• Proceedings of the Korea Information Processing Society Conference
• /
• 2007.11a
• /
• pp.1254-1257
• /
• 2007

유비쿼터스 환경이 구축됨에 따라서 온라인상에서 사용자를 인증하고 적합한 서비스를 제공할 수 있도록하기 위하여 OTP(One-Time Password)에 대한 연구가 활발히 진행되고 있다. 하지만 ID와 고정된 패스워드의 대안으로 연구되고 있는 OTP 또한 중간자공격에 취약하여 패스워드 노출 문제가 발생하고, 기존의 사용되고 있는 방식이 6~8자리의 OTP를 사용하고 있기 때문에 자릿수를 알았을 경우 사전공격 및 추측 공격이 가능할 수 있다. 기존의 OTP는 OATH와 RSA에서 연구하고 있어 두 가지 표준으로 구분된다. 그 중 OATH에서 연구하고 있으며 RFC 4226에 기술되어 있는 HOTP는 Hash-based MAC을 이용하여 안전한 OTP를 생성하고 있다 하지만 HOTP도 자릿수(Digit)가 고정되어 있어 사전 공격 및 추측 공격에 취약할 수 있다. 따라서 본 방식은 HOTP의 자릿수를 가변적으로 생성하는 R(Random digit)-OTP를 생성함으로써 제 3자의 공격으로부터 안전하게 하였다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2010.11a
• /
• pp.252-255
• /
• 2010

소프트웨어가 대형화되고 복잡해짐에 따라 소프트웨어에 내재하고 있는 소프트웨어 허점(weakness)의 발생률이 높다. 이런 허점은 컴파일러에 의해 탐지되지 않고, 공격자에 의해 발견되기 쉽다는 특징이 있기 때문에 소프트웨어 취약성을 야기한다. 스마트폰의 확산으로 인해 다양한 종류의 스마트폰 앱이 개발되고 있다. 이에 따라 스마트폰 앱이 대형화되고 복잡해지고 있으므로, 여기에 내재하는 소프트웨어 허점을 사전에 예방하는 것은 중요하다. 본 논문에서는 안드로이드 앱을 개발할 때, 소프트웨어 취약점을 야기하며, 개발자가 간과하기 쉬운 소프트웨어 허점을 사전에 제거하고자 안드로이드에 특화된 시큐어 코딩 가이드를 제시한다.

• Proceedings of the KSEE Conference
• /
• 2009.10a
• /
• pp.83-86
• /
• 2009

• Review of KIISC
• /
• v.29 no.6
• /
• pp.81-88
• /
• 2019

IoT 기술을 이용한 다양한 제품과 서비스의 출시로 국내·외 IoT 산업의 급성장 및 초연결사회로의 진입이 가속화되고 있는 가운데, 보안에 취약한 IoT 기기를 공격 목표 및 도구로 악용하여 다양한 침해사고가 발생되고 있다. 이와 같은 상황은 IoT 기기 보급 활성화와 더불어 더욱 증가할 것으로 전망되고 있으며, 피해의 범위 및 정도에 있어서 막대한 사회적·경제적 손실을 유발하게 될 것으로 우려되고 있다. IoT 기기를 대상으로 하는 침해사고는 주로 디폴트 계정이나 추측하기 쉬운 패스워드를 사용하는 등 관리적 미흡 혹은 기기 자체의 취약점을 악용하여 발생하는 공격으로 인하여 발생되고 있다. 이에 정부 및 산업체에서는 IoT 기기의 보안 내재화, 기기 소유자의 보안인식 제고 등 IoT 기기의 보안성 강화를 위한 다양한 활동을 진행하고 있다. 하지만 IoT 기기 및 사용 환경의 특징 상 모든 IoT 기기를 안전하게 배포하여 관리하는 데에는 한계가 존재하기 때문에, 침해사고 예방 및 대응의 관점에서 공격에 노출되기 쉬운 취약한 기기를 파악하여 사전에 조치하는 노력이 필요하다. 이와 관련하여 본 논문에서는 IoT 기기 취약점을 악용하여 발생하는 공격 대응을 위해, 다양한 채널을 통해 IoT 기기 취약점 및 익스플로잇 정보를 수집하여 IoT 기기 취약점 악용 공격의 유형을 분석하고 대응의 일례를 제시함으로써 IoT 위협 탐지 및 대응 전략 수립을 위한 기초정보를 제공하고자 한다.

