NFT 서비스 제공자 보안 수준 점검 항목 중요도 분석을 통한 보안 위협 대응

 

📌 논문 선정이유

• 지난 학기 정보보안정책 공모전에 블록체인과 NFT와 관련된 정책을 제안한 경험이 있음
• 지난 학기 블록체인과 관련된 서포터즈 활동을 하면서 NFT에 관심을 가지게됨
• 해당 논문은 NFT 서비스 제공자에게 일어날 수 있을만한 보안위협에 대해 다루고 있으며, 그에 걸맞는 대응방안을 제시해주고있어 흥미로웠음

 

Ⅱ. 관련 이론 및 연구

🔻 NFT(Non-Fungible Token) 란?

‘블록체인에 저장된 데이터 단위로, 고유하면서 상호 교환할 수 없는 토큰’이라고 정의하고 있으며,  ‘대체 불가능한 토큰’이라 정의하고 있다. 즉 신뢰할 수 있는 블록체인 기술을 활용하여 디지털 자산의 소유주를 증명하는 가상의 토큰으로 디지털 콘텐츠에 대한 권리 증명서라고 할 수 있다.

 

 

🔻 NFT 보안 위협

 

NFT의 서비스 플랫폼은 NFT 서비스 제공자의 내부 서비스 플랫폼과 블록체인 연계의 외부 플랫폼으로 구성되어 있고, NFT 보안 위협을 서비스 플랫폼 측면과 이용자 측면으로 구분하여 확인할 수 있다.

 

 

 

🔻 서비스 플랫폼 측면

1. 내부 서비스 플랫폼은 원본 디지털 자산을 저장하는 시스템, 거래를 관리하는 마켓 플레이스 웹 포탈 등으로 구성되는데 저장소의 경우 시스템 취약점을 악용하여 관리자 계정 탈취, 악성 코드 또는 랜섬웨어 공격을 할 경우 이용자의 지갑에 있는 NFT와 가상화폐를 탈취할 수 있음.

2. 마켓 플레이스 웹 사이트의 보안 취약점을 악용하여 구매 또는 판매 가격을 조작, NFT의 불법적인 재판매 가능성의 위협이 발생할 수 있음
( 블록체인 연계의 외부 플랫폼에서는 ERC 721 기반 소스 코드에서의 취약점들이 노출되고 있다고 함.)

3. NFT를 추적하고 전송하는 기능을 담당하는 ‘setApprovalForAll’의 소스 코드 취약점을 악용하여, NFT를 탈취하는 보안 사고가 발생하기도 했음. (아래 뉴스기사 참고)
이러한 중요 소스 코드가 유출될 경우, 해커는 NFT 마켓 플레이스의 지갑 내 NFT와 가상 자산 등을 쉽게 탈취할 수 있음.

4. 해커가 관리자 계정을 해킹하거나, 인증 및 권한관리가 취약하여 내부 관리자가 본인의 권한을 악용하는 경우 정보의 위·변조, 허위 정보 업로드 등 불법 행위가 가능하여 거래의 안전성 및 신뢰성을 훼손할 수 있음.
+ 오라클은 블록체인 내부가 아닌 외부 인프라 시스템, API 등으로 구성하여 기존 ICT 보안 취약점을 내재하고 있음.

 

 

“NFT”… 보안 이슈 < Metaverse < 4차산업 < 기사본문 - 디지털비즈온 (digitalbizon.com)

“NFT”… 보안 이슈 - 디지털비즈온

 

 

🔻 NFT 서비스 이용자 측면

해커가 문자, 이메일, Discord 등을 매개로 하는 피싱, 스미싱 공격 등으로 이용자의 NFT 와 가상자산을 탈취할 수 있다. 예를 들어 위조 사이트 링크를 이용자에게 전송하고 해당 사이트에서 복구 문자를 입력하도록 유도하여 전자 지갑을 획득한다. 또한 해커가 허위 플랫폼 또는 해커 지갑으로 연결, 정상적인 거래가 발생한 것처럼 위장하여 메시지를 전송한 후 해커는 이용자에게 개인키 서명을 유도하여 이용자의 자산을 불법 탈취할 수 있다

 

 

