Insights
AI가 자동으로 큐레이션·번역·정리하는 기술 동향 피드입니다.
소프트웨어 시스템 내 암호화 자산을 탐지하고 평가하기 위한 새로운 정적 분석 접근 방식을 제안합니다. 암호 재료, 아티팩트, 호출로 분류된 규칙을 통해 CBOM(Cryptographic Bill of Materials) 생성을 지원하며, 실제 인프라 테스트에서 높은 정확도를 입증했습니다.
AI 자동 생성 콘텐츠
본 콘텐츠는 arXiv Codex (cs.SE)의 원문을 AI가 자동으로 요약·번역·분석한 것입니다. 원 저작권은 원저작자에게 있으며, 정확한 내용은 반드시 원문을 확인해 주세요.
원문 바로가기현대 소프트웨어 시스템은 데이터 보호, 인증 및 신뢰 구축을 위해 암호학 (Cryptography)에 의존하고 있지만, 조직들은 소스 코드, 설정, 종속성 및 암호화 파일 전반에 걸쳐 배포된 암호학에 대한 구조화된 시야가 부족한 경우가 많습니다. 이러한 가시성의 부족은 보안 거버넌스 및 양자 내성 암호 (Post-quantum) 전환 계획을 복잡하게 만듭니다. 본 논문은 소프트웨어 시스템 내의 암호화 자산을 탐지하고 평가하기 위한 정적 (Static) 접근 방식을 제시합니다. 우리는 암호 재료 (Crypto-Material), 암호 아티팩트 (Crypto-Artifacts), 그리고 암호 호출 (Crypto-Invocations)의 분류를 도입하고, 이를 통해 확장 가능한 스캐너 독립적 규칙 저장소를 도출하며, 이러한 규칙을 적용하여 CBOM (Cryptographic Bill of Materials) 지향적 출력을 생성하는 정적 스캐너를 구현합니다. 우리는 기지값 (Ground truth)이 알려진 합성 벤치마크와 10개의 배포된 서비스로 구성된 실제 인프라에서 이 접근 방식을 평가합니다. 이 스캐너는 자산 탐지에서 0.75의 F1 점수를 달성하였으며, 예상되는 약점 및 취약점의 91%를 정확하게 주석 처리했습니다. 실제 환경에서 이 스캐너는 6분 이내에 57,610개의 파일을 처리하였으며, 6개의 CVE 관련 취약점과 52개의 양자 내성 암호 전환 후보를 포함하여 370개의 암호화 자산을 발견했습니다. 실제 환경의 커버리지는 철저한 목록 대신 수동으로 작성된 참조 목록을 기준으로 평가되었습니다. 이러한 결과는 분류 기반의 정적 탐지가 거버넌스 및 양자 내성 암호 전환 계획을 위한 실질적인 암호학적 투명성을 제공할 수 있음을 보여줍니다.