Earticle

디지털 포렌식 분석에서 안티-포렌식 기법에 대응해 디지털 증거의 무결성을 유지하는 것이 중요하다. 타임스탬프 가 변조되면 증거 신뢰성이 저하되고 사건 타임라인 구성이 어려워진다. 본 논문은 리눅스와 안드로이드 시스템에서 타임스탬프 변조가 의심될 때 로그 데이터를 수집·분석해 이를 탐지하는 효과적인 기법을 제안한다. 재부팅 시점에 서 타임스탬프 변조 여부를 확인하는 새로운 방법도 제시하여 각 운영체제별 타임스탬프 조작 시점을 효과적으로 파 악한다. Ubuntu와 CentOS 리눅스, 안드로이드 9와 14를 대상으로 실험하여 제안 기법의 유효성을 검증하였다. 본 기법은 여러 운영체제에서 발생할 수 있는 타임스탬프 조작 공격에 대응하고 디지털 증거의 정확성과 신뢰성을 높이는 데 기여할 수 있다.

In digital forensic analysis, maintaining the integrity of digital evidence against anti-forensic techniques is crucial. If timestamps are tampered with, the reliability of the evidence diminishes, complicating the construction of an accurate incident timeline. This paper proposes an effective technique to detect timestamp manipulation by collecting and analyzing log data in cases of suspected tampering in Linux and Android systems. Additionally, we present a new method to verify timestamp manipulation at reboot, identifying tampering times for each operating system. Experiments on Ubuntu and CentOS Linux desktops, as well as Android 9 and 14 phones, demonstrate the technique's validity. This proposed method enhances responses to timestamp manipulation across various OSes, improving the accuracy and reliability of digital evidence.

모바일 단말용 운영체제로서 리눅스가 채택되는 사례가 증가하고 있다. 기존의 모바일 단말용 시뮬레이터들은 개발자에 제공되어 개별 모바일 응용을 개발하고 응용 계층과 미들웨어 계층 중심의 기능적 테스트에 초점을 두고 있다. 제안된 시뮬레이터는 가상화 기법을 이용하여 실제 단말에 탑재되는 운영체제를 포함한 전체 SW 스택을 테스트 할 수 있는 환경을 제공한다. 또한 단말의 시장 출시 전에 수작업에 의한 SW 동작 시험 대신 하드웨어 에뮬레이션 계층, 운영체제 계층, 미들웨어 계층 및 응용 계층에서 발생되는 각각의 이벤트 정보를 저장 및 재생할 수 있는 기능을 통해 전체 SW 스택을 자동 테스트할 수 있는 방법을 제공한다.

Many companies have adopted Linux as mobile OS for their products. Most simulators provided todevelopers, however, have focused on testing only individual application functionality and interface withmiddleware. The proposed simulator based on virtualization technology provides execution environment forrunning full software stack including mobile OS. The simulator can record and replay all events generated fromthe hardware emulation layer, OS layer, middleware layer and application layer. This enables phone makers totest a full S/W stack running on their product in some autonomous way.

최근 공개소스(open source) 컴퓨터 운영체제(Operating System)에 관심이 고조되고 있다. 본 연구에서는 컴퓨터 운영체제 사용자 요구사항을 제품속성으로 체계적으로 전환할 수 있는 방법을 제시하고, 공개소스의 대표적인 서버 운영체제라 할 수 있는 리눅스에 이를 적용하였다. 이를 통하여 공개소스 리눅스의 강약점을 파악하고 국내 리눅스 개발자들에게 향후 개선을 위한 방향을 제시하는데 연구의 목적을 두었다. 이를 위하여 소프트웨어 품질관점에서 사용자 요구사항을 정의하고 품질기능전개(quality function deployment: QFD)를 활용하여 운영체제 사용자 품질 요구사항을 제품의 품질개선목표로 일관성 있게 전환하는 방안을 제시하였다. 이때 사용자 요구사항의 우선순위를 산출하기 위하여 계층분석과정(analytic hierarchy process: AHP) 기법을 결합하고, 실사를 통한 윈도우즈와의 제품비교 정보를 조정계수로 활용하였다. 연구결과로서 향후 리눅스 개선에 필요한 제품품질속성의 우선순위를 분석하여 제시하였다. 그 중 우선순위가 높은 속성으로는 간결성, 도구 완비성, 일치성, 자료 공통성, 통신 공통성, 자기 기술성 등을 들 수 있다.

