제가 지속적으로 발생하고 있다. 해당 보안약점은 기존의 보안약점 탐지방법으로 제거하기 어려우며 소프트웨어 내부에 해당 보안약점이 존재할 경우 내부 보안에 심각한 영향을 미친다. 본 논문에서는 소프트웨어 개발 과정에서 해당 보안약점을 제거하기 위한 방안을 연구하였다. 이 과정에서 해당 보안약점의 발생 원인을 정리하고 이를 제거하기 위한 방법을 제시한다.

• 정보보호학회지
• /
• 제25권1호
• /
• pp.18-25
• /
• 2015

컴퓨터와 네트워크가 보안 상 안전하려면 무엇보다 사용되는 시스템 및 응용 프로그램에 보안약점이 없어야 한다. 보안약점은 공격자가 이용하여 제어 흐름을 탈취하거나 원하는 정보를 유출할 수 있게 하는 프로그램 상의 불완전한 부분을 뜻한다. 보안약점이 없는 프로그램을 만들기 위한 방법으로 시큐어 코딩 규칙을 정의하고, 프로그램 개발 단계에서 이를 적용하게 할 수 있다. 코딩 과정에서 시큐어 코딩 규칙을 준수하여 보안약점 발생을 억제하는 방법은 예방적 조치이다. 아무런 규칙 없이 코딩을 진행한 후 보안약점을 분석, 제거하는 방법보다 프로그래머들에게 부담이 적고, 정적 분석을 사용하여 보안약점을 분석하는 도구들의 치명적인 약점인 오탐 비율을 낮춘다. 이 글은 2014년까지 소프트웨어 개발 보안 센터를 중심으로 진행된 행정자치부의 C/C++, Java, PHP 프로그래밍 언어를 위한 시큐어 코딩 가이드에 대하여 설명한다.

• 한국통신학회논문지
• /
• 제38C권10호
• /
• pp.831-840
• /
• 2013

최근 소프트웨어 보안성 강화를 위해 소프트웨어 개발단계에서 보안취약점의 원인인 보안약점을 제거하기 위한 정적분석 기반의 도구를 많이 활용하고 있다. 따라서, 보안약점 진단도구는 다양한 보안약점을 진단할 수 있는 진단규칙을 보유하는 것이 필요하다. 2011년부터 2012년까지 국내 주요 정보화사업으로 개발된 소프트웨어에서 발견된 상위 5개의 보안약점은 연도별 상위 10개 보안약점의 76%에 해당된다. 소프트웨어 개발시 상위 5개의 보안약점만 적절히 조치하여도 소프트웨어 보안성이 많이 개선될 수 있다. 본 논문은 많이 활용되고 있는 공개용 진단도구인 PMD를 대상으로 주요 보안약점에 대한 진단규칙과 이에 대한 성능시험 결과를 제시한다.

• 정보과학회 컴퓨팅의 실제 논문지
• /
• 제21권11호
• /
• pp.721-726
• /
• 2015

이 논문은 PHP 프로그램의 시큐어 코딩 규칙을 보이고 있다. 이 코딩 규칙들은 PHP와 관련된 28개 보안약점의 발생을 억제하기 위하여 프로그램 개발 단계에서 준수하도록 규정한 것이다. 28개 보안약점은 CVE에 보고된 실제 취약점 사례에서 분류된 22개 보안약점과 PHP 언어로 작성된 프로그램의 보안약점(CWE-661)의 하위 보안약점들, OWASP의 PHP Top5 보안약점들에서 선별하였다. 이를 기반으로 하여 14개 시큐어 코딩 규칙 범주에 걸쳐 28개 세부규칙을 개발하였다. 이 논문은 또한 적용 사례를 통해 규칙 적용이 보안약점 억제 효과가 있음을 보이고 있다. 개발된 규칙은 PHP 프로그램의 보안 목적의 분석 도구 개발의 기준으로 활용될 수 있다.

