• 정보보호학회논문지
• /
• 제22권1호
• /
• pp.81-91
• /
• 2012

2011년 현재 보안 침해를 목적으로 하는 많은 공격 도구들이 인터넷 상에 떠돌고 있으며, 이러한 도구들 중 대다수가 실제 침해 공격이 가능하다. 또한, 2010년 PS3의 취약점을 공격하는 프로그램 소스와 2011년에는 Stuxnet Source Code 등 다양한 공격 Agent와 공격 도구의 소스가 공개됨에 따라 방어를 목적으로 하는 부분에 있어서 가장 큰 부담이 되고 있으나, 방어하는 측의 입장에서는 공격 소스를 분석함으로써 동일하고 유사한 패턴의 공격을 방어할 수 있는 기법을 제안하고 개발할 수 있는 기회이기도 하다. 이와 같은 공격에 대비하기 위한 방법으로 공격의 대상이 되는 네트워크 영역을 로드밸런싱 기반 하에 공격 유형별 방어정책을 접근 게이트웨이 및 통신라인별로 구분하고 통신라인을 다중화 하는 방식의 방어기법을 제안한다. 본 연구 결과는 2010년을 기점으로 하드웨어 인프라의 가격 경쟁력 상승 등을 통한 높은 하드웨어 성능을 기반으로 방어정책 구현을 위한 현실적인 자료를 제공하고자 한다.

• 정보보호학회논문지
• /
• 제20권2호
• /
• pp.73-90
• /
• 2010

최근 Tan 등은 인증 서버와 연결 없이 태그 인증 목록을 가진 이동형 리더가 스스로 태그를 인증할 수 있는 서버없는 RFID 검색 프로토콜을 소개하였다. 서버없는 RFID 시스템은 기존 온라인 서버 모델과 달리 리더의 이동성 및 개인성을 고려해야하기 때문에 태그 뿐 아니라 리더의 프라이버시 보호가 필요하다. 본 논문에서는 서버없는 RFID 검색 시스템을 위한 새로운 보안 요구사항을 정의하고 이를 만족하는 안전한 RFID 검색 시스템을 제안한다. 제안하는 검색 프로토콜은 리더에 저장된 태그의 인증 정보를 매 세션마다 갱신하여 리더의 후방향 위치추적 안전성을 보장하며 검색 프로토콜의 취약점인 재전송 공격을 막기 위해 암호화된 타임스탬프를 사용하였다. 또한 본 논문에서는 서버 없는 RFID 검색 시스템의 분석을 위한 새로운 공격자 모델을 정의하고 이를 이용하여 시스템의 안전성을 증명한다.

• 한국IT서비스학회지
• /
• 제21권4호
• /
• pp.63-74
• /
• 2022

Globally researchers at medical institutions are actively sharing COHORT data of patients to develop vaccines and treatments to overcome the COVID-19 crisis. OMOP-CDM, a common data model that efficiently shares medical data research independently operated by individual medical institutions has patient personal information (e.g. PII, PHI). Although PII and PHI are managed and shared indistinguishably through de-identification or anonymization in medical institutions they could not be guaranteed at 100% by complete de-identification and anonymization. For this reason the security of the OMOP-CDM database is important but there is no detailed and specific OMOP-CDM security inspection tool so risk mitigation measures are being taken with a general security inspection tool. This study intends to study and present a model for implementing a tool to check the security vulnerability of OMOP-CDM by analyzing the security guidelines for the US database and security controls of the personal information protection of the NIST. Additionally it intends to verify the implementation feasibility by real field demonstration in an actual 3 hospitals environment. As a result of checking the security status of the test server and the CDM database of the three hospitals in operation, most of the database audit and encryption functions were found to be insufficient. Based on these inspection results it was applied to the optimization study of the complex and time-consuming CDM CSF developed in the "Development of Security Framework Required for CDM-based Distributed Research" task of the Korea Health Industry Promotion Agency. According to several recent newspaper articles, Ramsomware attacks on financially large hospitals are intensifying. Organizations that are currently operating or will operate CDM databases need to install database audits(proofing) and encryption (data protection) that are not provided by the OMOP-CDM database template to prevent attackers from compromising.

