• 제목/요약/키워드: Security Vulnerabilities

검색결과 820건 처리시간 0.024초

이중 해시체인 기반의 명령어 메시지 인증 메커니즘 설계 (Design of Authentication Mechinism for Command Message based on Double Hash Chains)

  • 박왕석;박창섭
    • 융합보안논문지
    • /
    • 제24권1호
    • /
    • pp.51-57
    • /
    • 2024
  • 최근 산업제어시스템은 정보기술과 운영기술을 융합하는 Industrial IoT의 도입과 함께 진화를 계속하고 있지만, 과거에는 경험하지 못한 다양한 사이버 공격 역시 증가하고 있다. 제어센터에서 전송되는 다양한 명령어 메시지를 통해 시스템을 구성하는 필드 디바이스들에 대한 모니터링 및 운영 제어가 행해지기에 명령어 메시지에 대한 무결성과 더불어 제어센터에 대한 인증은 필수 요구사항이 되고 있다. 기존의 대칭키 기반의 메시지인증코드 방식 또는 공개키 기반의 서명 방식은 제어센터 그리고 자원 제약적 필드 디바이스의 비대칭성에 따른 적용상의 제약들이 존재한다. 특히, 대칭키 방식에서는 필드 디바이스에 설치된 대칭키가 공격자에게 노출되면 시스템 전반적인 보안 문제점이 발생한다. 본 논문에서는 명령어 메시지를 구성하는 구성 필드들이 취할 수 있는 데이터 값들이 제한적(낮은 엔트로피)이라는 점에 착안하여 암호해시함수로 구축된 이중 해시체인을 통한 메시지 인증기법을 제안한다. 한 쌍의 이중 해시체인은 오직 한 개의 명령어 메시지에 적용되기에 다중 사용을 위한 Merkle 트리에 기반을 둔 확장 기법 역시 제안한다. 메시지 인증을 위해 암호해시함수 이외의 암호 프리미티브는 사용이 안되기에 계산 복잡도는 매우 낮게 유지될 수 있음을 성능평가를 통해 확인한다.

사이버 보안 강화를 위한 한국형 미래 인터넷 추진 방안에 관한 연구 (A Study on the Korea Future Internet Promotion Plan for Cyber Security Enhancement)

  • 임규건;김해연;안재익
    • 정보화정책
    • /
    • 제29권1호
    • /
    • pp.24-37
    • /
    • 2022
  • 4차 산업혁명과 정보통신 기술의 발전 및 코로나 19로 ICT 환경이 급변하는 가운데 설계 초기에 보안성, 이동성, 관리성, QoS 등이 고려되지 않고 개발된 기존 인터넷은 기본 구조 위에 기능을 추가해야하는 한계성 때문에 인터넷 구조가 복잡해졌으며 보안성 취약, 안정성 취약, 신뢰성 취약 등의 문제가 지속적으로 발생하고 있다. 또한 인공지능, IoT 등 첨단 기술로 인한 디지털 트랜스포메이션 시점에 안정성과 신뢰성을 제공할 수 있는 새로운 개념의 인터넷이 요구되고 있는 실정이다. 이에 본 연구에서는 사이버 보안을 강화할 수 있는 한국형 미래 인터넷 구현 방안을 제시하기 위해 미래 인터넷 구현에 있어 중요한 핵심 요소를 분석하고 국내외 미래 인터넷 관련 연구 동향과 기술 적합성을 평가하여 한국의 사이버 환경에 적합한 미래 인터넷의 추진 방향 및 추진 전략을 도출하였다. 미래 인터넷 구현에 있어 핵심 요소의 중요도는 보안성, 무결성, 가용성, 안정성, 기밀성의 순으로 나타났다. 현재 미래 인터넷 프로젝트는 전 세계적으로 다양하게 연구되고 있는데 수많은 프로젝트 중 Bright Internet이 미래 인터넷 구현의 핵심 요소를 가장 적절히 만족하고 있으며 한국의 사이버 환경에 가장 적합한 기술로 평가되었다. Bright Internet을 한국형 미래 인터넷으로 추진하기 위해 기술적 이슈뿐만 아니라 전략적 이슈와 법률적 이슈도 같이 고려하여야 한다. 기술적 이슈로는 한국형 미래 인터넷의 표준으로 Bright Internet을 선정함에 있어 SAVA IPv6-NID 채택이 필요하고 데이터 센터 차원의 통합 데이터 관리와 국가 간 협력 체계수립이 필요할 것이다. 전략적 이슈로는 안전한 관리 체계와 운영기관의 확립이 필요하고, 법률적 이슈로는 한국의 개정된 데이터 3법과 같은 국내법 준수를 포함한 GDPR(General Data Protection Regulation, 개인정보보호규정)의 요구 사항도 만족시켜야 한다.

