UNIST는 컴퓨터공학과 위성일 교수팀의 웹 브라우저 보안 취약점 탐지 기술을 담은 논문이 ‘제35회 유즈닉스 시큐리티 심포지엄(USENIX Security Symposium)’에서 ‘인터넷 디펜스 프라이즈(Internet Defense Prize)’ 수상작으로 선정됐다고 17일 밝혔다.
인터넷 디펜스 프라이즈는 글로벌 빅테크 메타가 후원하는 상으로, 실제 인터넷 보안과 방어에 기여할 수 있는 연구를 발굴하기 위해 2014년 제정됐다. 올해는 전체 362편의 채택 논문 가운데 단 3편만 수상작으로 선정됐다.
국내 기관이 이 상을 받은 것은 이번이 처음이다.
유즈닉스 시큐리티는 미국 비영리 학술단체 유즈닉스 협회가 주최하는 컴퓨터 보안 분야의 세계적 권위 학회다. 올해는 3028편의 논문이 제출됐으며 이 가운데 362편만 채택돼 약 12%의 낮은 채택률을 기록했다.
위성일 교수, 김미정 교수, 정민기 연구원(제1저자), 김동규 연구원. 사진=UNIST
BUIzz는 사용자가 웹 브라우저를 이용하면서 발생하는 다양한 상호작용을 시뮬레이션해 보안정책이 제대로 작동하지 않는 취약점을 자동으로 찾아내는 기술이다. 링크를 새 탭이나 분할 화면으로 열거나, 링크를 주소창으로 끌어다 놓고 닫은 탭을 다시 여는 등의 상황을 분석한다.
브라우저의 이런 동작 과정에서 보안정책에 오류가 발생하면 외부 사이트로 전송돼서는 안 되는 로그인 쿠키가 유출되거나 차단돼야 할 악성 스크립트가 실행될 수 있다. 계정 정보 탈취나 키보드 입력값 유출, 방문 기록 조작, 웹사이트 변조 등으로 이어질 가능성도 있다.
연구팀은 BUIzz를 실제 크롬, 파이어폭스, 엣지 등 6개 주요 브라우저에 적용해 보안 버그 35건과 기능 오류 3건을 찾아냈다. 발견한 취약점은 해당 브라우저 업체에 신고했고, 지난해 총 1만4700달러(약 2100만원)의 포상금을 받았다.
위성일 교수와 논문의 제1저자인 정민기 석사과정생은 이 가운데 1000만원을 지난해 UNIST 컴퓨터공학과 발전기금으로 기부하기도 했다.
이번 수상으로 연구팀은 2만5000달러(약 3500만원)의 연구지원금도 받는다.
학술적 가치도 인정받았다. 연구의 참신성과 학계 파급력 등을 평가해 선정하는 ‘디스팅귀시드 페이퍼 어워드(Distinguished Paper Award)’에서도 우수 논문(runners-up)으로 뽑혔다.
정민기 석사과정생은 “기존 웹 브라우저 보안 연구가 주로 웹페이지 내부에서 발생하는 문제를 분석했다면, 이번 연구는 사용자가 탭을 열고 닫거나 링크를 다른 창으로 옮기는 등 실제 브라우저를 사용하는 과정에서 발생하는 보안 취약점을 찾아냈다는 점에서 좋은 평가를 받은 것 같다”고 말했다.
이번 연구 결과는 지난 12일부터 14일까지 미국 볼티모어에서 열린 제35회 유즈닉스 시큐리티 심포지엄에서 발표됐다.
위성일 교수는 “보안 연구의 가치는 논문에 머무르지 않고 현실의 문제를 해결하는 데 있다”며 “앞으로도 웹 브라우저와 인공지능에서 발생할 수 있는 보안·안전성 문제를 실질적으로 해결하는 연구를 이어가겠다”고 말했다.
이번 연구에는 김미정 UNIST 컴퓨터공학과 교수와 김동규 석박사통합과정생도 참여했다. 연구는 과학기술정보통신부 재원으로 한국연구재단 중견연구사업·우수신진연구사업, 정보통신기획평가원(IITP) 지역지능화혁신인재양성사업·취약점대응사업의 지원을 받아 수행됐다.
논문 제목은 ‘BUIzz: Finding Policy Enforcement Bugs via Interaction Simulation on the Browser User Interface’다.
