다섯 가지라고 들었는데, 여섯가지인가?

1. 루팅 체크

2. 공인 인증

3. 위변조 확인

4. 백신 동작

5. 보안 키보드

6. 암호화 통신

위의 조건을 만족해야 금감원 등의 감사에서 지적이 없다. 또한 프로그램을 납품할 때에도 위 조건을 만족해야 하는데, 자체 개발 솔루션의 경우 인증이 없으면 인증 받은 제품을 쓰라고 강요를 받는다고 한다. 재검증이 번거롭기 때문에 이미 인증된 제품을 쓰면 검수하는 쪽에서 편하기 때문이다.

아무튼 제대로 검사한다기 보다는 서면상으로만 본다고 하니 직접 진단하는 나로서는 여러가지 생각이 든다. 가장 필요한 요건은 '위변조 방지'라고 보며, 제일 쓸데 없는 건 '백신'이라 생각한다. 루팅 체크는 쉽게 우회 하므로 역시 무의미 하고 보안 키보드도 암호화 통신이 안되면 전혀 쓸모 없는 기술이라 할 수 있다.

악성 앱으로 둔갑할 수 있고, 변형해서 다른 동작으로 이어질 수 있는 위변조가 가장 막아야할 요건이다.

* HTS 안정성 제고방안 주요 내용

 가. 기술적 대응 부문

  ① PC용 보안프로그램에 대한 최신 업데이트 지속 실시 

  ② PC용 보안프로그램 임의 해제시 HTS 이용 제한(키보드 보안, 방화벽/백신)

  ③ 이용자 PC에서의 고객정보보호 강화

  ④ 이용자 PC 메모리 해킹에 대한 대응(ProMDefence)

  ⑤ 신규 해킹기법에 대응한 HTS 프로그램 보호대책 강화

[HTS 체크리스트]

   

중분류	소분류	진단 시나리오	비고
PC용 보안프로그램 점검	최신업데이트	백신, 방화벽, 키보드보안 솔루션의 취약점을 확인하고 하위 버전 사용 체크 여부 확인	방안1
	고객정보보호 강화	고객 정보가 취약한 암호화 알고리즘으로 PC에 저장되거나, 변조 가능한지 확인	방안3
입력 값 검증	입력 값 검증	서버로 전송 되는 값을 변조하여 부당이득 가능성 확인	방안4
		사용자 입력 필드의 SQL 인젝션 가능성 확인
정보의 기밀성 및 무결성	중요정보 로컬 평문 저장 금지	프로그램 실행 파라미터 중요 정보 노출 확인
		특정 폴더에 사용자 정보 및 중요 정보 존재 확인	방안4
	역분석 방지	리버싱 가능성 확인
	메모리 보호	메모리의 중요정보 획득 가능성 확인	방안4
	송․수신 정보 보호	암호화 프로토콜 사용 여부 확인(https, 및 암호화된 데이터 소켓통신)	방안4
프로그램 무결성 검증	보안프로그램 구동	HTS 구동 시 실행되는 보안프로그램이 구동되지 않은 상태에서 HTS프로그램 구동 여부 확인	방안2
	프로그램 변조 여부 확인	프로그램 분석이 어렵게 되어있는지 여부와, 변조 여부를 검사하는지 여부 확인	방안5