중국의 회색지대전략 메커니즘 분석을 통한 남중국해 및 동중국해 분쟁 양상 비교: 시계열 데이터에 근거한 경험적 연구를 중심으로 (Comparison on Patterns of Conflicts in the South China Sea and the East China Sea through Analysis on Mechanism of Chinese Gray Zone Strategy)

  • 조용수
    • 해양안보
    • /
    • 제1권1호
    • /
    • pp.273-310
    • /
    • 2020
  • 본 연구는 최근 남중국해와 동중국해를 둘러싼 해양 갈등에서 중국의 주요 해양안보전략 중 하나로 사용되기 시작한 "회색지대전략"의 전반적인 메커니즘을 경험적으로 분석하고, 그로 인한 남중국해 및 동중국해 분쟁 양상을 비교하는 데에 그 목적을 둔다. 이를 위해 필자는 중국의 회색지대전략에 관한 두 가지 가설들을 세워 남중국해와 동중국해 분쟁에서 중국의 회색지대전략이 어떻게 '구사'되어 왔고 '구성'되어 있는지, 상대국은 어떤 방식으로 그것에 대응하는지 살펴보고, 그로 말미암아 각 분쟁들의 양상은 어떤 유사점과 차이점을 보이는지 밝혀냈다. 필자가 이 연구에서 수립한 가설들은 첫 째, "중국이 활용하는 해양 회색지대전략은 주요 분쟁 지역인 남중국해와 동중국해에서 각기 다른 수행 구조를 보인다는 것"이다. 두 번째는, "이에 따라 남중국해와 동중국해에서 벌어지는 분쟁의 양상 역시 차이를 보인다는 것"이다. 이를 논증하기 위해 필자는 중국의 회색지대전략 메커니즘을 크게 차례대로 1) 분쟁 추이와 전략 수행의 빈도, 2) 전략의 유형과 강도, 3) 전략 수행의 행위자, 4) 상대국의 대응 방식으로 다차원적인 구분을 시도하고, 양적 모델링을 바탕으로 이에 관련 데이터를 수집했다. 이후, 2010년부터 2020년 06월에 이르는 약 10년 가량의 데이터(중국의 회색지대전략 사용과 분쟁 동향 등)를 가공하고, 직접 연구 모형을 설계해 회색지대전략에 대한 새로운 범주화와 조작적 정의를 시도했다. 이를 바탕으로 필자는 중국이 활용하는 회색지대전략의 포괄적인 메커니즘들과 남중국해와 동중국해의 분쟁 양상도 성공적으로 비교해 최종적으로 모든 가설을 검증할 수 있었다. 결론 부분에서는 검증된 결과를 재차 정리하고, 중국의 회색지대전략으로 인해 비롯될 수 있는 동아시아 역내의 안보 취약성을 극복해 나가야 함을 강조하는 것으로 마무리했다. 본 연구는 지금까지 한 번도 시도되지 않았던 연구로서 중국의 회색지대전략이 수행되는 구조를 밝히고, 이것과 해양 분쟁 양상 간의 상관관계를 양적 방법론을 이용해 규명했다는 데에 큰 의의가 있으리라 생각된다.

