미국립표준기술연구소(NIST)가 최근 발표한 비밀번호 가이드라인에 따르면 주기적으로 비밀번호를 변경하는 것이 온라인 해킹 침해를 결코 막지 못한다고 한다. 주기적인 비밀번호 변경은 약한 비밀번호를 생성시킬 가능성이 높을 뿐만 아니라 사용자는 수십 개의 비밀번호를 기억하지 못해서 결국 어디엔 가는 써 놓게 된다는 것이다. NIST는 비밀번호 가이드라인 개정을 통해 비밀번호를 특수문자를 포함한 여러 문자로 조합하고 일정 기간마다 바꾸도록 하라는 강제요건을 삭제했다. Microsoft가 기업의 보안 관리자에게 권장하는 내용(보안기준)은 주기적인 비밀번호 변경이 보안에 실질적으로 도움이 되지 않는다는 주장이 힘을 얻은 상황에서 PC 운영체계인 Windows 10과 Windows 서버의 보안 기준에서 비밀번호를 ..

* 요구사항 상세 설명(세부규격) -별도의 추가적인 인증서버가 필요 없는 플러그인 가능한 모듈(PAM, Pluggable Authentication Module) 인증 방식의 3단계 인증 체계 지원 -전세계적으로 인정된 표준 해쉬 함수(HMAC-SHA512) 사용 및 인터넷 보안 표준인 IETF RFC 6238 준수 -OTP인증은 시간동기방식으로 제공(이벤트 및 질의응답 방식 불가) -빈번하게 발생하는 통신 장애 또는 보안 지역에서도 인증 가능 -OTP 코드 입력 방식 이외의 다양한 간편 인증 방식 제공(모바일, 응급 일회용 인증키 입력, Web OTP 등) -데스크탑(윈도우계열, 개방형OS, 리눅스 계열, 제로 및 씬 클라이언트 환경 등)에 정적 HMAC Key 및 OTP 생성주기(3~60초)를 개별로..

"간편성과 편리성만 내세우면 보안은 그만큼 허술하며, 이로 인한 댓가는 매우 혹독할 것" 보안 업계에서 몇 년 전부터 유행하기 시작한 말이 있다. 아이덴티티는 새로운 외곽(identity is the new perimeter)이라는 말이다. 너무나 많은 사용자가, 더 많은 장비들을 가지고, 다양한 장소에서 회사 네트워크에 접속하는 게 일상인 시대에 보안강화를 위한 정보자산의 인증 절차를 강화하는 것만큼 중요한 건 없다. 그리고 현재 정보자산의 보안강화를 위하여 가장 강력하다고 여겨지는 최상의 방법은 2차 인증(추가 인증)이다. 가장 민감한 부분과 데이터에 2차 인증 기능을 마련하고, 각종 접근점에 2차 인증 옵션을 걸어두는 건 그리 어려운 일이 아니다. 하지만 대단히 효과적이다. 구글이 지난 해(2021..

"정보자산에 대한 보안은 강화하고 사용자의 불편함을 최소화하는 BaroPAM 솔루션의 전략" 보안은 어렵고 적용하면 불편하다는 편견에 사로 잡혀 있는게 현실이며, 이런 고정 관념을 탈피하여 외부의 해커 또는 내부 사용자가 불법적으로 정보자산에 접근하는 상황을 제한(정보자산의 우회/원격접속을 차단)하여 정보자산의 보안을 강화하는 것이 최상의 보안전략으로 정보 보안은 단순해야 하며, 누구나 손쉽게 적용할 수 있어야 하며, 운영 및 관리도 간편하면서 보안성은 강하게 해야 한다. BaroPAM 솔루션은 정보자산의 보안 강화를 위하여 본인인증이 필요한 다양한 운영체제와 애플리케이션에 누구나 손쉽게 곧바로 적용할 수 있는 플러그인 가능한 인증 모듈(PAM, Pluggable Authentication Module)..

기업 및 개인의 정보 유출에 대한 해킹 피해보도는 잊혀질 만 하면 계속 발생되고 있으며, 이에 대한 피해는 심각한 수준이다. 보다 근본적으로 해킹에 안전한 다중 인증을 사용하여 대응하여야 한다는 인식이 사회적으로 확산되고 있는 실정이다. 또한, 공공기관 및 일반기업이 서버, PC, 어플리케이션, 이메일 등에 정보자산의 보안 강화를 위한 다중 인증 솔루션을 도입한 이유이기도 하다. 정보자산의 보안 강화를 위하여 어느 한 구간만 보안 강화는 별로 도움이 되지 않으며, 이제는 모든 정보자산에 대한 다중 인증 솔루션의 적용은 선택이 아닌 필수로 보다 더 안전하게 정보자산을 보호할 수 있다. "2차 인증 설정 시 타인에게 ID와 비밀번호 노출돼도 계정 접근 불가능" 타인이 로그인을 시도했다는 것은 결국 ID와 비..

