난수 및 해시함수를 이용한 자바스크립트 난독화 방안 연구 (A Research of JavaScript Obfuscation Using Random Numbers and Hash Function)

서지정보

· 발행기관 : 아이씨티플랫폼학회
· 수록지 정보 : Journal of Platform Technology / 7권 / 4호 / 49 ~ 56페이지
· 저자명 : 김영호, 최동식, 여상수

초록

월드와이드웹은 지금 이 시대의 모든 인터넷 자원을 표현하는 기반으로 활용되고 있다. 이러한시대적 요구에 따라 웹 서버와 웹 기술은 지속적으로 발전하고 있다. 웹 서비스는 서버 측과클라이언트 측으로 나누어져서 각각의 영역에서 많은 기술 개발이 이루어지고 있다. 서버 측에서실행되는 코드들은 서버 내에서 실행된 후 그 결과만 전송되기 때문에, 코드보호가 상대적으로 쉬운반면, 클라이언트 측에서 실행되는 코드들은 클라이언트 웹 브라우저에서 실행되어야 하기 때문에코드 자체가 클라이언트로 넘어가야 하는 특수한 상황이다. 그럼에도 불구하고, 클라이언트 측에대한 보안 방안에 대한 연구개발은 많이 이루어지지 않았다. 본 논문에서는 웹 클라이언트 측 보안강화를 위해 자바스크립트 코드를 난독화하는 방안에 대한 연구를 진행하였다. 기존의 난독화기법은 정적이며 역공학을 통해 분석해 내거나 역함수를 만들어내는 것이 상대적으로 쉬웠다. 본논문에서 제안하는 난독화 기법은 소스 코드의 복잡도를 높이기 위해 프로그램 로직을 일부변경하는 것과 난수와 해시 함수를 사용하여 난독화를 주기적으로 실행하게 된다. 이를 통해서로직 분석을 어렵게 하고, 역공학 과정을 상대적으로 어렵게 만든다. 결국 제안한 난독화 기법은공격에 들어가는 비용과 시간을 증가시킬 수 있으며, 역함수 프로그램을 만들기 어렵게 할 수 있다.

영어초록

The World Wide Web is now used as the foundation for all the Internet resources of this era. Inresponse to the demands of the times, Web servers and Web technologies have been continuouslydeveloping. Actually, Web services are divided into server side and client side, and many technologiesare developed in each area. Code protection on the server side is relatively easy because the codes areexecuted on the server side, and only the result HTML codes are transmitted to the client side. On theother hand, the codes on the client side have to be executed on the web browser at the client side. Thisis not a common situation in terms of security. Nevertheless, much research and development onsecurity measures on the client side has not been carried out until now. This paper investigated how toobfuscate JavaScript codes to enhance the client-side security. The existing obfuscation techniques arealmost static and relatively easy to analyze through reverse engineering, and also easy to produce inverse function codes. This paper proposes a novel obfuscation scheme, which periodically changesthe program logic to increase the complexity of the source codes and periodically executes theobfuscation process using random numbers and hash functions. This makes logic analysis moredifficult and makes the reverse engineering process more difficult than the existing schemes. As aresult, the proposed obfuscation scheme can increase the cost and time of attack, and make it difficultto make an inverse function program.

참고자료

· 없음