  • PDF

웹 서비스를 위한 QR 코드 기반 상호 인증 시스템 (QR-Code Based Mutual Authentication System for Web Service)

  • 박지예;김정인;신민수;강남희
    • 한국통신학회논문지
    • /
    • 제39B권4호
    • /
    • pp.207-215
    • /
    • 2014
  • 많은 웹 서비스에서 편리성을 이유로 패스워드 기반 인증 시스템을 주로 사용한다. 패스워드 기반 인증 시스템은 패스워드 추측공격, 사전식 대입공격, 키 로깅 공격 등 다양한 공격에 취약한 것으로 알려져 왔다. 뿐만 아니라 대부분 웹 기반 인증 시스템은 서버가 사용자를 인증하는 단방향 인증만을 제공하므로 사용자는 현재 접속하여 비밀 정보를 남기고자하는 서버가 적합한지 검증 할 수 없다. 따라서 DNS 스푸핑 공격이나 피싱, 파밍과 같은 공격에 대응하기가 어렵다. 이러한 웹 서비스의 보안 취약점을 개선하기 위해 OTP를 사용하거나 패스워드 길이를 증가시키고, 특수기호를 포함하는 패스워드를 생성하게 하는 방안들이 적용되고 있다. 그러나 OTP 장치의 구입비용 발생, 복잡한 패스워드로 인한 사용자의 편리성 저하 등 실용성의 문제가 있다. 무엇보다 단방향 인증 기반에서는 여전히 취약점이 존재한다. 이를 해결하기 위해 본 논문에서는 QR-Code를 활용한 다중채널, 다중요소 인증시스템을 제안한다. 제안하는 시스템은 상호 인증을 제공하여 피싱이나 파밍과 같은 공격에 대응할 수 있다. 또한 휴대용 스마트 기기를 OTP 생성기로 활용하여 사용자의 편리성을 보장하면서 기존 패스워드 공격들에 대응할 수 있다.

OpenSSL을 이용한 키쌍(공개키·개인키) 충돌율 분석 (Key-pair(Public key, Private key) conflict analysis using OpenSSL)

  • 이광형;박정효;전문석
    • 한국산학기술학회논문지
    • /
    • 제15권8호
    • /
    • pp.5294-5302
    • /
    • 2014
  • 공개키 기반 기술의 발전은 전자정부, 전자금융, 전자결제 등 다양한 서비스를 가능하게 하였으며, 완벽한 안전성을 가지고 있는 것으로 평가된다. 하지만, 최근 허트블리드 버그 등 공개키 기반 이용 기술에 대한 취약점이 지속적으로 발견되고 있다. 본 논문에서는 공개키 기반구조의 안전성 및 신뢰성을 검증하기 위해, OpenSSL을 이용하여 키쌍의 충돌율을 분석하였다. 실험은 OpenSSL을 이용하여 5개의 사설인증기관을 생성하고, 각 사설인증기관에서 200만개의 인증서를 생성해 총 1,000만개의 인증서를 생성하여 키쌍 충돌 여부를 분석하였다. 실험은 다음과 같은 과정으로 수행되었다. Openssl을 이용하여 5개의 사설인증기관 생성, 각 사설인증기관에서 200만개의 인증서를 생성, 총 1,000만개의 인증서를 생성하여 키쌍 충돌 여부를 분석하였다. 실험 결과 1,000만건 중 35,000건, 즉 0.35%의 확률로 공개키 개인키가 충돌을 발생하였다. 이는 전자상거래, 보안서버 등 다양한 분야에서 충분한 위협이 될 수 있는 요소이다. 향후에는 공개키 기반기술의 위협요소를 제거하기 위해 난수생성기, 큰 소수 선택 문제 등 깊이 있는 연구를 진행할 것이다.

