"간편성과 편리성만 내세우면 보안은 그만큼 허술하며, 이로 인한 댓가는 매우 혹독할 것!" 웹 사이트에 로그인하는 경우 아이디(ID)와 비밀 번호(PW)를 최초에 입력해 놓으면 차후 이를 다시 입력하지 않아도 곧바로 로그인이 되도록 한 것이다. 이 방식은 자주 방문하는 사이트를 이용할 때는 편리하지만, 최초 접속자와 다음 접속자가 동일하지 않을 경우 주민 등록 번호 등 개인 정보가 누출될 수도 있어 보안에 취약한 단점이 있다. 특히, 편리하다는 이유로 아이디·비밀번호 자동 저장기능을 자주 사용하는 이용자들은 더욱 주의가 요망된다. 해당 기능 사용자가 ‘인포스틸러’에 감염되면, 웹 브라우저에 저장된 아이디·비밀번호 등 로그인 정보가 탈취될 수 있다. 해커는 아이디·비밀번호 등 개인정보 탈취를 위해, 악..

최근 침해사고 키워드로 △크리덴셜 스터핑 △공급망 공격 △백업 솔루션 취약점 △무단 문자 발송 △공유기 디도스 △국내 웹사이트 대상 웹변조/정보유출을 들을 수 있다. 공격자들은 유명 포털 사이트로 위장한 피싱 사이트를 만들어 사용자 계정을 탈취하고 확보한 아이디, 패스워드를 활용해 다양한 불법적인 행위로 사용자들에게 피해를 발생시킨다. 크리덴셜 스터핑 공격을 막기란 쉽지 않다. 국내외 IP를 활용해 지속적으로 피싱 사이트 공격이 발생하고 있다. 이를 통해 개인정보 유출이나 상품권 무단 사용 등 피해가 발생하게 되는데, 이러한 2차 피해를 예방하기 위해서는 각 사이트에서 2차 인증(추가 인증)이 적용이 반드시 필요하다. 그리고 평소와 다른 IP에서 로그인이 발생할 때 이를 감지, 차단하는 방법도 적극..

국가 사이버안전센터에서 인증 우회 취약점 점검 관련하여 국가기관의 각 시스템 내에 사용하는 인증 솔루션 사용 시 인증절차 시 데이터를 변조하여 우회 인증절차에 대한 문제가 없는지 기술적인 문서를 요구한다. 국가 사이버안전센터에서 다음으로 인증 솔루션에 대한 보안 취약점으로 예상되는 내용은 다음과 같다. 첫번째로 로그인 계정이나 개인정보의 도난, 스파이 행위, 통신 방해, 데이터 변경 등에 사용되는 중간자 공격(Man-in-the-middle attack)을 방어할 수 있는지? 두번째로 모바일 문자 메시지로 인증코드를 전송 했을 때 발생하는 심스와핑(SIM-swapping) 공격을 방어할 수 있는지? 세번째로 리버스 프록시(Reverse Proxy)와 같은 기술을 적용하여 인증을 우회할 수 있는 구조인지..

강력한 보안을 위해서는 2,3 단계의 과정을 더 거치게 되기 때문에 번거롭고 복잡하다는 생각을 할 수도 있다. 그러나 이러한 보안과정이 해킹이나 정보 유출로부터 자신의 정보를 안전하게 지켜줄 수 있다. 그래서 "최신 기술"들은 복잡하고 번거로운 과정을 조금 더 간단하고 쉬우면서도 안전하게 개인의 정보를 지킬 수 있도록 하기 위한 방법으로 발전하고 있다. 처음부터 완전한 보안 시스템은 없으며, 느슨한 구성으로 시작해서 더 견고한 보안 시스템으로 진화하는 것이 매우 중요하다. 간편성과 편리성을 내세우면 보안은 그만큼 허술하며 그 댓가는 혹독할 것이다. 날로 지능화되는 사이버 공격에 대응하기 위하여 무엇 보다도 정보자산에 대한 보안 인식의 대전환이 필요한 시기다. 무엇보다도 2차 인증(추가 인증)에 사용되..

기본 보안부터 철저히 해야주요 인프라 공격의 85%가 패치, 2차 인증(추가 인증), 최소 권한 원칙 등 기본적인 수준의 보안을 지키지 않아서 발생한 것으로 나타난다. 보안 강화하기 위하여 다계층 인증 체계(Multi-layer authentication system)를 지원하는  2차 인증을 적용하는 순서는 제일 첫번째로 운영체제(OS), 두번째로 관리자 계정이나 관리 콘솔, 세번째로 일반 사용자 계정이다. 랜섬웨어를 포함한 침해 사고의 80~90%가 원격 접속과 관련된 문제다. 보안 솔루션 중 도입해야 할 1순위가 우회 및 원격접속을 차단할 수 있는 솔루션이다. 기본 보안 정책만 지켜도 대부분의 공격은 막을 수 있다.

