• Proceedings of the Korea Information Processing Society Conference
• /
• 2017.04a
• /
• pp.548-550
• /
• 2017

오픈소스 소프트웨어를 사용하기 위해서는 개발자가 정의한 라이선스를 반드시 준수해야 한다. 이를 위반할 경우, 소스코드 공개/수정/재작성, 재배포 라이선스 변경, 특허권 포기 등의 피해로 이어질 수 있다. 소프트웨어를 다수의 개발자가 함께 개발하는 경우, 오픈소스 소프트웨어가 혼용되기도 하는데, 이는 서로 다른 라이선스간의 조항이 충돌하는 상황을 유발할 수 있다. 즉, 라이선스 규정 때문에 상황에 따라 혼용할 수 없는 오픈소스 소프트웨어 조합이 존재한다. 이러한 오픈소스 소프트웨어를 사용하는 과정에서 발생할 수 있는 무의적인 라이선스 규정 위반을 미연에 방지하고자 오픈소스 소프트웨어 라이선스 컴플라이언스 검증 도구를 제시하고자 한다.

• Journal of the Korea Institute of Information Security & Cryptology
• /
• v.32 no.4
• /
• pp.709-722
• /
• 2022

The recent "Log4j Security Vulnerability Incident" has occurred, and the information system that uses the open source "Log4J" has been exposed to vulnerabilities. The incident brought great vulnerabilities in the information systems of South Korea's major government agencies or companies and global information systems, causing problems with open source vulnerabilities. Despite the advantages of many advantages, the current development paradigm, which is developed using open source, can easily spread software security vulnerabilities, ensuring open source safety and reliability. You need to check the open source. However, open source vulnerability scan tools have various languages and functions. Therefore, the existing software evaluation criteria are ambiguous and it is difficult to evaluate advantages and weaknesses, so this paper has developed a new evaluation criteria for the vulnerability analysis tools of open source

• Information and Communications Magazine
• /
• v.33 no.3
• /
• pp.87-93
• /
• 2016

무선공유기에 대한 공격은 오픈 소스(Open Source) 소프트웨어 도구(Software Tool)가 널리 공개되어 실행하기 수월해진 반면, 이러한 보안 위협에 대한 탐지 및 대응 기술은 알려진 바가 적다. 본고에서는 무선공유기에 대한 보안 공격의 유형과 그에 대한 무선네트워크의 취약성을 알아봄으로써 무선 침입 탐지시스템의 필요성을 살펴보고, 소규모 네트워크에는 적합하지 않은 상용 무선침입방지시스템의 대안으로 오픈 소스 소프트웨어 도구를 제시하였다. 모의 침투를 통해 오픈 소스 소프트웨어 도구의 성능을 분석하고 상용도구와 비교함으로써 추후의 개발 방향과 가능성을 제시하였다.

• KIISE Transactions on Computing Practices
• /
• v.20 no.12
• /
• pp.658-663
• /
• 2014

Due to the rapid development of open source based Cloud management platforms such as OpenStack, many and various individuals and institutions are trying to construct Cloud computing systems based on open source software projects. It is essential, for those who install, administrate or operate a Cloud, to validate the integrity of the constructed Cloud system. This paper, therefore, proposes the design of a testing tool for validating the integrity of a constructed OpenStack-based Cloud system. Especially, the proposed testing tool utilizes the Tempest project which is an open source project that consists of OpenStack test cases. The proposed testing tool is expected to help developing Cloud technology and Cloud users.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2019.05a
• /
• pp.149-151
• /
• 2019

오픈소스 활용이 증가함에 따라 같이 증가하는 보안 위험성에 대한 문제점을 제시하고자 한다. 오픈소스 활용의 생산성 향상과 비용 절감 대비 보안 취약점이 따르는 문제를 분석 하고자 한다. 본 논문에서는 널리 알려진 오픈소스의 취약점과 이를 해결할 방법에 대해서 소개하고자 한다. 오픈소스의 취약점 공격 방법과 해결 방안을 제시하고 이를 해결할 분석 도구를 소개하는 것을 목표로 한다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2012.04a
• /
• pp.792-795
• /
• 2012

