Figure 1. RSA 2017 엑스포 배지
세계 최대 보안 컨퍼런스인 RSA에 처음으로 참관했다. 뭐 배우러 온것은 아니고 세상이 어찌 돌아가는지 구경하는게 목적이라 엑스포만 참관했다. 그간 다녀본 게임 관련 쇼나 컨퍼런스랑은 다소 다른 분위기였다. 보안이라 그런지 대체로 거의 모든 사람이 정장을 입고 있다는데 적응이 되지 않았고, 보안이라 비주얼이 약해서 보는 재미가 별로 없었다. 대부분의 부스가 그럼에도 액티브하게 보이려고 노력을 했지만 한계가 있어 보였다. 말이 많이 필요했고, 부스도 대체로 수많은 텍스트로 꾸며진 경우가 많았다.
어쨌든 참관하면서 관심 있게 본 유사 분야 업체를 간단히 정리해 본다. 별로 없을 줄 알았는데 생각보다 없지는 않았다. 알리바바가 특히 의외였다. 마윈 회장이 자율 주행 자동차도 만든다고 얘기하는 걸 티비에서 본 적이 있었는데 정말 안 하는게 없는 것 같다.
GuardSquare 안드로이드에서 많이 사용되는 난독화 도구인 ProGuard, DexGuard의 제작사. DexGuard 플러그인으로 DexGuard NDK와 Secure Keyboard, Device Fingerprinting이 있다는 것을 새롭게 알게 됐다. 그리고 iOS 버전으로 새롭게 출시한 iXGuard가 있다는 것도. 부스에서 iXGuard를 그닥 홍보하고 있지는 않았다. 왤까?
AlibabaCloud Mobile Security 알리바바에서 클라우드를 하는 업체인 알리바바클라우드에서 모바일 보안 서비스도 제공하고 있는 것으로 보여진다. Alibaba JAQ Security Solution으로 불리는 것으로 애플리케이션 하드닝으로 표현하는 기술이 기존에 난독화 솔루션이 대체로 제공하는 기능으로 보여진다. 브로셔를 보면 SO, DEX 난독화 기능을 SO shelling, DEX shelling으로 표현한게 인상적. 껍데기를 씌우는거라 그렇게 표현한 것으로 추측된다. 인상적인 부분은 Java execution simulation 자바단의 코드를 덤프하는 것을 막기 위해서 별도의 환경에서 코드를 돌리는 기술을 말하는 것으로 보여졌다.
알리바바가 이런 것도 한다는게 다소 신기했다. 대기업들이 돈되는 건 다하는 세상인 것 같아 조금은 씁슬한 면도 없잖아 있었다. 불과 몇년만에 알리바바를 스타트업에서 대기업으로 표현하는 게 좀 웃기긴 하지만. 어쨌든 이제는 대기업이니…
ARXAN 기술적인 진화 보다는 시장을 분류해서 마케팅하는 방법이 인상적이었다. 게임을 위한 제품(for Gaming), 모바일 결제 및 뱅킹을 위한 제품 (for Mobile Payment & Banking), 헬스케어 장비를 위한 제품 (for Healthcare IoT), 자동차 장비를 위한 제품(for Automotive IoT)으로 나눠서 제품을 만들었다. 물론 근간이 되는 기술은 크게 다르지 않은 것으로 보여진다. 사실 자동차까지는 많이들 얘기하지만 의료 장비는 다소 의외였다. 보안이 필요 없는 분야가 있겠냐만은, 의료장비 레퍼런스가 있는지가 조금 궁금하긴 했다.
AllthatSoft 쉴딩 형태의 제품으로 보여지는 모바일 코드 보호 제품인 App Servo를 홍보하고 있었다. 제품의 기술적인 특이점은 흔히 스톨른 바이트(Stolen Bytes)라고 불리는 기법을 적용한 제품이라는 것. 원본 코드를 분리하고 특정 코드를 외부에 보관한 다음 필요한 시점에 동적 결합 또는 원격 실행을 하는 구조인 것으로 보여진다. 해당 회사는 그 기능을 Self-Randomization으로 소개하고 세부 주요 구현 기술로 CODE-SPLITTING, SELF-MODIFYING이라고 설명했다. 어쨌든 스톨른 바이트에 기반한 앱 보호 제품은 첨 본 것 같다.
적용 분야로 모바일 결제, 모바일 뱅킹, 자동차 공유, 모바일 게임을 들고 있다. 자동차 공유 서비스를 타게팅한 것도 다소 의외였다.
intertrust whiteCryption의 Code Protection 기능이 하드닝, 난독화 기능을 제공하는 것으로 보여진다. 대체로 브로셔에서 설명하는 개념은 ARXAN이랑 비슷한 것으로 보여졌다. 단지 ARXAN은 가드라고 부르고 intertrust는 체커라고 부르는 게 차이점인듯.
덧) 구경하는데 왜 이렇게 줄이 길지 하는 곳이 있었다. 뭐 나눠 주나보다 했는데 케빈 미트닉 옹께서 "The Art of Invisibility"라는 본인의 저서에 사인을 해주고 사진을 같이 찍어주는 행사를 하고 있었다. 첨에는 케빈 미트닉이 아닌 줄 알았다. 줄이 길고 피곤해서 사인북을 받지는 않았는데, 나중에 나와서 검색해보니 매년 오시는 것 같다.