KR101350390B1

KR101350390B1 - 코드 난독화 장치 및 그 방법

Info

Publication number: KR101350390B1
Application number: KR1020130096514A
Authority: KR
Inventors: 이정현; 정진혁
Original assignee: 숭실대학교산학협력단
Priority date: 2013-08-14
Filing date: 2013-08-14
Publication date: 2014-01-16
Anticipated expiration: 2033-08-14
Also published as: EP2897072A4; EP2897072A1; JP2016503541A; WO2015023023A1; JP5996809B2; US20150095656A1; US8984299B1; EP2897072B1

Abstract

본 발명은 코드 난독화 장치 및 그 방법에 관한 것이다. 본 발명의 코드 난독화 장치는 안드로이드 애플리케이션의 실행 코드를 입력받는 입력부; 상기 입력된 실행 코드를 분석하여 애플리케이션 위변조 공격으로부터 보호될 필요가 있는 중요 코드와 상기 중요 코드 이외의 일반 코드로 구분하는 코드 분석부; 상기 중요 코드를 C 코드로 변환시켜 네이티브 코드를 생성하는 코드 컨버터부; 상기 네이티브 코드 및 상기 일반 코드를 난독화하는 난독화부; 상기 난독화된 네이티브 코드에 위변조 탐지 코드를 추가하여 암호화한 뒤 로딩 루틴을 추가시켜 자가변환된 네이티브 코드를 생성하는 자기 코드 보호부; 및 상기 자가변환된 네이티브 코드와 상기 난독화된 일반 코드를 결합하는 코드 결합부를 포함한다.
이와 같이 본 발명에 따르면, 난독화 대상이 되는 애플리케이션의 중요 코드 부분을 CPU 명령어 집합으로 재구성하고 중요 코드를 관리되는 코드에서 네이티브 코드(Native Code)로 변환함으로써, 관리되는 코드의 역공학 취약성 중의 하나인 구조화된 코드 정보를 제거하여 상대적으로 역공학을 난해하게 만들어 역공학을 방지할 수 있다.
또한, 네이티브 코드로 변환된 중요 코드를 보호하기 위해서 자가변환 기반의 코드 보호 기법과 위변조 탐지 기술을 적용함으로써 역공학 분석에 대한 저항성을 향상시킨다.

Description

코드 난독화 장치 및 그 방법{A APPARATUS FOR CODE OBFUSCATION AND METHOD THEREOF}

본 발명은 코드 난독화 장치 및 그 방법에 관한 것으로서, 더욱 상세하게는 안드로이드 애플리케이션의 위변조 방지를 위한 자가변환 기반의 난독화 장치 및 그 방법에 관한 것이다.

기존의 난독화 장치 및 그 방법은, 자바 가상 머신에서 동작하는 애플리케이션을 대상으로 애플리케이션을 구성하는 코드 구조를 변경함으로써 난독화를 적용한다. 여기서 난독화가 적용된 애플리케이션은 난독화 적용 전과 동일하게 자바 가상 머신에서 동작하는 명령어 집합과 목적파일 구조로 구성된다.

하지만, 기존의 난독화 장치 또는 방법에 의하는 경우, 가상 머신에서 동작하는 관리되는 코드(Managed Code)가 가지는 역공학 취약성은 난독화 이후에도 동일하게 남아있게 되는 문제점이 있다.

관리되는 코드가 가지는 역공학 취약성은 다음과 같은데, 컴파일된 목적 코드에 클래스 명, 멤버 변수 명, 메소드 명 등 소소 코드 정보가 포함되며 코드가 명시적으로 구조화되어 있어서 역공학을 통해 특정 로직을 찾거나 분석하는 것이 용이하다.

안드로이드 애플리케이션도 상기 자바 머신에서 동작하는 애플리케이션과 비슷하게 달빅 가상머신(Dalvik Virtual Machine)에서 동작하는 관리되는 코드로 구성되며 DEX(Dalvik Executable) 파일 형식으로 저장된다. 따라서 안드로이드 애플리케이션은 동일한 관리되는 코드의 역공학 취약성이 존재한다.

