[논문]전자정부 모바일 앱 보안성 검증체계

방지호; 하란; 강필용; 김홍근

doi:10.7840/kics.2012.37c.2.119

전자정부 모바일 앱 보안성 검증체계
Security Verification Framework for e-GOV Mobile App 원문보기

한국통신학회논문지. The Journal of Korea Information and Communications Society. 통신이론 및 시스템, v.37C no.2, 2012년, pp.119 - 131

방지호 (홍익대학교 컴퓨터공학과 실시간시스템 연구실) , 하란 (홍익대학교 컴퓨터공학과 실시간시스템 연구실) , 강필용 (한국인터넷진흥원) , 김홍근 (한국인터넷진흥원)

초록
AI-Helper

최근 스마트폰의 보급이 빠르게 확산되고, 국내 외 앱스토어를 통해 다양한 모바일 앱이 개발 배포됨에 따라 많은 사용자들이 필요에 따라 자유롭게 앱들을 설치 삭제하고 있다. 앱스토어에서 배포되는 앱들은 각각의 앱스토어 검증체계에 따라 검증되고 있으나, 보안성에 대한 부분이 미흡하며, 최근 개인정보 등 중요정보의 임의 유출로 인한 피해가 증가하면서 모바일 앱에 대한 보안성 검증 필요성이 증가하고 있다. 보다 높은 보안성을 요구하는 전자정부의 모바일 서비스 앱에 대해 보안성을 검증하기 위해서는 별도의 검증정책이 필요하다. 따라서, 본 논문은 전자정부 모바일 앱의 안전 신뢰성을 제고할 수 있는 보안성 검증체계를 제안한다. 제안된 검증체계의 효과를 분석하기 위해 시범검증을 수행하고 해당 결과를 제시한다.

Abstract ▼ AI-Helper

Recently smart phones have been proliferating widely and quickly. Since the number of mobile apps that are being developed and deployed to domestic/international app stores is rising, more apps are being installed and deleted by users without any difficulty. The deployed apps are each attested through distinct verification framework of specific app stores. However, such verification frameworks are insufficient in checking security concerns. Unfortunately, the security verification framework is necessary since the incidents of leaking privacy and confidential information are being increased in lately. The aim of this paper is to provide the security verification framework that assures security and reliability of the e-government mobile apps. In order to verify proposed verification framework, a few apps were selected and inspected through proposed framework and these inspection results are included in this paper.

주제어

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

대부분의 앱스토어는 앱의 품질 및 유해성 관점에서 검증을 수행하고 있기 때문에 전자정부 모바일 앱을 검증하기 위해 기존 앱스토어의 검증체계를 그대로 적용하기에는 한계가 있으며, GS 및 CC와 같은 규모가 있는 소프트웨어에 대한 평가기준을 그대로 적용하기 역시 어렵다. 따라서, 본 논문은 전자정부 모바일 앱의 보안성을 검증하는데 효율적인 검증체계를 제안하며, 본 장에서는 앱에 대한 보안성 검증기준 및 절차 등에 대해 설명하고자 한다.
본 논문에서는 모바일 앱 보안성 검증기술 관련 국내·외 연구동향, 국내외 민간 앱스토어의 검증체계, 소프트웨어 평가기준 및 체계 분석을 통해 모바일 앱 보안성 검증체계 및 수준을 정의할 수 있었다.
본 논문은 앱 검증기술 및 체계 관련 연구, 민간 앱스토어 검증체계, 평가 관련 표준화 등 관련 연구및 동향을 분석하여 모바일 환경에서 안전한 전자정부 서비스를 제공할 수 있는 보안성 검증기준·절차 등 전자정부 모바일 앱 보안성 검증체계를 제안한다.
전자정부 모바일 앱의 보안성을 검증하기 위해 민간 앱스토어의 검증체계 및 소프트웨어 평가기준을 그대로 적용하기에는 제한사항이 있으므로 본 논문에서는 전자정부 모바일 앱의 안전·신뢰성을 보장할 수 있는 검증기준 및 절차 등 모바일 앱 보안성 검증체계를 제시하였다.

제안 방법

시범검증을 통해 모바일 전자정부서비스 앱 관련 보호자산과 보안위협을 식별하였으며, 식별된 보안위협에 대응할 수 있는 기능 관점의 보안 요구사항을 도출하였다. 그리고, 보안취약점 세부 검증항목을 보완하였다. 식별된 보안위협 및 보안 요구사항은 <부록 1>에 기술하였으며, 세부 검증기준 및 항목은 <부록2>에 기술하였다.
또한, ’11년 9월에 구글 안드로이드 및 애플 iOS 플랫폼 기반 앱 개발자를 대상으로 기능관점 보안 고려사항, 플랫폼 보안메커니즘, Android JAVA 및 Objective C 언어 기반 소스코드 보안취약점에 대해 2회 교육을 실시하였다.
시범검증을 통해 모바일 전자정부서비스 앱 관련 보호자산과 보안위협을 식별하였으며, 식별된 보안위협에 대응할 수 있는 기능 관점의 보안 요구사항을 도출하였다. 그리고, 보안취약점 세부 검증항목을 보완하였다.
제안한 모바일 앱 보안성 검증체계는 민간 앱스토어 검증체계와 비교(표 9)해서 보안명세서, 소스코드를 추가적으로 제출받아서 개인정보․위치정보의 무단수집·활용여부가 포함된 기능취약점, 구현 오류, 모바일 플랫폼 보안메커니즘, 소스코드 취약점에 대해 검증을 수행한다.

