Blog - LINE ENGINEERING

TAG ARCHIVES: Security

사이드카 프록시로 구현한 서비스 인증
박찬우2022-12-30
2014년부터 LINE에서 글로벌 이벤트, 오픈챗 포스트, 코인 거래소, 블록체인 플랫폼, 커머스 서버 개발자로 일했고, 현재는 LINE VOOM 서버 개발자로 일하고 있습니다.
안녕하세요. LINE VOOM 서버 개발자 박찬우입니다. 최근 신규 프로젝트를 진행하면서 각 하부 모듈 인증을 공용화할 방법을 고민하게 됐습니다. 해당 프로젝트는 크게 두 가지, 세부적으로는 10개가 넘는 하부 모듈로 구성돼 있었는데요. 일부 모듈은 오픈소스를 활용했기 때문에 인증을 소스 코드 수준에서 일괄 적용하기 어려웠고, 유지 보수 비용도 과다하게 발생할 것으로 예상됐습니다. 고민 끝에 내린 결론은 사이드카 패턴을 이용한 인증 프록시를 별도로 개발해 적용하는 것이었습니다. 이번 글에서는 서비스 인증을 사이드카 프록시(Sidecar proxy)로 구현한 사례를 공유하려고 합니다. 이 글이 프로젝트 유지 보수 비용을 절감할 수 있는 한 방편으로 활용되기를 바라며 글을 시작하겠습니다. 참고. 이번 글에서 말씀드리는 내용은 프로젝트가 쿠버네티스 환경에서 작동한다고 전제합니다. 사이드카 프록시란 먼저 사이드카 프록시가 무엇인지 살펴보겠습니다. 사이드카 패턴 사이드카 패턴
암호 알고리즘 AES-GCM-SIV 최적화 작업 소개
한주홍2022-11-17
Security R&D 팀에서 보안 기술 연구 및 보안 컨설팅을 담당하고 있습니다.
안녕하세요. Security R&D 팀에서 보안 기술 연구 및 보안 컨설팅을 담당하고 있는 한주홍입니다. 세상에는 다양한 보안 기술이 있습니다. 그중에서 암호 알고리즘은 데이터 보안을 위해서 꼭 필요한 기술입니다. LINE에서도 중요한 데이터를 보호하기 위해 여러 암호 알고리즘을 적용해 서비스를 제공하고 있으며, 저희 팀에서는 보안을 잘 모르는 다른 LINE 개발자분들도 쉽고 편하게 사용할 수 있도록 여러 암호 알고리즘을 라이브러리로 만들어 제공하고 있습니다. AES-GCM-SIV도 그중 하나입니다. 최근에는 Tink와 BoringSSL 등 여러 라이브러리에서 AES-GCM-SIV를 제공하고 있지만, 저희 팀에서 처음 도입할 때에는 이런 라이브러리가 없었기 때문에 직접 구현해야 했습니다. 이에 당시 저희 팀원분들께서 C 언어로 코드를 작성해서 이를 JAVA와 Android, Go와 같은 다양한 환경으로 포팅해 다른 팀에서 편하게 사용할 수 있도록 제공했고, 현재 LINE 클
- Security
SMARTIAN: 데이터 흐름 분석을 활용한 스마트 컨트랙트 퍼징
김도연2022-08-05
Security R&D 팀에서 보안 연구 및 보안 컨설팅을 담당하고 있습니다.
LINE DEVELOPER DAY 2021에서 김도연 님이 발표하신 SMARTIAN: 데이터 흐름 분석을 활용한 스마트 컨트랙트 퍼징 세션 내용을 옮긴 글입니다. 안녕하세요. 2021년 1월에 LINE에 입사해 Security R&D 팀에서 소프트웨어 보안 연구 및 보안 컨설팅을 담당하고 있는 김도연입니다. 이번 글에서 새로운 이더리움 스마트 컨트랙트 퍼징1(fuzzing) 툴인 SMARTIAN을 소개하려고 합니다. SMARTIAN은 데이터 흐름 분석을 이용한 스마트 컨트랙트 퍼저2(fuzzer)입니다. SMARTIAN은 제 석사 연구의 연장선이며, 연구 논문은 소프트웨어 엔지니어링 업계 최고 수준의 학회인 ASE 2021에 채택됐습니다. 글은 다음과 같은 순서로 진행합니다. 스마트 컨트랙트 보안의 중요성 스마트 컨트랙트에서 버그 감지가 어려운 이유 SMARTIAN 소개 SMARTIAN 성능 평가
- Security
iOS 코드 서명에 대해서
심민영2019-04-30
LINE에서 AIR ARMOR 개발을 담당하고 있습니다.
