[논문]보안이 강화된 특수목적용 웹서버 설계 및 구축 제안

홍성락; 조인준

doi:10.5392/jkca.2022.22.02.071

보안이 강화된 특수목적용 웹서버 설계 및 구축 제안
Proposal for Designing and Building a Special Purpose Web Server with Enhanced Security 원문보기

한국콘텐츠학회논문지 = The Journal of the Korea Contents Association, v.22 no.2, 2022년, pp.71 - 79

홍성락 (배재대학교 사이버보안학과) , 조인준 (배재대학교 사이버보안학과)

초록
AI-Helper

현재 웹 서버의 보안을 위해 관제와 모의 해킹을 한다고 해도 계속해서 취약점이 발생하고 해킹을 당하는 것이 현실이다. 해당 문제를 해결하기 위해 L4와 L5 사이에서 소켓을 사용해 모든 웹 통신을 제어할 수 있는 보안 웹 서버를 개발했다. 그리고 HTTP 응답을 줄 때 매번 파일과 헤더를 합치는 행위를 미리 합쳐놓는 방식을 제안했다. 그 결과 보안과 속도를 둘 다 향상할 수 있었다. 따라서 본 논문에서는 관제와 모의 해킹을 해도 취약점이 발생하는 이유와 그것에 대한 해결방안과 더 나아가 DB까지 보안을 유지할 수 있는 보안 웹 서버개발 방식을 제안하였다.

Abstract ▼ AI-Helper

Currently, even if control and mock hacking are performed for the security of web servers, vulnerabilities continue to occur and be hacked. To solve this problem, we have developed a secure web server that can control all web communication using sockets between L4 and L5. And when giving HTTP responses, we proposed a method of combining files and headers in advance. As a result, both security and speed could be improved. Therefore, in this paper, we proposed the reason why vulnerabilities occur even if control and mock hacking occur, a solution to it, and a security web server development method that can maintain security up to DB.

주제어

표/그림 (20)

그림 그림 1. ps –ef 결과
그림 그림 3. Apache 프로그램 ltrace 결과 V3
그림 그림 4. PHP 프로그램 ltrace 결과
그림 그림 2. Apache 프로그램 ltrace 결과 V1
그림 그림 5. C 언어 결과
그림 그림 6. C++ 언어 결과
그림 그림 7. Python 언어 결과
그림 그림 8. Java 언어 결과
그림 그림 9. CVE-2017-5638 Apache Struts2 취약점 공격 데이터[3]
그림 그림 11. 소켓 서버 구조 V1
그림 그림 12. 소켓 서버 구조 V2
그림 그림 13. 소켓 서버 구조 V3
그림 그림 14. 취약한 SQL 쿼리 질의 결과
그림 그림 15. 데이터베이스 보안 개념도
그림 그림 16. 보안 웹 서버 구조 및 파이썬 활용
그림 그림 17. 3개의 웹 서버 프로그램 속도 비교
그림 그림 18. 디렉토리 리스팅 공격 시도 및 결과
그림 그림 20. 웹 요청 데이터에 대한 처리 프로세스
그림 그림 19. 디렉토리 리스팅 공격 요청에 대한 아스키코드 합산 값
표 표 1. 속도 및 보안 향상 검증 및 비교 분석 정리 표