임베디드 기기 바이너리 취약점 분석 효율성 제고를 위한 중간어 변환 기술 (Intermediate-Representation Translation Techniques to Improve Vulnerability Analysis Efficiency for Binary Files in Embedded Devices)

  • 정병호;김용혁;배성일;임을규
    • 스마트미디어저널
    • /
    • 제7권1호
    • /
    • pp.37-44
    • /
    • 2018
  • 임베디드 기기는 시퀀스 제어 기능과 수치연산 기능을 활용하여 제어 프로그램에 따라 산업현장의 기기 등 다양한 자동화 시스템에 활용된다. 현재 임베디드 기기는 기업의 산업현장, 원전, 대중교통 같은 국가기반시설에서 제어 시스템으로 활용되고 있다. 따라서 임베디드 기기를 대상으로 하는 공격은 큰 경제적 손실과 사회적 손실을 야기할 수 있다. 임베디드 기기를 대상으로 하는 공격은 대부분 데이터, 코드 변조로서 제어 프로그램을 대상으로 이루어진다. 산업 자동화 임베디드 기기의 제어 프로그램은 일반적인 프로그래밍 언어와 달리 회로 구조를 표현하기 위하여 설계되었고, 대부분의 산업 자동화 제어 프로그램은 그래픽 기반 언어인 LAD로 설계되어있어 정적분석이 용이하지 않다. 이러한 특징으로 인하여 산업 자동화 제어 프로그램에 대한 취약점 분석 및 보안 관련 연구는 정형 검증, 실시간 모니터링 수준에 그친다. 또한 사전에 취약점을 탐지하고 공격에 대한 대비가 가능한 산업 자동화 제어 프로그램 정적분석 연구는 매우 저조한 실정이다. 따라서 본 연구에서는 산업 자동화 임베디드 프로그램에 대한 정적분석 효율성 증대를 위하여 회로 구조를 표현하기 위해 설계된 산업 자동화 제어 프로그램을 논리식으로 표현하기 위한 방법을 제시한다. 또한 다양한 제조사의 산업 자동화 제어 프로그램을 통합적으로 분석하기 위하여 LLVM IR을 활용한 중간어 변환 기술을 제안한다. LLVM IR을 활용함으로서 동적 분석에 대한 통합분석이 가능하다. 본 연구에서는 해당 방법에 대한 검증을 위하여 S 사(社)의 제어 프로그램을 대상으로 하여 논리식 형태의 중간어로 변환하는 프로그램의 시제품을 개발하였다.

무선 LAN 통신망의 기술 동향 (Technologies trend for Wireless LAN)

  • 강영진;김성남;강신일;이영실;이훈재
    • 한국정보통신학회:학술대회논문집
    • /
    • 한국해양정보통신학회 2011년도 추계학술대회
    • /
    • pp.255-258
    • /
    • 2011
  • 무선 LAN(Wi-Fi: Wireless Fidelity)은 스마트폰 대중화와 더불어 급속히 확대되는 통신망으로 컴퓨터, 노트북, 태블릿 PC 그리고 스마트폰 등 다양한 기기가 접속되어 유비쿼터스 기반의 핵심 네트워크로 자리 잡아 가고 있다. 현재 많은 무선 LAN 통신 기술이 개발되어 다양한 데이터 전송이 가능해졌으며, 표준인 IEEE 802.11n은 2.4GHz 대역과 5GHz 주파수 대역을 사용하고 있다. 2.4GHz 대역은 파장이 길고 회절 및 수신 거리가 좋아서 802.11b/g 방식으로 널리 보급되었다. 5GHz 주파수 대역은 2.4GHz보다 활용할 수 있는 더 많은 채널을 가지고 있어 블루투스, RFID 등 다른 무선 장치의 주파수 대역과 간섭이 없으며 주파수 사용자가 적어 채널 간섭이 적은 특징을 가지고 있다. 본 논문에서는 초기부터 사용된 802.11b/a/g과 현재 사용되고 있는 802.11n 기술 분석 및 동향 그리고 최근 차세대 무선 LAN 통신망으로 대두되고 있는 802.11ac와 802.11ad의 개발 현황 및 표준화 방향에 대하여 살펴본다. 또한, 무선 LAN 보안 취약점 및 이용 현황과 추가적인 대책 방안에 대하여 논하고자 한다.