🔻 NFT와 관련된 국내외 법률

국내에서는 NFT 보호를 위한 특정화된 관리체계는 없으나, 가상자산관련 정보보호 관리체계를 운영 중에 있음.
해당 관리체계는 ISMS-P로 기존 관리 체계에 멀티시그, 월렛 등의 가상 자산의 특성을 반영하여 보안 위협에 대응하고 있으며, NFT도 가상 자산과의 연관성 및 보안 위협 대응 측면에서 ISMS-P 를 연구하는 것이 필요한 상태임

ISMS-P 는 기업·기관이 각종 위협으로부터 정보자산과 개인정보를 안전하게 보호하기 위해 수행하는 종합적인 정보보호 관리 프레임워크로서 관리체계 수립 및 운영, 보호대책 요구 사항, 개인정보 처리 단계별 요구 사항으로 구분할 수 있는데, 특히 가상 자산과 NFT에 적용할 수 있는 ISMS-P는 개인정보보호 부문보다는 정보보호 부문에 관리체계 수립 및 운영, 보호대책 요구 사항에 중점을 두고 있는 상태임.

 

 

🔻 계층 분석 기법 - AHP(Analytic Hierarchy Process) 기법이란?

 

해당 기법은 쌍대비교를 이용하여, 평가자가 일관성 있게 판단하도록 도와주는 것을 특징으로 하고 있으며, 상대적 중요도를 계량화·판별하여 많이 이용하고 있음.

AHP는 최상위 계층에 평가할 목표를 설정하고 그 하위에는 평가 목표에 영향을 주는 항목들을 구성함.
해당 항목들은 여러 단계로 나누고, 다시 하부 세부 평가 항목으로 계층화할 수 있음.
아래와 같이 다수의 속성들을 계층 배열하고 그 상태에서 설문 결과 데이터를 기입, 쌍대비교를 수행함.
쌍대비교 값에서 각각의 계층별 의사 결정관련 상대적 중요도를 추정하고, 유효성 여부 판단을 위해 일관성 비율(Consistency Ratio)을 구하며, 일관성 비율이 10% 이내로 나오는 경우, 판단에 있어 일관성이 있는 것으로 간주할 수 있음.

 

참고 사진:&nbsp; AHP기법(Analytic Hierarchy .. : 네이버블로그 (naver.com)

 

 

 

Ⅲ. 연구모형

 

 

 

 

도출된 NFT 보안 수준 점검 항목들은 본 모형의 계층화 요소로 이용

멀티 시그 등의 MFA 인증이 안되어 있어 공격자가 인증을 우회하거나 NFT 서비스 사업자의 시스템 관리자 권한 관리 미흡으로 인한 정보 유출 등의 보안 위협으로 NFT 이용자의 디지털 자산이 불법 탈취될 수 있음

 

 

🔻해결 방안

 

• 불법 인증 우회와 중요 시스템 관리자 권한 탈취 등을 탐지·대응할 수 있는 인증 및 권한 관리가 필요
• 보안관리 체계인 ISMS-P의 2.5 키관리 시스템, 월렛 서버 등의 NFT 정보 인프라에 접속할 수 있는 관리자의 계정과 권한 관리를 수행하는지 점검, 정보시스템 접근시 안전한 인증절차와 인증방식을 적용했는지 점검하는 사용자 인증 항목을 인증 및 권한 관리 점검 항목으로 도출
• 도출된 해당 항목을 Jung et al.연구에서 제안한 NFT 거래관련 보안 위협 Spoofing Identify 의 T1, T2 등과 매핑하여 기술적 부문의 NFT 인증 및 권한 관리 점검 항목으로 최종 확정

 

다음 ‘표 1’은 관련 법률, 보안 컴플라이언스와 기존 관련 연구들로부터 도출된 NFT 보안 관리 수준 점검 항목들이다.

 

 

해당표는 관련 법률, 보안 컴플라이언스와 기존 관련 연구들로부터 도출된 NFT 보안 관리 수준 점검 항목들이다.

 

 

 

🔻 연구 모델

 

 

 

위와 같이 제3 계층에서는 12개의 하위 항목으로 구성하고 관리적 보안 점검 하위 항목은 NFT 보안 관리 체계 수립 및 운영, 전담 조직 구성, 위험관리, 보안 관리 체계 점검 및 개선이며 기술적 보안 점검 하위 항목은 접근 통제, 인증 및 권한관리, 암호화, 개발보안, 보안 운영관리 등이다. 마지막으로 물리적 수준 항목은 주요 물리 시설 접근 통제, 월렛 물리적 접근 통제이다.