The computer operating system (OS) with open source is increasingly drawing attention from the users and developers of software. Considering the role of OS in the computer system and its impact to software market, it is necessary to investigate the current states of dominant and emerging OS products. Accordingly, this study intends to provide numerous developers of the open source Linux with useful guidelines to improve it in Korea. This study proposes a systematic method that deploys user requirements of OS to product attributes in terms of quality, and applies the method to the dominant alternatives in OS market. The key framework of the method is quality function deployment. The quality requirements are based on ISO 9126 quality model and prioritized by the analytic hierarchy process. This study shows how those requirements data are deployed to the product quality goals using a correlation matrix between quality characteristics from the end-user's view and product attributes from the developer's view, and adjusting the correlation coefficients derived from benchmarking information in the competitive market. Finally, in order to improve Linux quality, this study suggests 15 quality attributes with high priorities and discusses their sensitivity by differently weighting the correlation matrix. In addition, final implications of results are described.

최근 ARM 구조를 사용하는 임베디드 시스템에서 가상화 기술에 대한 관심이 높아지고 있다. 일반적으로 시스템 가상화 구현을 위해서는 프로세서, 메모리 및 디바이스 등의 하드웨어 자원을 가상화한다. 이 중 메모리 가상화를 구현하기 위한 방법으로 섀도 페이지 테이블 기술이 주로 사용되고 있다. 섀도 페이지 테이블은 가상 머신 상에서 동작하는 게스트의 가상 주소 변환을 관리하기 위하여 가상 머신 모니터가 유지하는 페이지 테이블이다. 섀도 페이지 테이블은 게스트 페이지 테이블과 섀도 페이지 테이블을 동기화하는 방법에 따라 게스트 페이지 테이블에 쓰기 보호를 설정하여 게스트가 페이지 테이블을 수정할 때 발생하는 예외를 이용하는 방법, 혹은 게스트가 수행하는 TLB 관리 명령어를 이용하는 방법으로 구현한다. 본 논문에서는 ARM 구조에서 TLB 관리 명령어를 이용한 섀도 페이지 테이블을 구현하여 본 연구에서 개발 중인 ARM 기반 가상 머신 모니터에 적용하였다. 또한 이 가상 머신 모니터를 이용하여 BeagleBoard-xM을 동작시키는 QEMU 에뮬레이터 상에서 Linux 커널을 수행시켜 성능을 시험하였다. 시험 결과는 기존의 ARM 기반 가상화 연구와 비교하여 반가상화 방식보다는 낮은 성능을 보였지만 전가상화 방식 중에서는 만족스러운 성능을 보였다.

Recently virtualization technology has been applied to ARM architecture based embedded systems. Typically, hardware resources such as processor, memory and device should be virtualized to implement system virtualization. To implement memory virtualization, shadow page table technique is typically used. A shadow page table is a page table which is maintained by a virtual machine monitor to manage the virtual address translation of guests running in a virtual machine. The implementation of shadow page tables is classified depending on the synchronization between guest page tables and shadow page tables. The first method uses traps to capture the page table writes. Since this method modifies guest page tables to be write-protected, the writing guest page tables generates a trap. Another method is using the TLB maintenance operations which guest executes. In this paper, we implement shadow page tables using the latter method and apply this shadow page table technique to the virtual machine monitor for ARM architecture that we are working on. Furthermore, we run Linux kernel on the virtual machine monitor and evaluate performance on a BeagleBoard-xM using QEMU emulator. The results of the evaluation show that the performance of our virtual machine monitor is slower than the virtual machine monitor using paravirtualization. However, this virtual machine monitor has good performance among the virtual machine monitors using full-virtualization.