본 발명의 배경이 되는 기술은 대한민국 등록특허공보 제10-1234591호(2013.2.19. 공고)에 기재되어 있다.

본 발명이 해결하고자 하는 과제는, 난독화 대상이 되는 애플리케이션의 중요 코드 부분을 CPU 명령어 집합으로 재구성하고 중요 코드를 관리되는 코드에서 네이티브 코드(Native Code)로 변환함으로써, 관리되는 코드의 역공학 취약성 중의 하나인 구조화된 코드 정보를 제거하여 상대적으로 역공학을 난해하게 만들어 역공학을 방지한다.

또한, 네이티브 코드로 변환된 중요 코드를 보호하기 위해서 자가변환 기반의 코드 보호 기법과 위변조 탐지 기술을 적용함으로써 역공학 분석에 대한 저항성을 향상시킨다.

상기한 바와 같은 목적을 달성하기 위한 본 발명의 하나의 실시예에 따른 코드 난독화 장치는, 안드로이드 애플리케이션의 실행 코드를 입력받는 입력부; 상기 입력된 실행 코드를 분석하여 애플리케이션 위변조 공격으로부터 보호될 필요가 있는 중요 코드와 상기 중요 코드 이외의 일반 코드로 구분하는 코드 분석부; 상기 중요 코드를 C 코드로 변환시켜 네이티브 코드를 생성하는 코드 컨버터부; 상기 네이티브 코드 및 상기 일반 코드를 난독화하는 난독화부; 상기 난독화된 네이티브 코드에 위변조 탐지 코드를 추가하여 암호화한 뒤 로딩 루틴을 추가시켜 자가변환 기법이 적용된 네이티브 코드를 생성하는 자기 코드 보호부; 및 상기 자가변환 기법이 적용된 네이티브 코드와 상기 난독화된 일반 코드를 결합하는 코드 결합부를 포함한다.

또한, 상기 코드 결합부에 의해 결합된 상기 자가변환 기법이 적용된 네이티브 코드와 상기 난독화된 일반 코드를 클라이언트로 전송하는 전송부를 더 포함할 수 있다.

또한, 상기 자가변환 기법이 적용된 네이티브 코드는 CPU 환경에서 동작하고, 상기 난독화된 일반 코드는 달빅 가상 머신에서 실행될 수 있다.

또한, 상기 코드 분석부는, 기 저장된 중요 코드 모델을 이용하여 상기 입력된 실행 코드와 매칭되는 실행 코드를 상기 중요 코드로 판단할 수 있다.

또한, 상기 로딩 루틴은, 상기 암호화된 네이티브 코드가 실행될 때 상기 코드의 암호화된 부분을 디코딩할 수 있다.

또한, 상기 위변조 탐지 코드는, 코드 위조 내지 변조 행위로부터 네이티브 코드를 보호할 수 있다.

본 발명의 하나의 실시예에 따른 코드 난독화 방법은, 안드로이드 애플리케이션의 실행 코드를 입력받는 단계; 상기 입력된 실행 코드를 분석하여 애플리케이션 위변조 공격으로부터 보호될 필요가 있는 중요 코드와 상기 중요 코드 이외의 일반 코드로 구분하는 단계; 상기 중요 코드를 C 코드로 변환시켜 네이티브 코드를 생성하는 단계; 상기 네이티브 코드 및 상기 일반 코드를 난독화하는 단계; 상기 난독화된 네이티브 코드에 위변조 탐지 코드를 추가하여 암호화한 뒤 로딩 루틴을 추가시켜 자가변환된 네이티브 코드를 생성하는 단계; 및 상기 자가변환된 네이티브 코드와 상기 난독화된 일반 코드를 결합하는 단계를 포함한다.