대상 데이터

제안한 모바일 앱 보안성 검증체계의 효과를 분석하기 위해 ’11년 5월부터 8월까지 제안된 검증체계에 따라 시범검증을 진행하였다. 검증대상은 운영 체계 유형, 위치정보 등 중요정보 활용 여부를 고려하여 구글 안드로이드 기반 앱 9종, 애플 iOS 기반 앱 9종, MS 윈도우모바일 6.5 기반 앱 2종 등 전체 20개 앱을 선정하였다. 선정된 앱의 평균 구현기능은 30개였으며, 평균 1.

데이터처리

제안한 모바일 앱 보안성 검증체계의 효과를 분석하기 위해 ’11년 5월부터 8월까지 제안된 검증체계에 따라 시범검증을 진행하였다.

성능/효과

전자정부 모바일 앱의 보안성을 검증하기 위해 민간 앱스토어의 검증체계 및 소프트웨어 평가기준을 그대로 적용하기에는 제한사항이 있으므로 본 논문에서는 전자정부 모바일 앱의 안전·신뢰성을 보장할 수 있는 검증기준 및 절차 등 모바일 앱 보안성 검증체계를 제시하였다. 그리고, 모바일 앱 보안성 검증체계를 기반으로 시범 적용한 결과를 제시함으로써 본 논문에서 제안하는 검증체계의 실효성을 증명하였다.
5 기반 앱 2종 등 전체 20개 앱을 선정하였다. 선정된 앱의 평균 구현기능은 30개였으며, 평균 1.4만라인 이었다(그림 3, 그림 4).
시범 검증한 결과, 평균 2.5개의 기능오류가 존재하였으며, 패스워드 평문 전송 등 평균 1.25개의 보안기능 취약점을 발견하였다. 그리고, ‘매우낮음’ 이상의 소스코드 취약점은 앱당 평균 77개(천라인당 5.

후속연구

따라서, 모바일 앱 보안성 검증시, 모바일 플랫폼 보안메커니즘과 개인정보 및 위치정보 유출에 사용될 수 있는 함수 및 사용권한에 대한 기존 연구결과물을 활용하고, 모바일 앱의 보호자산 대비 보안위협을 식별하여 기능구현 관점의 보안 요구사항을 도출해야 한다. 도출된 보안 요구사항을 기반으로 기능관점 보안취약점을 점검하고, 언어 기반 보안취약점을 연구하여 소스코드 정적분석을 수행하는 것이 필요하다.
또한, 본 논문에서 제시하는 검증기준 및 항목을 민간 앱스토어에서 자체 검증체계에 적합하게 수용하여 적용하면 보다 모바일 앱에 대한 보안성이 높아질 것으로 기대한다.
본 논문은 앱 검증기술 및 체계 관련 연구, 민간 앱스토어 검증체계, 평가 관련 표준화 등 관련 연구및 동향을 분석하여 모바일 환경에서 안전한 전자정부 서비스를 제공할 수 있는 보안성 검증기준·절차 등 전자정부 모바일 앱 보안성 검증체계를 제안한다. 제안하는 검증체계 모델은 민간 앱스토어 검증체계의 보안성을 향상시킬 수 있도록 동일하게 적용할 수 있다.
향후, 본 논문에서 제안한 검증체계를 기반으로 모바일 앱의 보안성 검증에 적용한 효과를 분석하고, 제안한 검증기준 및 항목을 자동화하여 검증할 수 있는 자동화 도구를 개발할 예정이다.

