[8월 주요 보안이슈 되짚어보기] 올해말 의무화 ‘시큐어 코딩’ 진단 노하우!

행정안전부, 시큐어 코딩 진단기술 민간기업에 무료로 이전

43개 보안약점 정확한 진단여부 확인 위한 시범검증 작업도 진행

[보안뉴스 권 준] SW 개발보안 즉, 시큐어 코딩 진단기술 노하우 및 도구를 무료로 전수 받을 수 있는 길이 열렸다.

행정안전부에서 올해 말부터 의무화되는 SW 개발보안 제도가 효과적으로 정착되고 국내 SW 개발보안 진단기술 수준을 높이기 위해 정부에서 개발·적용해온 시큐어 코딩 진단 기술을 민간기업에 무료로 이전하기로 한 것.

시큐어 코딩(Secure Coding)은 해킹 등 사이버공격의 원인인 보안약점을 소프트웨어 개발단계에서 사전에 제거하여 안전한 소프트웨어를 개발하는 소프트웨어 개발기법을 의미하는 것으로, 행안부는 이번 무료 이전과 함께 국내에서 사용 중인 SW 개발보안 진단도구가 SW 보안약점 기준에 명시된 43개 보안약점을 정확하게 진단하는지 확인하는 시범검증 작업도 추진하기로 했다.

이를 위해 행정안전부는 SW 개발보안에 관심이 높은 국내 개발업체·대학 등이 적극적으로 기술이전을 받을 수 있도록 ‘SW 개발보안 진단도구 기술이전 및 시범검증 설명회’를 29일 한국인터넷진흥원에서 개최했다.

이번에 민간에 이전하는 기술은 Java 등 전자정부서비스에서 주로 사용하는 개발언어의 SW 보안약점을 진단하는 진단규칙(Rule)과 진단도구의 정확성을 확인할 수 있는 검증용 소스코드 등이다.

또한, 시범검증은 SW 개발보안 진단도구가 43개 보안약점을 모두 찾아내는지 확인하고 진단 결과가 정확한지 검증하는 것으로, 진단도구 개발업체의 신청을 받아 진행할 예정이다.

이와 관련 장광수 행정안전부 정보화전략실장은 “그 동안 정부에서 개발한 SW 개발보안 진단도구를 민간에 기술 이전하고 상용 진단도구에 대한 시범검증을 통해 국내 SW 개발보안 기술 수준이 향상될 것으로 기대한다”며, “올해 12월로 예정된 SW 개발보안 제도 의무화를 앞두고 SW 개발보안 제도에 대한 관련기관·업계의 관심과 준비에 기여할 것으로 생각한다”고 밝혔다.

한편, SW 개발보안 진단도구 기술이전 및 시범검증에 대한 신청방법 등 자세한 사항은 한국인터넷진흥원 홈페이지(www.kisa.or.kr) 또는 공공소프트웨어보호팀으로 문의하면 된다.

참고로 정보시스템 구축 및 운영 지침 개정안에 포함된 43개 보안약점은 다음과 같다.

1. 입력데이터 검증 및 표현 : 프로그램 입력값에 대한 검증 누락 또는 부적절한 검증, 데이터의 잘못된 형식지정으로 인해 발생할 수 있는 보안약점