최근 호스트 ARM 리눅스 상에서 다수의 게스트 ARM 리눅스를 수행하는 KVM/ARM이 소개되었다. KVM/ARM은 커널 컴파일 시간에 커널 소스 파일에 존재하는 가상화 민감 명령어 앞에 SWI 명령어를 추가로 삽입하여, 커널 수행 시간에 가상화 민감 명령어 수행 전 예외가 발생되게 만든 후, 예외 처리 루틴에서 SWI 명령어 다음에 나타나는 가상화 민감 명령어는 수행하지 않고 에뮬레이션 한다. 현재 구현된 KVM/ARM의 가상화 민감 명령어 처리 방법에는 다음과 같은 문제점이 있다. 첫째, 커널 컴파일 시간에 가상화 민감 명령어를 찾는 과정에서 커널의 소스 파일 만을 단순 스캔하기 때문에 C 및 ARM 어셈블러 매크로 확장 후 나타날 수 있는 가상화 민감 명령어를 찾지 못하는 오류가 있다. 둘째, SWI 명령어의 추가 삽입으로 인하여 기존 커널의 크기가 커지는 단점이 있다. 이는 임베디드 시스템 상에서 바람직하지 않다. 셋째, SWI 명령어 삽입으로 인하여 ARM 어셈블러 언어로 작성된 커널 코드의 일부가 뒤로 밀려서 제대로 수행되지 않는 부분이 존재하기 때문에 이 부분을 사람이 찾아서 수작업으로 수정하여야 한다. 이는 다양한 버전의 커널을 가상화하고자 할 때 공학적 비용 발생의 요인이 된다. 본 논문에서는 이러한 문제점을 개선하는 새로운 가상화 민감 명령어 처리 방법을 제안한다. 본 연구에서 제안하는 방법은 커널 컴파일 시간에 C 및 어셈블러 매크로 확장을 추적하여 모든 가상화 민감 명령어를 찾을 수 있도록 하였고, 하나의 가상화 민감 명령어를 하나의 미정의(undefined) 명령어로 인코딩하여 커널의 크기가 변화되지 않게 하였으며, 이로 인하여 커널 코드를 수작업으로 수정하여야 하는 공학적 비용이 발생하지 않게 하였다. 본 연구에서 제안하는 방법은 현재 KVM/ARM 소스 코드에 반영하였으며 수행 결과 다양한 버전의 ARM 리눅스를 쉽게 가상화할 수 있었다.

Recently, KVM/ARM that runs multiple guest ARM Linuxes on a host has been introduced. KVM/ARM adds an SWI instruction in front of each virtualization sensitive instruction at compile time to generate an exception while a kernel is running. Once an SWI instruction generates an exception, a virtualization sensitive instruction next to the SWI instruction is emulated in an exception handling routine. There are some problems with handling virtualization sensitive instructions in the current KVM/ARM. Firstly, there is an incompleteness issue such that cannot detect some virtualization sensitive instructions generated by C and ARM assembler macro expansion. Secondly, there is a drawback that kernel size is increased by added SWI instructions. It is undesirable for embedded systems. Thirdly, we have to manually locate and modify some parts of kernel codes pushed back because of added SWI instructions. It causes engineering costs when diverse versions of kernel are to be virtualized. In this paper, we propose an improved method for handling virtualization sensitive instructions on KVM/ARM. We completely detects virtualization sensitive instructions by tracking C and ARM assembly macro expansion at compile time, and encoding a virtualization sensitive instruction to an undefined instruction. Our method keeps kernel size the same and is unnecessary to modify kernel by hand. Our method is applied to KVM/ARM source codes and implemented to virtualize various versions of ARM Linux.