"스마트 워크, 재택근무(WFA), 모바일 가상화(VMI), MS Azure, 클리우드 환경 등에 보안강화를 위한 다중인증 체계 도입 절실!" 클라우드 서비스 제공 업체들은 일반 기업들보다 더 강력한 보안 기능을 제공할 것이라는 기대감이 사용자들 사이에 존재한다. 보기에 따라 맞는 말일 수도, 틀린 말일 수도 있다. 분명한 건 클라우드 서비스를 제공하는 대기업들이라고 하더라도 완전하지는 않다는 것이다. 이제는 클라우드가 온라인 생활의 필수 요소가 되었다. 애플리케이션과 DB를 사용해서 하는 모든 일들이 이런 저런 방법으로 클라우드와 엮이게 되어 있다. 또한, 최근 DB가 설정 오류와 관리 부실로 고스란히 노출되는 사건이 너무나 많이 일어나고 있고, 이 때문에 다크웹에서는 추가 범죄에 활용할 수 있는 자원..

"간편성과 편리성만 내세우면 보안은 그만큼 허술하며, 이로 인한 댓가는 매우 혹독할 것" 사이버 보안(Cyber security)이란 인터넷상의 해킹, 정보의 유출, 사이버 테러, 금융 사고 따위의 위험으로부터 사용자의 자산을 지키기 위하여 시행하는 모든 일을 의미한다. 사이버 환경에서 네트워크 운영상의 위험으로부터 조직과 사용자 자산을 보호하기 위해 사용하는 기술적 수단, 보안 정책, 개념, 보안 안전 장치, 가이드 라인, 위기 관리 방법, 보안 행동, 교육과 훈련, 모범 사례, 보안 보증, 그리고 보안 기술 등의 집합. 사이버 보안은 사이버 환경에서 다양한 보안 위협으로부터 조직과 사용자 자산의 운영 영속성을 보장한다. 일반적인 보안 목표는 가용성, 메시지 인증, 부인 방지를 포함한 무결성, 그리고 ..

구글이 지난 해(2021년) 자사 서비스에 자동 활성화 시킨 2단계 인증을 통해 계정 해킹을 50% 줄였다고 구글 블로그를 통해 밝혔다. 2단계 인증은 새로운 장치에서 로그인을 시도할 때 이용자의 모바일 장치 또는 다른 계정을 통해 이것이 정상적인지 확인하는 절차를 거치는 방식이다. 때문에 크리덴셜 스터핑, 클라우드 재킹, 멜웨어나 피싱, 스팸 메시지, 해킹, 사이버 공격 등으로 비밀번호가 유출되어도 이용자가 이를 확인하고 로그인을 차단할 수 있다. 구글은 이러한 2단계 인증 및 비숫한 다중 인증(MFA, Multi-Factor Authentication) 체계의 효율성에 대해 많은 것을 보여준 결과라고 밝혔다. 다중 인증(MFA, Multi-Factor Authentication)는 최소 두 가지 이상..

피싱 키트(Phishing kits)의 개념은 보안과 관련한 사람이 아니라면 다소 어려울 수 있다. 피싱(Phishing)은 소셜 엔지니어링 공격과 직접적으로 관련이 있다. 일반적으로 이메일을 중심으로 하는 범죄자들은 피싱을 사용해 접근권한이나 정보를 얻는다. 피싱 공격은 피해자와 피해 기업에 맞게 맞춤화될 수 있다. 피해자에게 직접 초점을 맞춘 피싱 공격을 스피어 피싱(Spear phishing)이라고 한다. 예를 들어, 범죄자가 회사 내 그룹이나 사람을 표적으로 삼는 경우, 스피어 피싱을 사용해 이메일을 합법적으로 보이게 만든다. 보통 피해자의 정확한 이름과 직함을 사용하거나 합법적인 프로젝트, 알려진 동료를 업급하거나 고위 경영진의 이메일을 스푸팅(Spoofing)해 수행한다. 비싱(Vishing,..

1. 스마트 워크(Smart work)란? 스마트 워크(Smart work)는 똑똑하게 일한다는 뜻으로 시간과 장소에 얽매이지 않고 언제 어디서나 일할 수 있는 체제를 말한다. 이런 일을 가능하게 해주는 것이 바로 IT인데, 이 IT 기술로 화상회의 등 ICT를 활용하여 장소, 시간에 상관없이 다른 사람과 정보를 공유하고, 서로 상호 협력하여 업무를 수행하는 유연한 근무형태를 의미한다. 2. 스마트 워크 유형 1) 재택근무(Home Office) 재택근무는 근로자들이 IT 기술을 활용하여 사무실이 아닌 자택을 업무장소로 선택한 근무형태이다. 재택근무 프로세스는 사무실과 동일한 업무환경을 구축하고, 인증기술을 이용하여 회사의 인트라넷에 접속하여 업무를 수행하고, 원격지에 떨어진 다른 근무자들과 원격회의, ..