"간편성과 편리성만 내세우면 보안은 그만큼 허술하며, 이로 인한 댓가는 매우 혹독할 것!" 웹 사이트에 로그인하는 경우 아이디(ID)와 비밀 번호(PW)를 최초에 입력해 놓으면 차후 이를 다시 입력하지 않아도 곧바로 로그인이 되도록 한 것이다. 이 방식은 자주 방문하는 사이트를 이용할 때는 편리하지만, 최초 접속자와 다음 접속자가 동일하지 않을 경우 주민 등록 번호 등 개인 정보가 누출될 수도 있어 보안에 취약한 단점이 있다. 특히, 편리하다는 이유로 아이디·비밀번호 자동 저장기능을 자주 사용하는 이용자들은 더욱 주의가 요망된다. 해당 기능 사용자가 ‘인포스틸러’에 감염되면, 웹 브라우저에 저장된 아이디·비밀번호 등 로그인 정보가 탈취될 수 있다. 해커는 아이디·비밀번호 등 개인정보 탈취를 위해, 악의적..

최근 침해사고 키워드로 △크리덴셜 스터핑 △공급망 공격 △백업 솔루션 취약점 △무단 문자 발송 △공유기 디도스 △국내 웹사이트 대상 웹변조/정보유출을 들을 수 있다. 공격자들은 유명 포털 사이트로 위장한 피싱 사이트를 만들어 사용자 계정을 탈취하고 확보한 아이디, 패스워드를 활용해 다양한 불법적인 행위로 사용자들에게 피해를 발생시킨다. 크리덴셜 스터핑 공격을 막기란 쉽지 않다. 국내외 IP를 활용해 지속적으로 피싱 사이트 공격이 발생하고 있다. 이를 통해 개인정보 유출이나 상품권 무단 사용 등 피해가 발생하게 되는데 이러한 2차 피해를 예방하기 위해서는 각 사이트에서 2차 인증(추가 인증)이 적용이 반드시 필요하다. 그리고 평소와 다른 IP에서 로그인이 발생할 때 이를 감지, 차단하는 방법도 적극 활용해..

간편성과 편리성만 내세우면 보안은 그만큼 허술하며, 이로 인한 댓가는 매우 혹독할 것이다. 이젠 보안에 대한 인식을 하루 빨리 바뀌어야 한다. 아직도 보안에 취약한 이런 방식이 사용되고 있다는 현실이 안타깝다. ▶2차 인증 중 해커들의 가장 좋아하는 적용 방식: Gateway(+Proxy) 방식 ▶2차 인증 중 가장 취약한 인증 방식: SMS, 이메일 등 문자기반의 인증 ▶2차 인증 중 해커들이 가장 애용하는 우회 기술과 피로공격에 취약한 인증 방식: 2 채널 인증 ▶피싱 공격에 잘 속는 링크 방식: QR 코드 방식 정보자산의 보안 강화를 위해서는 가장 중요한 기본 사항이다. ▶인증 절차 시 데이터 위변조를 어떻게 방어할 것인지? ▶계정 정보 도용 및 악용은 어떻게 차단할 것인지? ▶브라우저 자동 로그인..

일반적으로 RADIUS 인증은 라우터, L3스위치, L4스위치 등 네트워크 장비의 관리자 계정 또는 무선 네트워크 접속 시 사용자 인증을 위해 사용하는 경우가 많지만 리눅스 서버의 사용자 접속 시 인증을 위해서도 사용할 수 있다. 이는 리눅스나 유닉스가 PAM (Pluggable Authentication Module)이라는 방식을 지원하기 때문에 가능하다. 이 가이드를 사용하여 SSH 클라이언트에 대한 다중 인증(MFA)을 Linux 또는 Unix에 허용하도록 BaroPAM 플랫폼 어플라이언스를 RADIUS 서버로 구성한다. BaroPAM 플랫폼 어플라이언스 RADIUS 서버는 모든 RADIUS 클라이언트의 요청을 인증하여 가상 사설망(VPN), Linux 또는 Unix 서버 또는 모든 호환 RADIU..