본 논문에서는 시스템의 기동 시간을 고려하는 새로운 플래시 메모리 스왑 시스템을 연구하였다. 제안한 SFSS(Segment-based Flash memory Swap System) 기법은 스왑 영역을 여러 개의 삭제 블록으로 이루어진 세그먼트들로 구성한다. SFSS는 시스템 기동 시에 세그먼트 헤더만을 읽고 스왑 영역의 일부분만 초기화하여 기동 시간을 줄인다. 또한 가비지 수집 시에 세그먼트 단위로 삭제 연산을 수행한다. 성능 분석을 위해 리눅스 커널에서 트레이스를 수집하여 시뮬레이션을 수행하였으며 세그먼트 크기를 적절하게 조절하여 시스템의 기동 시간을 크게 줄이고 가비지 수집 비용을 줄일 수 있음을 보였다.

This paper studies a new flash memory swap system considering the system start-up time. The proposed SFSS(Segment-based Flash memory Swap System) scheme composes a swap area of segments which consist of multiple erase blocks. SFSS reads only segment headers at system start-up and reduces start-up time by initializing only a part of the swap area. Further, SFSS uses a segment as an erase unit during the garbage collection. For the performance evaluation, we perform a simulation study by using the traces from the linux kernel, and show that SFSS can reduce the system start-up time drastically and decrease the garbage collection cost by controlling the segment size properly.

본 논문에서는 무선 네트워크 환경에서 모바일 단말에서 촬영된 사진과 위치 정보를 함께 저장하는 임베디드 리눅 스 기반의 모바일 위치 인식 서비스의 설계 및 구현에 대해 기술한다. 최근 다양한 무선 네트워크 서비스의 출현과 모바일 단말의 고성능화에 따라, 모바일 단말들의 특징들을 결합한 신규 서비스에 대한 요구가 증대되고 있다. 구 현된 모바일 위치 인식 서비스는 모바일 단말에 탑재된 카메라와 GPS 장치를 사용하여 사진을 촬영할 때, 사진 데 이터와 GPS 위치 정보를 함께 무선 네트워크를 통해 인터넷 상의 서버에 저장한다. 모바일 단말 사용자가 서버에 저장된 특정 사진을 선택하게 되면, 사진과 함께 GPS 위치 정보를 단말로 다운로드 하고, 야후 맵을 통해 사진 촬 영 장소를 표시하게 된다. 구현된 모바일 위치 인식 서비스는 카메라와 GPS 장치 등을 사용하여 단말 사용자가 사 진 촬영 장소를 야후 맵을 통해 시각적으로 쉽게 확인할 수 있도록 한다.

This paper describes the design and implementation of Mobile Location Awareness service which bases on embedded Linux and stores pictures and location information together in wireless network environments. Recently, according to the advent of various wireless networks and the trend of high performance mobile devices, the demand for new service which combines features of mobile device is being increased. Mobile Location Awareness service uses the camera and GPS of mobile device. When a user takes a picture with user’s own device, the picture and GPS information are stored on internet server through wireless network. When a user selects the picture of server, the picture and GPS information are downloaded on mobile device. Then mobile device shows a location on Yahoo map where the picture was taken. The implemented Mobile Location Awareness service helps user to visually identify the location where the picture was taken through Yahoo map using camera and GPS devices.

GPL is the license which Richard Stallman and Free Software Foundation (FSF) made with the intention of achieving the principles of 'Free Software'. It also refers to Code of Conduct that should be observed in the Free/Open Software community and Constitution of Free Software Movement as well. The most salient feature of GPL is that derivative programs must be distributed in GPL. However, the specific criteria have not been set yet. In addition, several issues such as dealing of patent and compatibility with other free/open source licenses are left to be solve. After occasional discussion about problems and revision of GPL, FSF called a serious attention to the first discussion draft of 'GPL version 3' in January 2006. Then, the second discussion draft was announced in July 2006 fran suggestions through the Internet and discussions through international conferences. The discussion has continued (as of February, 2007) in order to announce the final draft at the beginning of 2007. The second draft includes the followings: (1) the threat of software patents and countermeasures against it, (2) the problems caused from increased. DRM technology and solutions, and (3) the ways to ensure the flexibility of GPL by allowing licensees to add new permission or requests. However, there exist not a few opposite views on concrete issues such as DRM related matters, which is mainly resulted from different views on ideology and goals of Free/Open source software. Therefore, narrowing and overcoming the gap of differences will smooth the path to conversion to 'GPL version 3' and lead to the development of Free/Open source Software.

