• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2023년도 추계학술발표대회
• /
• pp.314-316
• /
• 2023

최근 수많은 오픈소스로 공개되면서, 대부분의 소프트웨어가 오픈소스를 활용하여 구현되고 있다. 하지만, 오픈소스에 적용되어 있는 라이선스 간의 충돌 문제가 발생하면서, 라이선스 위반 문제가 지속적으로 발생하고 있다. 이러한 문제를 사전에 방지하기 위해 소스코드 분석이 필수적이지만, 다양한 기능이 실행되는 소스코드 특성 상 소스코드만 봤을 경우 직관적으로 분석이 어렵다는 문제점이 있다. 최근 소스코드의 효과적인 분석을 도와주는 다양한 도구들이 개발되었고, 그 중 한 가지 방법은 소스코드를 그래프로 변환하여 시각적인 편의성을 제공하는 방법이다. 그래프로 변환된 소스코드는 해당 시점에는 분석이 가능하지만, 분석이 필요할 때마다 변환을 해야 하는 문제점이 존재한다. 따라서 소스코드를 변환한 그래프 데이터를 저장하는 방법이 요구되었는데, 그래프 데이터베이스의 경우 특정 파일 형식만 지원하기 때문에 그래프 데이터 저장에 어려움이 존재한다. 본 제안방식에서는 소스코드를 변환한 그래프 데이터를 그래프 데이터베이스에 효과적으로 저장하고, 분석이 요구될 때마다 데이터베이스 상에서 즉각적으로 분석이 가능한 방법을 제안한다.

• 정보보호학회논문지
• /
• 제20권6호
• /
• pp.147-155
• /
• 2010

소스코드의 정적분석 기술은 소스코드 자체에 내재된 취약성을 찾는데 활용되는 중요한 기술로 인식되고 있다. 본 논문은 정보시스템의 소스코드 보안성 수준을 평가하는 방법으로 정적분석 결과인 소스코드의 취약성 정보와 프로그램이 처리하는 정보의 중요도를 활용하는 평가 메트릭의 설계 및 활용을 소개한다. 소스코드 보안성 메트릭은 소스코드의 취약점 수준을 개발 과정에서 미리 파악할 수 있도록 도움을 준다는 측면에서 평가자와 개발자 모두가 활용할 수 있다. 특히 평가자는 보안 메트릭을 통해 소스코드의 성격과 요구되는 정보의 보안수준에 따라 소스코드의 보안 수준을 점검하며, 코드 검수에 활용할 수 있다.

• 한국소프트웨어감정평가학회 논문지
• /
• 제17권2호
• /
• pp.31-38
• /
• 2021

소스코드 감정목적물의 유사성을 판단하는 경우, 양측의 비교대상 소스코드는 컴파일과 실행이 가능 해야 한다. 또한 시스템 소스의 경우에는 하드웨어와의 인터페이스가 일치하는지 확인이 되어야 한다, 그러나 현실적으로 분쟁당사자의 소스코드가 완전하지 않은 상태로 제공되는 경우가 발생하고 있다. 분쟁을 제기하는 측에서는 동작 특성이 자사의 기능과 유사하고, 출력되는 표현과 기능이 유사한 이유로 소스코드의 핵심부분이 유사한 것으로 판단하고, 감정을 요청하고 있다. 분석과정에서 소스코드의 컴파일 오류 발생 시, 감정인은 소스코드의 흐름도를 작성하고, 함수별 코드의 흐름을 추적하는 방법을 적용하게 된다. 그러나 이 방법은 간접적이고, 감정인의 주관적인 판단이 적용되어 유사성 분석결과에 객관성에 대한 다툼이 우려된다. 본 연구에서는 임베디드 시스템에 적용된 소스코드분쟁의 감정사례를 통해 검증되지 않은 소스코드 유사성 도출의 문제점과 개선 방향을 다룬다.

