BoB을 향한 여정
처음 Best of the Best(BoB)를 알게 되었을 때 나는 보안 지식이 거의 없던 대학교 2학년이었다. 당시에는 프로그램 자체가 너무 높은 곳에 있는 것처럼 느껴졌다. 더 많은 준비가 필요하다는 것을 알았기에 기다리기로 했고, 2년간 독학으로 실력을 쌓은 뒤 취약점 분석 트랙으로 8기에 지원했다.
보안에 처음 관심을 갖게 된 계기는 단순했다. 알고 있는 것이 C언어 하나였던 시절, 우연히 만난 책이 문제풀이로 배우는 FTZ 시스템 해킹이었다. 그 책 한 권이 보안 공부의 시작점이 되었다. 디버거, 어셈블리어, 각종 프로그래밍 기법 — 처음 접하는 것들과 다시 배워야 하는 것들이 쏟아졌다. 리버스 엔지니어링이 시스템 해킹과 함께 쓰인다는 사실도 그때 처음 깨달았다. 아침 9시에 독서실에 도착해 밥 먹는 한 시간을 빼고 밤 12시까지 문제만 풀었던 기억이 난다. 쉘을 따는 순간의 쾌감은 아직도 생생하다.
왜 취약점 분석 트랙인가
BoB 취약점 분석 트랙에 지원한 데는 분명한 이유가 있었다. 처음에는 사고 대응(Incident Response)과 포렌식에 관심이 있었지만, 기초 실력이 충분하지 않다는 것을 인정해야 했다. 컨설팅 쪽도 고려했지만, 파견-모의침투의 반복이라는 사이클이 결국 지루해질 것 같았다.
그보다 더 중요한 깨달음이 있었다. 훌륭한 취약점 분석 능력은 어떤 보안 커리어를 걷든 근본이 된다는 것이었다. CTF(Capture The Flag) 대회를 실력의 척도로 봤고, CTF를 잘 하는 사람은 분석 능력과 개발 능력 모두 탄탄하다는 공통점이 있었다. 실전 CTF와 취약점 리서치는 서로 다른 각도에서 같은 기초 역량을 쌓아준다.
BoB 커뮤니티 자체도 끌림의 이유였다. 대학교에서 멘토나 동료를 찾기가 쉽지 않은 반면, BoB에는 훨씬 앞선 연구자들이 있었다. 그들과 함께 배우고 일하며 성장하고 싶었다.
학습 계획
BoB에서 집중한 두 가지 핵심 방향이 있었다.
주요 집중: 취약점 분석 — 펌웨어와 임베디드 디바이스
작은 디바이스(공유기)에서 시작해 점차 큰 타겟(TV, 냉장고)으로 넓혀가는 계획을 세웠다. 처음엔 공유기 취약점이 매혹적이었다. 무작정 버그헌팅에 도전했던 경험이 지금은 가장 깊이 파고싶은 분야가 되었다.
부수적 집중: SDR과 RF 보안
SDR(Software-Defined Radio)은 신호 탐지, 수집, 분석을 어떻게 하는지조차 몰랐던 영역이었다. 멘토분들께 조언을 구해 RF Reply 공격을 직접 시연해보는 것이 목표 중 하나였다. 무작정 장비를 사기도 했다 — 안테나 성능이 부족해 신호를 제대로 잡지 못하는 시행착오도 겪었다.
그리고 한 가지 원칙을 세웠다: 자는 시간은 반드시 지킨다. 몸이 버텨야 머리도 돌아간다. 재능 있는 연구자들이 번아웃으로 떠나는 것을 보았고, 지속 가능한 학습은 신체와 정신 건강 위에서 가능하다는 것을 알았다.
기술적 여정
시스템 해킹과 바이너리 익스플로잇
CTF 문제를 풀면서 리버스 엔지니어링 실력이 함께 성장했다. ROP(Return-Oriented Programming)를 이해하는 데 특히 긴 시간이 걸렸다. 단순한 strcpy 스택 오버플로우가 아니라 recv, send 같은 네트워킹 함수를 쓰는 환경은 훨씬 복잡했기 때문이다. 처음 ROP 체인을 성공적으로 실행했을 때의 성취감은 지금도 잊을 수 없다.
IoT 보안과 펌웨어 분석
가장 최근에 빠져든 분야다. 펌웨어 추출과 분석에서 시작해 하드웨어 수준의 공격으로 발전했다. ARM과 MIPS 아키텍처는 처음에는 낯설었다. 인수 전달 방식과 명령어 세트가 x86과 달랐기 때문이다. 어셈블리를 직접 손으로 써가며 임베디드 환경에서 고전적인 기법(BOF, RET-to-libc)을 재현하는 과정을 통해 점차 자신감을 쌓았다.
KISA 주관 IoT 교육 프로그램에서 하드웨어 지식을 쌓았고, 이때 처음 SDR을 알게 되었다. 이후 RF 신호 분석 기능을 갖춘 OTP 기반 스마트 도어락을 직접 만들었다. 기존 도어락과 달리 문이 열리는 신호와 OTP 신호를 함께 내보내 RF 신호 분석을 어렵게 만드는 연구 프로젝트였다.
사회복무요원으로 근무하면서도 공부를 놓지 않았다. Tiger Team 창설자 황석훈님의 도움을 받아 시스템 해킹 가이드라인 문서를 작성했다. H4C Team의 해킹 캠프에서 이 내용을 발표했을 때 반응이 예상보다 훨씬 좋았다. 직접 정리한 내용이 다른 사람들의 학습에 기여했다는 사실이 뿌듯했다.
주요 연구 성과: 파일시스템 퍼저와 16개 CVE
BoB 기간과 그 이후 연구의 핵심 결과물은 커널 서브시스템을 대상으로 한 파일시스템 퍼저 구축이었다. 체계적인 퍼징과 분석을 통해 다양한 커널 컴포넌트에서 CVE 16개를 발견하여 널리 사용되는 시스템의 보안에 기여했다.
이 연구는 주요 국제 보안 컨퍼런스 발표를 통해 공유되었다:
- CodeBlue: 일본 최고 권위의 보안 컨퍼런스. 아시아 전역의 연구자들과 기법 및 발견 내용을 공유했다
- HITB (Hack In The Box): 아시아 최대 규모 해킹 컨퍼런스 중 하나
- 국가보안기술연구소(NSRI): 정부 주도 보안 연구 기관
각 발표는 복잡한 기술적 작업을 전달하는 방식을 다듬는 훈련이었다. 방법론을 방어해야 했고, 세계 수준의 연구자들로부터 피드백을 받았다.
왜 이 경험이 중요한가
BoB 경험은 공격적 취약점 연구를 향한 길을 확실히 굳혔다. 프로그램은 세 가지를 주었다: 먼저 길을 걸어간 멘토, 사고를 도전하는 동료, 가설을 검증하는 구조화된 환경.
더 중요한 것은, 보안 연구가 직업이 아닌 소명이라는 것을 증명해주었다는 점이다. 파일시스템 퍼저 프로젝트가 그 예다. 취약점 발견이 유일한 목표가 아니었다. 그 버그들이 왜 존재하는지, 어떻게 익스플로잇될 수 있는지, 발견 내용을 어떻게 효과적으로 전달하는지가 연구자로서의 정체성의 일부가 되었다.
공격적 보안 연구를 계속하면서 BoB에서 배운 교훈은 여전히 중심에 있다: 강한 기초를 쌓고, 나보다 뛰어난 사람들과 함께하고, 계속 배워라.