스마트폰의 대중화 이후, 수많은 사용자가 손안의 작은 컴퓨터라 할 수 있는 스마트폰을 통해 웹 서비스에 접근하게 되었습니다. 이는 기존의 웹 서비스 환경이 모바일 플랫폼으로 확장된 결과라 할 수 있으며, 보안 측면에서도 매우 중요한 의미를 가집니다.

스마트폰에는 다양한 애플리케이션이 설치되며, 그 속에는 각종 웹 서비스의 사용자 정보, 로그인 자격 증명, 금융 관련 데이터가 저장됩니다. 더불어 휴대폰 자체에는 연락처, 사진, 위치 정보, 메시지 등 개인의 민감한 정보가 그대로 담겨 있습니다. 따라서 OS에서 허가하지 않은 애플리케이션(사이드 로딩, 루팅·탈옥 후 설치 등)을 설치할 경우, 개인정보가 무단으로 유출될 위험이 극도로 높아집니다.

웹 서비스의 경우, 개인정보는 주로 기업의 DB 서버에 저장되므로 유출 발생 시 기업의 관리 책임이 크게 작용합니다. 반면, 모바일 서비스는 사용자의 보안 의식 수준에 따라 피해 여부가 크게 달라질 수 있습니다. 즉, 기업의 서버 보안도 중요하지만, 사용자가 자신의 기기를 안전하게 관리하지 못한다면 언제든 보안 사고의 표적이 될 수 있습니다.

모바일 운영체제(OS) 이해

• Android: 리눅스 커널 기반 구조, Android Framework, Dalvik/ART 런타임
• iOS: Darwin 커널, iOS Sandbox, App Store 보안 검증 메커니즘
• 루팅/탈옥 원리: 보안 장벽을 해제하는 과정과 위험성

애플리케이션 보안

• 앱 권한 모델(Permissions): 위치, 마이크, 카메라, 연락처 접근 권한 관리
• 보안 저장소: Android Keystore, iOS Keychain을 통한 자격 증명 관리
• 취약점 유형: 인텐트 스푸핑, WebView 취약점, 불완전한 암호화 적용, 안전하지 않은 데이터 저장
• 보안 개발 가이드: OWASP Mobile Top 10 참고

네트워크 및 웹 서비스 연계 보안

• 모바일 API 호출: REST, GraphQL API의 인증 및 권한 검증
• 전송 구간 암호화: TLS/SSL, HTTPS 강제 적용
• 세션 관리: 토큰 탈취 방지, 세션 고정(Session Fixation) 공격 방어
• 중간자 공격 방어: SSL Pinning, 인증서 검증

악성코드 분석 및 리버스 엔지니어링

• 정적 분석: APK 디컴파일(dex2jar, JADX), Smali 코드 분석, iOS IPA 분석