Earticle

초록

영어

Browser extensions run with high privileges and update automatically after installation, allowing them to be exploited in supply chain attacks: an extension first earns user trust through legitimate functionality and later turns malicious through an update. Because existing verification concentrates on the moment of installation, it struggles to address changes that occur after deployment. This study therefore redefines browser extensions from a supply chain security perspective and proposes a cyclical, multi-layered verification system spanning intake, verification, storage, and re-evaluation. By having users install extensions through an internal repository, the system collects every version and continuously tracks changes in version, permissions, external communication, and reputation. New versions are held in a queue so that reputation can form, static and dynamic analysis are combined with reputation information, and RAG-based scenario matching together with an LLM supports the administrator's approval and blocking decisions. As a result, the system realizes a continuously operable supply chain security model rather than single-point detection, and it can be extended to software supply chains that share external repositories and automatic updates, such as VS Code Extensions and desktop applications.

한국어

브라우저 확장 프로그램은 높은 권한을 가진 채 설치 이후 자동으로 업데이트되어, 정상 기능으로 신뢰를 쌓은 뒤 악성으로 바뀌는 공급망 공격에 악용될 수 있다. 그러나 기존 검증은 설치 시점에 집중되어 배포 이후의 변화를 다루기 어렵다. 이에 본 연구는 확장 프로그램을 공급망 보안 관점에서 재정의하고, 유입·검증·저장·재평가로 이어지는 순환 구조의 다층 검증 체계를 제안한다. 사용자가 내부 저장소를 거쳐 설치하도록 하여 모든 버전을 수집하고, 버전·권한·외부 통신·평판 변화를 지속적으로 추적한다. 새 버전은 대기열에 보관해 평판 형성 시간을 확보하며, 정적·동적 분석과 평판 정보를 결합하고 RAG 기반 시나리오 매칭과 LLM을 통해 관리자의 승인·차단 판단을 지원한다. 이로써 단일 시점 탐지가 아닌 지속 운영 가능한 공급망 보안 모델을 구현하며, VS Code Extension과 데스크톱 애플리케이션 등 외부 저장소·자동 업데이트를 공유하는 소프트웨어 공급망으로 확장할 수 있다.

목차

요약
ABSTRACT
1. 서론
1.1 연구 배경
1.2 연구 목표
2. 관련 연구 및 위협 분석
2.1 확장 프로그램 검증 한계
2.2 확장 프로그램 악성화 요인
2.3 악성 시나리오
3. 순환 구조 기반 다층 검증 체계
3.1 연구 방법론
3.2 시스템 설계
4. 구현 및 평가
4.1 구현 환경
4.2 활용 결과 및 분석
4.3 한계
5. 결론
참고문헌

키워드

저자

• 정재성 [ Jaeseong Jung | 중부대학교 정보보호학전공 학사과정 ] 주저자
• 심재훈 [ Jaehun Sim | 중부대학교 정보보호학전공 학사과정 ] 공동저자
• 박혜수 [ Hyesu Park | 중부대학교 정보보호학전공 학사과정 ] 공동저자
• 윤주혁 [ Juhyeok Yun | 중부대학교 정보보호학전공 학사과정 ] 공동저자
• 곽민경 [ Minkyung Kwak | 중부대학교 정보보호학전공 학사과정 ] 공동저자
• 최한림 [ Hanrim Choi | 중부대학교 정보보호학과 객원교수 ] 공동저자
• 임정묵 [ Jeongmook Lim | 중부대학교 정보보호학과 객원교수 ] 공동저자
• 이병천 [ Byoungcheon Lee | 중부대학교 정보보호학과 교수 ] 교신저자

참고문헌

발행기관

간행물

표지보기 관심저널 등록

• 간행물명

  융합보안논문지 [Jouranl of Information and Security]

• 간기

  연5회

• pISSN

  1598-7329

• 수록기간

  2001~2026

• 등재여부

  KCI 등재

• 십진분류

  KDC 005 DDC 005