• 한국콘텐츠학회논문지
• /
• 제21권1호
• /
• pp.284-291
• /
• 2021

현재 보안관제 시스템은 공격자의 공격 후 대응만을 위한 수동적인 시스템으로 운용됨에 따라 공격 발생 이후 침해사고 대응이 일반적이다. 특히, 신규 자산 추가 및 실제 서비스가 이루어지는 경우 실제 해커의 관점에서 취약점 테스트 및 사전 방어에 한계가 있다. 본 논문에서는 해킹 관련 다중 검색엔진을 활용하여 보호 자산의 사전 취약점 대응 기능을 추가한 보안관제 모델을 새롭게 제안하였다. 즉, 범용 또는 특수한 목적을 지닌 다중의 검색엔진을 이용하여 보호 대상 자산의 특수한 취약점을 사전에 점검하고, 점검결과로 나타난 자산의 취약점을 사전에 제거하도록 하였다. 그리고 실제 해커의 입장에서 인지되는 보호 자산의 객관적인 공격 취약점을 미리 점검하는 기능, IP 대역에 위치한 광범위한 시스템 관련 취약점을 사전에 발굴하여 제거하는 기능 등을 추가로 제시하였다.

• 정보보호학회논문지
• /
• 제20권3호
• /
• pp.9-21
• /
• 2010

최근 유명 온라인 쇼핑몰 사이트가 해킹을 당해 많은 사용자들의 ID, 패스워드, 계좌번호, 주민등록번호, 신용카드번호와 같은 개인 정보들이 누출되었다. 해커들은 계속해서 온라인 쇼핑몰 사이트에 대한 공격을 하고 있으며 해킹피해자들의 수도 증가하고 있다. 신용카드 번호가 누출되면, 해커들이 금전적인 이득을 취하기 위해 누출된 카드번호를 악용할 수 있어 특히 위험하다. 2007년 Financial Cryptography 학회에서 Ian Molly 등이 최초로 일회용 가상카드번호 생성 스킴을 제안한 바 있으나, 재사용불가의 특성을 제공하지 못한다. 본 논문에서는 Ian Molly 스킴의 취약성을 분석하고, 휴대단말기를 활용하여 일회용 가상카드번호의 보안요구사항을 만족하는 새로운 일회용 가상카드번호 생성 스킴을 제안하였다. 또한, 이를 기반으로 사용자 편의성과 보안성강화를 위해 통합인증센터를 활용한 일회용 가상카드 결제 프로토콜을 설계한다.

• 한국정보통신학회:학술대회논문집
• /
• 한국정보통신학회 2022년도 춘계학술대회
• /
• pp.620-623
• /
• 2022

최근 이메일 해킹사고의 유형을 살펴보면 사회공학적인 기법을 활용한 피싱메일 공격이 대다수를 차지하고 있는 상황이다. 그중 사용자의 패스워드를 빼내기 위한 공격메일이 기존 첨부파일에 악성코드를 삽입해서 보내지는 방식보다 월등히 높아졌다고 할 수 있다. 이는 공격자가 이메일 내용에 관심이 높아진 것으로 이메일은 사용자의 성향, 직업, 라이프스타일 파악뿐만 아니라 해커가 원하는 중요자료가 저장되어 있을 가능성이 매우 높으며 또 다른 공격대상자를 선정할 수 있는 좋은 창구가 될 수 있을 것이기 때문이다. 만일 피싱메일에 노출되어 패스워드가 해커의 손에 넘어 갔다면 많은 보안대책이 무용지물이 된다. 많은 보안 전문가들은 패스워드를 8자리 이상으로 하되 영문대·소문자와 숫자 그리고 특수문자를 포함하고, 사이트별 규칙성이 없이 모두 다르게 설정해야 하며, 정기적으로 바꿔야 한다고 조언한다. 이러한 조언은 패스워드를 크랙할 경우 안전할 수 있지만 요즘처럼 한 개인이 100여개 이상의 사이트에 대한 패스워드를 관리해야 한다면 현실적으로 불가능한 조언이 되고 말 것이다. 이러한 상황에 2017년 6월 미국 국립표준기술연구소(NIST)에서 '특별 간행 800-63-3: 디지털 인증 가이드라인'을 발표하게 된다. 내용은 그동안 보안전문가들이 권고했던 내용과는 많은 차이가 있다. 오히려 자주 바꾸는 것이 문제가 될 수 있다는 내용이다. 자세한 내용은 본 논문에서 살펴보도록 한다. 우리는 스마트폰 등을 사용함으로써 2-Factor인증에 활용하고 있다. 스마트폰 인증의 대표적인 방법은 지문·얼굴인식 등 생체인증 방식을 사용한다. 패스워드 없이도 편리하고 안전하게 인증을 할 수 있다는 점이 장점이다. 이러한 상황에 FIDO라는 인증 프레임워크가 인기를 얻고 있다. FIDO(Fast IDentity Online)는 비밀번호의 문제점을 해결하기 위한 목적으로 FIDO 얼라이언스에 의해 제안된 사용자 인증 프레임워크다. 향후 FIDO로의 대체가 패스워드 문제의 대안이 될 수 있을 것이다. 이제는 패스워드 대신 생체인증 체계로 대체할 수 있는 시대가 되었다고 할 수 있다. 본 논문에서는 패스워드의 문제점을 살펴보고 이를 대체할 수 있는 FIDO기반의 인증체계가 대안이 될 수 있는 근거를 제시하고자 한다.

