주식회사 누리아이티

정보자산의 보안강화를 위한 3단계 인증 보안SW(BaroPAM) 전문기업인 누리아이티

중간자공격 69

정보자산의 보안 강화를 위한 2차 인증 구분 및 특징

2차 인증은 별도의 인증서버가 필요한 Hard 방식의 1st 인증 (1세대 인증) 와 별도의 인증서버가 존재하지 않아 관리가 필요 없고, 손쉽게 적용할 수 있는 소프트웨어 방식(jar, so, dll 등의 인증모듈 호출)의 2nd 인증 (2세대 인증)로 구분한다. 1st 인증(Hard 인증) ▶인증서버 방식(SHA-I), Gateway(+Proxy) 방식, 통합인증 ▶제로 트러스트(Zero trust) 보안 모델 불가 ▶토큰, 카드 위주(인증키 생성기) ▶개인별 HMac Key 발급 및 관리 ▶정적 HMac Key 방식 ▶일괄 인증키 생성주기(30, 60초) 적용 ▶비영구적 사용 / 추가 비용 발생 ▶2차 인증(추가 인증) ▶고가, 제한적 적용, 관리가 복잡하고 운영비용 증가 ▶사용자 정보 동기화 필요 ..

카테고리 없음 2024.05.12

Mattermost의 보완 강화를 위하여 비밀번호를 3단계 인증 솔루션인 BaroPAM으로 대체 가이드

목차 1. Mattermost 1.1 개 요 1.2 Matermost 구성 환경 2. Postgresql 설정 2.1 환경설정 파일 변경 2.2 사용자 설정 3. Tomcat(WAS) 설정 3.1 Java 설치 3.2 Tomcat 설치 3.3 BaroPAM 모듈 반영 4. Mattermost 설정 4.1 Mattermost 반영 4.2 Mattermost 로그인 5. About BaroPAM  1. Mattermost1.1 개 요 Mattermost는 파일 공유, 검색, 통합 기능을 제공하는 오픈 소스로 셀프 호스팅이 가능한 온라인 채팅 서비스이다.  단체와 기업을 위한 내부 채팅으로 설계되어 있으며 대부분 그 자체를 슬랙과 마이크로소프트 팀즈의 오픈 소스 대안이다. 고정되어 있는 정..

새로운 정보보호 패러다임(제로 트러스트 보안)의 보안 강화를 위해서는 가장 중요한 기본 사항

전통적인 IT 보안 시스템은 일반적으로 경계 보안 모델을 바탕으로 하며 허용된 사용자, 디바이스, 네트워크만 IT 시스템에 접근할 수 있도록 하였다. 경계 보안 모델은 네트워크 경계 외부는 신뢰하지 않는 영역, 네트워크 경계 내부는 신뢰하는 영역으로 간주한 모델이다. 이러한 경계 보안 모델은 기업망에서만 근무하던 환경에서는 적합할 수 있지만 재택근무 확대, 업무환경의 다변화(스마트 워크 플레이스 등)로 인해 경계 보안 모델의 한계성과 취약성 이슈가 대두되고 있다. 이제 근본적으로 정보보호 패러다임이 바뀌어야 할 때입니다. 이를 위해 등장한 개념이 바로 제로 트러스트(Zero trust) 보안이다. 제로 트러스트 보안은 기업망 내외부에 언제나 공격자가 존재할 수 있고 침해가 발생할 수 있음을 인정하는 새로..

