모바일 애플리케이션은 보안에 있어 지난 10년간 심각하게 손상되었습니다. 그것은 수십억 명의 사람들이 티켓 예약 및 은행업무 부터 게임, 정보 검색 및 공유에 이르기까지 모바일 애플리케이션에 그 어느 때보다 많이 의존하고 있기 때문입니다. 개발자들은 앱의 설계와 개발에 심혈을 기울이는 반면 보안 측면은 대부분 간과되었고, 이것은 주요한 정보의 유출과 공격으로 이어졌습니다. 

보안 침해 사고로 초래된 결과는 소비자뿐만 아니라 애초에 엄격한 보안 조치를 이행하지 않은 기업에도 매우 큰 영향을 미칩니다. 보안 조치는 완벽한 보호를 제공하지는 못하지만, 피해의 영향을 최소화하고 위험을 완화하여 막대한 재정적 손실로부터 기업을 보호합니다. 본 문서에서는 앱을 해킹하기 어려운 대상으로 만드는 매우 중요하고 강력한 보안 수단인 앱 하드닝에 대해 설명합니다.

애플리케이션 하드닝

애플리케이션 하드닝은 리버스 엔지니어링 및 변조로부터 앱을 보호하는 프로세스입니다. 애플리케이션 하드닝은 애플리케이션을 조작하는 데 필요한 요건을 늘려 수많은 사이버 공격을 차단합니다. 제로 트러스트 환경에서 앱의 원활한 작동을 위해 애플리케이션 하드닝을 구현하는 것은 매우 중요합니다. 

앱 하드닝은 애플리케이션이 정적 분석과 동적 분석 모두에 대한 면역력을 갖게 해줍니다. 정적 분석은 해커가 로컬 컴퓨터의 애플리케이션을 디컴파일하려고 시도하는 공격을 말합니다. 반면에 동적 공격은 디버거 도구를 사용하거나 후킹 프레임워크를 사용하여 앱을 조작합니다.

앱 하드닝의 이점

앱 하드닝은 안전한 모바일 환경 조성에 필수적입니다. 취약점 악용, IP 도난, 변조, 데이터 오남용, 악의적인 의도를 가진 사람의 리패키징으로부터 애플리케이션을 보호합니다.  애플리케이션 하드닝은 다음과 같은 이점을 제공합니다.

제로 트러스트 환경에서의 보호

앱 하드닝은 제로 트러스트 환경에서 앱이 원활하고 안전하게 작동하도록 도와줍니다. 오늘날 많은 조직이 BYOD 정책을 지원하고 있으며, 사용자가 통제할 수 없는 다양한 기기와 환경에서 애플리케이션 보안을 보장하기가 어려워졌습니다. 앱 하드닝은 애플리케이션이 덜 안전하고 알 수 없는 환경에서 실행되는 경우에도 보호를 보장합니다.

출처: Azion

리버스 엔지니어링 방지

리버스 엔지니어링은 IP 도용 및 리패키징으로 이어질 수 있습니다. 해커가 애플리케이션의 소스 코드를 추적하려고 할 때 앱 하드닝은 난독화 기술을 통해 코드를 해독하기 어렵게 합니다.

출처: Tech Target

변조에 대한 보호

변조는 10대 모바일 앱 보안 위협 중 하나입니다. 보호되지 않은 모바일 앱은 쉽게 변조되어 데이터 탈취를 일으킬 수 있습니다. 앱 하드닝은 무결성을 유지하고, 애플리케이션이 위협을 식별하고, 이에  대응하도록 트리거합니다. 앱 하드닝을 통해 앱이 보호되면 해커들은 내부 자산에 접근할 수 없습니다. 

앱 사용자의 모든 중요 정보 보호

중요한 데이터가 관련될 경우 엄격한 보안을 유지하는 것이 매우 중요합니다. 신용카드 번호와 기밀 정보를 저장하는 앱은 해커들의 주요 공격 대상입니다. 이러한 데이터가 노출되면 전체 소비자층의 개인정보가 위험에 처할 수 있습니다. 앱 하드닝은 데이터가 잘못된 사람의 손에 넘어가지 않도록 올바른 방향으로 가는 단계입니다.