본 발명인 코드 난독화 장치 및 그 방법에 따르면, 난독화 대상이 되는 애플리케이션의 중요 코드 부분을 CPU 명령어 집합으로 재구성하고 중요 코드를 관리되는 코드에서 네이티브 코드(Native Code)로 변환함으로써, 관리되는 코드의 역공학 취약성 중의 하나인 구조화된 코드 정보를 제거하여 상대적으로 역공학을 난해하게 하여 역공학을 방지할 수 있다.

도 1은 본 발명의 실시예에 따른 코드 난독화 장치의 구성도이다.
도 2는 본 발명의 실시예에 따른 코드 난독화 방법의 순서도이다.
도 3은 본 발명의 실시예에 따른 난독화 및 암호화된 애플리케이션 파일의 구성도이다.

이하에서는 첨부한 도면을 참조하여 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자가 용이하게 실시할 수 있도록 본 발명의 실시예를 상세히 설명한다. 그러나 본 발명은 여러 가지 상이한 형태로 구현될 수 있으며 여기에서 설명하는 실시예에 한정되지 않는다. 그리고 도면에서 본 발명을 명확하게 설명하기 위해서 설명과 관계없는 부분은 생략하였으며, 명세서 전체를 통하여 유사한 부분에 대해서는 유사한 도면 부호를 붙였다.

먼저, 본 발명의 코드 난독화 장치에 대하여 설명한다.

도 1은 본 발명의 실시예에 따른 코드 난독화 장치의 구성도이다.

도 1을 참조하면, 본 발명의 실시예에 따른 코드 난독화 장치(100)는, 입력부(110), 코드 분석부(120), 코드 컨버터부(130), 난독화부(140), 자기 코드 보호부(150) 및 코드 결합부(160)를 포함하고, 전송부(170)를 더 포함할 수 있다.

입력부(110)는 안드로이드 애플리케이션의 실행 코드를 입력받는다. 여기서 입력부는 키패드 형태로서 입력 인터페이스부가 구비될 수 있다.

코드 분석부(Code Structure Analyzer, 120)는 APK(Android Package) 파일 내에 압축되어 있는 실행 파일인 DEX 파일을 분석하여 사용자 입력에 따라 중요 코드를 기존 코드로부터 분리한다.

코드 컨버터부(Dalvik to C Code Converter,130)는 일반 코드와 분리된 중요 코드를 분석하여 C 코드로 재구성하여 매니지드 코드(Managed Code)를 네이티브 코드(Native Code)로 변환한다.

난독화부(Obfuscator, 140)는 네이티브 코드 난독화부(Native Code Obfuscator, 141)와 매니지드 코드 난독화부(Managed Code Obfuscator, 142)를 포함할 수 있다. 네이티브 코드 난독화부(142)는 네이티브 코드로 변환된 중요 코드에 대해 네이티브 환경에서 난독화 기법을 적용한다. 또한, 매니지드 코드 난독화부(142)는 일반 코드에 대해 매니지드 환경에서 난독화 기법을 적용한다.

자기 코드 보호부(Self Code Protector, 150)는, 난독화된 네이티브 코드를 정적 분석으로부터 보호하기 위해 위변조 탐지 코드(Tamper-Detection Code)를 추가하고, 자가변환 기반의 코드 보호 기법을 적용하여 코드를 암호화한다. 그리고 자기 코드 보호부(150)는 상기 암호화된 네이티브 코드에 로딩 루틴을 추가하여 자가변환된 네이티브 코드를 생성한다.

코드 결합부(160)는, 난독화된 일반 코드와 자가변환된 네이티브 코드를 다시 APK 파일로 패키징한다.

전송부(170)는, 코드 결합부(160)에 의해 패키징된 코드(자가변환된 네이티브 코드와 난독화된 일반 코드)를 클라이언트로 전송한다. 이때 전송부(170)는 패키징된 코드를 직접 클라이언트로 전달할 수도 있고, 안드로이드 마켓 등에 업로드를 하여, 클라이언트가 다운로드 받을 수 있도록 할 수 있다.

이하에서는 도 2 및 도 3을 통하여 본 발명의 실시예에 따른 코드 난독화 방법에 대하여 설명하기로 한다.

