|
서평을 시작하기 전 잡담 - 현재 서점을 가서 안드로이드에 대한 서적을 검색해보면 "쉽게 따라하는"이나 "누구나 할 수 있는"이 붙는 서적이 주를 이룬다. 물론 뭔가를 하기 위해 실무에 관련된 책을 읽는 것이겠지만 자신의 값어치를 올리기 위해서는 "누구도 할 수 없는"이 붙는 자신만의 스킬이 필요하다. 자~ 여기에 누구도 쉽게 따라할 수 없는 안드로이드 보안에 관련된 책이 있다. 따라올텐가? 책 설명 - 이 책.. 가볍다! +_+;;; 개인적으로 무거운 책은 들고 다니며 읽기 어려워서 싫어라하는 편이다. 들고 읽기 편하도록 무거워도 좀 두꺼웠으면 하는 바램이다. 그런데 이 책은 총 500페이지 정도로 구성이 되어 있는데 상당히 얇다. 그리고 들고 다니면 책 표지가 뭔가 있어 보인다. 영어 제목이 떡하니 크게 박혀있어서 있어 보인다. 이런 책 좋아 +_+/ 책의 아름다운 모습 - 카... 표지만 봐도 원서스럽다.
엣다~ 빨간 알약~
서평 - 이 책 솔직히 말하면 정말 더럽게 어렵다. 듣도 보도 못한 보안용어들이 난무하고 암호화방식은 뭐그리 많은 것인지... 근데 웃긴 것은 프로그래머라는 직업을 가지고 있다면 한번쯤은 봤을법한 내용들이 상당히 많이 나온다. 그 때 당시에는 일단 적용해야 하니 그것이 무엇인지도 모르고 적용하고 어떻게 동작하는지 관심조차 가지지 못하고 넘어갔던 보안관련 지식들이 나와서 너무 좋았다. 5년전에는 기업들이 속도, 퍼포먼스, UI, UX 등을 우선 순위로 두었고 요근래 5년 동안은 보안, 장애인 편의성, 안정성 등을 우선 순위로 두었다고 볼 수 있다. 이 과정에서 보안에 관련한 사람들의 몸값이 천정부지로 올라갔고 노가다 비슷하게 일을 했던 프로그래머들은 왜 보안을 공부하지 않았을까라는 후회를 한 사람도 꽤나 많았을 것이다. 현실을 직시해보자면 바야흐로 모바일의 시대다. PC가 주도하던 온라인 쇼핑몰의 경우 모바일 매출이 50%를 이미 넘어섰다. (이 것은 내가 근무하는 곳과 여러 다른 쇼핑몰 경험자들의 의견을 종합한 결과이다.) 자~ 누구나 다 할 수 있는 안드로이드 개발을 할 것인가. 누구나 할 수 없는 안드로이드 보안을 할 것인가. 그것도 아니면 두마리의 토끼를 잡을 것인가. 책의 내용을 간단히 설명하겠다. 리눅스, 자바, 안드로이드. 이 셋 중 자신이 하나라도 모른다면 절대 사지마라. 1. 최소한 기본적인 리눅스 명령어를 할 줄 알고 리눅스 상에서 DB를 포함한 웹서버 구축을 해보았으며 사이트를 운영해보았어야 한다. 2. 자바 문법을 최소 1년 이상 공부하며 실무로 익힌 사람이어야 한다. 3. 안드로이드로 직접 앱을 개발해보았고("누구나 할 수 있는" 같은 책에 나온 예제를 따라한 것은 안 쳐준다.) 상용서비스로 돌아가고 있는 앱을 다뤄보아야 한다. 정말 솔직히 말한다. 2장을 펴보고 안드로이드 소스를 보며 헷갈려서(난 웹프로그래머다.) 안드로이드 책을 옆에 펴놓고 분석하면서 읽었을 정도니 말 다했다. 그런데 하나 이야기 해줄게. 이 책의 내용을 80% 정도만 이해해도 당신 연봉이 최소 천만원이 더 오른다고 생각하고 읽으면 즐거워 질거야. 서평을 마치며 - 프로그래머가 자신의 직업이라고 생각하는 사람이라면 한번쯤은 이런 생각을 해보지 않았을까 한다. 보안쪽이 돈도 많이 주고 좀 더 멋있지 않을까 하고.. 특히나 나같은 웹프로그래머로 노가다같은 일을 했던 사람이라면 말이다. 프로그래머라고 해도 딱히 관심을 가지지 않으면 보안 분야의 책은 쉽사리 읽히는 책이 아니다. 직업의 한계상 보안에 대해 깊이 공부를 할 수는 없었지만 그래도 웹프로그래머이다보니 이래저래 보안용어도 공부해야 했고 운영하는 사이트에 보안에 위배되는 사항도 고쳐서 보안에 대해서는 그나마 알고 있다고 생각했는데 책을 읽으며 내 착각이었다는 생각이 든다. 오랜만에 어려운 책 읽었더니 머리가 뽀개질 정도인데 세번 정도는 더 읽어야 할 듯 하다.
