• 정보처리학회논문지C
• /
• 제8C권5호
• /
• pp.585-596
• /
• 2001

본 논문에서는 카오스 이론에 기초한 카오스(chaos) 암호화 알고리즘을 제안하고 이를 웹 보안 시스템에 적용하여 웹 클라이언트와 서버간의 안전한 통신을 위한 시스템을 설계 및 구현하였다. 웹 보안 시스템은 인증서버, 웹 클라이언트 및 웹 서버로 구성되며, 웹 클라이언트와 웹 서버에는 각각 웹 페이지의 요청 및 응답 페이지의 암호화 및 복호화를 담당하는 프록시 클라이언트와 서버 게이트웨이를 개발하여 탑재하였다. 인증서 형식은 국제표준을 수용하여 X.509 형식에 따라 구현하였으며, 클라이언트와 서버 인증을 위하여 RSA 공개키 알고리즘을 통하여 키 생성 및 분배가 이루어진다. 클라이언트와 서버간에 암호화 채널이 형성되면 카오스, SEED 및 DES 암호화 알고리즘을 통해 데이터의 암·복호화를 수행한다. 카오스 암호화 알고리즘은 기존의 비밀키 암호화 알고리즘들과 비교하여 속도와 비도 면에서 뛰어나다. 따라서 카오스 암호화 알고리즘을 적용한 웹 보안 시스템은 전자상거래, 인터넷 뱅킹 등에 널리 활용될 수 있을 것으로 사료된다.

• 정보보호학회논문지
• /
• 제24권3호
• /
• pp.535-545
• /
• 2014

최근 소프트웨어 산업의 발전과 더불어 소프트웨어 취약점을 이용한 공격이 사회적으로 많은 이슈가 되고 있다. 특히, 웹 브라우저 취약점을 이용한 공격은 윈도우 보호메커니즘을 우회할 수 있기 때문에 주요 공격 대상이 될 수 있다. 이러한 보안위협으로부터 웹 브라우저를 보호하기 위한 퍼징 연구가 지속적으로 수행되어 왔다. 하지만 기존 웹 브라우저 퍼징 도구에서는 대부분 DOM 트리를 무작위로 변형시키는 단순한 형태의 퍼징 방법을 사용하고 있다. 본 논문에서는 알려진 취약점에 대한 패턴 분석과 기존 웹 브라우저 퍼징 도구의 분석을 통해 최신 웹 브라우저 취약점을 보다 효과적으로 탐지하기 위한 이벤트 및 커맨드 기반 퍼징 방법을 제안한다. 기존 퍼징 도구 3종과 제안하는 방법을 비교한 결과 이벤트 및 커맨드 기반의 퍼징 도구가 더욱 효과적이라는 것을 볼 수 있었다.

• 정보보호학회논문지
• /
• 제11권4호
• /
• pp.3-14
• /
• 2001

웹 서버는 HTTP(Hyper Text Transfer Protocol) 통신프로토콜을 사용한다. HTTP 프로토콜은 서버가 다음 통신절차에서 필요한 클라이언트의 상태정보를 유지하지 않는 특성을 지니고 있다. 따라서, 웹 서버는 클라이언트의 요구에 대응한 응답메시지 전송과 동시에 클라이언트에 관련된 모든 정보를 제거한다. 이러한 HTTP 프로토콜의 특성은 클라이언트 사용자에게 반복된 정보입력 부담을 요구케 한다. 이러한 불편 해결책으로 쿠키(Cookie)기술이 구현되어 활용되고 있다. 하지만, 쿠키는 평문형태로 전송되고 저장되기 때문에 정보가 쉽게 노출될 수 있다. 따라서, 쿠키정보가 유출, 복사, 수정이 가능하여 안전하지 않다. 본 논문에서는 이러한 웹 환경에서의 쿠키 특성에 착안하여 안전한 쿠키를 제시하고, 이를 이용하여 웹 보안시스템을 설계 및 구현하였다. 구현된 시스템은 어떤 웹 환경에서나 활용이 가능하고, 사용자 기밀정보의 기밀성 보장과 더불어 인증, 무결성 등의 보안서비스를 제공한다.

• 한국컴퓨터정보학회논문지
• /
• 제14권2호
• /
• pp.119-128
• /
• 2009

웹 애플리케이션과 웹 기반 정보 시스템의 이용이 증가하면서 웹 애플리케이션 공격도 증가하고 있다. 다양한 웹 공격 중에 사용자에게 큰 손해를 입힐 수 있는 공격으로 최근에 크로스사이트 요청 변조(Cross Site Request Forgery, XSRF) 공격이 대두되고 있다. 하지만 기존에 개발되어 운영되고 있는 애플리케이션에 이런 공격을 막기 위해 보안 기능을 추가하는 것은 기업이나 조직에 많은 비용과 위험을 초래할 수 있다. 이러한 보안 기능을 레거시(legacy) 시스템에 효과적으로 적용하기 위해 관점 지향 프로그래밍(Aspect-Oriented Programming, AOP)에서 제공하는 모듈화의 장점을 이용하여 관심사(concern)를 분리한다. 본 논문에서는 JEE(Java Enterprise Edition) 환경의 시스템에서 관점 지향프로그래밍의 애스펙트(aspect)를 이용하여 크로스사이트요청 변조 공격을 탐지하고 방어하는 접근방법을 제시한다.