• 한국정보과학회논문지:소프트웨어및응용
• /
• 제35권7호
• /
• pp.442-451
• /
• 2008

대부분의 표절검사 시스템들은 소스코드를 이용해 유사도를 계산하고 표절 프로그램을 찾아낸다. 소스코드를 이용하여 표절검사를 수행할 경우, 소스코드 보안문제가 발생할 수 있다. 목적 코드를 이용한 표절검사는 소스코드 보안문제에 대한 좋은 대안이 될 수 있다. 본 논문에서는 자바 프로그램의 표절검사에 대하여 소스코드 없이 바이트코드를 이용해 표절검사를 수행하는 방법을 제시한다. 바이트코드를 이용한 표절검사는 크게 두 단계로 진행된다 먼저, 자바 클래스 파일로부터 메소드의 코드영역을 분석해 토큰 시퀀스를 생성한 다음 적응적 지역정렬을 이용해 유사도를 계산한다. 실험 결과, 소스코드와 바이트코드의 유사도는 비슷한 분포를 보였다. 또한, 소스코드 쌍과 바이트코드 쌍의 유사도 상관관계가 충분히 높게 측정되었다. 본 논문에서 제안한 바이트코드 표절검사 시스템은 소스코드를 이용해 직접 표절을 검사하기 전 단계에서 1차적인 검증도구로 활용할 수 있다.

• 한국정보과학회:학술대회논문집
• /
• 한국정보과학회 2005년도 한국컴퓨터종합학술대회 논문집 Vol.32 No.1 (B)
• /
• pp.307-309
• /
• 2005

컴퓨터 성능의 향상으로 고비용의 수행을 요하는 뮤테이션 분석 기법의 적용 가능성이 커지면서, 객체지향 프로그램을 대상으로, 특히 자바 프로그램에 대하여, 뮤테이션 분석 기법에 관한 연구가 수행되었다. 자바의 경우, 바이트 코드를 이용한다면 소스코드 없이 오류 프로그램인 뮤턴트들을 생성할 수 있을 뿐만 아니라, 소스코드를 이용할 때보다 뮤테이션 분석을 빨리 수행할 수 있는 장점이 있다. 하지만 현재 이러한 장점을 효율적으로 활용할 수 있는 바이트 코드 수준의 연산자는 나와있지 않다. 본 논문에서는 자바 바이트 코드를 대상으로 하는 메소드 수준의 뮤테이션 연산자를 정의한다. 개발한 뮤테이션 연산자는 소스코드 수준에서 사용자가 범할 수 있는 오류만을 대상으로 한다. 따라서 소스 코드를 대상으로 하는 뮤테이션 분석의 기능을 모두 보여주면서, 성능향상을 가져다 준다.

• 한국산학기술학회:학술대회논문집
• /
• 한국산학기술학회 2010년도 추계학술발표논문집 1부
• /
• pp.402-405
• /
• 2010

본 논문에서는 소스 코드에 자주 나타나는 코딩 패턴을 자동으로 추출하기 위하여 소스 코드를 분석하고 특성을 평가한다. 기존에 소스 코드에 대한 패턴 마이닝을 이용한 코딩 패턴 감지 방법이 제안되었지만, 수동으로 조사 가능한 코딩 패턴의 수는 한정되어 있기 때문에 대규모 소프트웨어 등에 대한 충분한 분석은 할 수 없었다. 따라서 본 논문에서는 개발자가 분석하고자 하는 코딩 패턴에 대한 자동 추출을 목표로 코딩 패턴의 특성 평가 지표를 선정하여 소스 코드에 대한 분석을 수행한다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2017년도 춘계학술발표대회
• /
• pp.551-552
• /
• 2017

하나의 프로젝트에는 다양한 기능과 역할을 가진 소스코드가 존재한다. 그러나 기존 정적 분석 도구들은 이러한 특성을 고려하지 않고, 모든 소스코드에 동일한 탐색 정책과 우선순위를 적용하고 있다. 본 연구에서는 오픈소스 프로젝트로부터 수집한 소스코드들을 토픽모델링을 이용하여 특정 토픽으로 분류하고, 분류된 토픽에 해당되는 코드 안에서 높은 영향력을 갖는 잠재결함(Potential Bug)의 특징을 분석하였다. 이 결과를 바탕으로 개발자에게 개발 중인 소스코드의 특성에 따라 어떤 잠재결함에 더 우선순위를 두어야 하는지에 대한 지침을 제공할 수 있다.