|
|
07월 01일 리뷰 - 리뷰자 김종욱
니콜라이 옐렌코프 지음 강권학 옮김
책의 표지부터 정말로 인상을 많이 남겼던 'Android Security Internals'. 안드로이드가 반으로 쪼개져서 내용물이 나오는 것이 흡사 '고어 물'에 흡사하지만, 순수 보안과 관련된 내용이라는 것이 트랙! 책을 읽는 내내 신기했던 점들과 어려웠던 점 그리고 전체적으로 느낀점을 이제 풀어 써 보도록 하겠습니다. 'Android Security Internals'는 안드로이드 내부의 보안 모듈의 동작 알고리즘과 처리 방법, 그리고 어떤식으로 관여하고 구조화되어있는지 알려주는 책입니다. 각각의 모듈별 어떠한 동작을 하는지에 자세히 설명되어있고 또한 동작 모듈 개개의 기능들의 설명과 알고리즘, 함수 코드의 구조를 자세히 설명 한다는 것이 굉장히 인상 적이었습니다. 또한 컴퓨터 사이언스를 다루다보면 자주 보게되는 DB Relation Model과 Process Model(flow chart)를 응용해가며 차근 차근 설명해 준다는 점에서 독자가 읽기가 보다 수월할 것이라 생각되네요. 책의 순서는 크게 Android Security Model -＞ Permission -＞ Package Mangement -＞ User Management -＞ Code Supporter -＞ Network Security and Pki -＞ Certification Storage -＞Online Account Manegement -＞Enterprise Security -＞ Device Security -＞ NFC and Security Fetures -＞ SELinux -＞ System Update and access the Root.로 되어있습니다. 모두 의미있고 재미(?) 있는 부분이었지만 가장 읽기 쉬웠던 부분을 뽑으라면 User Management 부분이었습니다. 또한 가장 새로운 점을 많이 느끼는 부분이기도 했구요.
홈 ＞ 프로그래밍 ＞ 안드로이드 시큐리티 인터널- ② 아래에 나와있는 경로를 통해 한빛미디어 홈에서 본 서적의 URL을 확인하실 수 있습니다. http://www.hanbit.co.kr/book/look.html?isbn=978-89-6848-197-0 안드로이드 내부가 과연 어떻게 생겼는지 이제 여행해 보도록 할까요? 책의 논평을 하기 전에 이 책의 대상 독자는 누구일지부터 이야기 하도록 해요!
【어떤 독자를 위한 책인가】
【책의 구성】 Android Security Internals 책의 구조는 크게 아래와 같이 세가지 구조로 되어 있어요.
한번 읽고 마지막에 종합적으로 정리함으로써 학습 효과를 높힐 수 있는 책의 구조라 생각되네요 ! - 'Android Security Internals' 컴퓨터를 어느정도 공부해보지 않으신 분이 읽기에는 약간 어려운 도서 라는 점이 없잖아 있는 책이었습니다. 물론 작가님 께서 용어 하나하나를 각주까지 달아주시며 설명해 주셨지만 어지까지 지극히 저의 생각이지만 안드로이드의 구조와 리눅스 커널의 기본 구조를 모르는 분이 본 서적을 읽으면 정말 멘붕이 오실 것이라 생각되네요 ! 따라서 꼭 컴퓨터의 시스템 쪽을 어느정도 전문적으로 공부하신 분이 읽어보시길 추천합니다. !
제 생각엔 안드로이드 시스템 구조를 이해 할 때 반드시 DalVik 구조를 이해할 필요성이 있을 것이라 생각되네요 ! 아래 URL 을 공유해 드립니다. !
공부하시면서 참고하시면 좋을 듯해요 !
【Android Security Internals를 읽으며…….】 'Android Security Internals'를 읽으며 가장 신기하고 포인트 있었던 곳은 멀티 유저 부분이었습니다. 단일 모바일을 멀티로 사용할 수 있다는 것이 신기한 충격이었습니다. 또한 지금 하고 있는 보안 프로그래밍과는 약간 거리가 있지만 암호 모듈의 각각의 기능들과 구현 목록 그리고 암호화 방법론들이 정말로 흥미로웠습니다.
【점수…….】 구성 : ★★★★☆ 내용:★★★☆☆ 디자인: ★★★★★ 전문성 : ★★★★★
프로그램의 마지막 완성은 보안있습니다. 해킹과 보안 프로그램의 '모순'이지만 어느 하나 노칠 수 없는 프로그래머로써 꼭 자각하고 있어야 할 학문입니다. 본 서적을 통해 안드로이드 보안에 한발작 다가가는 여러분이 되시길 기원합니다.!
