• 정보보호학회논문지
• /
• 제20권1호
• /
• pp.63-72
• /
• 2010

RFID (Radio Frequency IDentification)는 유비쿼터스 환경에서 바코드를 대체하여 유용하게 사용될 하나의 차세대 자동식별 기술을 말한다. RFID 시스템은 기본적으로 태그(Tag)와 태그 인식을 위한 리더 (Reader) 그리고 태그에 대한 정보를 저장하고 있는 백-엔드-데이터베이스(Back-End-Database)로 구성된다. 최근 휴대폰이나 PDA(Personal Digital Assistants)에 모바일 리더 기능을 장착한 모바일 리더를 이용한 RFID 서비스가 급증하고 있으나 이러한 환경에서 안전한 기법에 대한 연구는 아직까지 미흡하다. 기존에 존재하는 고정형 리더를 이용한 기법들을 모바일 리더를 이용한 환경에 적용하기에는 추가적으로 고려해야할 요소들이 존재한다. 모바일 리더 환경에서는 기기의 분실이 쉽고 또한 통신 장애 및 통신 범위 초과와 같은 이유로 백-엔드-데이터베이스와 항상 신뢰하여 연결될 수 없기 때문에 이러한 추가적인 문제들을 고려한 안전한 기법에 대한 연구가 필요하다. 이러한 문제를 해결하기 위해 최근 Han 등이 백-엔드-데이터베이스가 없는 환경에서 RFID 상호 인증 프로토콜을 제안하였다. 하지만 Han 등의 기법은 도청, 스푸핑, 재생 공격을 통한 태그 위치 추적이 가능하다. 또한 저가 기반의 수동형 태그에 부적절하게 많은 통신량을 요구한다. 따라서 본 논문에서는 Han 등의 기법의 취약성을 분석하고 안전성과 효율성 측면에서 향상된 온라인 백-엔드-데이터베이스가 없는 환경에서 RFID 상호 인증 프로토콜을 제안한다.

• 정보보호학회논문지
• /
• 제30권6호
• /
• pp.1115-1130
• /
• 2020

최근 출시된 차량에는 다수의 ECU(Electronic Control Unit)가 탑재되어 있고, 각 ECU들은 CAN(Controller Area Network)을 통해 통신함으로써 차량을 효율적으로 제어할 수 있다. 하지만 CAN 통신에는 암호화 및 인증 기술이 적용되어 있지 않고, 접근 제어가 없는 Broadcast 방식으로 통신이 이루어지므로 보안에 취약하다는 문제점이 존재한다. 이러한 취약점을 이용하여 차량 제어 등의 수많은 차량 해킹 공격이 이루어지고 있으며 그에 대응하기 위한 연구 또한 진행되고 있다. 차량 해킹 대응 기술들 중에는 완성차에 탑재된 ECU의 취약점을 분석할 수 있는 CAN Fuzzing 기술이 존재한다. 하지만 기존의 CAN Fuzzing 기술들은 ECU들이 전송하는 CAN 메시지 구조를 고려하지 않고 Random한 방식으로 Fuzzing을 진행하기 때문에 많은 시간이 소요된다. 또한, 기존 CAN Fuzzing 기술은 Fuzzing 결과를 모니터링하는 방법에도 한계점이 존재한다. 이러한 CAN Fuzzing 기술의 한계를 해결하고자 본 논문에서는 CAN 메시지의 구조를 분석하고, 이를 바탕으로 ECU의 이상 작동 현상을 유발시킬 수 있는 Fuzzing 입력값을 생성하는 Non-Random CAN Fuzzing 기법을 제안한다. Non-Random CAN Fuzzing은 기존 Random CAN Fuzzing에 비해 소요되는 시간을 절약할 수 있고, 이를 통해 SW 구현 오류 혹은 CAN DBC(Database CAN) 설계 오류 등으로 인해 존재할 수 있는 ECU의 이상 작동 현상과 연관된 CAN 메시지들을 빠르게 발견할 수 있다. 제안하는 Non-Random CAN Fuzzing의 성능을 평가하기 위해 제안 기법을 실제 차량에 적용하였으며 ECU에 이상 작동 현상을 일으킬 수 있는 CAN 메시지를 확인하였다.