개요 안녕하세요. LINE에서 AIR ARMOR 개발을 담당하고 있는 심민영입니다. AIR ARMOR는 LINE GAME PLATFORM 중 하나인 AIR를 구성하는 보안 솔루션 중 하나입니다. 이전 포스팅, 'AIR GO에 안드로이드 9 APK 서명 scheme v3 적용하기'에서는 승훈 님이 Android의 서명 구조인 APK Signing에 대해 설명드렸는데요. 저는 이번 포스팅에서 iOS의 보안 구조 중 하나인 '코드 서명'에 대해서 설명하려고 합니다. 코드 서명은 파일의 무결성을 검증하고 서명자(개발자)를 확인하는 역할을 합니다. Mach-O 형식의 iOS 바이너리 파일의 무결성을 검증하고 서명자를 확인하는 작업엔 뒤에서 설명할 'code signature 구조체'를 이용합니다. 그럼 우선 iOS 코드 서명이 무엇인지부터 먼저 말씀드리겠습니다. iOS 코드 서명 App
- iOS
- Security
- Client
2018년 LINE Security Bug Bounty Program 결과
k2wanko2019-02-21
LINE에서 취약점을 찾고 있습니다.
안녕하세요. LINE에서 보안 업무를 맡고 있는 Kazuhiro Kubota입니다. 이번 글에서는 2018년에 진행된 LINE Security Bug Bounty 프로그램의 결과를 공개하겠습니다. 2018년 Bug Bounty 프로그램 결과 공개 아래는 2018년에 Bug Bounty 프로그램으로 접수된 보고 건수를 주별로 집계한 그래프입니다. x축이 주(week)를, y축이 건수를 나타냅니다. 주별 보고 건수 2018년에 취약점으로 인정된 보고는 총 88건으로, 45건이었던 2017년과 비교하면 2배 가까이 늘었습니다. 보고 건수가 늘어난 데는 2017년에 심사 대상을 확대했다는 점도 영향을 주었겠지만, 프로그램이 널리 알려지면서 여러 취약점을 보고하는 분들이 늘어난 점이 더 큰 영향을 주었다고 생각합니다. 영업일로 환산하면 매일 1건 이상의 보고가 들어오고 매주 1건 이상이 취약점으로 인정된 셈입니다
- Security
- Bug Bounty
AIR GO에 안드로이드 9 APK 서명 scheme v3 적용하기
김승훈2019-01-28
안녕하세요 AIR GO에서 진단파트 개발 업무를 진행하는 김승훈입니다.
배경 안녕하세요. LINE에서 AIR GO를 개발하고 있는 김승훈입니다. AIR GO에 대해선 이전에 'AIR GO를 소개합니다'에서 먼저 말씀드렸는데요. 이번 블로그에서는 그에 이어 APK 서명에 관한 내용과 AIR GO 탐지 정보를 소개하고자 합니다. 최근 Google이 Android 9(Pie)에서 APK Signature Scheme v3을 소개했는데요. 이에 관련된 내용을 AIR GO에 적용하면서 개발자에게 도움이 될 만한 부분을 정리한 글입니다. APK 서명이란 APK 서명의 역할 APK 서명은 아래와 같은 역할을 수행합니다. APK 파일의 무결성을 검증합니다. 서명자(개발자)를 식별하는 지문 역할을 합니다. 추가적으로 Google Play 스토어에 업데이트할 때 사용합니다(같은 인증서로 서명한 APK만 업데이트 가능). APK 서명 종류(서명 scheme) 안드로이드에서는 아래 3종류의 서명 scheme이 존
AIR GO를 소개합니다
김태우2018-09-27
AIR GO 진단 파트의 개발업무를 담당하고 있습니다.
AIR GO 소개 안녕하세요. LINE에서 AIR GO를 개발하고 있는 김태우입니다. 이번 블로그에서는 AIR GO에 대해 말씀드리겠습니다. AIR GO는 Android와 iOS의 패키지 파일(APK 파일과 IPA 파일)을 스캔하여 취약점을 찾아주는 서비스입니다. 오프소스 툴인 SandDroid를 사용해보신 분이라면 어떤 서비스인지 쉽게 떠올릴 수 있을 것 같습니다. 최근 LINE에서는 앱을 배포하기 전에 AIR GO를 활용하여 취약점을 발견하고 통지함으로써 앱에 포함된 위험을 미리 제거하고 있습니다. 또한 AIR GO는 누구나 간단한 이메일 계정 등록만으로 사용 가능한 서비스입니다. 보안 서비스 'AIR'는 이미 한 번 소개된 적이 있는데요. 이번에는 엔지니어의 관점에서 AIR를 구성하는 도구 중 하나인 AIR GO에 대해서 소개드리려고 합니다. AIR GO 진단 서비스는 아래 두 가지 방식으로 이용할 수 있습니다. APK, IPA 파일 입력 방식: 패키징된 APK, IPA 파일
LINE Security Bug Bounty Program 2017년도 운영 결과
이명재2018-02-12
LINE에서 보안 업무를 맡고 있습니다.