• Proceedings of the Korea Water Resources Association Conference
• /
• 2022.05a
• /
• pp.300-300
• /
• 2022

가뭄 취약성은 다양한 평가 요소가 반영되는 다기준 구성으로 개념화될 수 있으며 관련하여 수반되는 영향을 집계하여 측정해야 하므로 여러 변수가 제공하는 정보를 통합해야 한다. 따라서 가뭄 취약성 평가의 일반적인 절차에는 (1) 고려할 변수 선택, (2) 가중치 체계 정의 및 (3) 변수 집계가 포함된다. 여기서 가중치 산정은 평가결과에 막대한 영향을 미칠 수 있는 중요한 과정이다. 각 평가 요소는 내재된 의미가 다르기 때문에 모두 동일한 가중치를 가지고 있다고 가정 할 수 없다. 따라서 각 평가 요소별로 영향력을 가늠하는 가중치를 찾는 것이 다기준 평가에서 주요한 연구 분야이다. 본 연구에서는 밭 가뭄 취약성 평가를 위한 평가 요소의 자료로부터 각 요소를 통계적 기법으로 분석하여 평가 결과에 반영함으로써 주관적인 가중치를 적용하는 평가기법에 따른 편향 가능성을 해소하고자 한다. 객관적 가중치 산정기법인 Entropy, PCA 기법을 적용하였다. 평가 결과는 가중치 산정기법에 따라 차이가 발생하였으며 특히 Entropy 가중치의 경우, 다른 방법에 비하여 차이가 많이 나타났으며 이 같은 차이는 Entropy 가중치 산정기법상 정보의 변화량이 많은 평가인자에 과도한 가중치가 반영된 결과로 판단된다. 본 연구에서 제시한 밭 가뭄과 연관되는 지표를 적용하여 가뭄취약성을 평가하는 방안은 각 지역에 내재된 밭 가뭄취약정도를 파악하여 사전에 대응하기 위한 정책 수립 등에 기여할 수 있다.

• Information and Communications Magazine
• /
• v.31 no.5
• /
• pp.39-45
• /
• 2014

기업활동에서 IT에 대한 의존도가 증가함에 따라 기업들은 다양한 소프트웨어 및 하드웨어 플랫폼에서 제공되는 서비스들을 운영하고 있다. 서비스들이 보급, 확대되는 과정에서 새로운 보안 취약점들이 나타나고, 이들 취약점을 악용한 기업정보의 유출 및 해킹 등 보안사고의 발생도 비례하여 증가하고 있다[1]. 특히 다양한 유형의 사업을 운영하는 지주회사 또는 대기업 그룹사의 경우, 사업영역별로 운영 중인 IT 인프라의 보안 취약점이 네트워크로 연결된 타 사업용 IT 인프라에 대한 사이버 침해의 통로로 악용될 가능성이 있다. 이 같은 문제의 해결을 위해 기업들은 사업영역 별로 보유한 IT 인프라의 보안 취약점 진단과 대응을 위한 솔루션들을 도입, 운영해 오고 있다. 하지만 기업의 보안 거버넌스 관점에서 보안 취약점 관리도 전사적인 보안 정책과의 연계 강화, 투자 중복의 방지, 효과적인 관리와 통제에 대한 필요성이 대두되기 시작했다. 보안 거버넌스 체계 강화에 대한 기업의 요구변화에 맞춰 보안 취약점의 통합관리를 지원하는 상용 솔루션들이 일부 출시되고 있으나 기업들이 기 운영하고 있는 개별 취약점 진단 솔루션과의 연동, 로그관리 및 기업이 요구하는 특화된 기능 구현 등의 어려움이 도입에 장애가 되고 있다. 따라서, 대기업을 중심으로 개별 보안 취약점 진단 솔루션들을 연동하여 기업보안 거버넌스를 효과적으로 지원할 수 있도록 취약점 관리업무 프로세스의 재설계와 함께 취약점 진단 통합관리 체계를 구축하고 있다[2][3][4]. 본고는 보안 취약점 관리업무의 문제점을 소개하고, 최근 대 기업을 중심으로 활발히 구축이 추진되고 있는 웹 기반의 취약 점 진단 통합관리 체계의 개념, 기능 및 운영 프로세스를 소개한다. 아울러, 기업 IT 인프라에 대한 보안 취약점 진단 데이터를 축적하여 기업 내부의 보안위험 요소를 사전예측하고, 정보보호의 투자 대비 효과(ROSI: Security Return on Investment)를 효과적으로 산정하는 인프라로서 활용 가치를 소개한다.