• 정보보호학회논문지
• /
• 제30권6호
• /
• pp.1087-1101
• /
• 2020

빠르게 진화하는 다양한 사이버공격으로부터 내부 네트워크와 정보를 보호하기 위해 다양한 보안장비를 사용한다. 그 중 대표적으로 사용하는 보안장비는 방화벽이며, 방화벽은 접근정책이라는 텍스트 기반의 필터링 규칙을 사용해 내·외로부터 통신하는 접근을 허용하거나 차단하여 악의적인 공격을 사전에 방어할 수 있다. 내부의 정보를 보호하기 위해 수많은 접근정책들이 사용하며, 점차 증가하는 접근정책을 효율적으로 관리하기에 여러 가지 어려움이 발생한다. 그 이유는 텍스트 기반의 많은 정보를 분석하기 위해서는 많은 시간 소요와 잔존하는 취약한 정책을 보완하기에는 한계점이 있다. 이와 같은 문제점을 해결하기 위해, 본 논문에서는 직관적인 접근제어 정책 분석 및 관리를 위한 3D 기반의 계층적 가시화 방법을 제안한다. 특히, 계층적 가시화를 통한 드릴-다운 사용자 인터페이스를 제공함으로써, 복잡한 대규모 네트워크의 접근제어 정책을 세부적으로 분석을 지원한다. 제안된 가시화 방법론의 실용성 및 유효성 검증을 위해 시스템을 구현하고, 이를 실제 대규모 네트워크 방화벽 분석에 적용함으로써 성공적으로 제안된 가시화 방법의 적용이 가능함을 보인다.

• 스마트미디어저널
• /
• 제9권4호
• /
• pp.81-90
• /
• 2020

최근 중국의 경제발전과 소득수준의 향상으로 과거에 비해 질 좋은 의료서비스에 대한 욕구가 높아지고 있다. 이러한 욕구를 충족시키기 위한 대안으로 스마트 폰을 활용한 다양한 애플리케이션이 개발되고 있다. 특히, 2019년 12월 발생한 COVID-19의 전 세계적인 확산으로 인하여 그 관심은 비대면 원격의료 서비스로 확대되고 있다. 본 연구에서는 중국 내 상위 3개의 모바일 의료 애플리케이션을 대상으로 총 200명을 대상으로 설문조사를 실시하였으며, 그 중 의료 애플리케이션을 실제로 사용해 본 120명의 데이터를 벤카테시(Venkatesh)의 UTAUT2 이론을 기반으로 사용자의 사용의도와 사용행위에 영향을 미치는 요인에 대한 연구를 실시하였다. 본 연구의 연구 결과는 다음과 같다. 첫째, 인터렉티브화 특성, 노력기대, 가격가치, 프라이버시 관심도, 습관, 촉진 조건이 사용자의 사용의도에 긍정적인 영향을 미치는 것으로 밝혀졌다. 둘째, 사용자의 사용의도가 사용행위에 영향을 미치는 것으로 조사되었으며, 습관과 촉진 조건은 사용의도와 사용행위에 모두 영향을 미치는 것으로 밝혀졌다. 셋째, 성별, 연령, 학령, 연간 수입 등의 조절변수가 사용자의 모바일 의료 애플리케이션 사용의도에 영향을 미치지 못한다는 연구결과를 도출했다. 마지막으로 인터넷 등을 사용하는 모바일 기기의 특성상 여러 보안에 취약점들이 존재하며 이로 인해 개인 또는 사회적으로 큰 피해나 파장을 불러올 수 있다. 따라서 중국의 모바일 의료 서비스 발전을 위해 차후 이러한 문제점 등을 보완 총체적이고 심층적인 고찰을 통해 연구모형의 재수립이 필요할 것이다.

• 융합보안논문지
• /
• 제20권4호
• /
• pp.143-151
• /
• 2020

제 5의 전장이라고 불리는 사이버 전장은 육·해·공·우주의 기존 물리 전장과 달리, 지형적인 정보를 기반으로 하지 않으며 각 정보간 긴밀한 연관 관계를 갖는 특징을 갖고 있다. 사이버 전장은 물리 전장에 위치한 장비의 네트워크 연결 정보를 기반으로 생성되므로 지형 정보와 완전히 분리되어 있지 않으면서도, 물리적 공간 제약을 넘어서 네트워크 토폴로지 기반의 논리적인 연결 상태와 OS 및 SW의 취약점 등에 의존적인 특징을 가진다. 그러므로 사이버 전장의 상황인식을 위한 정보 분석은 지리적이거나 논리적인 특정 정보 분석으로는 제한적이며, 여러 도메인의 상황을 한 눈에 인식할 수 있는 형태로 정보가 제공되어야 한다. 본 논문에서는 사이버 전장에서의 지휘통제를 위해 반드시 필요한 사이버작전 상황도 개발에 관한 연구를 기술한다. 특히 멀티레이어드 개념을 적용한 시각화 기술을 기반으로 지리정보를 비롯한 사이버 자산, 위협, 임무 등 상호 연관분석이 필요한 여러 계층의 정보를 상황도에서 직관적으로 도시할 수 있는 아키텍쳐를 제안한다. 본 연구를 통해 사이버작전 수행을 위해 필요한 지휘결심 지원 정보들이 도시요소로 표현되어, 복잡하고 이해하기 어려운 사이버 전장에서 지휘관이 신속하고 정확하게 지휘통제를 수행할 수 있도록 지원하는 상황도 구조를 제안한다.