제로 트러스트(Zero trust)의 시작은 ‘인증(Authentication)’이다. 서비스에 접근하려는 ID가 본인 자신인지 확인하는 인증은 사용자 자신이 아는 것(What you know), 사용자 자신이 갖고 있는 것(What you have), 사용자 자신(Who you are)의 3가지 요소 중 2가지 이상을 사용하는 다중 인증(MFA)를 사용해야 한다. ​아는 것은 비밀번호, 갖고 있는 것은 일회용 인증키나 소프트웨어 OTP와 같은 물리적 인증 매체, 사용자 자신은 생체인증이 대표적인 인증 매체로 사용된다.​간편인증이 대세가 되면서 다중 인증의 개념이 크게 변하고 있다. 사용자가 직접 입력하는 길고 복잡한 문자·숫자 조합의 비밀번호가 오히려 보안위협을 높인다는 지적에 따라 비밀번호 없이 로..

미국립표준기술연구소(NIST)가 최근 발표한 비밀번호 가이드라인에 따르면 주기적으로 비밀번호를 변경하는 것이 온라인 해킹 침해를 결코 막지 못한다고 한다. 주기적인 비밀번호 변경은 약한 비밀번호를 생성시킬 가능성이 높을 뿐만 아니라 사용자는 수십 개의 비밀번호를 기억하지 못해서 결국 어디엔 가는 써 놓게 된다는 것이다. NIST는 비밀번호 가이드라인 개정을 통해 비밀번호를 특수문자를 포함한 여러 문자로 조합하고 일정 기간마다 바꾸도록 하라는 강제요건을 삭제했다. Microsoft가 기업의 보안 관리자에게 권장하는 내용(보안기준)은 주기적인 비밀번호 변경이 보안에 실질적으로 도움이 되지 않는다는 주장이 힘을 얻은 상황에서 PC 운영체계인 Windows 10과 Windows 서버의 보안 기준에서 비밀번호..

2020년까지 공공기관 데스크톱 PC의 대다수를 독자 운영 체제로 전환하기 위해 추진됐다. 2016년 시점에는 국가에서 하는 프로젝트 연속성은 없어졌고 하모니카 커뮤니티(https://hamonikr.org) 참여자들 중심으로 자발적으로 수정, 배포 활동을 하고 있다.  자바, 플래시 웹 플러그인이 포함돼 있어 설치가 쉬운 리눅스 민트 17 마테 버전을 기반으로 개발된 리눅스 민트의 배포판이다.  하모니카는 한글화 서비스, 사용자 인터페이스, 사용자 경험 등을 중점적으로 개선하여 별도의 한글 설정 없이 바로 설치해 사용할 수 있다는 장점이 있다.  또한 하모니카는 오픈 소스이며, 개방형 운영 체제임을 중시하고 있다.

인증서버 기반 인증, 서버·네트워크 장애 시 서비스 전체 마비클라우드 시대, 서버 없이 플러그인 가능한 인증 기술 전환해야 [데이터넷] 사상 초유의 정부 행정망 마비 사건은 정부 인증시스템 네트워크 장비 오류가 원인으로 밝혀졌다. 이 사건이 시사하는 여러 의미가 있지만, 게이트웨이 방식의 인증서버가 갖는 근본적인 문제를 해결해야 한다는 점을 주의 깊게 살펴봐야 한다.이번 사건 이전에도 기존 인증 방식의 한계가 분명하게 드러나는 사고가 여러 차례 있었다. 특히 랩서스 조직에 의해 기밀정보 유출 사고를 겪은 국내 글로벌 기업의 경우, 2차인증 우회, MFA 피로공격 등으로 내부정보에 접근할 수 있는 권한을 탈취당한 것으로 알려진다.기존 인증 방식은 프록시·게이트웨이 서버를 통하는 것으로, 우회접속과 원격접속..

이번 사태의 원인과 관련해 정부에서는 아직 정확한 상황 파악을 하지 못하고 있다. 앞서 행정안전부에서는 공무원들이 업무 시스템에 접속하는 과정에서 사용하는 행정전사서명(GPKI)에서의 문제일 가능성을 시사했는데, 정작 행정전자서명 인증관리센터 측은 GPKI 문제가 아니라 국가정보자원관리원의 네트워크 단에서 생긴 문제라고 설명한 것으로 알려졌다. 이렇듯 사고 발생 원인을 두고서도 정부에서 혼선이 발생하고 있는 것이다. 금번 ‘정부24’ 먹통 사태뿐만 아니라 카카오톡 중단사태, 2차 인증(추가 인증)의 우회기술 및 피로 공격으로 사이버 범죄에 악용된 삼성전자, MS, 우버, 레딧 등의 공통적으로 모두 별도의 인증서버(Gateway) 방식이라는 점이 IT 보안에 시사하는 바가 크다. 간편성과 편리성을 내세운 ..