Nowadays, we have many embedded systems which store and process multimedia data. For multimedia systems using hard disks as storage media such as DVR, existing file systems are not the right choice to store multimedia data in terms of cost, performance and reliability. In this study we designed a reliable file system with very high performance for embedded multimedia applications. The proposed file system runs with quite simple disk layout to reduce time to initialize and to recover after power failures, uses a large data block to speed up the sequential accesses, incorporates a time-based indexing scheme to improve the time-based random accesses and boosts reliability by backing up the important meta data on a small NVRAM. We implemented the file system on a Linux-based DVR and verified the performance by comparing with existing file systems.

Multi-access Edge Computing (MEC) has emerged as a novel and efficient technology to enable a new breed of time sensitive applications in the 5G era. By installing small computing infrastructures at the network edges, it solves the current centralized structure problem of the cloud infrastructure (i.e., high end-to-end communication latency between a user equipment and the cloud). As users move across different sites over time, continuous seamless service support to the users is also required. A service migration in 5G MEC is a promising approach for continuous seamless service support by migrating active services to a new MEC host near the current user location. In this paper, a comparison result for the service migration implemented either in a virtual machine or container is presented. The motivation behind this paper is to understand the fundamental performance differences between the virtual machine and container for the service migration in 5G MEC.

보안 위협은 외부에서 발생하기도 하지만 내부에서 발생하는 비율이 더 높다. 특히 내부 사용자는 정보 서비스에 대한 정 보를 인지하고 있기에 보안 위협에 의한 피해는 더욱 커진다. 이러한 환경에서 중요 정보 서비스에 접근하는 모든 사용자의 행위는 실시간으로 모니터링되고 기록되어야 한다. 그러나 현재 운영체제는 시스템과 Application 실행에 대한 로그만을 기록 하고 있어, 사용자의 행위를 실시간으로 모니터링하기에는 한계가 있다. 이러한 보안 환경에서는 사용자의 비인가 행위로 인 한 피해가 발생할 수 있다. 본 연구는 이러한 문제점을 해결하기 위하여, Linux 환경에서 사용자의 행위를 실시간으로 모니터 링하는 아키텍처를 제안한다. 제안하는 아키텍처의 실효성을 확인하기 위하여 기능을 검증한 결과, 운영체제에 접근한 모든 사용자의 console 입력값과 출력값을 모두 실시간으로 모니터링하고 이를 저장한다. 제안한 아키텍처의 성능은 운영체제에서 제공하는 식별 및 인증 기능보다는 다소 늦지만, 사용자가 인지할 수준은 아닌 것으로 확인되어, 충분히 실효적이라고 판단되었다.

Security threats occur from the outside, but more often from the inside. In particular, since the internal user knows abo ut the information service, the security threat damage caused by the internal user is greater. In this environment, the actio ns of all users accessing information services should be monitored and recorded in real-time. However, the current operati ng system records only the logs of system and application execution, so there is a limit to monitoring user behavior in rea l-time. In such a security environment, damage may occur due to user's unauthorized actions. To solve this problem, this study proposes an architecture that monitors user behavior in real-time in a Linux environment. As a result of verifying t he function to confirm the effectiveness of the proposed architecture, the console input values and output angles of all user s who have access to the operating system are monitored in real-time and stored. Although the performance of the propos ed architecture is somewhat slower than the identification and authentication functions provided by the operating system, i t was confirmed that the performance was not at a level that users would recognize, and thus it was judged to be sufficie ntly effective. However, since this study focuses on monitoring the console behavior, it is impossible to monitor the behavi or of user applications running in the background, so additional research is needed.