재무적 손실로부터 기업 보호

단 한 번의 데이터 침해로 인해 소비자가 기업을 상대로 법적 소송을 제기하고, 그 결과에 따라서 기업은 벌금을 부과 받을 수 있습니다. 데이터 침해에 따른 손실 비용은 2021년에 미화 386만 달러에서 424만 달러로 증가했습니다. 앱 하드닝을 구현하면 기업은 막대한 손실로부터 보호받을 수 있습니다. 

기업 브랜드 이미지 및 평판 보호

보안에 대한 태만은 금전적인 결과뿐만 아니라, 브랜드 평판을 손상시킵니다. 소비자로부터 신뢰를 잃으면 기업이 어렵게 쌓아놓은 명성을 되찾는 데 오랜 시간이 걸릴 것입니다. 앱 하드닝과 같은 보안 모범 사례를 따르는 것은 업계에서 기업의 명성을 유지하는 데 도움이 되고 경쟁력도 제공합니다.

귀사의 앱은 앱 하드닝이 필요합니까?

애플리케이션 하드닝은 안전한 애플리케이션 개발에 있어 매우 중요합니다. 애플리케이션에 앱 하드닝이 필요한지 고민하고 있다면 의구심을 해소하는 데 도움이 되는 몇 가지를 소개합니다. 다음 질문에 답하면 앱 하드닝에 대해 더 명확하게 알 수 있습니다.

• 귀사의 애플리케이션은 사용자의 중요한 정보를 저장합니까?
• 귀사의 애플리케이션이 해킹 될 경우 조직을 위험에 빠뜨릴 수 있는 비즈니스에 대한 중요한 정보가 있습니까?
• 애플리케이션에서 암호 해독 키를 저장합니까?
• 애플리케이션이 제어 범위를 벗어난 많은 디바이스와 환경에서 실행됩니까?
• 귀사의 애플리케이션은 권한 있는 앱 기능 및 서비스에 대한 액세스를 제어하고 있습니까?

위의 질문 중 하나라도 ‘예’라고 대답한다면 앱 하드닝을 피해서는 안 됩니다. 오늘날 애플리케이션은 실행되는 디바이스와 환경에 대해 알 수 없기 때문에 보안을 보장하기 어렵습니다. 앱 하드닝은 손상된 환경에 도사리고 있는 위험으로부터 애플리케이션을 보호합니다. 위의 사항 외에도 고려해야 할 세 가지 중요한 사항이 있습니다.

• 데이터가 유출될 경우 수반되는 위험과 손상은 무엇인가?
• 악성 앱 복제의 경우 어떤 평판 리스크가 수반되는가?
• 애플리케이션 위협 모델링이 애플리케이션에 대한 다른 위험을 정확히 파악하고 있는가?

앱 보안에 소홀하면 그 피해는 돌이킬 수 없습니다. 앱 하드닝은 애플리케이션이 해킹 공격에 탄력적으로 대응하고 소비자 신뢰를 지키는 데 도움이 됩니다.

앱 하드닝의 유형

앱 하드닝의 유형은 패시브와 액티브로 나뉩니다. 패시브 앱 하드닝은 정적 분석으로부터 앱을 보호하기 위함이며, 액티브 하드닝은 동적 분석에 대한 보호를 제공하는 일련의 기술로 구성됩니다. 다음은 두 가지 형태에 대한 자세한 설명입니다. 

패시브 하드닝 

패시브 하드닝은 앱이 디컴파일되지 않도록 보호하는 메소드를 포함합니다. 디컴파일은 기계가 읽을 수 있는 코드를 사람이 읽을 수 있는 코드로 바꾸는 것을 말합니다. 패시브 하드닝은 해커가 코드를 이해하기 매우 어렵게 만드는 것이 목적입니다. 이 기술은 주로 난독화를 이용하며, 애플리케이션 동작을 변경하지 않습니다. 