AI 본문요약
AI-Helper

문제 정의

작은 크기의 웹 서버라면 가능하겠지만 중간 크기의 웹 서버부터는 그 수가 너무 많아 수작업으로 이를 할 수는 없다. 그래서 보안 웹 서버 개발을 도와주는 자동화 프로그램을 개발했다.
취지는 좋지만 모든 DB쿼리와데이터를 미리 프로그램에 넣어둘 수는 없다. 따라서 본 논문에서는 기존 No-SQL과 SQL에서 사용하는 방식이 아닌, 내부에서 사용하는 특정키를 이용하는 방식과 패스워드의 해시값을 질의하는 방식 두 가지를 제안했다. 물론 이 부분은 각 웹 서버의 DB 구조에 따라 많이 변경될 수 있다.
하지만 이대로 DB 서버를 운영하면, SQL인 경우 SQL-Injection, No-SQL인 경우 새로운 취약점이 발생할 수 있다. 따라서 본 논문에서는 웹서버를 2중으로 보안을 유지했듯이 DB 서버도 2중으로 보안을 유지하는 방식을 제안하였다. 취지는 좋지만 모든 DB쿼리와데이터를 미리 프로그램에 넣어둘 수는 없다.
본 논문에서는 이에 대한 새로운 해결책으로 소켓을 사용해서 웹 서버 개발하는 방안을 제안하였다. 소켓은 L4와 L5를 이어주는 함수이다.
동적 분석을 통해 Apache와 PHP 서버에서는 응답 헤더를 요청 시마다 파일과 응답 헤더를 붙여서나가는 것을 확인했다. 본 논문에서는 해당 모든 파일 앞에 헤더를 미리 붙이는 방식을 개발했다. 따라서 웹서버가 요청 값을 처리하고 응답을 보낼 때 기존 웹 서버들은 그때서야 헤더를 붙이지만, 본 논문에서의 방식은 미리 응답 헤더가 붙어있기 때문에 요청한 파일을 바로 응답하면 된다.

제안 방법

다양한 언어를 동일한 환경에서 비교를 한 결과, C언어가 가장 빠르기 때문에 선택했다. 그리고 메모리를 적게 사용하면서 완벽한 보안을 위해 완벽한 필터링이 되는 구조로 개발했다. 그 구조를 간단하게 설명하자면, 서버에 들어온 “Path”와 “Query” 문자열 “index.
따라서 본 논문에서는 대표적인 4개의 언어(C, C++, Python, Java)를 가지고 “test” 문자열을 출력하는 프로그램을 테스트 선상에 올려서 비교했다.
본 논문에서 제안하는 방안을 기반으로 디렉터리 리스팅 공격에 적용을 시켜 비교해봤다.
본 논문에서 제안한 웹 서버 프로그램은 들어오는 요청 데이터를 아스키코드로 변환하고, 합을 구한 뒤 해당 관련 코드에 스위치로 접근 후 다시 한 번 문자열을 확인하다. 더 나아가 해당 문자열에 대한 응답 값은 미리 정해져 있다.
물론 이 부분은 각 웹 서버의 DB 구조에 따라 많이 변경될 수 있다. 본 논문에서는 이미 웹 서버에서 이중 보안을 적용했고, DB에서는 이중 보안 방안을 제안했다. 즉, 본 논문에서 제안한 방식으로 웹 프로그램을 개발했다면 속도와 보안 모두를 제고시킬 수 있다.
제안한 소켓 웹 서버는 C언어로 개발을 했다. 다양한 언어를 동일한 환경에서 비교를 한 결과, C언어가 가장 빠르기 때문에 선택했다.

데이터처리

Apache, PHP 그리고 본 논문에서 제안한 방안으로 개발한 C 소켓 웹서버 이 3가지를 비교해 보겠다. [그림 17]과 같이 Apache는 331줄에 3, 015ms (54.