• 정보보호학회논문지
• /
• 제32권6호
• /
• pp.1081-1090
• /
• 2022

얼굴 인식 모델은 스마트폰의 신원 인식에 활용되는 등 많은 사용자에게 편의를 제공하고 있다. 이에 따라 DNN 모델의 보안성 검토가 중요해지고 있는데 DNN 모델의 잘 알려진 취약점으로 적대적 공격이 존재한다. 적대적 공격은 현재 DNN 모델의 인식 결과만을 이용하여 공격을 수행하는 의사결정 공격기법까지 발전하였다. 그러나 기존 의사결정 기반 공격기법[14]은 적대적 예제 생성 시 많은 질의 수가 필요한 문제점이 있다. 특히, 기울기를 근사하는데 많은 질의 수가 소모되는데 정확한 기울기를 구할 수 없는 문제가 존재한다. 따라서 본 논문에서는 기존 의사결정 공격기법의 기울기를 근사할 때 소모되는 질의 수 낭비를 막기 위해서 직교 공간 샘플링과 차원 축소 샘플링 방법을 제안한다. 실험 결과 섭동의 크기가 L2 distance 기준 약 2.4 적은 적대적 예제를 생성할 수 있었고 공격 성공률의 경우 약 14% 향상할 수 있었다. 실험 결과를 통해 본 논문에서 제안한 적대적 예제 생성방법의 같은 질의 수 대비 공격 성능이 우수함을 입증한다.

• 산업융합연구
• /
• 제20권10호
• /
• pp.17-24
• /
• 2022

장거리 무선 표준 LPWAN 표준의 비 대역망 기술인 Lora는 내부 단말 인증 및 무결성 검증에 ABP, OTTA 방식과 AES-128 기반 암호 알고리즘(공유키)을 사용한다. Lora는 최근 펌웨어 변조 취약점과 공유키 방식의 암호 알고리즘 구조상 MITM 공격 등에 방어가 어려운 문제가 존재한다. 본 연구는 Lora 네트워크에 안전성 강화를 위해 블록체인을 합의 알고리즘(PBFT)을 적용한다. GPS 모듈을 활용하여 노드 그룹을 검색하는 방식으로 인증과 PBFT의 블록체인 생성과정을 수행한다. 성능분석 결과, 새로운 Lora 신뢰 네트워크를 구축하고 합의 알고리즘의 지연 시간이 개선했음을 증명하였다. 본 연구는 4차 산업 융합연구로써 향후 Lora 장치의 보안 기술 개선에 도움이 되고자 한다.

• 한국정보통신학회논문지
• /
• 제26권7호
• /
• pp.1060-1070
• /
• 2022

정보 기술의 발달로 시스템의 규모는 대형화되고 역할의 종류도 다양해져서 기존의 역할기반 접근제어로는 확장성, 호환성, 복잡성 등의 한계에 부딪히게 되었다. 블록체인 기술은 기존 보안 취약점에 새로운 해법을 제시하며 다양한 분야에서 활용되고 있다. 본 논문에서는 저장소의 접근 빈도와 저장 용량에 따라 요구되는 가스 및 처리 시간이 달라지는 블록체인 환경에서 효율적인 역할기반접근제어를 제안하였다. 제안하는 방식은 재사용 가능한 단위의 역할을 재정의하고, 동적인 상태를 효율적으로 반영할 수 있는 계층적 구조를 도입하여 복잡성을 해결하고 효율성 및 확장성을 강화하였고, 암호화폐 연동이 가능할 수 있도록 사용자 중심의 인증기능을 포함하였다. 제안하는 모델은 마르코프체인을 이용하여 이론적으로 먼저 검증하고, 이더리움 프라이빗 네트워크에서 구현하여 대표함수에 대한 비교 실험을 실행하여 사용자 추가 및 트랜잭션 등록 시에 요구되는 시간과 가스 효율성에 대하여 검증하였다. 향후 이를 기반으로 예외 상황 등을 고려한 구조 확장 및 실험 등이 요구된다.

• 정보보호학회논문지
• /
• 제33권6호
• /
• pp.947-960
• /
• 2023

현재 우리나라는 실물 어음을 전자 어음으로 대체해 나가고 있으며, 이러한 변화는 신뢰 기관인 금융결제원이 주도하고 있다. 하지만 기존 시스템은 해킹의 위협, 기관 내부의 오류 등 보안상의 취약점이 존재한다. 이에 따라 본 논문에서는 블록체인 기반의 새로운 익명 전자 어음 시스템을 정의하였다. 제안하는 프로토콜에서 모든 어음 정보는 커밋되기 때문에 지급이 일어나기 전까지는 거래 정보가 노출되지 않으며, 지급이 완료된 후에는 어음 정보가 블록체인에 공개되기 때문에 자금 세탁, 탈세와 같은 불법적인 행위를 탐지할 수 있다. 또한 본 프로토콜은 우리나라 전자 어음 시스템의 중요한 기능인 분할 배서가 가능하기 때문에 실제 금융 거래에 적용하기 적합하다.