최근 오픈 소스 커뮤니티가 활성화되고 수많은 오픈 소스들이 공개되고 있어서 많은 개발자들이 오픈 소스를 활용하고 있다. 그러나 오픈 소스도 정해진 라이선스 기반으로 공개되므로 오픈 소스를 사용할 때는 반드시 라이선스를 확인해야 한다. 본 논문에서는 안드로이드 앱의 라이선스 위반이나 코드 도용을 확인할 수 있는 방법으로서 안드로이드 앱 사이의 API 메소드 호출 유사도를 측정하는 방법을 제안한다. 원본 프로그램과 도용된 프로그램은 유사한 API 메소드를 사용할 것임을 예상할 수 있기 때문에 API 메소드 호출이 유사한 것을 확인하면 간접적으로 코드 도용을 확인할 수 있다. 본 논문에서 개발한 API 유사도 측정 도구는 안드로이드 앱의 소스 코드를 필요로 하지 않고, 안드로이드 달빅(Dalvik) 바이트 코드로부터 직접 API 호출 명령어를 분석하여 유사도를 측정한다는 특징이 있다. 본 논문에서 구현한 도구의 평가를 위해서 API 호출 유사도 비교 실험을 수행하였다. 그 결과, 실제로 API 호출 유사도가 높았던 두 앱이 서로 공통된 모듈을 포함하고 있음을 밝혀내었다. 그리고 선행 연구에서 제안했었던 안드로이드 달빅 코드 전체에 대한 유사도 비교 도구보다 비교 속도가 35% 정도 향상된 것을 확인하였다.

• Proceedings of the Korean Institute of Information and Commucation Sciences Conference
• /
• 2014.05a
• /
• pp.271-272
• /
• 2014

As E-discovery in criminal investigation is increasing, the importance of Forensic Tools which can legally extract data with high effectiveness is getting higher. Digital products are growing fast. Therefore, Forensic Tools should be implemented readily to suit users and events well. Although forensic industry and governments use expensive forensic tools, some have suggested limitations to its use, such as memory limitations and the limits of post-audit. We need to develop open source forensic tools that can implement a variety of forensic tool fast. This research studies digital forensics technical skills which are commercialized currently and suggests applicable strategies of the open digital forensics to help overcome these limitations.

• Journal of the Korea Institute of Information Security & Cryptology
• /
• v.27 no.4
• /
• pp.721-729
• /
• 2017

In order to take rapid action against malware, efficiency in malware analysis is essential. For instance, it would be helpful to identify and eliminate open-source function bodies or other safe portions out of the target binary codes. In this paper, we propose an tool to create open source dynamic link library files in Windows environment, extract signature information by opensource and compiler version, and compare open source function information to find suspicious function. In addition, the tool can save the information used in the comparison to the DB and use it later, reducing the analysis time overhead.

• Review of KIISC
• /
• v.32 no.5
• /
• pp.15-20
• /
• 2022

소프트웨어 개발이 고도화되고 개발 주기가 점점 짧아짐에 따라 단독으로 소프트웨어를 개발하는 것은 어려워졌다. 소프트웨어 개발의 복잡도가 높아짐에 따라 기업에서 함께 협업하는 여러 공급망 소프트웨어의 결합이 강화되고 이에 따라 소프트웨어 공급망 보안 강화가 함께 이루어져야 한다. 본고에서는 오픈소스 및 관리를 효율적으로 할 수 있도록 오픈소스로 공개된 FOSSLight 도구를 활용한 공급망 보안 관리 방안을 제안한다.

• Journal of the Korea Institute of Information Security & Cryptology
• /
• v.33 no.4
• /
• pp.699-707
• /
• 2023

DevSecOps is a concept that adds security procedures to the operational procedures of DevOps to respond to the short development and operation cycle. Multi-step vulnerability scanning process should be considered to provide reliable security while supporting rapid development and deployment cycle in DevSecOps. Many open-source vulnerability scanning tools available can be used for each stage of scanning, but there are difficulties in evaluating the security level and identifying the importance of information in integrated operation due to the various functions supported by the tools and different security results. This paper proposes an integrated security metric design plan for scurity results and the combination of open-source scanning tools that can be used in security stage when building the open-source based DevSecOps system.