• 사물인터넷융복합논문지
• /
• 제10권1호
• /
• pp.7-12
• /
• 2024

암호화폐를 거래하기 위해서 거래자들은 개인의 암호화폐 지갑이 요구된다. 블록체인 기술을 활용한 암호화폐 그 자체는 우수한 보안성과 신뢰성을 보장받고 있어 블록체인 해킹 위협은 거의 불가능하지만, 거래자들이 거래를 위해 사용하는 거래소 환경에서 해킹 위협을 가장 많이 받고 있다. 거래 과정에서 블록체인을 통해 안전하게 거래가 이루어 진다 해도 거래자의 지갑 정보 자체가 해킹되면 이와 같은 과정들에서 보안을 확보할 수 없다. 거래소 해킹은 주로 거래자의 지갑 정보를 탈취함으로써, 해커가 피해자의 지갑 자산에 접근이 가능해지므로 이루어진다. 본 논문에서는 이를 방지하고자 기존 Hyperledger Fabric 구조를 재구성하고, Whitelisting을 활용하여 거래 과정에서 거래자의 신원 무결성을 검증하는 시스템을 제안하고자 한다. 해당 과정을 거쳐 해커에 의한 암호화폐 자산 피해를 방지하고 인지할 수 있다는 장점이 있다. 또한, 기존 Hyperledger Fabric에서 피해자의 지갑 정보가 탈취되었을 경우 발생할 수 있는 거래 과정의 문제점을 지적하고 이를 보완하고자 한다.

• 한국정보과학회:학술대회논문집
• /
• 한국정보과학회 2012년도 한국컴퓨터종합학술대회논문집 Vol.39 No.1(A)
• /
• pp.434-436
• /
• 2012

최근에 모바일 시장의 급격한 성장과 함께, 모바일 애플리케이션의 보안약점을 통해 개인의 민감한 정보가 유출되는 심각한 문제점이 새롭게 등장하고 있다. 특히, 오늘날의 소프트웨어는 인터넷 환경에서 데이터를 교환하기 때문에 해커에 의해 악의적인 공격을 받을 가능성이 항상 존재한다. 이러한 보안약점은 심각한 경제적 손실을 발생시키는 소프트웨어 보안 침해사고의 직접적인 원인이다. 따라서 초기 개발 단계에서 보안약점을 제거하는 것이 중요하다. 그러나 기존의 보안약점 목록은 모바일 환경의 특성을 반영하지 못하고 있다. 본 논문에서는 모바일 애플리케이션의 특성을 고려한 보안약점의 분류 기법에 대한 소개를 한다.

• 정보보호학회지
• /
• 제24권5호
• /
• pp.46-50
• /
• 2014

제어시스템은 일반 업무환경에서 사용하고 있는 시스템과는 달리 업무망과 분리되어 운영되며, 비공개 제어프로토콜 사용으로 해커나 악성코드에 의해 사이버공격을 받을 가능성이 없다고 인식되어 왔다. 그러나 2010년 스턱스넷(Stuxnet) 악성코드가 이란의 핵시설 제어시스템에 침투하였고 2012년 듀크, 플레임 등 제어시스템을 대상으로 한 위협이 증가하게 되면서 제어시스템과 업무망 연계 지점의 보안 위협을 제거하기 위한 방안으로 물리적 일방향 자료전달 시스템의 도입이 추진되어 왔다. 본 논문에서는 배전DAS 업무망 연계를 위한 물리적 일방향 자료전달 시스템 구현에 대해서 설명하고 실증에 따른 결과를 제시한다.