"비밀번호가 도난되지 않은 상황에서 빈번하게 비밀번호를 바꾸면 비밀번호가 패턴화되고 추측하기 쉬워지거나 비밀번호를 어딘가에 적어야 하는 등 오히려 보안 위험이 될 수 있다" 하루가 멀다하고 떠지는 계정정보 유출 및 도용 사고가 끊이질 않고 있다. 그래서, 기기마다, 플랫폼마다, 계정마다 각기 다른 비밀번호를 설정하고 주기적으로 변경할 것을 권장한다. 하지만 여러 개의 비밀번호를, 그것도 특수문자와 대문자를 포함하고 생년월일과 무관하며 연속성이 없는 최소 8자 이상의 글자 조합을 외우는 것은 좀체 만만한 일이 아니다. 그렇다고 컴퓨터 앞에 적어 둘 수도 없는 노릇이다. 그러니 기존에 사용한 적이 없으면서도 잊어버리지 않을 만한 비밀번호의 조합을 만들어내는 것은 이제 창의성의 영역에 있는지도 모르겠다. 해외..

국가 사이버안전센터에서 인증 우회 취약점 점검 관련하여 국가기관의 각 시스템 내에 사용하는 인증 솔루션 사용 시 인증절차 시 데이터를 변조하여 우회 인증절차에 대한 문제가 없는지 기술적인 문서를 요구하였습니다. 국가 사이버안전센터에서 다음으로 인증 솔루션에 대한 보안 취약점으로 예상되는 내용은 다음과 같습니다. 첫번째로 로그인 계정이나 개인정보의 도난, 스파이 행위, 통신 방해, 데이터 변경 등에 사용되는 중간자 공격(Man-in-the-middle attack)을 방어할 수 있는지? 두번째로 모바일 문자 메시지로 인증코드를 전송 했을 때 발생하는 심스와핑(SIM-swapping) 공격을 방어할 수 있는지? 세번째로 리버스 프록시(Reverse Proxy)와 같은 기술을 적용하여 인증을 우회할 수 있는 ..

2차 인증은 정보자산의 보안 강화를 위하여 로그인-ID 및 비밀번호(지식기반 인증) 이외에 별도의 추가인증(소유기반/속성기반/행위기반/장소기반 인증)절차를 의미한다. 2차 인증 도입 시 다른 건 몰라도 이것 만큼은 반드시 검토해야 할 사항은 다음과 같다. 1. 제로 트러스트(Zero Trust) 개념이 적용되어 있는지? 2. 별도의 인증서버 방식인지, 모듈인증 방식인지? 3. 통합인증인지 분산인증인지? 4. 인증키 생성 및 검증 시 사용되는 키는 정적인지, 동적인지? 5. 제한된 시간 내에 횟수 제한을 할 수 있는지? 6. 다양한 운영체제와 애플리케이션에 손쉽게 적용 및 관리가 단순한지? 7. 간단(느슨)한 구성에서 시작해 더 복잡(견고)한 보안 시스템으로 진화할 수 있는지? 8. 인증 폭주 시 인증 속..

강력한 보안을 위해서는 2,3 단계의 과정을 더 거치게 되기 때문에 번거롭고 복잡하다는 생각을 할 수도 있다. 그러나 이러한 보안과정이 해킹이나 정보 유출로부터 자신의 정보를 안전하게 지켜줄 수 있다. 그래서 "최신 기술"들은 복잡하고 번거로운 과정을 조금 더 간단하고 쉬우면서도 안전하게 개인의 정보를 지킬 수 있도록 하기 위한 방법으로 발전하고 있다. 처음부터 완전한 보안 시스템은 없으며, 느슨한 구성으로 시작해서 더 견고한 보안 시스템으로 진화하는 것이 매우 중요하다. 간편성과 편리성을 내세우면 보안은 그만큼 허술하며 그 댓가는 혹독할 것이다. 날로 지능화되는 사이버 공격에 대응하기 위하여 무엇 보다도 정보자산에 대한 보안 인식의 대전환이 필요한 시기다. 무엇보다도 2차 인증에 사용되는 인증키는 본인..

ICS 시스템들을 견고하게 연결하기 위해서는 이를 위한 네트워크 구조화 모델이 필요하며, 퍼듀 모델(Purdue model, 1990년대 기업 구조에 대한 참조 모델)은 이를 위해 ISA-99에서 PERA(Purdue Enterprise Reference Architecture)로부터 도입해 채택한 모델이다. 이 모델은 학계 및 ICS 보안 업계에서 ICS 보안 이론 배경과 보안 참조 모델로 널리 사용되고 있다. 레벨4,5의 엔터프라이즈 영역은 IT, 레벨0~3 영역은 OT로 구분되며 구체적인 역할은 아래와 같다. "Industrial Cyber Security" (저자: Pascal Ackerman) 참조 1. 엔터프라이즈 보안 영역 엔터프라이즈 영역은 ERP 및 SAP와 같은 비즈니스 시스템이 일반적..