도 2는 본 발명의 실시예에 따른 코드 난독화 방법의 순서도이고, 도 3은 본 발명의 실시예에 따른 난독화되어 결합된 애플리케이션 파일의 구성도이다.

도 2를 참조하면, 입력부(110)는 안드로이드 애플리케이션의 실행 코드를 입력 받는다(S210). 여기서 실행 코드가 입력되는 과정은 입력 인터페이스를 통해서 사용자가 안드로이드 애플리케이션 파일인 APK(Android Package) 파일을 지정하는 행위, 지정된 APK 파일의 압축을 해제하는 행위, 안드로이드 애플리케이션의 실행 파일인 DEX 파일을 지정하는 행위를 포함할 수 있다.

안드로이드 애플리케이션은 확장자가 apk 형태인 파일로 배포된다. 여기서 apk는 Android Package를 의미하는데, 안드로이드 애플리케이션의 빌드 과정에서 여러 가지 파일의 컴파일 또는 링크 과정을 거치면서 압축 파일 형태의 확장자가 apk인 파일(이하 APK 파일)이 생성된다. 실행 코드는 안드로이드 애플리케이션 파일인 APK 파일 내에 압축되어 있는 dex 확장자를 갖는 실행 파일(이하 DEX 파일)의 코드를 의미한다.

코드 분석부(120)는 입력부(110)로 입력된 실행 코드를 분석하여 애플리케이션 위변조 공격으로부터 보호될 필요가 있는 중요 코드와 상기 중요 코드를 제외하는 일반 코드로 구분한다(S220).

코드 구분을 위해 코드 분석부(120)는 기 저장된 중요 코드 모델을 이용하여 상기 입력된 실행 코드에서 중요 코드 모델과 매칭되는 코드를 중요 코드로 판단한다. 여기서 입력된 실행 코드는 DEX 파일을 구성하는 코드이다. 또한, 중요 코드린 사용자의 관점에서 공격자의 위변조 행위로부터 보호될 필요가 있는 코드를 말한다. 중요 코드와 반대되는 개념으로 중요 코드 이외의 코드를 일반 코드로 칭한다.

코드 컨버터부(Dalvik to C Code Converter,130)는, 일반 코드와 분리된 중요 코드를 분석하여 C 코드로 재구성하여 매니지드 코드(Managed Code)를 네이티브 코드(Native Code)로 변환한다(S230).

변환된 네이티브 코드는 ELF(Executable and Linkable Format) 형태로 저장된다. ELF 형태는 코드의 구조가 명시적으로 구분되지 않아 DEX 형태에 비해 코드 위변조를 위한 동적 분석 또는 정적 분석에 상대적으로 쉽게 노출되지 않는 장점이 있다. 또한, ELF 형태는 명령어 구성이 Dalvik 명령어에 비해 기계어에 가까운 낮은 수준의 CPU 명령어로 구성되어 있어서 공격자의 동적 분석 및 정적 분석을 어렵게 한다.

네이티브 코드 난독화부(141)는 네이티브 코드로 변환된 중요 코드에 대해 네이티브 환경에서 적용 가능한 난독화 기법을 적용한다(S240).

자기 코드 보호부(Self Code Protector, 150)는 난독화된 네이티브 코드를 정적 분석으로부터 보호하기 위해 위변조 탐지 코드(Tamper-detection Code)를 추가하고, 자가변환 기반의 코드 보호 기법을 적용하여 코드를 암호화한다. 그리고 자기 코드 보호부(150)는 상기 암호화된 네이티브 코드에 로딩 루틴을 추가하여 자가변환된 네이티브 코드를 생성한다(S250).

그 밖에 네이티브 코드에 추가된 위변조 탐지 코드는 동적으로 애플리케이션의 위변조를 검사함으로써, 공격자의 코드 추가 또는 변조행위를 탐지할 수 있다. 위변조 탐지 코드에 의하여 공격자의 위변조 행위가 탐지되는 경우, 위변조 탐지 코드는 실행상태에 있는 애플리케이션을 강제 종료시킴으로써 공격자의 코드 분석 행위를 중지시킬 수 있다. 또한, 위변조 탐지 코드는 자가변환 기법에 의해 보호되어 공격자의 위변조 탐지 루틴의 우회 가능성을 감소시킨다.