• Proceedings of the Korea Institutes of Information Security and Cryptology Conference
• /
• 1997.11a
• /
• pp.131-140
• /
• 1997

인터넷 등의 전산망을 통한 정보관련 서비스는 여러 가지 보안 취약점에 노출되어 해커들의 주요 공격 대상이 되고, 특히 WWW 관련 서비스는 불특정 다수를 대상으로 하기 때문에 접근 통제방식으로 어려움이 많고, 최근 많이 사용되는 방화벽이나 기타 보안도구를 이용하여 보안 수준을 높일 수가 없다. 그래서 본 논문에서는 해커들이 공격 가능한 취약점들을 분석하여 해커들의 공격을 사전 방지하고, 올바른 해킹방지 대책를 수립할 수 있는 전산망 취약점 원격 진단시스템 모델을 제시하고, 이에 대한 설계 및 구현내용을 설명한다.

• Review of KIISC
• /
• v.26 no.1
• /
• pp.34-41
• /
• 2016

최근 사이버 공격은 분야와 대상을 막론하지 않고 곳곳에서 발생하고 있으며 소프트웨어의 보안 취약점을 이용한 지능적인 수법으로 지속적인 공격을 수행하는 APT 공격 또한 확산하고 있다. 이와 같은 공격을 예방하기 위해서는 공격에 직접 이용되는 소프트웨어 보안 취약점을 사전에 제거해야 한다. 소프트웨어 보안 취약점(vulnerability)의 원천 원인은 소프트웨어 허점, 결점, 오류와 같은 보안 약점(weakness)이다. 그러므로 소프트웨어에서 보안 약점은 개발 단계에서 완전히 제거하는 것이 가장 좋다. 이를 위해 소프트웨어 개발 생명주기(SDLC:Software Development Life Cycle) 전반에 걸쳐 보안성을 강화하는 활동을 수행한다. 이는 소프트웨어 배포 이후에 발생할 수 있는 보안 취약점에 대한 보안 업데이트 및 패치에 대한 비용을 효과적으로 감소시키는 방안이기도 한다. 본 논문에서는 소프트웨어 개발 단계 보안을 강화한 소프트웨어 개발 생명주기로서 시큐어 SDLC에 대한 주요 사례를 소개한다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2004.05a
• /
• pp.1245-1248
• /
• 2004

최근 SCADA 시스템은 국가기반시설의 중요한 시스템으로 인식됨에 따라 사이버상의 침해사고 대응 및 복구대책이 요구되고 있다. 일반적으로 기존에는 SCADA 시스템 설계시 공정 절차에 따라 이식성, 확장성, 가용성, 유연성을 고려하였으나 최근 안전하고 신뢰성있는 시스템 운영을 위하여 보안에 많은 관심을 갖게 되었다. 본 논문에서는 SCADA 시스템에 대한 보안 설계에 필요한 위험분석 절차를 제시함으로써 사이버테러에 의하여 발생될 국가적 재난 재해를 사전에 예방하고자 한다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2022.05a
• /
• pp.572-575
• /
• 2022

최근 데이터의 불변성에 의하여 NFT와 같은 블록체인 기술이 각광받고 있으며, 그에 따라 스마트 계약의 사용량 또한 증가하는 추세이다. 하지만 스마트 계약에 다양한 보안 취약점이 존재하며 배포 후에는 수정을 할 수 없는 스마트 계약 특성상 사전에 해당 취약점을 탐지하는 기술의 중요성이 대두되고 있다. 따라서 본 논문에서는 인공신경망 기반의 스마트 계약의 취약점을 탐지하는 기법 연구 동향에 대하여 알아본다.