  • PDF

인터넷 의료 애플리케이션 사용 행위에 영향을 미치는 요소에 관한 연구 (A Study on the Factors Affecting User Behavior of Internet Medical Apps)

  • 한소;이홍;김형우
    • 스마트미디어저널
    • /
    • 제9권4호
    • /
    • pp.81-90
    • /
    • 2020
  • 최근 중국의 경제발전과 소득수준의 향상으로 과거에 비해 질 좋은 의료서비스에 대한 욕구가 높아지고 있다. 이러한 욕구를 충족시키기 위한 대안으로 스마트 폰을 활용한 다양한 애플리케이션이 개발되고 있다. 특히, 2019년 12월 발생한 COVID-19의 전 세계적인 확산으로 인하여 그 관심은 비대면 원격의료 서비스로 확대되고 있다. 본 연구에서는 중국 내 상위 3개의 모바일 의료 애플리케이션을 대상으로 총 200명을 대상으로 설문조사를 실시하였으며, 그 중 의료 애플리케이션을 실제로 사용해 본 120명의 데이터를 벤카테시(Venkatesh)의 UTAUT2 이론을 기반으로 사용자의 사용의도와 사용행위에 영향을 미치는 요인에 대한 연구를 실시하였다. 본 연구의 연구 결과는 다음과 같다. 첫째, 인터렉티브화 특성, 노력기대, 가격가치, 프라이버시 관심도, 습관, 촉진 조건이 사용자의 사용의도에 긍정적인 영향을 미치는 것으로 밝혀졌다. 둘째, 사용자의 사용의도가 사용행위에 영향을 미치는 것으로 조사되었으며, 습관과 촉진 조건은 사용의도와 사용행위에 모두 영향을 미치는 것으로 밝혀졌다. 셋째, 성별, 연령, 학령, 연간 수입 등의 조절변수가 사용자의 모바일 의료 애플리케이션 사용의도에 영향을 미치지 못한다는 연구결과를 도출했다. 마지막으로 인터넷 등을 사용하는 모바일 기기의 특성상 여러 보안에 취약점들이 존재하며 이로 인해 개인 또는 사회적으로 큰 피해나 파장을 불러올 수 있다. 따라서 중국의 모바일 의료 서비스 발전을 위해 차후 이러한 문제점 등을 보완 총체적이고 심층적인 고찰을 통해 연구모형의 재수립이 필요할 것이다.

PLC용 uC/OS-II 운영체제 기반 펌웨어에서 발생 가능한 취약점 패턴 탐지 새니타이저 (A Sanitizer for Detecting Vulnerable Code Patterns in uC/OS-II Operating System-based Firmware for Programmable Logic Controllers)

  • 한승재;이건용;유근하;조성제
    • 한국소프트웨어감정평가학회 논문지
    • /
    • 제16권1호
    • /
    • pp.65-79
    • /
    • 2020
  • 산업제어 시스템에서 많이 사용되는 PLC(Programmable Logic Controller)는 마이크로 컨트롤러, 실시간 운영체제, 통신 기능들과 통합되고 있다. PLC들이 인터넷에 연결됨에 따라 사이버 공격의 주요 대상이 되고 있다. 본 논문에서는, 데스크톱에서 개발한 uC/OS-II 기반 펌웨어를 PLC로 다운로드 하기 전, 펌웨어 코드의 보안성을 향상시켜 주는 새니타이저를 개발한다. 즉, PLC용 임베디드 펌웨어를 대상으로 버퍼의 경계를 넘어선 접근을 탐지하는 BU 새니타이저(BU sanitizer)와 use-after-free 버그를 탐지하는 UaF 새니타이저(UaF sanitizer)를 제안한다. BU 새니타이저는 대상 프로그램의 함수 호출 그래프와 심볼 정보를 기반으로 제어 흐름 무결성 위배도 탐지할 수 있다. 제안한 두 새니타이저를 구현하고 실험을 통해 제안 기법의 유효성을 보였으며, 기존 연구와의 비교를 통해 임베디드 시스템에 적합함을 보였다. 이러한 연구결과는 개발 단계에서 의도하지 않은 펌웨어 취약점을 탐지하여 제거하는데 활용할 수 있다.