 

 

🔻연구 방법

Ⅳ. 실증 결과

 

 

상부와 하부 영역의 상대적 가중치를 통해서 최종 우선순위를 살펴보면 NFT 관리적 보안 수준 점검 영역의 보안 관리 체계 수립 및 운영이 38.1%로 1 순위, 기술적 점검의 암호화가 15.2%로 2 순위, 관리적 수준 점검 영역의 위험관리가 14.7%로 3순위 등의 순서로 나타났다. 따라서 보안 수준을 조기에 식별하고 위협에 대응하고자 하는 회사에서 상대적 우선 순위를 활용하면, 효과적으로 NFT 보안 수준 점검 활동을 수행할 수 있을 것임

 

 

 

 

 

🔻선행 연구의 한계점

 

기술적 보안 트랜드 중심의 단편적 연구로 NFT 보안 위협만 분석하여, 통합적으로 NFT 보안 수준을 점검하는데 어려움들이 존재했음.

 

 

🔻본 연구의 차별점

 

관련 법률, 가상자산사업자 ISMS-P 등의 컴플라이언스를 분석하고 이를 물리적보안·기술적보안·관리적 보안 항목으로 결합한 통합적 연구로, NFT 보안 위협에 대응

 

점검 항목간 상대적인 중요도를 AHP기법으로 파악·제공하여 NFT 보안 수준 점검을 위한 시간과 자원이 부족한 경우에 상대적으로 중요한 항목들을 우선 점검한다면, NFT 보안 관리 수준을 보다 빠르게 식별할 수 있음.

 

 

 

Ⅴ. 결론

 

NFT의 시장 확대와 다양한 분야와의 연계로 해킹 공격 경로가 다양해지고 있어, 결국 NFT의 보안 위협도 증가하고 있는 상태.

 

따라서 이용자의 가상자산을 활용하는 NFT 보안 강화를 위해 본 연구는 NFT 특징, 보안 위협, 국내외 관련 법률, 컴플라이언스 등 NFT 보안 관련 현황 분석을 통해서 점검 항목을 도출함.

 

이를 기반으로 AHP 기법에 적용하여 상대적 중요도를 확인할 수 있었음.

 

본 연구 결과, 점검 항목 중요도 평가관련 상부 영역 중에서 NFT 관리적 보안 수준 점검 영역이 가장 중요한 것으로 확인됨.

이러한 결과는 체계적인 보안관리 체계 기반 마련, 자원 할당, 안정적 보호대책 운영 등을 포함하는 NFT관련 보안 관리체계 수립·운영과 자산식별, 위험평가, 정보 보호 대책 수립 등을 수행하는 위험 관리 등의 관리적 보안 점검 항목들이 베이스라인으로 체계적으로 잡혀 있어야, 그것을 기반으로 물리적 보안·기술적 보안 점검을 안정적으로 수행할 수 있기 때문임.

 

+ 하부 영역에서 암호화, 위험관리 등이 상위 랭크되었는데 그중 암호화를 중요하게 판단한 이유는 가상 자산의 핵심인 개인키 탈취의 위협에 월렛 개인키 관리 등의 암호화를 통해 가장 효과적으로 수행해야 한다는 것이며, 중요 데이터 송수신·저장시 암호화 적용으로 공격자가 데이터를 탈취하더라도 정보 식별이 불가능하다는 것임.

 

 

📌 느낀점

• NFT시장이 확대됨에 따라 발생할 수 있는 각종 위험과 그와 관련된 사례들을 알아볼 수 있었음
• NFT 시장에 맞는 보안관리체계가 수립되고 운영되어야할 필요성을 다시한번 느낄 수 있었음
• AHP기법이 상대적 중요도를 확인하기에 좋은 방법이라는 것을 알 수 있었음
• NFT와 관련된 서비스 플랫폼 측면과 같이  사회적, 기업적 측면에서 해당 위협들에 대한 대응방안을 신속히 마련할 필요가 느껴짐.
• NFT와 관련된 법률들의 필요성도 느낄 수 있었음

 

 

 

참고 자료 :

 

NFT와 보안: NFT 거래 시 보안에 대한 .. : 네이버블로그 (naver.com)

NFT와 보안: NFT 거래 시 보안에 대한 고려사항

 

 

분석 논문 :

NFT 서비스 제공자 보안 수준 점검 항목 중요도 분석을 통한 보안 위협 대응 (1).pdf

2.02MB