• 정보보호학회논문지
• /
• 제22권5호
• /
• pp.1205-1216
• /
• 2012

최근 국내에서도 secure coding 제도화가 처음으로 마련되었다. 개발보안의 체계적 정착을 위한 중요한 첫걸음이라는 점에서 높이 살만하다고 하겠다. 그럼에도 현 제도의 실행 과정에서 예상되는 이슈가 제기되는 등 향후 보완할 점도 제법 있다. 이런 상황에서 본 연구에서는 생태계 차원의 분석을 시도한다. 즉, 개발 보안 제도를 생태계 차원에서 묘사하고, 이를 토대로 현상적 이슈와 문제점을 분석한다. 이런 문제와 이슈의 극복을 위해 향후 강구되어야할 대안을 몇 가지 제시한다.

• 정보보호학회논문지
• /
• 제22권4호
• /
• pp.901-911
• /
• 2012

개발단계에서의 보안취약점 제거는 운영단계에서 실행하는 것보다 훨씬 더 효율적이고 효과적으로 적용될 수 있다. 소프트웨어에 내재된 보안취약점이 사이버 침해사고의 주요 원인이 되고 있어서 소스코드 수준에서의 보안취약점을 최소화하기 위한 일환으로 시큐어코딩이 주목받고 있다. 소프트웨어 개발과정에서 보안취약점을 제거하는 것이 보다 효과적이면서도 근본적인 해결책이 될 수 있다. 본 논문에서는 개인 단체 조직에서 모바일 시큐어코딩 적용에 따른 보안수준을 평가하기 위한 모바일 시큐어코딩 자가평가(Mobile-Secure Coding Self Assessment) 방법을 연구 제안한다.

• 한국통신학회논문지
• /
• 제38A권4호
• /
• pp.295-302
• /
• 2013

네트워크 부호화는 중간 노드에서 데이터의 변환을 허용함으로써 전송률 높일 수 있는 방식이지만, 중간 노드에 대한 도청이나 데이터 변조에 취약해지는 문제가 발생한다. 이를 위해 정보이론적 관점에서 또는 암호학적 관점에서 도청 또는 데이터 변조에 저항할 수 있는 다양한 부호화 방식들이 제안되었다. 최근에 암호학적 관점에서 랜덤 네트워크 부호화에도 안전한 네트워크 부호화 방식이 제안되었지만, 안전한 해쉬 함수와 같은 암호학적 도구들의 사용은 센서 노드와 같은 낮은 연산능력을 보유한 장비에서는 적용이 어려운 문제를 지닌다. 이 논문에서는 선형 변환 및 간단한 테이블 룩업을 기반으로 랜덤 네트워크 부호화 사용할 때 n개의 패킷 중에서 공격자가 최대 n-1 개의 패킷을 도청하는 경우에도 n-1 개까지의 사용자 메시지를 동시에 안전하게 전송할 수 있는 안전한 네트워크 부호화 방식을 제안한다. 제안하는 방식은 암호학적으로 전부-또는-전무 변환(all-or-nothing transform) 형태를 가지면서도 정보이론적으로 완화된 조건에서 안전한 네트워크 부호화 방식임을 증명할 것이다.

• 디지털융복합연구
• /
• 제13권1호
• /
• pp.257-262
• /
• 2015

해킹과 같은 사이버 공격의 약 75%가 애플리케이션의 보안 취약점을 악용하기 때문에 안전행정부에서는 코딩 단계에서부터 사이버 공격을 막을 수 있고 보안취약점을 제거할 수 있는 시큐어 코딩 가이드를 제공하고 있다. 본 논문에서는 안행부가 제시한 시큐어 코딩 가이드 7개의 항목들에 대해 AHP기법을 사용하여 우선순위를 찾고 중요도 분석을 하였다. 그 결과 '에러 처리'가 가장 중요한 항목으로 결정되었다. 현재 소프트웨어 감리에 시큐어 코딩에 관한 항목이 없는데, 이 분석 결과는 소프트웨어 개발 과정 중 감리 기준으로 유용하게 사용될 것이다.

• 융합보안논문지
• /
• 제18권2호
• /
• pp.69-76
• /
• 2018

이 연구는 사이버범죄예방을 위해 민간기업시스템의 시큐어 코딩 적용상의 문제점과 이에 대한 개선안을 시사 하는 것이 목적이다. 본 연구를 위해 3가지 실험이 진행되었는데, 실험 1은 보안담당자가 개발과정에 참여하여 시큐어 코딩준수를 조언하도록 하였고, 실험 2는 보안담당자의 조언 없이 개발자가 스스로 시큐어 코딩을 준수하도록 하였고, 실험 3은 개발자는 담당 소스만 개발하고 보안담당자는 소스의 취약점 진단분석만 집중적으로 하도록 설계하였다. 이 연구의 결과는 첫째, 실험1,2를 통해 사이버범죄관련 보안문제 해결을 위해 보안담당자의 개발과정 참여가 프로젝트가 반복될수록 기간 내 과업달성 및 시큐어 코딩준수율 역시 높아지는 것으로 나타났다. 둘째, 실험 3을 통해 개발자에게 시큐어 코딩 가이드 준수를 맡기는 것보다 기업보안 담당자의 업무전담이 프로젝트 목표달성 및 시큐어 코딩 준수율을 높이는 것으로 나타났다.

