2017 제 1회 Samsung Security Tech Forum (SSTF) 후기

2017년 8월 21일, 삼성전자 서울 R&D 캠퍼스에서 열린
제 1회 SSTF (삼성 시큐리티 테크 포럼)에 다녀왔습니다!!

사실 보안에 대해서는
평소에 관심이 있었던 것도 아니고
아는거라곤 하나도 없었어요

갓 C언어를 배워가던 1학년 때 보안 동아리에 들어갔다가
리버싱, 스테가노그래피 등을 접하고 바로 도망쳤던 지라...

제 머릿속에서 보안이란
추상적이고 어려운 영역일 뿐이었어요

하지만 당장 2학년 2학기에 정보보호 융합전공을 선택할 기회가 있고
나의 진로 중 하나가 될 수도 있는 보안을
잘 모른다는 이유로 기피하고 싶지 않았기에

한번 제대로 부딛혀보고 알아보자!
라는 생각으로 codeground에서 지원하고 참석하게 되었습니다.

우면산역에서 셔틀 버스를 타고 삼성 R&D캠퍼스에 도착!!

포럼 진행 도중에 SCTF 시상도 있었는데... 다들 피곤해 보였어요

본선 24시간동안 쉬지않고 경쟁했으니 그럴 법도...

이름표도 받았고요

포럼의 스케줄 표 입니다 (출처 : https://www.codeground.org/sstf)

카네기 멜런 대학 Virgil Gligor 교수님

Root Of Trust Establishment에 대해 설명해 주셨어요

내맘대로 골라 먹을 수 있던 지하 식당!!

맛은 엄청 맛잇었다...라고는 할 수 있을 지 모르겠지만

다양한 메뉴 중 원하는 걸로 골라 먹을 수 있고 깨끗해서 좋았어요

무엇보다 수원에 있던 삼성 첨단기술 연수소 밥 보다는 훨씬 좋았던...ㅎㅎ

모든 연사님들의 강연이 끝난 후 패널 토의 시간!!

연사님들이 '4차 산업혁명과 보안'이라는 주제에 대해서 서로의 의견을 나누었고

청중들의 질문에도 답변해 주시면서 대화의 시간을 가졌어요

솔직히 교수님들의 학술적인 강연들은 저에겐 어려웠어요

보안에 문외한인 데다...

아직 2학년이라 학교에서 배운 전공도 몇 개 없어

OS나 시스템, 컴퓨터 구조에 대한 기초적인 배경 지식이 부족하기 때문이겠죠

하지만  '아는 만큼 보인다'고,

안드로이드의 취약점이나 보안 이슈들에 대한 부분들은

직접 개발을 하거나 들어봤거나 개념적으로는 알고 있는 내용들이 많아

확실히 이해하기 쉬었어요.

안드로이드라도 배워 놓길 잘했네요ㅎㅎ

양정규 대표님의 '모바일 해킹 트랜드'에 대한 강연은

리눅스 기반인 안드로이드의 특성에 따른 커널의 취약성과

Android Settings의 pending intent의 취약점을 통한 권한 탈취

(지난 고카톤에서 permission과 싸우느라 이쪽에 대해 공부를 좀 해서 와닿았어요ㅎㅎ)

등을 너무 어렵지 않게 설명해 주셔서 좋았고요

손수엘 교수님은 '웹뷰를 통한 공격'에 대해 설명해 주셨는데

기본적으로 웹뷰는 웹서핑만을 위해 만들어진 웹브라우저에 비해

보안성이 취약 하다고 해요.

웹뷰에 얹힌 AD를 이용해서

웹브라우저를 통해 storage에 저장 해 두었던 자료들, 

심지어 캐시 들에도 접근할 수 있다고 합니다.