질의응답

핵심어	질문	논문에서 추출한 답변
	정부부처 정보시스템 소프트웨어의 안전·신뢰성을 제고하기 위해 행정안전부와 KISA는 무엇을 하고 있는가?	행정안전부와 한국인터넷진흥원(KISA)은 2009년부터 정부부처 정보시스템 소프트웨어의 안전·신뢰성을 제고하기 위해 소프트웨어 개발보안에 대한 연구를 수행하고 있으며, 전자정부지원사업으로 구축되는 정보시스템 소프트웨어에 대해 소스코드 수준의 보안취약점을 시범적으로 진단하고 있다. 또한, 담당공무원 및 개발자를 대상으로 소프트웨어 개발보안 교육을 제공하고 있으며, 최근 안전한 정보시스템 소프트웨어 개발을 위한 소프트웨어 개발보안 가이드[5]를 제작·배포하였다.
	모바일 앱을 통한 개인위치정보의 무단수집·활용의 대표적인 예는 무엇이 있는가?	한편, 모바일 앱의 기능이 다양해지고 복잡해짐에 따라 PC기반 어플리케이션에서 발생했던 보안위협들이 모바일 앱에서도 그대로 발생하게 되었으며, PC 환경에서는 고려되지 않던 개인위치정보와 같은 일부 보안위협들이 모바일 환경의 특수성으로 이슈가 되고 있다. 모바일 앱을 통한 개인위치정보의 무단수집·활용의 대표적인 예는 애플 아이폰의 개인위치정보 축적, 광고모듈에 탑재된 위치정보 수집기능으로 인한 80만명 위치정보 유출[1] 등이 있다. 최근 기사(2011.
	행정안전부와 KISA가 제작한 소프트웨어 개발보안 가이드에는 어떤 내용이 포함되어 있는가?	또한, 담당공무원 및 개발자를 대상으로 소프트웨어 개발보안 교육을 제공하고 있으며, 최근 안전한 정보시스템 소프트웨어 개발을 위한 소프트웨어 개발보안 가이드[5]를 제작·배포하였다. 해당 가이드는 JAVA 및 C 언어에 대한 시큐어코딩 가이드 이외에 구글 안드로이드에 대한 시큐어코딩 가이드를 포함하고 있다. 구현언어 관점으로 작성되었기 때문에 모바일 앱의 기능 및 모바일 플랫폼별 메커니즘에 대한 부분은 아직 미흡하며, 애플 iOS는 아직 포함되지 않았다.

참고문헌 (23)

중앙일보, "스마트폰 앱 80만명 위치정보 빼가", Apr. 2011
허재두 등, "모바일 앱스토어 기술 동향", 전자통신동향분석, 제25권 제3호, pp.52-61, 2010

원문보기 상세보기
정보통신부, "공공부문 SW사업 발주.관리 표준 프로세스", 한국정보통신표준(KICS.KO-09.0038), 2007
ISO/IEC 15408:2009, "Common Criteria for Information Technology Security Evaluation Version 3.1"
행정안전부, "소프트웨어 개발보안 가이드", 발간등록번호(11-1311000-000330-10), 2011
Adrienne Porter Felt, Matthew Finifter, Erika Chin, Steve Hanna, David Wagner, "A survey of mobile malware in the wild", Proceedings of the 1st ACM workshop on Security and privacy in smartphones and mobile devices, Oct. 2011
J. Burns, "Developing Secure Mobile Applications for Android", iSEC Partners, 2008
W. Enck, M. Machigar, and P. McDaniel, "Understanding Android Security", IEEE Security & Privacy, pp.50-57, 2009
A. Shabtai, U. Kanonov, Y. Elovici, S. Dolev, and C. Glezer, "Google Android: A Comprehensive Security Assessment", IEEE Security & Privacy, pp.35-44, 2010
David Wetherall, Ben Greenstein, Seungyeop Han, Peter Hornyack, Jaeyeon Jung, Stuart Schechter, Xiao Wang, David Choffnes, "Privacy Revelations for Web and Mobile Apps", Proceedings of HotOS, May 2011
M. Egele, C. Kruegel, E. Kirda, and G. Vigna, "PiOS: Detecting Privacy Leaks in iOS Applications", NDSS, 2011
Peter Gilbert, Byung-Gon Chun, Landon Cox, and Jaeyeon Jung, "Vision: Automated Security Validation of Mobile Apps at App Markets", Proceedings of Workshop on ACM Mobile Cloud Computing & Services, June 2011
William Enck, Machigar Ongtang, and, Patrick McDaniel, "On lightweight mobile phone application certification", Proceedings of the 16th ACM conference on Computer and communications security, Nov. 2009
KT Olleh마켓, http://seller.ollehmarket.com
LGU+ OZ스토어, http://devpartner.lguplus.co.kr
SKT T스토어, http://dev.tstore.co.kr
애플 앱스토어, http://developer.apple.com
구글 안드로이드마켓, http://market.android.com
BSI, http://buidsecurityin.us-cert.gov
방송통신위원회, "위치정보의 보호 및 이용 등에 관한 법률(시행 2010.9.23)", 법률 제10166호, 2010
행정안전부, "개인정보 보호법(시행 2011.9.30)", 법률 제10465호, 2011
KISA, "모바일 운영체제 기반의 악성코드 대응 기법 연구", 2010
한국인터넷진흥원, "모바일 앱 보안성 검증 안내서", 행정안전부.한국인터넷진흥원, Aug. 2011

저자의 다른 논문 :

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증