보안은 라이브러리 호출 그 이상: 보안 기능이 코드에 존재하는 방식

민감한 데이터를 보호하거나 공격자의 악의적인 행동을 방지하는 기능을 구현하는 것은 소프트웨어 시스템의 보안과 무결성을 보장하는 데 중요합니다. 접근 제어(access control), 암호화(cryptography) 또는 기타 보안 기능을 올바르게 구현하는 것은 상당한 도메인 전문 지식, 신중한 설계, 그리고 이를 소프트웨어 시스템에 통합하기 위한 맞춤형 구현을 요구하므로 어렵습니다. 이전 연구들은 설문조사, 인터뷰, 실험을 통해 보안 인식(security awareness), 인식(perception), 관행(practices), 그리고 전문 지식을 철저히 연구해 왔습니다. 이들 연구는 보안 기능의 구현이 종종 보안 라이브러리 및 프레임워크에 의해 지원된다는 것을 보여주었지만, 개발자들이 보안 전문가가 아니며 이를 사용할 때 소프트웨어에 취약점을 도입하는 실수를 저지른다는 것도 보여주었습니다. 이러한 광범위한 보안 관행과 개발자 행동 지식에도 불구하고, 우리는 여전히 보안 기능이 전체 소프트웨어 시스템의 코드 수준에서 실제로 어떻게 나타나는지에 대한 포괄적인 이해가 부족합니다. 우리는 9개의 인기 있고 대규모 오픈 소스 Java 시스템에서 보안 기능을 마이닝 연구를 수행함으로써 이러한 격차를 해소하고자 합니다. 우리는 19,121개 파일에 걸쳐 2,127,761줄의 코드를 수동으로 검사하여, 우리의 분류 체계(taxonomy)에서 54개의 보안 기능에 해당하는 561개의 보안 기능을 구현하는 183,395줄을 식별하고 주석 처리했습니다. 우리는 크기, 분산도(scattering), 복잡성(tangling), 일반적인 구현 패턴, 그리고 내부 및 외부 기능 사용과 같은 식별된 보안 기능의 특성을 분석했습니다. 우리의 연구 결과는 보안 기능이 단순한 외부 라이브러리 호출 그 이상이라는 것을 보여줍니다. 접근 제어와 같은 보안 기능은 크기가 커지고, 전체 코드베이스에 분산되며, 서로 자주 얽히는(tangle) 경향이 있습니다. 외부 보안 라이브러리가 일반적으로 사용되지만, 이를 통합하기 위해서는 상당한 양의 코드가 필요합니다.