정보보호대학원에서 배운 것들

안녕하세요.

시스템해킹을 공부하지 못해 잃어버렸던(?) 감각을 찾으려 최근 pwnable.xyz 문제들을 푸는 중인데 옛날 생각나고 재밌네요. 50점짜리 문제들은 30분정도 보면 다 푸는 것들이라 자신감도 생기구 ㅋㅋㅋ

 

여튼.. 제가 고려대학교 정보보호대학원의 연구실에서 배웠던 것들을 적어보려 합니다.

 

 

저는 연구실에서 생활하는 동안 불만이 너무 많았어요.

 

'대학원에 가면 심화된 보안 공부를 배울 수 있을 것이다', '해커들이 많은 연구실이니 해킹 관련한 연구도 많이 하겠지?'

 

..라는 제 생각과는 다르게 이것저것 다 하는 연구실처럼 느껴졌거든요. 제가 연구실 지원하기 전에 목표했던 건 해킹의 심화학습이었고 저희 연구실에 들어왔던 BoB 출신, 혹은 해킹에 관심있는 친구들은 대부분 저와 비슷한 목표를 가지고 지원했던 것 같습니다. 대학원에 대해 잘 알아보지 않았던 제 불찰이었죠. 대학원을 선택할 때는 먼저 1. 교수님의 연구성향을 파악하고, 그 다음으로 2. 연구실 내 분위기를 알아보라는 선배님들의 조언이 새삼 와닿았습니다.

 

하지만, 연구실 생활을 마친 후 저의 결론은 '대학원 가기 정말 잘했다. 아니, 김승주 교수님 연구실에 들어간 것에 대해 후회하지 않고 많은 걸 배웠다' 입니다.

 

 

대학원에서는 아래 항목들을 배웠습니다.

 - 생각나는 대로 간편하게? 정리하기 위해 존대가 아닌 반말을 쓰겠습니다.

 - 포렌식, 컨설팅, 정책 외 다양한 보안 주제가 있지만, 저는 시스템해킹, 보안성 평가 관련한 내용을 중점적으로 다루겠습니다. 그러한 연구실에서 공부했으니까요!

 

1. 항상 공부할 때는 "왜?" 라는 의문을 가지자.

(1) 이거 진짜 중요하다.

 

2. 내가 연구하려는 주제가 정말 가치있는 걸까? 가치가 있다면, 그걸 어떻게 증명할건데? 에 대한 것.

 

3. '시스템해킹' 은 해킹 방법 중의 하나일 뿐, 자산의 취약점 식별(Identification), 점검(Penetration test or Security evaluation) 및 위험 관리(Risk Management) 등 전반적인 보안을 고려했을 때는 크게 중요한 요소는 아니다.

(1) 중요한 요소가 될 수도 있겠지만, 어디까지나 실현 가능한 크리티컬한 취약점이 발견되었을 경우이다.

 

4. 특정 연구를 제안하거나 내가 알고 있는 지식을 공유할 경우, 항상 타인의 관점에서 생각해야 한다. 

(1) 너가 연구를 제안했는데, 이게 실현 가능한거야? 그리고 타인의 관심을 끌만큼 가치 있는 연구인거야? 왜??

(2) 다른 사람들이 너의 프레젠테이션을 들었을 때, 100% 이해할 수 있는 내용일까? 너만 알고 있는 전문용어가 있을 수도 있고.. 너는 프레젠테이션 내용을 알고 있지만 다른 사람들은 그 내용을 모를 수도 있잖아. 그 분야의 전문가들이 아니기 때문이지. 최대한 쉽게 설명해야 해

 

5. 이것저것 이상한 거 다 하네.. 라고 생각했던 연구들은 현장의 최근 이슈되는 주제이다.

 (교수님 성향에 따라 다르겠지만 대부분 연구실은 이런 연구를 하지 않을까 싶다)

(1) 석사과정을 통해 보안의 넓은 지식을 얻을 수 있다는 건, 이 부분이 아닐까 싶다. 왜냐면 학부생 때는 대학교의 정해진 커리큘럼 내 기본 지식(운영체제, 네트워크, 코딩, 시스템 구조 외 여러가지)들만 학습하지만 그것은 정말 기본적으로 알아야 할 지식이고. 

 대학원에서는 기본 지식을 응용하여 최근 이슈되는 보안 연구들을 수행한다.(이 과정에서 구글신을 통해 수많은 검색을 해야하고 수많은 공부를 해야할테지..) 물론 회사가도 비슷한 연구를 할 수 있을지도 모르지. 그런데 1~4 항목에 대한 건 회사에서 가르쳐주지 않잖아?

 

6. 해킹공부를 할 때 암호학, 네트워크 보안은 별로 중요하지 않은 학문이라고 생각했지만, 실제 제품의 취약점을 분석해본 결과, 위 두 학문은 매우 중요하다.