안녕하세요, LINE에서 보안 업무를 맡고 있는 이명재(MJ)라고 합니다. 이번 글에서는 2017년(1월 1일～12월 31일) 동안 진행된 LINE Security Bug Bounty 프로그램을 뒤돌아보며, 여러분께 그 결과를 소개하려고 합니다. 대상 확대 및 기부 제도 'LINE Security Bug Bounty Program'은 LINE이 제공하는 서비스에 잠재적으로 존재하는 취약점에 대해 외부의 보안 전문가들로부터 보고를 받아, 가급적 빨리 문제점을 수정함으로써 더욱 안전한 서비스를 제공하는 것을 목적으로 하고 있습니다. 지난 기사에서 소개한 바 있습니다만, 2017년에는 프로그램 대상을 확대하여 더욱 많은 보고를 받을 수 있었습니다. 또한 11월부터는 포상 대상자가 보상금을 기부할 수 있는 옵션을 제공하기 시작했습니다. LINE Bug Security Bug Bounty Program 정보 2018년에 저희 프로그램에 참여해 보고 싶으신 분들은 다음의 페이지들을 확인해
- Security
- Bug Bounty
VoIP 오픈 소스 라이브러리인 PJSIP에서의 버퍼 오버플로우
김영성2018-01-25
LINE에서 보안 엔지니어로 일하고 있습니다. 버그를 찾는 것을 즐기고 시큐어 코딩에 대한 관심이 높습니다.
안녕하세요. 보안실(애플리케이션 보안팀)에서 LINE 서비스의 보안 평가를 담당하고 있는 김영성(Facebook, Twitter)입니다. 이번 포스팅에서는 VoIP 오픈 소스 라이브러리인 PJSIP의 취약점(CVE-2017-16872, AST-2017-009)에 대해 다루고자 합니다. PJSIP는 표준 프로토콜인 SIP, SDP, RTP, STUN, TURN 및 ICE를 구현한 멀티미디어 통신 라이브러리입니다. IP-PBX, VoIP 게이트웨이 등에서 널리 사용되는 Asterisk 프레임워크에서도 PJSIP 기반으로 SIP 스택을 구현했습니다. 이번에 발견한 취약점은 64-bit 환경에서 클라이언트로부터 받은 SIP 요청을 처리할 때, signed int형을 unsigned long 형으로 변환하는 과정 중에, 정수의 부호 확장을 고려하지 않은 것이 원인이며, 결과적으로 이 취약점은 버퍼 오버플로우를 발생시킬 수 있습니다. 취약점을 확인한 후 PJSIP 개발팀에 문의했지만 보안 이슈
2017년 상반기 LINE Security Bug Bounty Program 결과
이명재2017-08-06
LINE에서 보안 업무를 맡고 있습니다.
대상 확대에 대하여 안녕하세요. LINE에서 보안 업무를 맡고 있는 이명재(MJ)라고 합니다. 이번 블로그에서는 2017년 상반기(1월 1일～6월 30일) 동안의 LINE Security Bug Bounty Program을 뒤돌아보며, 여러분께 그 결과를 소개하려고 합니다. 이 프로그램은 LINE이 제공하는 서비스에 잠재적으로 존재하는 취약점에 대해 외부의 보안 리서처분들로부터 리포트를 받아 가능한 빨리 문제점을 수정함으로써 더욱 안전한 서비스를 제공하는 것을 목적으로 하고 있습니다. 또한 'LINE Security Bug Bounty Program'이라는 이름으로 상시운영을 개시(2016년 6월 2일)한 이후, LINE 서비스의 성장에 발맞추어 2017년 4월 10일부터 LINE의 Chrome 버전, Windows 10 Mobile 버전과, LINE STORE, LINE NEWS, LINE MUSIC, LINE LIVE의 각 Web 사이트까지 프로그램 대상을 확대 추가했습니다. h
- Security
- Bug Bounty

1 2