• 인터넷정보학회논문지
• /
• 제14권4호
• /
• pp.35-42
• /
• 2013

요즘 웹을 이용하여 많은 일들이 처리되고 있다. 이에 따라 다양하고 복잡한 기능을 가진 웹 기반의 응용 시스템들이 요구되고 있다. 이러한 웹 기반의 응용 시스템들을 효율적으로 개발하기 위하여 객체지향 분석 설계 방법론을 사용하고 있으며, 그 구현을 위하여 Java EE(Java Platform, Enterprise Edition) 기반의 기술들이 사용되기도 한다. 이렇게 개발된 웹 기반의 응용 시스템을 통해 많은 일들을 처리하면서 점차 보안과 관련된 이슈들이 중요해졌다. 이를 위하여 Java EE는 보안과 관련된 메커니즘을 제공하고 있지만, 효율적인 웹 응용 시스템을 개발하기 위한 객체지향 분석 설계 방법론과의 상호 연관성은 제공하지 못하고 있다. 이에 따라 Java EE 메커니즘에 따른 보안 방안은 개발 마지막 단계에서 비로소 구현되기 때문에, 요구사항 분석부터 구현에 이르기까지 시스템 개발 전 주기에 따른 일관된 보안 적용은 어려운 실정이다. 따라서 본 논문에서는 요구사항 분석부터 구현에 이르기까지, 보안이 강조된 '안전한 웹 응용 시스템을 위한 객체지향 분석 설계 방법론'을 제안한다. 제안한 객체지향 분석 설계 방법론은 보안에 관한 요구사항 분석과 시스템 분석 및 설계를 위하여 보안이 강조된 모델링 언어인 UMLsec을 사용하고, 그 구현을 위해서 Java EE 기반 기술 중 서블릿의 역할기반 접근제어(RBAC: Role Based Access Control)를 이용한다. 아울러 본 '웹 응용 보안을 위한 객체지향 분석 설계 방법론'을 온라인 뱅킹 시스템 개발에 적용하여 그 효율성을 확인하였다.

• 정보보호학회논문지
• /
• 제19권6호
• /
• pp.121-134
• /
• 2009

소비자 중심 마케팅 성장과 더불어 확대되고 있는 웹 트래픽 수집 및 분석 서비스 시장에서는 이미 서비스 제공자와 사용자간 정보 활용과 정보보호의 치열한 공방이 시작되었고 보다 상세한 소비자 정보를 마케팅에 활용하고 싶은 욕구가 극대화되고 있다. 기업은 익명화된 개인정보의 마케팅활용을 정당화하고 개인은 잠재적 우려사항을 감수할 수밖에 없는 실정이다. 그러므로 본고에서는 국내의 웹 트래픽 수집 및 분석 서비스 산업에서 개인정보보호에 저해되는 프로세스를 검토하고 잠재적 우려사항을 밝히고자 한다. 국내 주요 상용서비스를 중심으로 개인정보보호정책 분석과 서비스과정의 고의 혹은 우연한 개인정보 수집행위 등 목적 외 범위 타당성을 검토하고, 역공학을 통해 서비스과정에서의 개인정보 수집 및 이용 범위를 분석하였다. 개인정보 추출 범위 확대와 침해 가능성 심화로 인해 현재 국내 서비스의 타당성 평가는 매우 중요하다. 웹 트래픽 수집 및 분석 행위로 인한 개인정보 침해의 잠재요인과 서비스 활용을 위한 개인정보보호의 요건을 명확히 밝히는 것은 웹 트래픽 분석산업과 개인정보보호의 균형 발전을 위해 매우 중요할 것이다.