• 인터넷정보학회논문지
• /
• 제25권2호
• /
• pp.1-9
• /
• 2024

연합학습은 보안 및 프라이버시 측면에서 중앙 집중식 방법보다 안전하도록 설계되었음에도 불구하고 여전히 많은 취약점을 내재한다. 적대적 공격(adversarial attack)을 수행하는 공격자는 신중하게 제작된 입력 데이터, 즉 적대적 예제(adversarial examples)를 클라이언트의 학습 데이터에 주입하여 딥러닝 모델을 의도적으로 조작하여 오분류를 유도한다. 이에 대한 보편적인 방어 전략은 이른바 적대적 학습(adversarial training)으로 적대적 예제들의 특성을 선제적으로 모델에 학습시키는 것이다. 기존의 연구에서는 모든 클라이언트가 적대적 공격 하에 있는 상황을 가정하는데 연합학습의 클라이언트 수가 매우 많음을 고려하면 실제와는 거리가 있다. 본 논문에서는 클라이언트의 일부가 공격 하에 있는 시나리오에서 적대적 학습의 양상을 실험적으로 살핀다. 우리는 실험을 통해 적대적 예제에 대한 분류 정확도가 증가하면 정상 샘플에 대한 분류 정확도의 감소하는 트레이드오프 관계를 가짐을 밝혔다. 이러한 트레이드오프 관계를 효과적으로 활용하기 위해 클라이언트가 자신이 공격받는지 여부에 따라 손실함수를 적응적으로 선택하여 적대적 학습을 수행하는 방법을 제시한다.

• 정보보호학회논문지
• /
• 제26권1호
• /
• pp.187-196
• /
• 2016

안드로이드 애플리케이션은 악성코드를 삽입한 후 재서명하여 배포하는 리패키징 공격에 취약하다. 이러한 공격을 통해 사용자의 사생활 정보나 개인정보 유출 등의 피해가 자주 발생하고 있는 실정이다. 모든 안드로이드 애플리케이션은 사용자가 직접 작성한 메소드와 API로 구성된다. 이중 플랫폼의 리소스에 접근하며 실제 애플리케이션의 기능적인 특징을 나타내는 것은 API이고, 사용자가 작성한 메소드 역시 API를 이용하며 기능적 특징을 나타낸다. 본 논문에서는 악성 애플리케이션이 주로 활용하는 민감한 API들을 분석 대상으로 하여 악성애플리케이션이 어떤 행위를 하고, 어떤 API 를 사용하는지 사전에 식별할 수 있는 분석 기법을 제안한다. 사용하는 API를 토대로 API의 특성정보를 기반으로 나이브 베이즈 분류 기법을 적용하여 비슷한 기능을 하는 API에 대해 기계 학습하도록 한다. 이렇게 학습된 결과를 토대로 악성 애플리케이션이 주로 사용하는 API를 분류하고, 애플리케이션의 악성 위험 정도에 대한 정량적 판단 기준을 제시한다. 따라서, 제안 기법은 모바일 애플리케이션의 취약점 정도를 정량적으로 제시해 줌으로써 모바일 애플리케이션 개발자들이 앱 보안성을 사전에 파악하는데 많은 기여를 할 수 있을 것으로 기대된다.

• 전자공학회논문지CI
• /
• 제46권1호
• /
• pp.64-77
• /
• 2009

ID기반 재암호화 기법(ID-based foxy re-encryption scheme)은 사용자 간의 복호 능력 위임을 가능하게 하며 분산 데이터 저장, DRM, 이메일 전달 시스템 등의 다양한 분산 암호시스템을 위해 활발히 연구되고 있다. 최근 재암호화키 생성의 비상호성(Non-interactivity)을 제공하는 기법이 Green과 Ateniese에 의해 제안되었다. 이 기법은 선택 암호문 공격에 대한 안전성을 제공하기 위해 설계되었다. 본 논문에서는 Green-Ateniese ID기반 재암호화 기법이 근본적으로 사용자 키 노출 공격에 취약함을 보이고 선택 암호문 공격에 대한 안전성이 보장되지 않음을 증명한다. 그리고 이러한 보안 취약점을 해결하는 새로운 두 가지 ID기반 재암호화 기법들을 제안한다. 제안 기법들이 랜덤 오라클 모델(Random Oracle Model)에서 단순 평문 공격과 선택 암호문 공격에 대해 각각 안전함을 증명한다. 선택 암호문 공격에 안전한 제안 기법을 구성하기 위해, 본 논문에서는 최초로 짧은 서명에 기반한 자가 인증 기법을 고안하여 적용한다. 제안 기법의 중요한 특징은 재암호화 후 암호문의 구조가 유지되는 것이다. 따라서 이전 기법들과는 대조적으로 암호문 확장이 발생되지 않는다. 또한 재암호화의 횟수에 제한이 없어서 연속적인 암호문 변환이 가능하여 다중의 사용자를 위한 복호 능력 위임을 구현할 수 있다.