• 한국정보과학회:학술대회논문집
• /
• 한국정보과학회 2012년도 한국컴퓨터종합학술대회논문집 Vol.39 No.1(A)
• /
• pp.434-436
• /
• 2012

최근에 모바일 시장의 급격한 성장과 함께, 모바일 애플리케이션의 보안약점을 통해 개인의 민감한 정보가 유출되는 심각한 문제점이 새롭게 등장하고 있다. 특히, 오늘날의 소프트웨어는 인터넷 환경에서 데이터를 교환하기 때문에 해커에 의해 악의적인 공격을 받을 가능성이 항상 존재한다. 이러한 보안약점은 심각한 경제적 손실을 발생시키는 소프트웨어 보안 침해사고의 직접적인 원인이다. 따라서 초기 개발 단계에서 보안약점을 제거하는 것이 중요하다. 그러나 기존의 보안약점 목록은 모바일 환경의 특성을 반영하지 못하고 있다. 본 논문에서는 모바일 애플리케이션의 특성을 고려한 보안약점의 분류 기법에 대한 소개를 한다.

• 정보보호학회논문지
• /
• 제22권6호
• /
• pp.1407-1417
• /
• 2012

소프트웨어 시스템을 보안 침해로부터 보호하기 위해서는 소프트웨어의 개발 단계에서부터 생명주기 전체에 걸쳐 보안약점을 제거하는 작업이 요구된다. 이러한 작업을 수행함에 있어서 계속하여 보고되고 있는 다양한 보안약점들에 대하여 시스템 보안과 실제 활용 목적에 미치는 영향이 큰 보안약점을 선별하여 적절히 대처하는 것이 효과적이다. 본 논문에서는 소프트웨어 보안약점 및 보안취약점의 중요성에 대한 기존의 정량 평가 방법론들을 소개하고, 이를 기반으로 신뢰도가 중요시되는 소프트웨어 시스템에 대하여 보안약점의 일반적인 심각성을 객관적으로 평가할 수 있는 정량 평가 기준을 제안한다. 또한 제안된 기준을 사용하여 2011 CWE/SANS Top 25 보안약점 명세에 대한 중요도 평가를 수행하고 그 결과를 기존 점수와 비교함으로써 제안된 평가기준의 유용성을 보이고자 한다.

• 한국컴퓨터정보학회:학술대회논문집
• /
• 한국컴퓨터정보학회 2020년도 제62차 하계학술대회논문집 28권2호
• /
• pp.449-450
• /
• 2020

최근 블록체인이 많은 분야에서 활용되고 있다. 본 연구에서는 블록체인과 관련된 개발 도구에 포함된 보안약점을 분석하고 그 보안약점을 진단하기 위한 정보를 기반으로 분류한다. 또한 일부 보안약점의 예를 통하여 진단하기 위한 알고리즘을 llvm의 Clang 도구에 적용하기 위한 방법을 연구한다. 이를 통하여 블록체인과 관련된 보안약점을 분류하고 그에 대한 진단 방법을 연구하였다. 향후 기존 정적 분석 도구를 확장함으로써 진단 성능을 높일 수 있을 것이며, 줄리엣 코드와 같은 벤치마크 테스트를 통해 그 결과를 비교해볼 수 있을 것이다.

• 정보보호학회지
• /
• 제26권1호
• /
• pp.27-33
• /
• 2016

보안 약점은 소스코드의 공개 여부와는 관계없이 존재하며, 소프트웨어의 취약점으로 이어질 수 있다. 소스코드가 공개된 소프트웨어의 경우 소스 코드 분석을 통해 보안 약점을 제거하지만, 소스코드가 공개되지 않고 바이너리 형태의 실행파일만 제공되는 소프트웨어의 경우에는 보안 약점을 찾기가 어렵다. 비정상 데이터를 임의로 생성하여 파일 또는 표준입력 형태로 입력하는 퍼징 기법은 위와 같은 소스코드가 공개되지 않은 소프트웨어의 취약점을 찾기 위한 기술이다. 본 논문에서는 소스코드가 없는 상용 및 공개 소프트웨어의 보안 약점을 진단하기 위해 퍼징 기법을 활용하는 방법을 제시하고, 공개된 퍼징 도구 및 프레임워크를 이용하여 설치부터 소프트웨어의 진단 및 발견된 보안 약점을 분석, 제거 등의 퍼징 프로세스를 소개하여 상용 및 공개 소프트웨어 취약점 발견에 도움을 줄 것으로 기대한다.