인지된 위험의 유형이 소비자 신뢰 및 온라인 구매의도에 미치는 영향 (The Impact of Perceived Risks Upon Consumer Trust and Purchase Intentions)

  • 홍일유;김우성;임병하
    • Asia pacific journal of information systems
    • /
    • 제21권4호
    • /
    • pp.1-25
    • /
    • 2011
  • Internet-based commerce has undergone an explosive growth over the past decade as consumers today find it more economical as well as more convenient to shop online. Nevertheless, the shift in the common mode of shopping from offline to online commerce has caused consumers to have worries over such issues as private information leakage, online fraud, discrepancy in product quality and grade, unsuccessful delivery, and so forth, Numerous studies have been undertaken to examine the role of perceived risk as a chief barrier to online purchases and to understand the theoretical relationships among perceived risk, trust and purchase intentions, However, most studies focus on empirically investigating the effects of trust on perceived risk, with little attention devoted to the effects of perceived risk on trust, While the influence trust has on perceived risk is worth studying, the influence in the opposite direction is equally important, enabling insights into the potential of perceived risk as a prohibitor of trust, According to Pavlou (2003), the primary source of the perceived risk is either the technological uncertainty of the Internet environment or the behavioral uncertainty of the transaction partner. Due to such types of uncertainty, an increase in the worries over the perceived risk may negatively affect trust, For example, if a consumer who sends sensitive transaction data over Internet is concerned that his or her private information may leak out because of the lack of security, trust may decrease (Olivero and Lunt, 2004), By the same token, if the consumer feels that the online merchant has the potential to profit by behaving in an opportunistic manner taking advantage of the remote, impersonal nature of online commerce, then it is unlikely that the merchant will be trusted, That is, the more the probable danger is likely to occur, the less trust and the greater need to control the transaction (Olivero and Lunt, 2004), In summary, a review of the related studies indicates that while some researchers looked at the influence of overall perceived risk on trust level, not much attention has been given to the effects of different types of perceived risk, In this context the present research aims at addressing the need to study how trust is affected by different types of perceived risk, We classified perceived risk into six different types based on the literature, and empirically analyzed the impact of each type of perceived risk upon consumer trust in an online merchant and further its impact upon purchase intentions. To meet our research objectives, we developed a conceptual model depicting the nomological structure of the relationships among our research variables, and also formulated a total of seven hypotheses. The model and hypotheses were tested using an empirical analysis based on a questionnaire survey of 206 college students. The reliability was evaluated via Cronbach's alphas, the minimum of which was found to be 0.73, and therefore the questionnaire items are all deemed reliable. In addition, the results of confirmatory factor analysis (CFA) designed to check the validity of the measurement model indicate that the convergent, discriminate, and nomological validities of the model are all acceptable. The structural equation modeling analysis to test the hypotheses yielded the following results. Of the first six hypotheses (H1-1 through H1-6) designed to examine the relationships between each risk type and trust, three hypotheses including H1-1 (performance risk ${\rightarrow}$ trust), H1-2 (psychological risk ${\rightarrow}$ trust) and H1-5 (online payment risk ${\rightarrow}$ trust) were supported with path coefficients of -0.30, -0.27 and -0.16 respectively. Finally, H2 (trust ${\rightarrow}$ purchase intentions) was supported with relatively high path coefficients of 0.73. Results of the empirical study offer the following findings and implications. First. it was found that it was performance risk, psychological risk and online payment risk that have a statistically significant influence upon consumer trust in an online merchant. It implies that a consumer may find an online merchant untrustworthy if either the product quality or the product grade does not match his or her expectations. For that reason, online merchants including digital storefronts and e-marketplaces are suggested to pursue a strategy focusing on identifying the target customers and offering products that they feel best meet performance and psychological needs of those customers. Thus, they should do their best to make it widely known that their products are of as good quality and grade as those purchased from offline department stores. In addition, it may be inferred that today's online consumers remain concerned about the security of the online commerce environment due to the repeated occurrences of hacking or private information leakage. Online merchants should take steps to remove potential vulnerabilities and provide online notices to emphasize that their website is secure. Second, consumer's overall trust was found to have a statistically significant influence on purchase intentions. This finding, which is consistent with the results of numerous prior studies, suggests that increased sales will become a reality only with enhanced consumer trust.