주식회사 누리아이티

정보자산의 보안강화를 위한 다계층 인증SW (BaroPAM) 전문기업.

▶ BaroSolution/기술문서 187

정보가 유출되어도 계정을 안전하게 보호할 수 있는 다중 인증(MFA) 도입이 시급하다.

하루가 멀다하고 떠지는 계정정보 유출 및 도용 사고가 끊이질 않고 있다. 그래서, 기기마다, 플랫폼마다, 계정마다 각기 다른 비밀번호를 설정하고 주기적으로 변경할 것을 권장한다. 하지만 여러 개의 비밀번호를, 그것도 특수문자와 대문자를 포함하고 생년월일과 무관하며 연속성이 없는 최소 8자 이상의 글자 조합을 외우는 것은 좀체 만만한 일이 아니다. 그렇다고 컴퓨터 앞에 적어 둘 수도 없는 노릇이다. 그러니 기존에 사용한 적이 없으면서도 잊어버리지 않을 만한 비밀번호의 조합을 만들어내는 것은 이제 창의성의 영역에 있는지도 모르겠다. 해외 보안 전문 업체의 발표에 따르면, 2020년에 가장 많이 사용된 패스워드는 "123456"이다. 2019년 1위는 "12345"였으니, 겨우 숫자 한 자리가 늘어났을 뿐이다..

다중인증(MFA)에 대한 인식의 대전환이 필요

‘갈수록 정교해지는 클라우드 인프라 공격’이다. 아마존(Amazon), 마이크로소프트(Microsoft), 구글(Google) 등에 대한 클라우드 인프라 공격이 증가하고 있다. 다중인증(MFA), 프록시 침투, API 실행을 활용한 더욱 정교한 공격이 지속되고 있지만, 가장 흔한 공격 기법은 유효한 계정을 악용하는 것이다. 이 같은 공격은 다른 공격 기법보다 2배 더 많이 탐지되고 있다. 특히, 원격근무 환경에서 사용자 계정의 비정상적인 접근은 심각한 수준으로 드러났다.날로 지능화된 사이버 공격에 대응하기 위하여 정보자산의 보안강화를 위한 다중인증(MFA)의 인증키는 무엇보다도 본인이 소유하고 있는 인증키 생성매체를 사용해서 본인이 직접 인증키를 생성하여 본인이 직접 입력해야 그나마 보안 사고를 예방할 ..

보안강화를 위한 BaroPAM 솔루션의 3단계 인증이란?

"2단계 인증도 약하다. 3단계 인증의 시대로!" 외부의 해커나 내부의 사용자가 불법적으로 정보자산에 접근하는 것을 제한하기 위하여 우회.원격 접속 차단 및 중간자 공격, MFA 우회기술.피로 공격을 어떻게 방어할 것인지가 어느 때보다도 그만큼 중요하다.    정보자산의 보안강화를 위한 누리아이티 BaroPAM의 3단계 인증은 날로 지능화된 사이버 공격에 대응하기 위한 최적의 보안 대책으로 기존의 지식기반 인증(ID/비밀번호)과 지문이나 안면 같은 사람의 고유한 특징인 생체인식을 통해 인증하는 속성기반 인증에 소유기반 인증(일회용 인증키)을 추가하여 정보자산의 보안 강화에 최적화된 방안이다.  이러한 3단계 인증의 핵심은 아무나 인증수단에 접근할 수 없다는 점이다.   아이디와 암호는 알기만 하면 누구나..

Tomcat 관리자 콘솔의 보안 취약점을 하루 빨리 2차 인증으로 개선이 시급

해커들은 피해자 PC에 초기 침투하기 위해 ▲어플리케이션 취약점 공격 ▲악성메일 ▲웹사이트에 특정 페이지에 악성코드를 심어두는 '워터링홀' 등 잘 알려진 공격기법을 주로 활용한다. 그 중 가장 많이 이용한 것은 '어플리케이션 취약점' 공격이다. MS익스체인지·오라클 웹로직·아파치 등 응용 소프트웨어의 보안 정책에서의 결함이나 시스템 개발에서의 눈에 띄지 않는 취약점을 공격하는 방법이다.​현재는 널리 사용하고 있어 그만큼 보안이 중요 하지만 Tomcat의 버그, 보안 취약점 등 설계상 결함을 이용해 공격자의 의도된 동작을 수행하도록 만들어진 절차나 일련의 명령, 스크립트, 프로그램 또는 특정한 데이터 조각을 사용한 공격 행위를 이르기도 한다.​이러한 취약점 공격(Exploit) 원인은 Tomcat의 디폴트..

비밀번호를 매번 사용할 때마다 매번 변하거나 한번 사용하고 버리는 일회성/휘발성 같은 동적보안 솔루션으로 대체 했을 때 이점

"정적인 비밀번호, 서명, 사인, 지문, 안면, 홍체 등과 같은 패턴과 시그니처를 기반으로 한 정적인 보안의 시대는 끝났고, 이젠 정적인 보안이 아닌 매번 변하거나 한번 사용하고 버리는 일회성 또는 휘발성 같은 동적인 보안의 시대로!" 사이버 보안이 국가 안보와도 직결되는 만큼 정보 보안 산업의 중요성은 재론의 여지가 없다. 미국립표준기술연구소(NIST)가 최근 발표한 비밀번호 가이드라인에 따르면 주기적으로 비밀번호를 변경하는 것이 온라인 해킹 침해를 결코 막지 못한다고 한다. 주기적인 비밀번호 변경은 약한 비밀번호를 생성시킬 가능성이 높을 뿐만 아니라 사용자는 수십 개의 비밀번호를 기억하지 못해서 결국 어디엔 가는 써 놓게 된다는 것이다. NIST는 비밀번호 가이드라인 개정을 통해 비밀번호를 특수문자를..