#본 리뷰는 리뷰자 김종욱의 저작권에 귀속되므로 참고시 참고 URL과 명시를 저작자에게 알려주시길 바랍니다. #본 리뷰의 점수 및 평가 내용은 김종욱 리뷰자의 한정된 것이므로 확정된 답이 안임을 명시합니다. #학습과 관련된 질문과 문제에 대한 질문은 일체 받지 않습니다. 스스로 찾아서 학습하는 것 그것이야 말로 진정한 학습자입니다. ###### 감사합니다 ######
|
Android Security Internals
|
이 책을 읽으면서 몇일전 이슈가 됐던 5161부대(국정원?)에서 우회업체를 통해 이탈리아 해킹팀(RCS)에게 해킹프로그램을 샀던 일이 밝혀졌었다. 아니러니하게도 이 업체 또한 해킹을 통해 내부자료가 공개됐기 때문에 세상에 그 모습을 드러나게 됐다. 그 어느 때보다도 보안의 필요성이 대두되고 있는 현실을 보여준게 아닌가 싶다. PC는 물론이고 스마트폰 또한 해킹에 노출되어 있으며, 외부에 공개되지 않은 해킹 기법을 통해 백신 등의 프로그램 또한 무력화하고 있는 현실이다. 스마트폰의 경우 음성 녹취 후 전달할 수 있으며, 영상/사진 등 내부 자료 등도 모두 외부로 가져갈 수 있다. 이로인해 한번의 해킹을 통해 제조사와 앱을 개발하는 개발사 모두에게 크나큰 위협이 아닐 수 없다. 보안 관련 책이 절실한 상황에서 이런 책이 나와 정말 위안이 되는게 사실이다.
이 책은 사실 시스템 보안 관련 책으로 어느정도의 하드웨어 지식(부트로더/커널)과 소프트웨어 지식(안드로이드 아키텍쳐)을 알고 있어야 읽는데 무리가 없다. (중급 이상의 지식이 요구된다.) 초반부에는 안드로이드 아키텍쳐에 관해서 간략하게 설명한 후 안드로이드 권한 모델에 대한 설명을 시작한다. 안드로이드는 샌드박스로 구동되기 때문에 최소한의 제한된 권한 모델을 사용한다. 앱과 시스템간의 상호작용을 위해 권한이 설정되며, 브로드캐스트, 서비스, 인텐트, 컨텐츠프로바이더 등 다양한 권한 설정 방법을 설명한다. 또한 패키지 관리를 통해 앱을 샌드박스 모델로 만들며, 사용자 관리를 통해 다중 사용자 접근 제어를 한다.
 
중반부에는 JCA 암호 제공자 아키텍처와 CSP에 설명하며, 네트워크 보안 (SSL, TLS, PKI)을 표준자바 보안 소켓을 통해 지원하며, WIFI, VPN, 앱 자격증명 저장소 등의 자격증명 아키텍쳐에 대해 설명한다. 또한 온라인 계정 관리에 대해서도 설명한다.
 
후반부에서는 디바이스 보안과 NFC 보안, 그리고 SELinux 대한 설명, 시스템 업데이트와 루트 접근 등의 하드웨어와 커널에 관련된 내용으로 마무리된다. 이중에서 안드로이드에 SELinux에 대한 설명은 보안 기능이 높은 제품(CCTV, 관제시스템등)에 포팅하면 좋은 대안이 될 것으로 보인다. 그리고 개인적으로 관심이 있는 NFC에 대한 설명은 앱을 개발하면서 주의해야 될 사항을 숙지할 수 있었다. (앱이 SE와 통신하기 위해 사용할 수 있는 API 설명과 HCE 구현 및 앱 구현에 대한 설명은 진행하는 프로젝트에도 도움이 되고 있다.)
기업에서도 앞으로는 보안에 대해서 더 많은 인력과 시간을 들이기 시작하고 있으며, 앞에서도 얘기했지만 한번의 실수가 기업의 존폐를 가를 수 있기 때문에 앱의 보안 인력이 요구될 것이며, 많은 연구 프로젝트들이 진행될 것이다. 안드로이드에서 제공하는 많은 보안관련 기능을 십분 활용하는 기회를 이 책을 통해 얻었으면 좋겠다. |
|
업무상 안드로이드의 데이터를 살펴볼 일이 많은데,
그러던 차에 발견한 게 바로 이 책 안드로이드 시큐리티 인터널.
