"정보자산의 로그인-ID/비밀번호가 유출이 되어도 대안이 있느냐?" 사람이 만든 소프트웨어가 완전하지 않다는 건 멀웨어에도 적용된다. 랜섬웨어는 주로 취약한 원격 데스크톱이나 VPN 등을 통해 최초 침투한다고 한다. 다른 데서 훔친 로그인 크리덴셜 스터핑을 활용하는 경우다. 크리덴셜 스터핑은 기존에 다른 곳에서 유출된 아이디(ID)와 패스워드(Password)를 여러 웹사이트나 앱에 대입해 로그인이 될 경우 개인정보나 자료를 유출하는 방법이다. 복잡한 것을 싫어하는 많은 사람들이 모든 웹사이트나 앱에서 같은 아이디와 패스워드를 사용하는 것을 노린 방법으로, 최근 홈플러스나 스타벅스 등에서 크리덴셜 스터핑을 이용한 공격으로 실제 피해를 입은 사건이 늘고 있다. 크리덴셜 스터핑에 당하지 않으려면 우선 사용하..

"간편성과 편리성만 내세우면 보안은 그만큼 허술하며, 이로 인한 댓가는 매우 혹독할 것" 다요소 인증(MFA, Multi-Factor Authentication)은 최소 두 가지 이상의 인증 요소를 이용하여 본인 여부를 인증하는 것으로 비밀번호와 같이 해당 이용자만이 알고 있는 요소(지식기반), 하드웨어 토큰과 같이 해당 이용자만이 갖고 있는 요소(소유기반), 생체인식 정보와 같이 해당 이용자만의 고유 요소(속성기반), 어떤 인물의 반복된 행동이나 기기 사용 방식(행위기반), GPS나 이동통신과 같이 특정 장소(장소기반) 등에서 최소 2개 이상을 함께 사용하여 이용자를 인증한다. 또한, 다요소 인증은 적어도 지식(knowledge), 소유(possession), 속성(inherence), 행위(behav..

보안 취약한 VPN 악용 공격 늘어…쉽고 안전한 재택근무 지원 통합 솔루션 등장 코로나19로 재택·원격근무가 본격 확산됐으며, 가장 강력한 보안을 요구하는 공공·금융기관도 재택·원격근무가 가능해졌다. 공공·금융기관의 재택근무 허용은 많은 변화를 일으키게 했는데, 망분리 환경을 유지하기 위해 회사에서 지급한 기기로 VPN을 이용해 사내 시스템이나 자신의 업무 PC에 접속하게 했다. VPN이 연결되지 않으면 해당 기기로는 아무 작업도 할 수 없으며, VPN을 통해 업무 PC에 접속한 후 사내 환경과 동일한 보안 정책을 적용받으면서 일하게 됐다. 부득이 개인 기기를 사용할 때에는 보안 에이전트를 설치하고 회사 엔드포인트 보안 정책을 적용해야 한다. 업무 형태가 자유로워진 만큼 공격자도 자유로워졌다. 거의 대부..

Google OTP 또는 Google Authenticator는 시간 기반 일회용 비밀번호 알고리즘(TOTP)와 HMAC 기반 일회용 비밀번호 알고리즘(HOTP)를 사용하여 다중 인증 서비스를 구현하는 소프트웨어 토큰의 하나로, 구글의 모바일 애플리케이션 사용자들을 인증하기 위해 사용된다. Google OTP는 제품화된 인증솔루션이 아니다. 이는 여러 보안취약점을 제거한 여타 유상 솔루션에 대비하여 많은 취약점을 가지고 있을 수밖에 없고, 구글에서도 Google OTP를 실제 서비스에 적용하는 것은 위험하다라고 인터뷰 한적이 있다. 하지만 무상이라는 이유로 암호화폐 거래소, 게임사 등에서 2차 인증 수단으로 적용했고, 이미 여러 해킹 사례가 발생하여 피해를 입은 사용자들이 많다. 물론 Google에서는 ..

"간편성과 편리성만 내세우면 보안은 그만큼 허술하며, 이로 인한 댓가는 매우 혹독할 것" 다중 인증(MFA, Multi-Factor Authentication)은 최소 두 가지 이상의 인증 요소를 이용하여 본인 여부를 인증하는 것으로 비밀번호와 같이 해당 이용자만이 알고 있는 요소(지식기반), 하드웨어 토큰과 같이 해당 이용자만이 갖고 있는 요소(소유기반), 생체인식 정보와 같이 해당 이용자만의 고유 요소(속성기반), 어떤 인물의 반복된 행동이나 기기 사용 방식(행위기반), GPS나 이동통신과 같이 특정 장소(장소기반) 등에서 최소 2개 이상을 함께 사용하여 이용자를 인증한다. 또한, 다중 인증은 적어도 지식(knowledge), 소유(possession), 속성(inherence), 행위(behavio..