BaroPAM 솔루션의 3단계 인증 체계란?

"2단계 인증도 약하다. 3단계 인증의 시대로!" 스피어피싱(특정 대상 공격)·조용한 해킹(사용자 모르게 단말 정보 탈취) 등 다양한 사이버 공격 수법이 나오면서 해킹 경로도 복잡해지고 있다. 그러므로, 외부의 해커나 내부의 사용자가 불법적으로 정보자산에 접근하는 것을 제한하기 위하여 우회.원격 접속 차단 및 중간자 공격, MFA 우회.피로 공격을 어떻게 방어할 것인지가 어느 때보다도 그만큼 중요하다. BaroPAM 솔루션의 3단계 인증 체계는 날로 지능화된 사이버 공격에 대응하기 위한 최적의 보안 대책으로 기존의 지식기반 인증(ID/비밀번호)과 지문이나 안면 같은 사람의 고유한 특징인 생체인식을 통해 인증하는 속성기반 인증에 소유기반 인증(일회용 인증키)을 추가하여 정보자산의 보안 강화에 최적화된 방안..

FIDO(Fast Identity Online) 란?

“Public-Key Cryptography(공개키 암호기술)”를 적용하고 있는 대표적 기술인 FIDO(Fast IDentity Online)에 대하여, 암호 기술이 적용되는 곳을 기준으로 동작 개념을 정리하였습니다.    FIDO에서 사용하는 “Public-Key Cryptography”에서는 타원곡선암호기술(ECC)에 속하는 ECDSA 암호알고리즘만 사용합니다.   참고로, PKI는 Public Key Infrastructure의 약자로  Public-Key Cryptography 방식에다가 외부 공인 기관인 CA 기관을 필요로 하는 방식입니다.   1. FIDO(Fast  Identity  Online)란? FIDO는 Password를 서로 공유하여 인증하는, 공유방식 인증 방식 대신, 사람의 생체..

웹 애플리케이션 서버(WAS) 로그인 시 보안의 취약점을 개선하기 위한 사용자 식별ㆍ인증을 위하여 2차 인증의 필요성

새해들어 얼마 지나지 않았는데, 사이버 공격이 밤낮없이 발생하고 있다. 방심한 사이를 틈타 눈 깜짝할 사이에 시스템을 마비시키거나 소중한 개인정보를 탈취해 간다. 더욱이 사이버 범죄자들은 날이 갈수록 체계적이고 지능화되어 조직화되는 양상으로 진화하고 있다. 처음부터 완전한 보안 시스템은 없다. 간단(느슨)한 구성에서 시작해 더 복잡(견고)한 보안 시스템으로 진화하는 것이 중요하다. 느슨한 결합으로 이뤄진 플러그인 가능한 인증모듈(PAM, Pluggable Authentication Module) 기반의 아키텍처는 예상치 못한 스파이크가 발생했을 때에도 유연하게 대응할 수 있고 자연스런 스케일링도 가능하다. 이런 아키텍처가 더 쉽게 진화할 수 있다. '아무 것도 신뢰하지 않는다'는 것을 전제로 보안 시스템..

"2차 인증을 도입했다"는 것이 아니라 기술 및 보안성 등 "어떤 2차 인증을 도입했느냐"가 관건

SMS, 이메일 등 문자 기반의 메시지로 인증코드를 전송 했을 때 발생하는 방식은 해커들이 좋아하는 방식으로 사이버 범죄에 이미 악용되고 있다.  리버스 프록시(Reverse Proxy)와 같은 기술을 적용하여 인증을 우회할 수 있는 구조 및 푸시 알림을 계속 보내 상대방을 지치게 만들어 우발적으로 로그인 승인 버튼을 누르게 만드는 공격인 "MFA 피로 공격(fatigue attacks)"은 2차 인증 중 해커들이 좋아하는 2 채널 인증 방식에서 발생(삼성전자, MS, 우버, 레딧 등)하고 있다.   고로 2차 인중 중 해커들이 좋아하는 2 채널 인증 방식을 사용하지 말고, 제로트러스트(Zero Trust) 보안 모델을 적용한 별도의 인증서버가 필요 없는 모듈 인증 방식인 BaroPAM 솔루션 같이 다양..

정보자산의 보안을 강화하기 위하여 주목해야 할 것들

새해들어 한달도 지나지 않았는데, 사이버 공격이 밤낮없이 발생하고 있다. 방심한 사이를 틈타 눈 깜짝할 사이에 시스템을 마비시키거나 소중한 개인정보를 탈취해 간다. 더욱이 사이버 범죄자들은 날이 갈수록 체계적이고 지능화되어 조직화되는 양상으로 진화하고 있다. 처음부터 완전한 보안 시스템은 없다. 간단(느슨)한 구성에서 시작해 더 복잡(견고)한 보안 시스템으로 진화하는 것이 중요하다. 느슨한 결합으로 이뤄진 플러그인 가능한 인증모듈(PAM, Pluggable Authentication Module) 기반의 아키텍처는 예상치 못한 스파이크가 발생했을 때에도 유연하게 대응할 수 있고 자연스런 스케일링도 가능하다. 이런 아키텍처가 더 쉽게 진화할 수 있다. '아무 것도 신뢰하지 않는다'는 것을 전제로 보안 시스..