보안상 해커의 침입으로부터 안전하고, 버그 없이 신뢰도가 높은 소프트웨어를 개발할 수 있도록 컴퓨터 침해사고대응센터인 CERT가 제안하는 표준 C 프로그래밍 가이드. C언어로 개발되는 소프트웨어 취약성을 분석해 근본 원인이 되는 코딩 에러를, 심각도, 침해 발생가능성, 사후관리 비용 등에 따라 분류하고, 각 가이드라인에 해당하는 불안전한 코드의 예와 해결 방법을 함께 제시한다.
랜디 마이어스 (San Jose Mercury News) 
: 나는 CERT 안전한 코딩 이니셔티브(CERT Secure Coding Initiative)의 열렬한 지지자다. 프로그래머는 정확성, 명확성, 유지보수성, 성능, 심지어 안정성에 관해서도 여러 방법으로 조언을 구할 수 있다. 하지만 특정 언어의 특징이 보안에 미치는 영향은 다루고 있지 않다. 이 책 『버그 없는 안전한 소프트웨어를 위한 CERT® C 프로그래밍』이야말로 바로 이러한 요구를 충족시켜주는 책이다.
Dr. 토머스 플럼 (플럼홀 사 창시자) : 수 년 간 우리는 CERT/CC를 통해 수없이 많은 보안 문제 대한 조언을 문서로 출간할 수 있었다. 이제 CERT는 최고 기술 전문가들의 제언을 책에 수록해 새로운 애플리케이션에서 발생할 수 있는 문제를 예방하고 기존 시스템을 안전하게 유지하도록 프로그래머와 매니저에게 실용적 길잡이 역할을 해준다.
크리스 탭 (LDRA Ltd. 필드 애플리케이션즈 엔지니어) : 연결성(connectivity)으로 인해 해커로부터 안전한 애플리케이션에 대한 필요성은 상당히 증가했다. 고객은 CERT 표준과 여타 안정성 가이드라인을 통해 완전한 보호와 무결함 등의 소프트웨어 목표를 달성할 수 있다.
존 맥도널드 (『소프트웨어 보안 평가의 기술(The Art of Software Security Assessment)』의 공저자) : 이 책은 오늘날의 소프트웨어 시스템이 실제 상황에서 어떻게 실패하는지를 정확히 설명해주며, 우리에게 꼭 필요한 전문 정보의 모음이다. 내부적으로 안전한 코딩 가이드라인을 구축하기 위한 시작 단계로 이 책을 먼저 읽어보자. 다른 어떤 곳에서도 이런 정보를 얻을 수 없으며, 소프트웨어 보안 영역에서는 무지했던 부분이 종종 우리를 괴롭히는 결과로 드러난다.
현동석 (옮긴이)의 말
많은 사람들이 C언어는 프로그래밍의 기초가 되는 언어라고 합니다. 그리고 실제로도 플랫폼의 특성을 잘 활용한 좋은 성능의 시스템을 구현할 때도 C언어를 많이 합니다. 하지만 이렇게 중요한 프로그래밍 언어를 안전하게 프로그래밍 하는 방법에 대한 책이 국내에 많이 소개되지는 않았습니다. 비슷한 책으로 오래 전인 2004년에 『C 함정과 실수(원서명 C Traps and Pitfalls)』라는 책이 출간된 적이 있는데, 이 책은 그보다 더 실무적인 차원에서 접근하고 있습니다.
이 책은 제목 그대로 버그 없이, 신뢰도와 보안성이 높은 소프트웨어 개발을 위해 좀 더 안전하게 C 프로그래밍을 할 수 있도록 도와주는 책입니다. 프로그래밍 언어 자체를 소개하는 일반 학습서에는 기술되지 않지만 실무에 적용할 때 반드시 부딪히게 되는 어려운 부분들이나 그 동안 살 떨리는 경험을 통해서만 알 수 있었던 고급 개발자들의 안전한 코딩에 대한 노하우가 이 책에 체계적으로 정리되어 있습니다. 따라서 고급 프로그래머의 코딩 노하우를 알고 싶거나, 안전한 C 코드를 짜고 싶다면 이 책을 당장 읽으시라고 추천합니다. 이 책이 정말 그러한 노하우를 제공해 줄 것인지는 당장 이 책의 2장~14장 중 아무 곳이나 펴보시면 금세 느끼실 것입니다.
다만 이 책에서 공개한 노하우들은 그냥 술술 읽기 쉽게 기술되어 있지는 않습니다. 저자는 이 책의 내용이 일종의 표준으로 사용될 수 있도록 의도했고, 때문에 안전한 코딩에 대한 모든 항목을 규칙과 제안으로 정리했으며, 각 규칙이나 제안에는 이를 지키지 않을 경우 얼마나 위험한지에 대한 평가도 제시해줍니다. 경우에 따라서는 이 책의 내용을 기준으로 코드의 안전성을 테스트하는 도구도 개발할 수 있도록 구성했습니다.
따라서 원문에서조차 '이런 식으로 코딩하면 해킹 당하기 쉽다'라고 하면 될 것을 '이 규칙을 위반할 경우 의도하지 않은 권한을 사용해 악의적인 사용자가 임의의 코드를 수행할 가능성이 존재한다'와 같이 다소 딱딱한 표현을 사용해 아주 구체적으로 기술하고 있습니다. 따라서 저 역시 이 책을 조직에서 개발 표준이나 규칙으로 사용할 가능성을 고려해 원문의 의도를 살려 번역했음을 미리 일러둡니다.
초급 프로그래머라면 각 제안과 규칙에 등장하는 용어들에 익숙하지 않을 수도 있습니다. 이러한 경우라면 책 뒤쪽의 용어해설 부분을 먼저 읽으시는 편이 좋습니다. 예를 들어 원문의 Implementation이 플랫폼 혹은 구현된 대상이라는 의미로 사용되는 경우가 있음을 용어해설 절에서 먼저 숙지하면 해당 용어를 사용한 부분을 이해하기 쉬울 것입니다. 그 외의 용어들은 필요에 따라 각주를 통해 설명했습니다.
일반적으로 보안이라고 하면 관공서나 금융 기관에서 사용하는 매우 높은 신뢰도를 요구하는 프로그램만을 생각할 수 있는데, 이 책의 코딩 규칙이나 제안들은 그러한 소프트웨어 보안 영역뿐만 아니라 일반적인 경우에도 필요합니다. 보안이 필요 없다고 해서 안전하지 않은 방식으로 프로그램을 작성한다면 버그 등 여러 문제를 지닌 소프트웨어를 만들 수 있는데, 아무도 자신이 개발한 소프트웨어가 문제와 버그로 가득 차기를 바라지는 않으니까요. 이 책은 두 가지 경우를 모두 염두에 두고 있으니 잘 읽어보시고 책의 내용을 통해 익힌 안전한 프로그래밍 방식으로 소프트웨어의 신뢰도와 보안성을 높여보시기 바랍니다.
(0)
최근작 :