(1) 시스템해킹 공부할 땐 wargame 및 CTF 대회문제를 통해 학습했다. 이 문제들은 암호나 네트워크와 연관된 것들보다는, 시스템해킹 테크닉을 물어보는 문제가 많이 나온다. 때문에 문제풀이를 하면서 암호, 네트워크에 대해 공부할 기회가 별로 없었고 크게 중요하지 않다고 생각했다. 하지만 다양한 제품의 취약점 분석을 해 본 결과, 보안에 있어서 암호, 네트워크 보안은 절대 빠질 수 없는 학문이라는 것을 깨달았다.

 시스템해킹을 수행하기 위해서는 한 가지 조건이 있다. '펌웨어 획득'

 이를 위해서 하드웨어 내 디버깅포트(대표적으로 UART, JTAG), 혹은 플래시메모리 덤프 과정이 필요한데, 요즘 출시되는 제품들의 대부분은 디버깅포트로 접근하기 힘들고(논리적으로 다 막아놨다) 플래시메모리 덤프는 대상 메모리에 대한 정보가 없으면 시도하기 힘들다.(물론 전문가들은 다르겠지만..난 플래시메모리 덤프 잘 못한다 ㅠ)

 펌웨어를 획득했다고 끝나냐? 아니다. 요즘 보안을 신경 쓴 펌웨어는 암호화가 되어있어 분석조차 하기 힘들다. 복호화를 위한 암호지식, 특정 키를 얻어야 가능하다.

그렇다면 네트워크로 접근하여 공격하는 방법 밖에 없는데, 대부분의 제품 취약점은 여기서 많이 나온다. 아마 2년 후면 이 부분조차 보완이 잘 되지 않을까 싶다.

(2) 고려대 정보보호대학원에서는 졸업에 필요한 필수과목 중 '정보보호이론' 이 있다. 암호학의 기본적인 지식들을 배우며, 이를 구체적으로 잘 알아야 시험에 통과할 수 있다. 반강제 암호학 공부를 할 수 있다.(후후훟...)

 

7. 학생보다 교수님이 더 열심히 공부하신다.. 우워

이건 여담인데, 아무리 연구실에 과제가 빗발쳐도 포기하지 않고 잘 할 수 있는 건 교수님 덕분이지 않나 싶다.(물론, 빗발치는 원인이 교수님이기도 하지만!!)

평소에 연구실 학생들보다 더 많은 논문 및 보안 기사를 읽으시며, 보안인터뷰가 끊이지 않는 멋진 교수님이시다.(덕분에 저도 인터뷰 많이 했습니다. ㅎㅎ..ㅠㅠㅠ) 때문에 어떤 것을 물어봐도 전부 다 알고 계시는 듯, 모두 대답해주신다.

교수님이 열심히 공부하시니 학생들도 본받아 포기하지 않고 공부한다.

 

 

위에 작성한 것들 외에도 더 배운 것들이 있겠지만, 일단 생각나는 건 이정도입니다. 보안학과 풀타임 석사 졸업을 했다면 1~5 항목은 대학원에서 필수적으로 배우는 부분이라 생각되구요. 정보보호대학원에 지원하시는 분들은 참고해주셨으면 좋겠습니다!

 

 

두서없는 긴 글 읽어주셔서 감사합니다. 

 

..

...

 

저희 연구실 관심있으신 분은 

https://sites.google.com/view/seceng/

Home

혹은

www.kimlab.net  

SANE Lab. @ Korea Univ.

으로 들어오셔서 연구주제 확인하세요~ 연구실 소개 동영상도 있어요~~

 

 

 

ps1. 아참. 제 블로그에 찾아오신 후, '취업할 때 도움 많이 됐어요!!', '시스템해킹을 어떻게 공부해야 할지 길이 보이네요.', '항상 친절한 답변 감사합니다' 라구 메일이 몇 개씩 오는데, 저도 너무 감사합니다. 방문해주신 후, 제 글을 다 읽어주셨다는거잖아요? ㅎㅎㅎ 

대학교 4학년 때 작성했던 글이라 내용이 깔끔하게 정리 안 되어 있는데, 이거 언제 다시 정리해야할 지 고민이 많네요.

 

ps2. 예전에 페북에다가 이젠 시스템해킹 기초도 모르는 것 같아 자괴감 든다.. 비스무리한 글을 썼었는데요. 절대 연구실 때문에 자괴감 드는 건 아니고, 제 주 분야라고 생각했던 것을 '지금 당장' 잘 못하게 되어 나 자신에 대해 약간 실망이다. 라는 느낌으로 쓴 거에요. 

지금은 제 주 분야를 다시 공부하는 중이고요.

주변에서 많이 물어보시길래 이 자리에서 말씀드립니다. (_ _)