성능/효과

결론적으로 본 논문에서 제안한 소켓 웹서버를 대상으로 보안관제와 모의 해킹을 시도해도 웹 서버에 취약점이 발생하는 원초적인 요인들을 첫째, 소켓을 사용해서 직접 웹 서버를 제작하고, 둘째, DB에 직접적인 접근이 불가능하도록 구현하는 방식으로 제거하였기 때문에 보안 및 속도까지 향상할 수 있는 새로운 방안이라 할 수 있다.
따라서 본 논문에서 제시한 방식은 한눈에 볼 수 있고, 어떤 요청 데이터를 처리하고 분석하고 응답하는 것까지 직접 제어가 가능하여서 보안 웹서버 개발에 있어 훨씬 효과적이다.
또한 read 함수로 목적지 주소를 한 번 더 읽어 와서 해당 주소로 wrivev 함수를 통해 여러 개의 배열에 저장된 값들을 전부 가져와 합쳐서 전송하는 것을 확인했다. 따라서 본 논문에서는 웹 서버를 실행하기 전에 HTML, JS, CSS, JPG, PNG 등 모든 콘텐츠에 헤더를 붙이면 좋을 것 같다는 생각이 들었다. 또한 파일 확장자에 맞는 Content type을 넣었다.
완벽해 보이는 이 논문에도 한계점이 존재한다. 모든 요청 URL을 처리하는 코드에서 if 문이 아닌 Switch로 처리하는 것은 정말 좋은 아이디어라고 생각한다. 분명 처리 속도가 if 문과 비교했을 때 큰 폭으로 향상된 것을 확인했었다.
모든 요청 URL을 처리하는 코드에서 if 문이 아닌 Switch로 처리하는 것은 정말 좋은 아이디어라고 생각한다. 분명 처리 속도가 if 문과 비교했을 때 큰 폭으로 향상된 것을 확인했었다. 또한 Switch 문이 일정 개수 이상이면 컴파일러가 자동으로 점프 테이블을 생성한다고 한다.
1 기준 HTTP 응답 헤더를 일일이 붙여서 응답했다. 이것을 보완하기 위해 해당 프로그램에서는 일일이 헤더를 보낼 필요 없이 서버 실행 전, 확장자에 맞는 Content-type을 미리 파일에 붙여넣어 둔다. 즉, 웹 요청이 들어왔을 때 헤더를 붙일 필요 없이, 파일 하나만 보내면 된다는 것이다.
이것을 보완하기 위해 해당 프로그램에서는 일일이 헤더를 보낼 필요 없이 서버 실행 전, 확장자에 맞는 Content-type을 미리 파일에 붙여넣어 둔다. 즉, 웹 요청이 들어왔을 때 헤더를 붙일 필요 없이, 파일 하나만 보내면 된다는 것이다.

후속연구

더 나아가 해당 개념과 자동화 프로그램이 하나로 된 프로그램을 현재 보안 시장에 도입된다면, 일반 사용자들도 아주 쉽고 성능이 빠르고 보안에 강력한 웹 서버 프로그램을 운영할 수 있고, 기업에서는 "../"(디렉터리 리스팅) , "%3C"(XSS) 구문 등 일반적인 공격 문구에 관제 인력을 낭비하지 않고, 특정 문구가 들어왔을 때 서버 프로그램 상태를 확인하는 것처럼 훨씬 고도화된 관제를 할 것이다.
더 나아가 해당 문자열에 대한 응답 값은 미리 정해져 있다. 또한 기타 규모가 큰 프로그램들과 다르게 간단한 구조로 이루어져 있기 때문에 취약점 발생 시 분석과 보완이 간단하다. 즉, 웹 요청, 처리, 응답 과정을 하나의 코드 파일로 확인할 수 있다.
완벽해 보이는 이 논문에도 한계점이 존재한다. 모든 요청 URL을 처리하는 코드에서 if 문이 아닌 Switch로 처리하는 것은 정말 좋은 아이디어라고 생각한다.
따라서 더 이상의 최적화 방법은 없을 것 같다. 하지만이 부분에 대해서는 몇 년 정도 더 연구해보면, 훨씬 더 빠르게 최적화가 가능하리라 생각한다.

참고문헌 (8)

https://httpd.apache.org
https://www.php.net
https:/www.cve.mitre.org/cgi-bin/cvename.cgi?nameCVE-2017-5638
https:/www.cve.mitre.org/cgi-bin/cvename.cgi?nameCVE-2015-4870
https://www.mysql.com
권희웅, 정형진, 곽후근, 김영종, 정규식, "멀티코어 시스템에서 흐름 수준 병렬처리에 기반한 리눅스 TCP/IP 스택의 성능 개선," 정보처리학회논문지, Vol.16, No.2, pp.113-124, 2009.
김지훈, 최주호, "윈도우즈 소켓 기반 분산처리 기술을 이용한 항공기 엔진마운트의 최적설계," 論文集, Vol.38, pp.29-38. 2000.
강동조, 박현주, "TCP/IP 소켓통신에서 대용량 스트링 데이터의 전송 속도를 높이기 위한 송수신 모델 설계 및 구현," 한국정보통신학회논문지, Vol.17, No.4, pp. 885-892, 2013.

원문보기 상세보기

저자의 다른 논문 :

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증