RUST 기반 암호라이브러리 취약성 검증 방법론: 오픈소스 도구와 상용 도구 비교 분석
RUST-Based Cryptographic Library Validation Methodologies: A Comparative Analysis of Open Source Tools and Codesonar
0
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
RUST는 최근 다양한 산업에서 활용되고 있으며, 특히 보안이 중요한 시스템 개발에 적합한 언어로 평가받고 있다. 미국 NSA는 2022년 5월 “Software Memory Safety Recommendations” 보고서에서 C/C++의 메모리 취약점을 지적하며 RUST 사용을 강력히 권장하였다. 이에 따라 RUST를 활용한 암호모듈 개발 및 국내 암호모듈 검증 제도(KCMVP) 검증 신청이 증가하고 있다. 본 연구는 RUST 기반 암호모듈이 KCMVP의 보안 요구사항(암호모듈 인터페이스, 중요보안매개변수 관리 등)을 충족하도록 안전성을 검증하는 새로운 방법론을 제안하기 위해 ANSSI 가이드라인을 기반으로 11개의 필수 점검 요구사항을 선정하고, 오픈소스 도구(Cargo Audit, MIRAI, Miri 등)와 상용 도구(Codesonar)를 활용해 다양한 암호라이브러리에 대한 정적 및 동적 분석 수행 사례 분석을 통해 제안한 검증 방법론의 유효성을 입증하고, RUST 기반 암호모듈의 안전성 검증을 위한 실무적 방안을 제시하고 검증 신뢰성 강화를 위한 추가 연구 방향을 제안한다.
Abstract
Rust has recently been adopted across a wide range of industries and is widely recognized as an ideal language for developing security-critical systems. In its May 2022 report, "Software Memory Safety Recommendations," the United States' National Security Agency (NSA) highlighted memory vulnerabilities in C/C++ and strongly recommended the use of Rust. Consequently, there has been a notable increase in the development of cryptographic modules using Rust and applications for validation under the Korean Cryptographic Module Validation Program (KCMVP). This study proposes a new methodology to verify the safety of RUST-based cryptographic modules to meet the security requirements of KCMVP (cryptographic module interfaces, sensitive security parameter management, etc). For this purpose, 11 check items are selected based on the ANSSI guidelines, and the validity of the proposed validation methodology is demonstrated through case analysis of static and dynamic analysis of various cryptographic libraries using open-source tools (Cargo-Audit, MIRAI, Miri, etc.) and commercial tools (Codesonar), and practical measures for safety validation of RUST-based cryptographic modules are proposed, and further research directions for enhancing verification reliability are suggested.