이렇게 까지 안드로이드 보안 관련요소를 항목별로 요목조목 다룬 책은 없어서
책 자체는 기술적인 사실만 나열되있기 때문에 읽기 편한 편은 아니다. 그간 의문점을 가지고 있고, 경험적으로만 알 뿐 제대로 몰랐던 NFC 보안요소나 기업 보안 쪽은 관심 요소가 아니고 지식도 없다보니 어려워 미처 이해하기 어려웠지만 각 큰 장들은 서로 분야가 다르기 때문에 꼭 순서대로 읽을 필요는 없고,
|
|
안드로이드 시큐리티 인터널 책의 제목을 보면서 약간은 극적이다라는 생각을 했습니다. 책은 세 단어로 되어 있습니다. '안드로이드', '시큐리티', '인터널' 동어 반복이랄 수 있지만, 앞의 두 단어는 요즘 가장 큰 이슈가 되고 있는 주제인듯 합니다. 안드로이드는 지금 지구상에서 가장 큰 이슈가 되고 있는 대표적인 모바일 OS 입니다. 아이폰으로 시작된 본격적인 스마트폰 시대를 따라잡아 어느새 가장 큰 영향력을 미치는 모바일 플랫폼의 자리를 가지고 있는 대표적인 OS이고, 우리 나라에서 가장 많은 사람들이 사용하고 있으리라 생각됩니다. '시크리티'는 최근 들어 점점 더 그 중요성이 더해가는 이슈입니다. 인터넷이 폭발적으로 늘어난 시기에도 그 시대에 따른 보안 이슈가 있었지만, 모바일이 일상화된 지금의 세상에서도 보안은 또 다시 새로운 이슈를 만들었고, 이제 피싱이나, 스미싱 같은 단어는 전문용어가 아닌 일상의 용어가 된 시대인 것 같습니다. 그렇게 안드로이드와 시큐리티라는 이 시대의 중요한 이슈에 대한 내용을 다룬다는 점에서 이 책은 눈길을 끕니다. 이 책외에도 안드로이드와 보안에 대한 내용들은 많이있었지만, 이 책에 있는 '인터널'이라는 단어는 또 다른 내용이 이책에 들어 있음을 말하고 있습니다. 기존에 나왔던 '인터널'이라는 제목이 붙은 책들을 보면, 읽기가 만만치 않은 것들이 많았습니다. 이 단어를 쓰면 대부분의 경우, 좀 더 어렵거나 좀 더 본질적이거나 좀 더 원리 원칙에 대한 부분에 접근하는 경우가 많이 있었고, 이 책 또한 그런 경우를 대표하는 또 한권의 책으로서 그 역할을 충실히 수행합니다. 안드로이드라고는 하지만, 책을 읽고 이해하기 위해서는 리눅스에 대한 개발 경험이 필요합니다. 아니면, 최소한 리눅스에 대한 이해를 가지고 이 책을 읽는 것이 책을 읽어나가는데 많은 도움을 줍니다. 곳곳에 나오는 리눅스 명령어와 실행 결과들, 그외에 계속 나오는 소스 코드 예제들 등 안드로이드 개발 경험이 없는 경우라면 읽기가 거북할 수 도 있을 것 같습니다. 하지만, 그렇다고 안드로이드 개발 안해봤고, 리눅스 한 번도 안해봤다고 포기하기에는 책에 들어있는 내용들이 아까울 듯 합니다. 안드로이드 보안에 대한 호기심이 있는 분들이라면, 도전해 보는 것도 충분히 가치있는 일이 되리라 생각합니다. 특히, 안드로이드의 앱을 개발하고 있는 경우라면, 앞부분의 1, 2, 3장 세 부분만 우선 읽어도 꽤 도움이 되지 않을까 생각합니다. 그 뒷부분들은 필요에 따라 읽으면 되지만, 앞 세 장의 경우, 앱을 개발할 때, 최소한 한번쯤은 짚고 넘어가야할만한 내용이지 않을까 생각합니다. 안드로이드라는 것이 익숙한 만큼 많은 사람들이 앱을 개발하고 사용하고 있습니다 하지만, 보안이라는 중요한 요소를 놓치지 않기 위해서는 이것저것 많은 것들을 정확히 알고 사용할 수 있어야 할텐데요. 그렇게 안드로이드 보안에 대한 중요한 것들을 접해 볼 수 있는 좋은 기회를 얻고 싶은 분들이라면 이 책을 통해 접근해 보는 것도 좋을 것이라고 생각합니다. |
|
평소에 안드로이드 또는 IOS 모바일 프로그래밍에 관심을 갖은면서
이러한 점은 오픈소스이기에 가능했다라는 장점이 있지만 그와 더불어 그렇기에 이책에서 다루는 안드로이드 보안에 대한 깊이있는 내용을 학습한다면
|