번호	보안약점	설 명
1	SQL 삽입	사용자의 입력값 등 외부 입력값이 SQL 쿼리에 삽입되어 공격자가 쿼리를 조작해 공격할 수 있는 보안약점
2	자원 삽입	외부 입력값에 대한 검증이 없거나 혹은 잘못된 검증을 거쳐서 시스템 자원에 접근하는 경로 등의 정보로 이용될 때 발생하는 보안약점
3	크로스사이트스크립트	검증되지 않은 외부 입력값에 의해 브라우저에서 악의적인 코드가 실행되는 보안약점
4	운영체제 명령어 삽입	운영체제 명령어를 구성하는 외부 입력값이 적절한 필터링을 거치지 않고 쓰여져서 공격자가 운영체제 명령어를 조작할 수 있는 보안약점
5	위험한 형식 파일 업로드	파일의 확장자 등 파일형식에 대한 검증없이 업로드를 허용하여 발생하는 보안약점
6	신뢰되지 않는 URL 주소로 자동 접속 연결	사용자의 입력값 등 외부 입력값이 링크 표현에 사용되고, 이 링크를 이용하여 악의적인 사이트로 리다이렉트(redirect)되는 보안약점
7	XQuery 삽입	사용자의 입력값 등 외부 입력값이 XQuery 표현에 삽입되어 악의적인 쿼리가 실행되는 보안약점
8	XPath 삽입	사용자의 입력값 등 외부 입력값이 XPath 표현에 삽입되어 악의적인 쿼리가 실행되는 보안약점
9	LDAP 삽입	검증되지 않은 입력값을 사용해서 동적으로 생성된 LDAP문에 의해 악의적인 LDAP 명령이 실행되는 보안약점
10	크로스사이트 요청 위조	검증되지 않은 외부 입력값에 의해 브라우저에서 악의적인 코드가 실행되어 공격자가 원하는 요청(Request)이 다른 사용자(관리자 등)의 권한으로 서버로 전송되는 보안약점
11	디렉토리 경로 조작	지정된 경로 밖의 파일시스템 경로에 접근하게 되는 보안약점
12	HTTP 응답분할	사용자의 입력값 등 외부 입력값이 HTTP 응답헤더에 삽입되어 악의적인 코드가 실행되는 보안약점
13	정수 오버플로우	정수를 사용한 연산의 결과가 정수값의 범위를 넘어서는 경우 프로그램이 예기치 않은 동작될 수 있는 보안약점
14	보호메커니즘을 우회할 수 있는 입력값 변조	사용자에 의해 변경될 수 있는 값을 사용하여 보안결정(인증/인가/권한부여 등)을 수행하여 보안 메커니즘이 우회될 수 있는 보안약점

2. 보안기능 : 보안기능(인증, 접근제어, 기밀성, 암호화, 권한 관리 등)을 적절하지 않게 구현시 발생할 수 있는 보안약점

번호	보안약점	설 명
1	적절한 인증 없는 중요기능 허용	적절한 인증없이 중요정보(계좌이체 정보, 개인정보 등)를 열람(또는 변경)할 수 있게 하는 보안약점
2	부적절한 인가	적절한 접근제어 없이 외부 입력값을 포함한 문자열로 서버자원에 접근(혹은 서버 실행 인가)을 할 수 있게 하는 보안약점
3	중요한 자원에 대한 잘못된 권한설정	중요자원(프로그램 설정, 민감한 사용자 데이터 등)에 대한 적절한 접근권한을 부여하지 않아, 의도하지 않는 사용자에 의해 중요정보가 노출?수정되는 보안약점
4	취약한 암호화 알고리즘 사용	중요정보(패스워드, 개인정보 등)의 기밀성을 보장할 수 없는 취약한 암호화 알고리즘을 사용하여 정보가 노출될 수 있는 보안약점
5	사용자 중요정보 평문 저장(또는 전송)	중요정보(패스워드, 개인정보 등) 저장(또는 전송)시 암호화 하지 않아 공격자에게 누출될 수 있는 보안약점
6	하드코드된 패스워드	소스코드내에 비밀번호를 하드코딩함에 따라 관리자 비밀번호가 노출되거나, 주기적 변경 등 수정(관리자 변경 등)이 용이하지 않는 보안약점
7	충분하지 않은 키 길이 사용	데이터의 기밀성, 무결성 보장을 위해 사용되는 키의 길이가 충분하지 않아 기밀정보 누출, 무결성이 깨지는 보안약점
8	적절하지 않은 난수 값 사용	예측 가능한 난수사용으로 공격자로 하여금 다음 숫자 등을 예상하여 시스템 공격이 가능한 보안약점
9	패스워드 평문 저장	기밀정보인 비밀번호를 암호화하지 않아 노출될 수 있는 보안약점
10	하드코드된 암호화 키	소스코드내에 암호화키를 하드코딩 하는 경우, 향후 노출될 수 있으며, 키 변경 등 수정이 용이하지 않는 보안약점
11	취약한 패스워드 허용	비밀번호 조합규칙(영문, 숫자, 특수문자 등) 및 길이가 충분하지 않아 노출될 수 있는 보안약점
12	사용자 하드디스크에 저장되는 쿠키를 통한 정보노출	쿠키(세션 ID, 사용자 권한정보 등 중요정보)를 사용자 하드디스크에 저장함으로써 개인정보 등 기밀정보가 노출될 수 있는 보안약점
13	보안속성 미적용으로 인한 쿠키 노출	쿠키에 보안속성을 적용하지 않을 경우, 쿠키에 저장된 중요데이터가 공격자에 노출될 수 있는 보안약점
14	주석문 안에 포함된 패스워드 등 시스템 주요정보	소스코드내의 주석문에 비밀번호가 하드코딩되어 비밀번호가 노출될 수 있는 보안약점
15	솔트 없이 일방향 해쉬 함수 사용	공격자가 솔트없이 생성된 해쉬값을 얻게 된 경우, 미리 계산된 레인보우 테이블을 이용하여 원문을 찾을 수 있는 보안약점
16	무결성 검사없는 코드 다운로드	원격으로부터 소스 코드 또는 실행파일을 무결성 검사없이 다운로드 받고 이를 실행하는 경우 공격자가 악의적인 코드를 실행 할 수 있는 보안약점