자기 코드 보호부(150)에 의해 추가된 로딩 루틴은 특정 코드가 실행될 때 특정 코드의 암호화 부분을 디코딩한다. 즉, 암호화된 특정 코드는 실행시 호출되는 루틴만 한시적으로 디코딩된다. 따라서, 암호화된 코드가 노출되는 시간적인 범위를 줄임으로써 공격자에 의한 코드 위변조 행위를 방지할 수 있다.

매니지드 코드 난독화부(142)는 매니지드 코드로 변환된 일반 코드에 대해 매니지드 환경에서 적용 가능한 난독화 기법을 적용한다(S255). 즉, 난독화부(140)는 하드웨어적으로 네이티브 코드 난독화부(141)와 매니지드 코드 난독화부(142)로 분리될 수 있으며, 네이티브 환경과 매니지드 환경이라는 서로 다른 환경에서 중요 코드 또는 일반 코드를 분리하여 난독화한다.

그리고 코드 결합부(160)는, 도 3과 같이 난독화된 일반 코드(Obfuscated General Code)에 해당되는 매니지드 코드 섹션(Managed Code Section)과 로딩 루틴(Loading Routine)이 추가된 자가변환된 중요 코드에 해당되는 네이티브 코드 섹션(Native Code Section)으로 APK 파일을 패키징한다(S260).

도 3에서 난독화된 안드로이드 애플리케이션 파일의 코드 부분이 매니지드 코드 섹션(Managed Code Section)과 네이티브 코드 섹션(Native Code Section)으로 구분된다. 매니지드 코드 섹션(Managed Code Section)은 난독화부(140)에 의해 난독화된 일반 코드(Obfuscated General Code)를 포함하고, 네이티브 코드 섹션(Native Code Section)은 암호화된 코드(Encrypted Code) 및 로딩 루틴(Loading Routine)을 포함한다.

자기 코드 보호부(150)에 의해 암호화된 코드(Encrypted Code)는 네이티브 코드가 암호화된 비밀코드(Secrete Code), 네이티브 코드에 포함되어 전송되는 비밀 데이터(Secrete Data) 및 위변조 방지 코드(Tamper-Detection Code)를 포함한다.

전송부(170)는, 코드 결합부(160)에 의해 결합된 자가변환된 네이티브 코드와 난독화된 일반 코드를 클라이언트로 전송한다(S270). 여기서 전송되는 파일의 형태는 클라이언트에서 다운로드 받아 설치할 수 있는 형태가 되며, 네이티브 코드와 일반 코드를 포함하는 APK 파일일 수 있다.

이와 같이 본 발명의 실시예에 따르면, 난독화 대상이 되는 애플리케이션의 중요 코드 부분을 CPU 명령어 집합으로 재구성하고 중요 코드를 관리되는 코드에서 네이티브 코드(Native Code)로 변환함으로써, 관리되는 코드의 역공학 취약성 중의 하나인 구조화된 코드 정보를 제거하여 상대적으로 역공학을 난해하게 만들어 역공학을 방지할 수 있다.

이제까지 본 발명에 대하여 실시예들을 중심으로 살펴보았다. 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자는 본 발명의 본질적인 특성에서 벗어나지 않는 범위에서 변형된 형태로 구현될 수 있음을 이해할 수 있을 것이다. 그러므로 개시된 실시예들은 한정적인 관점이 아니라 설명적인 관점에서 고려되어야 한다. 따라서 본 발명의 범위는 전술한 실시예에 한정되지 않고 특허청구범위에 기재된 내용 및 그와 동등한 범위 내에 있는 다양한 실시 형태가 포함되도록 해석되어야 할 것이다.