• 인터넷정보학회논문지
• /
• 제23권1호
• /
• pp.49-68
• /
• 2022

해운 선사의 운영시스템은 주전산기를 이용한 단말기 접속 환경 또는 클라이언트/서버 구조의 환경을 유지하고 있는 경우가 아직 많으며, 웹서버 및 웹 애플리케이션 서버를 이용한 웹 기반 환경으로의 전환을 고려하는 해운 선사가 증가하고 있다. 그런데 전환 과정에서, 기존 구성 방식과 지식을 바탕으로 웹 기반 환경의 특성 및 해운 업무의 특성을 고려하지 않고 설계를 진행하는 경우, 다양한 보안상 취약점이 실제 시스템 운영 단계에서 드러나게 되고, 이는 시스템 유지보수 비용의 증가를 초래하게 된다. 그러므로 웹 기반 환경으로의 전환 시에는, 시스템 안전성 확보 및 보안 관련 유지보수 비용 절감을 위해 설계 단계에서부터 반드시 보안을 고려한 설계가 진행되어야 한다. 본 논문에서는 다양한 위협 모델링 기법의 특성을 살펴보고, 해운 선사 운영시스템에 적합한 모델링 기법을 선정한 후, 데이터 흐름도와 STRIDE 위협 모델링 기법을 해운 선사 업무에 적용하여, 데이터 흐름도의 각 구성 요소에서 발생 가능한 보안 위협을 공격자 관점에서 도출하고, 공격 라이브러리 항목과의 매핑을 통해 도출된 위협의 타당성을 입증한다. 그리고, 이를 이용하여 공격자가 최종목표 달성을 위해 시도할 수 있는 다양한 공격 시나리오를 공격 트리로 나타내고, 보안 점검 사항과 관련 위협 및 보안 요구사항을 체크리스트로 구성한 후, 최종적으로 도출된 위협에 대응할 수 있는 23개의 보안 요구사항을 제시한다. 기존의 일반적인 보안 요구사항과는 달리, 본 논문에서 제시하는 보안 요구사항은 해운 선사의 실제 업무를 분석한 후, 여기에 위협 모델링 기법을 적용하여 도출된 해운 업무 특성을 반영한 보안 요구사항이므로, 추후 웹 기반 환경으로의 전환을 추진하는 해운 선사들의 보안 설계에 많은 도움이 될 것으로 생각한다.

• 한국재난정보학회 논문집
• /
• 제17권4호
• /
• pp.882-889
• /
• 2021

연구목적: 저소득계층의 주거공간인 고시원을 중심으로 화재안전성의 향상이라는 부분에 목적을 두었다. 연구방법: 화재 발생 및 피해 과정에서 나타나는 문제점을 다시 한 번 검증하는 한편, 사각지대에 대한 제도적인 논의를 통해 개선방안을 제시하고자 한다. 연구결과: 고시원화재의 위험성을 살펴본 결과, 객실 내부에서 발생하는 화재발생 원인은 다양하게 나타날 수 있으나 좁은 객실로 인한 열축적에 의한 복사열 가능성이 높고 의류 및 가재도구 등으로 인해 화재 확산 가능성도 상당하다는 것을 알 수 있었으며, 이는 내부에 가급적 많은 인원을 수용하려고 하다 보니 좁은 실내공간의 열악한 내부 구조가 화재 확산 및 피해 규모에 상당한 영향을 미치고 있다는 것이 재확인되었다. 결론: 간이스프링쿨러 미설치된 고시원에 대하여는 조속히 설치가 완료 될 수 있도록 정부 및 자치단체의 더욱 강력한 추진력이 필요한 반면, 고시원의 구조특성상 나타나는 공간적, 구조적 화재취약성에 대하여 어떻게 개선할 것인가에 대한 논의가 필요할 것이다.