모바일 가상화 플랫폼(VMI)은 서버에 있는 모바일 가상(개인사용자)영역에 접근하여, 개인 모바일 영역과 물리적으로 완전히 분리된 모바일 업무환경을 제공하는 플랫폼으로 사용자 식별ㆍ인증을 위하여 2단계 인증(다중인증, 추가인증, 2차인증, 일회용 인증)체계 솔루션인 BaroPAM을 적용하여 정보자산의 보안을 강화한다. 1. Virtual Mobile Platform? Android 기반의 가상화 환경을 제공하여 안전하고 편리한 BYOD를 실현할 수 있는 보안 솔루션이다. - 데이터 분리 개인 모바일 영역과 업무 영역이 물리적으로 완전히 분리 - 하나의 APP 하나의 Android 앱 개발로iOS/Andorid 사용자 모두 업무앱 사용가능 - 중앙 집중 관리 관리자가 중앙 관리 콘솔을 통해 모든 업무앱 및..

최근 원격근무 확산 등으로 사이버 보안 위협은 더욱 증가하고 있으며, 여기에 이메일, 금융, 소셜 등 디지털 생활의 주요 보안 수단으로 사용되고 있는 비밀번호는 사이버 공격자의 주요 공격 표적이 되고 있다. 특히, 공격자는 보안 경계를 뚫는 것 보다는, 쉽게 구할 수 있는 사용자 계정으로 로그인 한 후 내부에서 더 높은 권한을 탈취하면서 공격 범위를 확장해 간다. 기업 및 개인의 정보 유출에 대한 해킹 피해보도는 잊혀질 만 하면 계속 발생되고 있으며, 이에 대한 피해는 심각한 수준이다. 보다 근본적으로 해킹에 안전한 다중 인증을 사용하여 대응하여야 한다는 인식이 사회적으로 확산되고 있는 실정이다. 보안은 어렵고 적용하면 불편하다는 편견에 사로 잡혀 있는 게 현실이며, 이런 고정 관념을 탈피하여 외부의 해..

최근 원격근무 확산 등으로 사이버 보안 위협은 더욱 증가하고 있으며, 여기에 이메일, 금융, 소셜 등 디지털 생활의 주요 보안 수단으로 사용되고 있는 비밀번호는 사이버 공격자의 주요 공격 표적이 되고 있다. 특히, 공격자는 보안 경계를 뚫는 것 보다는, 쉽게 구할 수 있는 사용자 계정으로 로그인 한 후 내부에서 더 높은 권한을 탈취하면서 공격 범위를 확장해 간다. 기업 및 개인의 정보 유출에 대한 해킹 피해보도는 잊혀질 만 하면 계속 발생되고 있으며, 이에 대한 피해는 심각한 수준이다. 보다 근본적으로 해킹에 안전한 다중 인증을 사용하여 대응하여야 한다는 인식이 사회적으로 확산되고 있는 실정이다. 보안은 어렵고 적용하면 불편하다는 편견에 사로 잡혀 있는 게 현실이며, 이런 고정 관념을 탈피하여 외부의 해..

사이버 범죄자는 크리덴셜 스터핑(Credential Stuffing)을 통해 유출된 계정을 여러 가지 방식으로 활용한다. 실제로 2020년 게임 업계에서 발생한 스터핑 공격은 2019년 대비 224% 증가했다. 게다가 2020년에는 크리덴셜 스터핑 공격이 흔하게 발생해 사용자 이름과 비밀번호로 구성된 대규모 리스트가 불법 웹 사이트에서 겨우 5달러(한화 약 6,700원)에 판매되기도 했다. 사이버 범죄자들은 코로나19 기간 중, 이전에 확보한 계정 목록을 재활용하기도 했으며, 새로운 공격 목표를 대상으로 탈취한 목록을 시험하기도 했다. 이런 활동은 2020년 초에 시작돼 1년간 지속됐다 게임 업계를 대상으로 한 공격 증가의 또 다른 원인은 한층 발전하고 정교해진 범죄자들의 공격 기법 때문이라고 할 수 있..

인지도가 높고 선호되는 생체인식 기술(2021년 상반기 기준)은 얼굴인식, 홍채인식, 지문, 정맥 패턴 인식, 음성인식, 입모양 인식이다. 첫 번째 걸림돌은 아직은 기업용 생체인식 솔루션에 대한 대중 시장이 부재하는 것이다. 시장이 세분화돼 있기 때문에 고객군의 파악도 힘들고 기술 개발 능력이 가능한 대기업군의 차세대 사업으로만 인지돼 있다. 얼굴인식 시스템은 현재 개인정보 보호법과 상충하고 있어 기술을 보유하고 있는 대기업들도 상용화하는데 난관에 부딪힌 상황이다. 두 번째로 생체인식 IT 솔루션 생성 및 실행은 보안 및 안정성 문제에서 매우 신중히 접근해야하는 과제를 안고 있다. 생체인식 시스템 적용은 특수 장비가 필요하기 때문에 중소 및 스타트업 기업들이 수행하기는 어려운 상황이며 고객들의 인지도와 ..