보안 운영체제인 SELinux는 임의 접근제어만을 제공하는 기존의 리눅스 커널에 리눅스 보안 모듈을 이용하여 강제적인 접근제어를 구현한 보안 시스템이다. 그러나 시스템 침입이 발생하였 을 때, 침입 탐지 및 로깅만으로는 부족하다. 본 논문에서는 동적인 접근 제어를 활용하여 접근 위반 탐지 및 권한 제한을 수행하는 SELinux 보안 커널에 대해 제안한다. 시스템의 불법적인 접 근이 발생할 시에 보안 검사 기능을 통해 이를 탐지하고 권한 제한 기능으로 동적으로 침입자에 대한 시스템의 권한을 변경하여 재침입을 방지할 수 있는 시스템을 실험을 통해 구현하였다.

SELinux, security operating system, is the security system which implements mandatory access control using linux security module on the traditional linux kernel supporting discretionary access control. But intrusion detection and logging are lacked when system intrusions are happened. This study proposes a SELinux security kernel which performs detection of access violation and privilege restriction using dynamic access control. It detects the intrusion using security check when the abnormal access of system is happened, and dynamically changes the system privilege for the intruder through privilege restriction. Finally we prevent reintrusion and explain the result of experiment.

리눅스를 기반으로 하는 일반적인 서버 시스템은 디스크 입출력 성능 향상을 위해 소프트웨어 RAID로 구성하여 사 용하고 있다. 특히 고속 입출력을 요구하는 서버 시스템의 경우, SATA(Serial ATA) 등과 같은 인터페이스가 아 닌 PCI-Express 버스에 직접 연결하는 SSD를 사용하고 있다. 그러나 현재의 리눅스 커널과 소프트웨어 RAID는 하드 디스크에 최적화되어 있어 PCI-Express 기반 고성능 SSD의 성능을 최적화시키지 못하고 있다. 이에 따라, 본 논문에서는 리눅스 커널에서 제공하는 소프트웨어 RAID 레벨 0의 성능 향상을 위한 기법을 제안한 다. RAID 레벨 0과 리눅스 커널의 블록 입출력 특성을 반영하는 RAID 계층의 입출력 블록을 재매핑과 재조합 기 법으로 시스템 호출횟수를 줄이고 한 번에 많은 대역폭을 갖도록 하였다. 제안기법은 저수준 입출력 벤치마크 도구 인 XDD를 통하여 성능을 측정하였으며, 성능평가 결과로 리눅스에서 제공되는 소프트웨어 RAID에 비해 쓰기 대 역폭은 평균 28.24%, 읽기 대역폭은 평균 13.77%의 입출력 성능이 향상되었음을 확인할 수 있었다. 또한 CPU 사용량은 읽기의 경우 평균 77.8%, 쓰기의 경우 평균 81.2% 감소함을 확인하였다.

The Linux-based legacy server systems are configured and used with software RAID to improve the performance of the disk I/O. Server systems requiring high performance prefer a special SSD that connects directly with the PCI-express bus to the SATA interface. However, the problem is that the current Linux kernel and software RAID are difficult to optimize the high-performance SSD based on PCI-Express because it is designed to be optimized for the hard disk. Therefore, we propose the efficient method using re-combination and re-mapping techniques to improve the performance of software RAID level-0 provided on the Linux kernel level. This proposed method is designed to have more bandwidth at a time by reducing the number of system calls considering the block I/O characteristics of Linux kernel and RAID level 0. As a low-level I/O benchmarking tool, XDD is used to evaluate the performance of the proposed method. According to the experimental results, our performance gains are 28.4% on write bandwidth and 13.77% on read bandwidth compared with legacy software RAID. Moreover, CPU occupancy rates are decreased 81.2% and 77.8%, respectively.

Since most of the conventional web servers have been designed to provide the general purpose and user's convenience as the primary goal, there is an overhead to apply them to the embedded system for remote monitoring and controlling the operation status of the Internet appliance. To cope with this overhead, an embedded Linux web server is suggested in this paper. The basic concept is to provide miniaturization and extendability by simplifying the requirements of web server as the services to the requests of web document for the user's menu and the execution of CGI program for monitoring and controling the Internet appliance, and satisfying only the indispensable requirements of HTTP which are necessary for the interface with the conventional web browsers. For the evaluation of its feasibility, each module has been implemented on Linux environment, and tested with the MS Explorer 6.0.