• 한국컴퓨터산업학회논문지
• /
• 제8권4호
• /
• pp.253-262
• /
• 2007

인터넷 환경이 다양한 서비스 분야로 응용됨에 따라 보안에 대한 인식이 증가하고 있다. 웹서비스 상에서 이루어지는 사용자 인증 방식은 본인의 확인 없이 이루어지기 때문에 신뢰성, 안전성, 보안성 등이 문제가 될 수 있다. 이러한 문제를 해결하기 위해 사용자 아이디와 패스워드를 사용하거나 인증키를 사용하는 방법이 적용되어 왔다. 기존의 보안을 위해 사용되는 패스워드 및 인증키는 문자열의 조합으로 구성되어 있어 인증정보 유출이 쉽게 발생할 수 있고, 또한 해커들이 컴퓨터 해킹을 통해 인증정보를 쉽게 빼낼 수 있어 보안에 심각한 문제를 야기 시킬 수 있다. 본 논문에서는 웹 서비스 보안을 향상시키기 위하여 사용자의 고유한 생체 인식으로 이용되는 지문을 활용하여 웹서비스에 적용하는 모듈을 제안한다. 제안된 모듈은 사람의 고유한 특징인 지문인증을 사용하기 때문에 웹서비스 사용자의 본인을 정확히 확인할 수 있어 인증정보 유출이나 해커들의 해킹으로부터 보안성이 철저하게 유지될 수 있다. 따라서 제안된 방식이 웹서비스에 적용되는 기존의 패스워드나 인증번호 방식보다 보안성이 우수하다.

• 한국정보통신학회논문지
• /
• 제18권1호
• /
• pp.169-176
• /
• 2014

스마트 디바이스의 수가 급증함에 따라 다양한 스크린들 간의 협업을 통하여 사용자들에게 새로운 사용자 경험(User Experience)을 제공할 수 있는 N-스크린서비스에 대한 수요가 급증하고 있으며, 이는 사용자들에게 기술적 풍요를 제공하는 동시에 새로운 보안상의 약점을 유발하게 되었다. 본 논문은 기존의 다양한 웹 공격유형에 대하여 분석하고, 미래 N-스크린서비스 시나리오들을 기반으로 웹콘텐츠의 이동/결합/분리를 위한 새로운 보안 요구사항을 제안하고 이를 구체적으로 정리하고 분석해 본다. 또한, N스크린 환경에서 웹콘텐츠의 이동을 통하여 사용자의 개인 정보가 공공 디바이스를 통해 외부로 공개되는 것을 방지할 수 있는 방안이 적용된 N스크린 협업서비스 프레임워크에 대해서 살펴본다.

• 한국시뮬레이션학회논문지
• /
• 제17권3호
• /
• pp.53-62
• /
• 2008

이 논문에서는 웹 온톨로지를 위한 오라클 보안 모델 기반의 구현 모델을 제안한다. 최근 웹 온톨로지에 대한 접근 제어를 위해 관계형 데이터베이스 보안 모델을 이용한 접근 제어 모델이 개발되고 있으며 대표적인 접근제어 모델이 RAC 보안 모델이다. 그러나 RAC 보안 모델은 관계형 데이터베이스의 표준 보안 모델에 기반을 두고 있으며 실제 관계형 데이터베이스 관리시스템의 구현 모델은 개발되어 있지 않다. 이 논문에서는 이러한 RAC 보안 모델의 문제점을 해결하기 위하여 현재 가장 널리 사용되며 다양한 보안 정책을 제공하는 RDBMS인 오라클 기반의 구현 모델을 제안한다. 또한, 제안하는 RAC 구현 모델의 구현 및 평가에 대하여 기술한다. 특히, 제안하는 구현 모델은 오라클에서 제공하는 VPD 보안 모델을 이용하며 높은 실용성과 활용성을 제공한다.

• 정보보호학회논문지
• /
• 제13권2호
• /
• pp.13-29
• /
• 2003

웹 메일 시스템은 이동성이 뛰어나고 누구나 쉽게 사용할 수 있다는 장점으로 인해 차세대 전자우편 시스템으로 주목받고 있다. 그러나 기존의 웹 메일 시스템은 보안 메커니즘이 전혀 적용되고 있지 않거나, 보안 서비스를 제공한다 하더라도 그 강도가 약해 외부의 공격자에게 메일의 내용이 쉽게 노출되거나 위조 및 변조의 위험이 있다. 이와 같은 문제의 해결을 위해 본 논문에서는 전자우편 보안 국제 표준인 S/MIME에 기반한 안전한 웹 메일 시스템을 설계 및 구현하였다. 안전한 웹 메일 시스템은 메일의 송수신 및 저장, 사용자 정보의 저장 등의 기능을 수행하는 서버 부분과 메일 작성 및 읽기, 암호화 및 전자서명 기능을 수행하는 클라이언트 부분으로 구성되어 있다. 기존의 보안 웹 메일 시스템에서는 메일에 대한 암호 연산이 웹메일 서버에서 수행되지만. 본 논문에서 설계 및 구현한 시스템에서는 송신자의 클라이언트 모듈에서 S/MIME에 기반하여 작성한 보안 메일을 서버로 전송하면 서버는 이를 수신자에게 전달하고, 수신자의 클라이언트모듈은 수신한 메일에 대한 복호화 및 전자서명 확인을 수행한다. 이와 같이 보안 메일의 작성을 비롯한 암호연산을 서버가 아닌 클라이언트 부분에서 처리하도록 함으로써 송신자와 수신자간의 End-to-End 보안을 가능하게 하여 안전성 및 신뢰성을 향상시키고 서버의 부하를 줄여 전체 시스템의 효율을 향상시켰다.