100: 코드 난독화 장치 110: 입력부
120: 코드 분석부 130: 코드 컨버터부
140: 난독화부 141: 매니지드 코드 난독화부
142: 네이티브 코드 난독화부 150: 자기 코드 보호부
160: 코드 결합부 170: 전송부

Claims

안드로이드 애플리케이션의 실행 코드를 입력받는 입력부;
상기 입력된 실행 코드를 분석하여 애플리케이션 위변조 공격으로부터 보호될 필요가 있는 중요 코드와 상기 중요 코드 이외의 일반 코드로 구분하는 코드 분석부;
상기 중요 코드를 C 코드로 변환시켜 네이티브 코드를 생성하는 코드 컨버터부;
상기 네이티브 코드 및 상기 일반 코드를 난독화하는 난독화부;
상기 난독화된 네이티브 코드에 위변조 탐지 코드를 추가하여 암호화한 뒤 로딩 루틴을 추가시켜 자가변환 기법이 적용된 네이티브 코드를 생성하는 자기 코드 보호부; 및
상기 자가변환 기법이 적용된 네이티브 코드와 상기 난독화된 일반 코드를 결합하는 코드 결합부를 포함하되,
상기 로딩 루틴은,
상기 암호화된 네이티브 코드가 실행될 때 상기 네이티브 코드의 암호화된 부분을 디코딩하는 코드 난독화 장치.
제 1항에 있어서,
상기 코드 결합부에 의해 결합된 상기 자가 변화 기법이 적용된 네이티브 코드와 상기 난독화된 일반 코드를 클라이언트로 전송하는 전송부를 더 포함하는 코드 난독화 장치.
제 2항에 있어서,
상기 자가변환 기법이 적용된 네이티브 코드는 CPU 환경에서 동작하고, 상기 난독화된 일반 코드는 달빅 가상 머신에서 실행되는 코드 난독화 장치.
청구항 4은(는) 설정등록료 납부시 포기되었습니다.

제 3항에 있어서,
상기 코드 분석부는,
기 저장된 중요 코드 모델을 이용하여 상기 입력된 실행 코드와 매칭되는 실행 코드를 상기 중요 코드로 판단하는 코드 난독화 장치.
삭제
코드 난독화 장치를 이용한 코드 난독화 방법에 있어서,
안드로이드 애플리케이션의 실행 코드를 입력받는 단계;
상기 입력된 실행 코드를 분석하여 애플리케이션 위변조 공격으로부터 보호될 필요가 있는 중요 코드와 상기 중요 코드 이외의 일반 코드로 구분하는 단계;
상기 중요 코드를 C 코드로 변환시켜 네이티브 코드를 생성하는 단계;
상기 네이티브 코드 및 상기 일반 코드를 난독화하는 단계;
상기 난독화된 네이티브 코드에 위변조 탐지 코드를 추가하여 암호화한 뒤 로딩 루틴을 추가시켜 자가변환 기법이 적용된 네이티브 코드를 생성하는 단계; 및
상기 자가변환 기법이 적용된 네이티브 코드와 상기 난독화된 일반 코드를 결합하는 단계를 포함하되,
상기 로딩 루틴은,
상기 암호화된 네이티브 코드가 실행될 때 상기 네이티브 코드의 암호화된 부분을 디코딩하는 코드 난독화 방법.
제 6항에 있어서,
코드 결합부에 의해 결합된 상기 자가변환 기법이 적용된 네이티브 코드와 상기 난독화된 일반 코드를 클라이언트로 전송하는 단계를 더 포함하는 코드 난독화 방법.
제 7항에 있어서,
상기 자가변환 기법이 적용된 네이티브 코드는 CPU 환경에서 동작하고, 상기 난독화된 일반 코드는 달빅 가상 머신에서 실행되는 코드 난독화 방법.
청구항 9은(는) 설정등록료 납부시 포기되었습니다.

제 8항에 있어서,
상기 실행 코드를 분석하여 구분하는 단계는,
기 저장된 중요 코드 모델을 이용하여 상기 입력된 실행 코드와 매칭되는 실행 코드를 상기 중요 코드로 판단하는 코드 난독화 방법.
삭제