• 이베로아메리카
• /
• 제22권1호
• /
• pp.31-72
• /
• 2020

본 연구는 국제규범과 개발협력의 영역에서 논의됐던 도시와 젠더주류화 전략의 개념 및 정책적인 요소를 멕시코의 시각에서 고찰하고 멕시코의 법과 제도 및 멕시코시티의 주요 프로그램을 통해 젠더주류화 전략이 어떻게 통합, 실현되고 있는가를 분석하였다. 본 연구는 문헌 연구를 통해 기존 선행연구에서 다루었던 이론적인 논의를 발전시켰으며 현지 전문가, 정책 및 프로그램의 실무 담당자를 직접적으로 면담했으며 이러한 내용을 연구에 반영하여 현실적인 차원에서 정책적인 함의를 모색했다는 의미가 있다. 멕시코는 연방정부의 국가개발계획과 분야별 정책 및 프로그램에 젠더주류화 전략을 적용하고 있으며 이에 따른 예산의 배정과 평가체계의 구축을 통해 정책의 실효성을 확보하고 있다. 멕시코시티 정부 차원에서 여성과 남성의 실질적인 평등을 위한 법이 구축되어 있으며 노동법의 개혁, 정부프로그램과 도시개발프로그램에 젠더주류화 전략이 적용되고 있다. 또한 성별분리통계, 젠더현황 분석, 젠더훈련, 성인지 예산 등을 담당하는 국가여성연구소(INMUJERES), 멕시코 국립통계지리청(INEGI), 연방공공행정(APF), 재무와 공공차관부(SHCP), 멕시코시티 여성부 등 관련된 부서가 역할하고 있다. 이러한 측면에서 멕시코는 '젠더의 제도화과정' 이루어진 것으로 평가받고 있다. 이처럼 법, 제도의 틀 내에서 멕시코시티에서 추진되는 프로그램들은 도시라는 공간에서 시민으로서 여성의 권리를 실현하고 이들의 기본적인 필요를 충족하는 것을 목표로 하며 도시에 대한 권리의 실현을 위해 시민으로서 참여의 확대를 강조하고 있다. 특히, 멕시코시티 정부는 여성의 취약성을 경제, 공간과 시간의 영역에서 발생하고 있는 불평등으로 고려하면서 여성의 경제적인 자주권 강화에 초점을 두는 정책과 프로그램을 확대하고 있다.

• 한국소프트웨어감정평가학회 논문지
• /
• 제16권1호
• /
• pp.65-79
• /
• 2020

산업제어 시스템에서 많이 사용되는 PLC(Programmable Logic Controller)는 마이크로 컨트롤러, 실시간 운영체제, 통신 기능들과 통합되고 있다. PLC들이 인터넷에 연결됨에 따라 사이버 공격의 주요 대상이 되고 있다. 본 논문에서는, 데스크톱에서 개발한 uC/OS-II 기반 펌웨어를 PLC로 다운로드 하기 전, 펌웨어 코드의 보안성을 향상시켜 주는 새니타이저를 개발한다. 즉, PLC용 임베디드 펌웨어를 대상으로 버퍼의 경계를 넘어선 접근을 탐지하는 BU 새니타이저(BU sanitizer)와 use-after-free 버그를 탐지하는 UaF 새니타이저(UaF sanitizer)를 제안한다. BU 새니타이저는 대상 프로그램의 함수 호출 그래프와 심볼 정보를 기반으로 제어 흐름 무결성 위배도 탐지할 수 있다. 제안한 두 새니타이저를 구현하고 실험을 통해 제안 기법의 유효성을 보였으며, 기존 연구와의 비교를 통해 임베디드 시스템에 적합함을 보였다. 이러한 연구결과는 개발 단계에서 의도하지 않은 펌웨어 취약점을 탐지하여 제거하는데 활용할 수 있다.

• 인터넷정보학회논문지
• /
• 제23권6호
• /
• pp.27-37
• /
• 2022

디지털 통신 환경 기술이 다양화되고 네트워크 이용 접근성이 높아지고 있으며 보안이 중요한 방산업체, 국방 관련 기관 등 국가의 안보에 관련된 다양한 환경에서 가상 사설망 서비스를 사용한다. 하지만 기술에 발전에 따라 매년 가상 사설망의 취약점을 통한 공격이 증가하고 있다. 본 논문은 가상 사설망에서 발생 가능한 잠재적 취약점 및 신규 취약점에 대해 대비하기 위해 STRIDE 위협 모델링을 통해 보안 요구사항을 도출하였다. STRIDE 위협 모델링은 위협을 총 6가지 범주로 그룹화 위협을 체계적으로 식별한다. 이를 적용하기 위해 가상 사설망의 기능을 분석하고 가상 사설망 서비스가 이루어지는 동안의 자료 흐름도를 생성하였다. 그 후, 가상 사설망에서 발생 가능한 위협을 수집하고 이를 기반으로 STRIDE 위협 모델링을 분석했다. 생성한 가상 사설망의 자료 흐름도는 총 96개의 STRIDE 위협으로 분류되며, 실제 취약점 리스트와 비교 분석하여 분류 결과를 구체화했다. 그 후 위협들의 공격 루트를 파악하기 위해 위협 시나리오를 작성했다. 본 논문은 작성된 시나리오를 기반으로 가상 사설망의 구성요소에 따른 총 30개의 보안 요구사항을 도출했다. 본 논문을 통해 국방부와 같이 보안이 중요한 시설에서 사용하는 가상 사설망의 보안 안정성을 높일 수 있는 보안요구사항을 제시한다.