• 정보보호학회논문지
• /
• 제30권4호
• /
• pp.735-743
• /
• 2020

시큐어코딩은 악의적인 공격 혹은 예상치 못한 오류에 대한 강인함을 제공해줄 수 있는 안전한 코딩 기법으로 정적분석도구의 지원을 통해 취약한 패턴을 찾아내거나 오염 데이터의 유입 가능성을 발견한다. 시큐어코딩은 정적기법을 적극적으로 활용하는 만큼 룰셋에 의존적이라는 단점을 가지며, 정적분석 도구의 복잡성이 높아지는 만큼 정확한 진단이 어렵다는 문제점을 안고 있다. 본 논문은 시큐어코딩을 지원하는 목적으로 기계학습 기법 중 DNN과 CNN, RNN 신경망을 이용하여 개발보안가이드 상의 주요 보안약점에 해당하는 패턴을 학습시키고 분류하는 모델을 개발하며 학습 결과를 분석한다. 이를 통해 기계학습 기법이 정적분석과 더불어 보안약점 탐지에 도움을 줄 수 있을 것으로 기대한다.

• 한국멀티미디어학회논문지
• /
• 제15권11호
• /
• pp.1349-1357
• /
• 2012

오늘날의 소프트웨어는 인터넷 환경에서 데이터를 교환하기 때문에 해커에 의해 악의적인 공격을 받을 가능성이 항상 존재한다. 이러한 보안약점은 심각한 경제적 손실을 발생시키는 소프트웨어 보안 침해사고의 직접적인 원인이다. 최근에는 보안 약점을 해소하기위해 외부환경에 대한 보안시스템을 견고히 하는 것보다 프로그래머가 견고한 소프트웨어를 개발하는 것이 보안 수준을 향상시킬 수 있는 본질적이고 가장 효과적인 방법이라는 인식이 늘어나고 있다. 이러한 가운데 코딩 단계에서부터 소프트웨어에 대한 취약점을 해소하여 보안 침해사고를 예방하기 위한 코딩 안내서를 제시하는 것이 전 세계적으로 주요한 보안 이슈로 떠오르고 있다. 시큐어 코딩을 개발자나 관리자 입장에서 효과적으로 사용하기 위해서는 전체 시큐어 코딩 집합과 보안약점을 구조적으로 체계화하고 관리해야 하며 새로운 정보의 갱신이 지속적으로 필요하지만, 기존의 시큐어 코딩 및 보안약점은 구조적으로 체계화되어 있지 못하다. 본 논문에서는 Java 언어를 대상으로 기존 시큐어 코딩 자료와 검사 도구의 코딩 룰 조사를 통해 보안 약점을 구조화하고 모바일 애플리케이션을 위한 구조적 보안 약점을 그 결과로 소개한다.

• 정보과학회 논문지
• /
• 제42권4호
• /
• pp.487-495
• /
• 2015

요즘에는 대부분 정보가 전산화되어 다루어지고 있기 때문에 전산화된 정보의 안전성을 높이는 것이 매우 중요하다. 하지만 코딩 실수로 발생하는 많은 메소드 오용 때문에 소프트웨어 자체가 취약해짐에 따라 정보의 안전성이 위협받을 수 있다. 해킹 공격을 원천적으로 차단하여 정보의 안전성을 높이기 위해 시큐어 코딩 가이드가 제안된 바 있지만, C와 Java 프로그래머를 위주로 작성되었기 때문에 다른 프로그래밍 언어에서는 적용하기 어렵다. 이 논문에서는 다른 프로그래밍 언어에도 사용할 수 있도록 시큐어 코딩 가이드의 규칙을 재분류한다. 구체적으로 행정자치부에서 발표한 C 시큐어 코딩 가이드를 이용하였다. 그리고 이 분류에 따라 구별된 규칙을 새로 제안한 한글 프로그래밍 언어인 새싹에 적용해 보았다. 그 결과 새싹에서는 C 언어 대비 점검해야 할 취약점 규칙의 수가 52% 줄어든 것으로 나타났다.

• Asia pacific journal of information systems
• /
• 제26권2호
• /
• pp.231-246
• /
• 2016

Technology acceptance model has demonstrated that technology adoption behavior can be explained by two user belief constructs: perceived usefulness and perceived ease of use. A number of studies have explored how these beliefs develop by utilizing primarily individual-level antecedents. However, because innovation and new techniques bear a direct relation to social concerns, non-individual antecedents may be necessary. Therefore, in this study, social and organizational supports are used to understand how software developers foster beliefs regarding secure coding practices. We compiled data from 83 software developers to evaluate the technology acceptance model. Our findings show that these collective antecedents can effectively explain user belief constructs and the intention to adopt secure coding methodologies. These findings imply that society and organizations offering more concrete support programs will experience smoother deployment of security-enhancing measures.

• 전기전자학회논문지
• /
• 제22권2호
• /
• pp.242-249
• /
• 2018

본 논문에서는 전장 정보 체계 개발에 최적화된 시큐어 코딩룰 셋에 기반하여 Visual Studio 컴파일러와 코드 분석기를 통해 자동으로 검출이 가능한 코드의 보안 약점을 식별하고, 도구를 이용한 자동 검출이 어려운 보안 약점 항목에 대하여는 시큐어 코딩 라이브러리 구현을 통해 개별 프로그래머의 시큐어 코딩에 대한 이해나 능력에 의존하지 않고도 구현 단계에서 대응할 수 있는 방안을 설명한다. 시큐어 코딩룰 셋을 기준으로, 개발자는 VS 컴파일러와 코드 분석기를 이용하면 약 38%의 보안 약점을 검출할 수 밖에 없는 한계가 있으나, 기존의 개발 도구와 더불어 제안하는 시큐어 코딩 라이브러리를 함께 이용하는 경우 48%로 보안 약점의 사전진단에서 10%의 향상이 가능하며, 개발단계에 해당 보안 취약점을 검출하여 예방하는 것이 가능하다.