액티브 하드닝

액티브 하드닝은 애플리케이션이 런타임 공격으로부터 스스로를 보호할 수 있음을 의미합니다. 해커들은 디버거와 에뮬레이터를 동적 분석의 수단으로 사용합니다. 액티브 하드닝은 동적 공격이 탐지될 경우 애플리케이션의 동작 및 응답을 런타임에 수정하는 데 사용됩니다.

애플리케이션 하드닝 메소드

데이터 난독화

데이터 난독화는 암호화 또는 토큰화를 사용하여 데이터를 난독화하는 앱 하드닝 메소드입니다. 이는 해커들이 읽을 수 없도록 데이터를 뒤섞는 방식입니다. 토큰화는 중요한 데이터를 토큰이라는 알고리즘적으로 생성된 숫자로 변환합니다. 해커들이 원본 데이터를 대체하는 데 사용된 토큰의 의미를 파악하지 못하면 원본 데이터를 재구성하는 것은 불가능합니다. 이 기술은 특히 뱅킹 앱을 차폐하는 데 유용합니다.

출처: CloudMask

코드 난독화

네이티브 코드 난독화는 코드 해독을 어렵게 만드는 것입니다. 전체 코드 또는 코드의 특정 부분이 암호화되므로 애플리케이션 공격을 시도하는 공격자는 이러한 코드를 이해할 수 없게 됩니다. 이 코드는 해커에게 무의미하게 보일 수 있지만 애플리케이션 기능에는 영향을 미치지 않습니다. 보조 프로세스 또는 자체 해독 기술을 사용하면 코드를 해독할 수 있습니다.

출처: Mehran Jodavi on ResearchGate

최대한 많은 데이터를 난독화하는 것이 좋습니다. 또한, 코드 난독화는 애플리케이션의 바이너리에 의미 없는 코드를 주입하는 것도 포함합니다. 이는 해커들을 속이는 데 도움이 될 수 있습니다. 변수 이름을 무의미한 레이블로 바꾸고 메타데이터를 제거하는 것은 중요한 난독화 기법 중 하나입니다. 

디버그 방지

디버거는 원래 시스템의 버그를 탐지하는 데 사용됩니다. 그러나 악성 행위자들은 디버거를 사용하여 애플리케이션의 작동 방식을 이해하고 리버스 엔지니어링합니다. 해커가 앱의 취약성을 이용하기 위해 디버거를 사용하는 것이 일반적입니다. 앱 하드닝는 애플리케이션이 디버거를 탐지할 수 있도록 만듭니다. 애플리케이션에 의한 디버거 차단을 용이하게 하기 위해 디버거 방지 코드가 삽입됩니다.

변조 방지

공격자가 애플리케이션을 복제하거나 복사하기 위해 무단 액세스 권한을 얻으려고 할 때 이를 변조라고 합니다. 변조 방지는 애플리케이션을 안전하게 보호하는 중요한 앱 하드닝 기술입니다. 변조 방지 메커니즘에는 무결성 검사가 포함됩니다. 공격자는 부정한 목적으로 애플리케이션을 복제하고 재배포합니다. 변조 방지는 디버깅 도구 및 계측 프레임워크를 탐지하는 동시에 애플리케이션을 PUF 변수 및 암호화 해시 또는 하드웨어 및 기타 암호화 기밀이 제공하는 식별자와 같은 식별 값에 바인딩할 수 있습니다. 

에뮬레이터 탐지

해커의 주된 목적은 애플리케이션의 기능을 파악하고 불법적인 목적으로 수정하는 것입니다. 해커는 에뮬레이터에서 애플리케이션을 실행하여 이 작업을 수행합니다. 에뮬레이터를 사용하면 해커가 통제된 환경 내에서 애플리케이션을 실행할 수 있습니다. 에뮬레이터는 원래 운영 체제의 기능을 복제합니다. 애플리케이션은 에뮬레이터에서 실행될 때 이를 감지하고 적절하게 대응할 수 있어야 합니다.