이후 패널 토의에서 김형식 교수님이

자신의 연구실에 들어온 보안을 전혀 모르던

안드로이드만 개발 해오던 학생이

웹뷰 개발 경험과 대부분 개발자들의 웹뷰 개발 방식에 대한 확신만을 바탕으로

그 취약점을 공략해 많은 웹뷰 기반 앱들을 뚫었다고 하셔서

웹뷰의 취약성에 더욱 공감하게 되었네요

웹뷰를 이용한 하이브리드 앱을 개발 해 보고 싶었는데

보안에 더욱 주의해야 겠다는 것을 느꼈어요.

가장 많이 회자된 이슈는 '하드웨어 보안'이었고

요새는 이쪽 연구가 많이 흥한것 같아요

컴퓨터 구조를 배웠으면 더 많이 이해할 수 있었을 텐데 아쉬웠어요

인상 깊었던 부분들을 정리하자면

'보안은 기업의 입장에서 매우 중요한 부분이다

정보 유출은 기업에 큰 피해를 가져오기 때문이다'

- 정보 보안 전문가가 기업에서 대우를 받을 수 있는 직접적인 이유 아닐까요

'자율 주행 자동차는 살인 청부업자가 될 수도 있다'

- 해킹되면 실제로 이런 일이 일어날 수도 있을 것 같아요

  항상 신기술이 등장하면 그에 걸맞는 보안 이슈가 생기고,

  특히 자율 주행 분야는 보안이 완벽해야 안심하고 탈 수 있을 것 같아요

  기술의 발전이 있는 한, 보안 분야는 블루오션일 수밖에 없죠

'커널 취약점 등의 복잡한 분야에 대한 연구도 좋지만,

실제 정보 유출이 발생하는 이유는 앱, 웹 개발자들의

보안에 대한 무지로 인한 보안 취약점 때문에 발생하는 경우가 많다

이들이 정보 보호 기술을

 자신의 앱에 손쉽게 도입할 수 있도록 하는 방법들을 연구해야 한다.'

- 저같은 초보 개발자들을 겨냥한 말이겠죠ㅎㅎ

  이런 이유 때문에 보안은 꼭 정보보호 전문가가 아니라

  모든 개발자들이 어느정도 알고 있어야 하는 부분인 것 같아요

  앞으로 꼭 정보보호 전문가가 되기 위한 것이 아니더라도

  보안에 대한 공부는 계속 하기로 결심하게 된 계기가 되었어요

그리고 무엇보다 저에게 가장 인상 깊었던 분은

성균관대 김형식 교수님 이었어요

해커보다 사용자 관점에서

퍼미션 경고, 

인증서 경고등의 경고 메세지의 형태가 실제 정보 유출에 미치는 영향에 대해

이야기 해 주셨는데 실제로 크롬에서 메시지 UI가 바뀐 것 만으로

인증서가 검증되지 않은 페이지에 접속하는 비율이 훨씬 줄었다고 해요

해커의 프레임 안에서 깊숙한 곳만 보는 것이 아닌 사용자의 입장에서 바라보는 관점이

잠들어있던 저의 UX와 HCI에 대한 관심을 불러일으켰어요

다른 연사님들과 전혀 다른 관점에서 보안에 대해 접근하셨고

해외에는 많이 있지만 국내에는 이쪽을 연구하시는 분으로서는

본인이 거의 유일하다고 하시네요

누군가에겐 쉬운 부분이라 무시할 수 있지만

실질적으로 영향력은 가장 큰 부분 중 하나이지 않을까요?

컨택 해 보고 싶은 분이었어요ㅎㅎ

그리고 머신러닝의 인기가 그렇듯이

보안도 역시 연구 주제가 몇년 주기로 유행이 돌고 돈다고 하네요

유행이 아닌, 정말 내가 좋아하는 분야를 찾고 공부하고

언젠가 기회가 왔을 때 그 기회를 잡는 것이 중요한 것이라는 생각을 하게 되었습니다.

처음에는 '가봐야 얼마나 이해하겠어' 라는 생각에 망설였었지만

마지막에 상품도 받아서...정말 오기 잘 했다는 생각이 드는 포럼 이었습니다

내년에도 참가해야겠네요ㅎ