3. 시간 및 상태 : 동시 또는 거의 동시 수행을 지원하는 병렬 시스템, 하나 이상의 프로세스가 동작되는 환경에서 시간 및 상태를 부적절하게 관리하여 발생할 수 있는 보안약점

번호	보안약점	설 명
1	경쟁조건: 검사시점과 사용시점(TOCTOU)	멀티 프로세스 상에서 자원을 검사하는 시점과 사용하는 시점이 달라서 발생하는 보안약점
2	제어문을 사용하지 않는 재귀함수	적절한 제어문 사용이 없는 재귀함수에서 무한재귀가 발생하는 보안약점

4. 에러처리 : 에러를 처리하지 않거나, 불충분하게 처리하여 에러정보에 중요정보(시스템 등)가 포함될 때 발생할 수 있는 보안약점

번호	보안약점	설 명
1	오류메시지통한 정보노출	개발시 활용을 위한 오류정보의 출력메시지를 배포될 버전의 SW에 포함시킬 때 발생하는 보안약점
2	오류상황 대응 부재	시스템에서 발생하는 오류상황을 처리하지 않아 프로그램 다운 등 의도하지 않은 상황이 발생할 수 있는 보안약점
3	적절하지않은 예외처리	예외에 대한 부적절한 처리로 인해 의도하지 않은 상황이 발생될 수 있는 보안약점

5. 코드오류 : 타입변환 오류, 자원(메모리 등)의 부적절한 반환 등과 같이 개발자가 범할 수 있는 코딩오류로 인해 유발되는 보안약점

번호	보안약점	설 명
1	널(Null) 포인터 역참조	Null로 설정된 변수의 주소값을 참조했을 때 발생하는 보안약점
2	부적절한 자원 해제	사용된 자원을 적절히 해제 하지 않으면 자원의 누수 등이 발생하고, 자원이 모자라 새로운 입력에 처리 못하게 되는 보안약점

6. 캡슐화 : 중요한 데이터 또는 기능성을 불충분하게 캡슐화 하였을 때 인가되지 않은 사용자에게 데이터 누출이 가능해지는 보안약점

번호	보안약점	설 명
1	잘못된 세션에 의한 데이터 정보 노출	잘못된 세션에 의해 권한 없는 사용자에게 데이터 노출이 일어날 수 있는 보안약점
2	제거되지 않고 남은 디버그 코드	디버깅을 위해 작성된 코드를 통해 권한 없는 사용자 인증우회(또는 중요중보)접근이 가능해지는 보안약점
3	시스템 데이터 정보노출	사용자가 볼 수 있는 오류 메시지나 스택 정보에 시스템 내부 데이터나 디버깅 관련 정보가 공개되는 보안약점
4	Public 메소드부터 반환된 Private 배열	private로 선언된 배열을 public으로 선언된 메소드를 통해 반환(return)하면, 그 배열의 레퍼런스가 외부에 공개되어 외부에서 배열의 수정될 수 있는 보안약점
5	Private 배열에 Public 데이터 할당	public으로 선언된 데이터 또는 메소드의 인자가 private 선언된 배열에 저장되면, private 배열을 외부에서 접근할 수 있게 되는 보안약점

7. API 오용 : 의도된 사용에 반하는 방법으로 API를 사용하거나, 보안에 취약한 API를 사용하여 발생할 수 있는 보안약점

번호	보안약점	설 명
1	DNS lookup에 의존한 보안결정	DNS는 공격자에 의해 DNS 스푸핑 공격 등이 가능함으로 보안결정을 DNS 이름에 의존할 경우, 보안결정 등이 노출되는 보안약점

[권 준 기자(editor@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)