• 한국소프트웨어감정평가학회 논문지
• /
• 제17권1호
• /
• pp.25-30
• /
• 2021

임베디드 시스템 소스코드 감정목적물의 유사성을 판단하는 경우, 제공된 소스코드가 컴파일이 가능한 상태인지, 실행이 정상적으로 되는 것인지, 하드웨어와의 인터페이스가 일치하는지 등의 확인이 되지 않은 상태로 제공되는 경우가 지속적으로 발생하고 있다. 분쟁을 제기하는 측에서는 동작의 특성이 유사하고, 나타나는 기능의 효과가 유사한 이유로 소스코드의 많은 부분이 유사할 것으로 판단하고, 감정을 요청하게 되지만, 위의 여러 가지 상황으로 유사성 분석 결과가 기대와 다르게 나타나는 가능성이 우려된다. 본 연구에서는 감정사례를 통해 소스코드의 분석 과정과 검증되지 않은 소스코드의 유사성 도출의 개선방향을 제시한다.

• 전자통신동향분석
• /
• 제32권1호
• /
• pp.102-115
• /
• 2017

본고에서는 SW 개발 R&D 프로젝트에 개발 소스 품질 검증을 위한 정적분석 실행방안을 기술한다. 정적분석 실행 방안으로 소스 코드 품질 검증 대상 SW 개발 R&D 프로젝트 범위와 정적분석 검증 기준을 기술하고, 정적분석 검증을 위한 구체적 실행 방안과 검증 프로세스 그리고 정적분석 검증을 지원 환경 체계를 제시했다. 또 제시된 정적분석 검증 실행 방안에 근간하여 수행 중인 프로젝트에서 개발한 소스 코드에 대해 시범적으로 정적분석 검증을 수행하고 이를 바탕으로 정적분석 검증 실행의 안정적인 도입 및 운영 방향을 시사점으로 기술하였다. 제시된 정적분석 검증 실행 방안은 SW 개발 R&D 프로젝트에서 개발 소스 코드 품질 관리 및 유지를 위한 방안으로 고려해 볼 수 있을 것으로 기대한다.

• 정보보호학회지
• /
• 제26권1호
• /
• pp.27-33
• /
• 2016

보안 약점은 소스코드의 공개 여부와는 관계없이 존재하며, 소프트웨어의 취약점으로 이어질 수 있다. 소스코드가 공개된 소프트웨어의 경우 소스 코드 분석을 통해 보안 약점을 제거하지만, 소스코드가 공개되지 않고 바이너리 형태의 실행파일만 제공되는 소프트웨어의 경우에는 보안 약점을 찾기가 어렵다. 비정상 데이터를 임의로 생성하여 파일 또는 표준입력 형태로 입력하는 퍼징 기법은 위와 같은 소스코드가 공개되지 않은 소프트웨어의 취약점을 찾기 위한 기술이다. 본 논문에서는 소스코드가 없는 상용 및 공개 소프트웨어의 보안 약점을 진단하기 위해 퍼징 기법을 활용하는 방법을 제시하고, 공개된 퍼징 도구 및 프레임워크를 이용하여 설치부터 소프트웨어의 진단 및 발견된 보안 약점을 분석, 제거 등의 퍼징 프로세스를 소개하여 상용 및 공개 소프트웨어 취약점 발견에 도움을 줄 것으로 기대한다.