• 한국정보보호학회:학술대회논문집
• /
• 한국정보보호학회 2006년도 하계학술대회
• /
• pp.645-648
• /
• 2006

Buffer Overflow 취약점은 오래전에 발표된 기술이지만 현재까지도 보안 취약점에서 많은 부분을 차지하는 것 중에 하나이다. CVE Vulnerability Database에서 Buffer Overflow를 검색해보면 알 수 있듯이 지금까지 수많은 Buffer Overflow 취약점득의 발견되었고 이를 바탕으로 하는 공격들이 많이 일어나고 있다. 또한 공격에 대처하기 위하여 각각의 공격방법에 대한 대처방법을 제시하고 커널과 컴파일러의 패치에 이루어지고 있지만 해커들은 그에 대응하는 공격방법들을 찾아내곤 한다. 본 논문에는 지금까지 발표된 많은 Buffer Overflow 공격 기술에 대해 주제별로 확인하고 보다 근본적인 해결책을 만들기 위한 방향을 제시하고자 한다.

• 정보보호학회지
• /
• 제27권4호
• /
• pp.27-35
• /
• 2017

온라인 게임 산업은 다양한 경험을 제공할 수 있는 새로운 가치를 창출하며 지속적으로 성장해왔으며, 현재 상당한 규모의 시장을 형성하고 있다. 그러나 게임회사들이 개발단계 및 서비스 운영단계에서 기술적 보호조치를 충분히 하지 못하여 게임클라이언트가 리버스엔지니어링으로 분석당하거나, 취약한 통신설계로 인하여 네트워크 단에서의 패킷 구조가 분석당하거나, 게임회사 내부 또는 IDC로 해커가 침입하여 서버프로그램 바이너리 및 소스코드를 탈취당할 수 있다. 이러한 공격이 가능할 경우 불법 사설 서버가 만들어져 운영되어 온라인게임회사의 이미지에 타격을 주거나 영업상 손실을 유발할 수 있게 된다. 각 게임회사 및 정부에서는 불법 사설 서버를 탐지하고 차단하기 위해 많은 노력을 기울이고 있지만, 점차 사설 서버가 음성적으로 운영되어 차단이 어려우며, 특히 해외에서 운영되는 경우 특별한 대안이 없는 실정이다. 본 논문에서는 현재 게임 산업을 저해하는 불법 프로그램 및 불법 사설 서버의 운영 실태를 파악하고, 이에 대한 심각성을 논의하고자 한다.

• 사물인터넷융복합논문지
• /
• 제3권1호
• /
• pp.9-11
• /
• 2017

최근에 인터넷과 모바일 장치가 널리 보급되면서 해커들이 네트워크를 이용해 공격하는 횟수 또한 증가하고 있다. 네트워크를 연결할 때 패킷을 주고받으며 통신을 하게 되는데, 여기에는 다양한 정보가 포함되어 있다. 이 패킷들의 정보를 Hierarchical Clustering 분석을 사용해 분석하고 정상적인 패킷과 비정상적인 패킷을 분류하여 공격자들의 공격을 탐지하였다. 이 분석 방법을 통해 새로운 패킷을 분석하여 공격을 탐지하는 것이 가능할 것이다.

• 전력전자학회:학술대회논문집
• /
• 전력전자학회 2009년도 정기총회 및 추계학술대회 논문집
• /
• pp.256-258
• /
• 2009

다양한 유무선 통신기술을 이용한 원격검침시스템 (AMR : Automatic Meter Reading)이 본격적인 사업단계에 들어섰으나, 인프라에 대한 기본적인 보안대책마저도 전무한 실정이다. 특히 외부 통신망을 이용할 경우 전력인프라의 보안취약성은 수많은 해커들의 표적이 되기에 충분하다. 이를 위해서는 각 기기들을 안전하게 인증, 관리하고 데이터를 보호해야 하지만 수많은 저사양 기기들을 원격으로 자동 인증, 관리하는 것은 쉽지 않다. 본 연구에서는 광범위 지역에 설치될 저사양 검침기기들을 자동으로 인증, 관리하며, 데이터보호 및 이를 위한 보안키 관리 메커니즘을 제시하고자 한다.