출처: EIZO

에뮬레이터는 파일 및 프로세스와 같은 일부 아티팩트를 남기며 이를 통해 애플리케이션에서 에뮬레이터의 존재 여부를 탐지할 수 있습니다. 애플리케이션에 에뮬레이터 탐지 기능이 있으면 프로세스, 레지스트리 키, CPU 명령 등에서 에뮬레이터의 존재를 감지할 수 있습니다. 

탈옥 탐지

탈옥은 보안이 손상된 iOS 기기를 말합니다. 기기를 탈옥한 경우 제조업체 또는 서비스 공급자가 사용하는 보안 통제 및 제한이 제거됩니다. 탈옥을 하면 해커가 애플리케이션 데이터와 키에 쉽게 액세스할 수 있습니다. 탈옥 보호는 디바이스 보안이 손상되었을 때 애플리케이션에 경고를 보내고 적절한 조치를 취할 수 있도록 하는 앱 하드닝 메소드입니다. 

Android 루팅 탐지

이것은 탈옥 탐지와 유사하지만 Android 기기에 적용됩니다. 여기서 해커는 Android 디바이스에 루트 액세스 권한을 얻어서, 이 디바이스에서 실행되는 애플리케이션에 큰 보안 위험을 초래합니다. 특정 프로세스, 사용자 지정 빌드, 패키지와 같은 알려진 값은 기기가 탈옥되거나 루팅된 경우에 흔히 볼 수 있습니다. 루팅 탐지 기술은 기기의 운영 체제에서 보안 침해를 적극적으로 탐지하여 애플리케이션 데이터가 오용되지 않도록 보장합니다. 

마무리하며

애플리케이션 하드닝은 앱의 IP를 보호하고 리패키징을 방지하기 위한 효과적인 조치이자 안전한 소프트웨어 개발 라이프사이클 프로세스를 구축하는 데 있어 중요한 구성 요소입니다. 위에서 언급한 기술을 사용하여 애플리케이션을 하드닝하지 않을 경우, 수익과 브랜드 평판에 피해를 입힐 수 있는 수많은 기회를 해커에게 열어주는 것이 되어 버립니다. 애플리케이션 하드닝이 다른 방어 메커니즘 및 보안 제어와 함께 구현된다면 애플리케이션이 다양한 의심스러운 활동으로부터 스스로를 방어할 수 있게 됩니다.

공격 벡터의 비활성화를 용이하게 하는 계층화된 방어 전략을 통해 애플리케이션의 자체적 보안성을 높이십시오. 계층화된 앱 보안 접근 방식의 애플리케이션 하드닝에는 런타임 보호, 강력한 인증, 여러 공격 시나리오로부터 방어하기 위한 기타 기술이 포함됩니다. 이러한 기술은 공격 위협을 완전히 제거하지는 못하지만(그 어떤 것도 완전한 제거는 불가능 함), 보안 보호막을 무너뜨리려는 사이버 범죄자의 시도를 더 어렵게 만듭니다.

앱실링(AppSealing)은 Android, iOS, 하이브리드 애플리케이션을 위한 차세대 보안 솔루션을 제공합니다. 제로 코딩을 통해 애플리케이션에 확장성을 갖춘 보안 기능을 추가하고 알려진 위협과 알려지지 않은 위협으로부터 애플리케이션을 보호하십시오. 합리적인 비용으로 강력한 보안 기능을 제공하는 이 솔루션은 영화 앱, 게임, 핀테크, 전자상거래 등을 위한 런타임 보안을 제공합니다. 연간 1억 5천만 개 이상의 해킹 벡터를 차단하는 앱실링은 개발자가 정보에 입각한 결정을 내릴 수 있도록 실시간 위협 분석 기능을 제공합니다. 당사 팀에 문의하여 업계 보안 표준을 완벽하게 준수하십시오.