간편성과 편리성만 내세우면 보안은 그만큼 허술하며, 이로 인한 댓가는 매우 혹독할 것

간편성과 편리성만 내세우면 보안은 그만큼 허술하며, 이로 인한 댓가는 매우 혹독할 것이다. 이젠 보안에 대한 인식을 하루 빨리 바뀌어야 한다. 아직도 보안에 취약한 이런 방식이 사용되고 있다는 현실이 안타깝다. ▶2차 인증 중 해커들의 가장 좋아하는 적용 방식: Gateway(+Proxy) 방식 ▶2차 인증 중 가장 취약한 인증 방식: SMS, 이메일 등 문자기반의 인증 ▶2차 인증 중 해커들이 가장 애용하는 우회 기술과 피로공격에 취약한 인증 방식: 2 채널 인증 ▶피싱 공격에 잘 속는 링크 방식: QR 코드 방식 정보자산의 보안 강화를 위해서는 가장 중요한 기본 사항이다. ▶인증 절차 시 데이터 위변조를 어떻게 방어할 것인지? ▶계정 정보 도용 및 악용은 어떻게 차단할 것인지? ▶브라우저 자동 로그인..

복잡하고 세세한 비밀번호 설정 규정을 단순화

"비밀번호가 도난되지 않은 상황에서 빈번하게 비밀번호를 바꾸면 비밀번호가 패턴화되고 추측하기 쉬워지거나 비밀번호를 어딘가에 적어야 하는 등 오히려 보안 위험이 될 수 있다" 하루가 멀다하고 떠지는 계정정보 유출 및 도용 사고가 끊이질 않고 있다. 그래서, 기기마다, 플랫폼마다, 계정마다 각기 다른 비밀번호를 설정하고 주기적으로 변경할 것을 권장한다. 하지만 여러 개의 비밀번호를, 그것도 특수문자와 대문자를 포함하고 생년월일과 무관하며 연속성이 없는 최소 8자 이상의 글자 조합을 외우는 것은 좀체 만만한 일이 아니다. 그렇다고 컴퓨터 앞에 적어 둘 수도 없는 노릇이다. 그러니 기존에 사용한 적이 없으면서도 잊어버리지 않을 만한 비밀번호의 조합을 만들어내는 것은 이제 창의성의 영역에 있는지도 모르겠다.   ..

정보자산의 보안 강화를 위한 인증 솔루션의 보안 취약점

국가 사이버안전센터에서 인증 우회 취약점 점검 관련하여 국가기관의 각 시스템 내에 사용하는 인증 솔루션 사용 시 인증절차 시 데이터를 변조하여 우회 인증절차에 대한 문제가 없는지 기술적인 문서를 요구하였습니다. 국가 사이버안전센터에서 다음으로 인증 솔루션에 대한 보안 취약점으로 예상되는 내용은 다음과 같습니다. 첫번째로 로그인 계정이나 개인정보의 도난, 스파이 행위, 통신 방해, 데이터 변경 등에 사용되는 중간자 공격(Man-in-the-middle attack)을 방어할 수 있는지? 두번째로 모바일 문자 메시지로 인증코드를 전송 했을 때 발생하는 심스와핑(SIM-swapping) 공격을 방어할 수 있는지? 세번째로 리버스 프록시(Reverse Proxy)와 같은 기술을 적용하여 인증을 우회할 수 있는 ..

다른 건 몰라도 2차 인증 도입 시 검토사항

2차 인증은 정보자산의 보안 강화를 위하여 로그인-ID 및 비밀번호(지식기반 인증) 이외에 별도의 추가인증(소유기반/속성기반/행위기반/장소기반 인증)절차를 의미한다. 2차 인증 도입 시 다른 건 몰라도 이것 만큼은 반드시 검토해야 할 사항은 다음과 같다. 1. 제로 트러스트(Zero Trust) 개념이 적용되어 있는지? 2. 별도의 인증서버 방식인지, 모듈인증 방식인지? 3. 통합인증인지 분산인증인지? 4. 인증키 생성 및 검증 시 사용되는 키는 정적인지, 동적인지? 5. 제한된 시간 내에 횟수 제한을 할 수 있는지? 6. 다양한 운영체제와 애플리케이션에 손쉽게 적용 및 관리가 단순한지? 7. 간단(느슨)한 구성에서 시작해 더 복잡(견고)한 보안 시스템으로 진화할 수 있는지? 8. 인증 폭주 시 인증 속..

처음부터 완전한 보안 시스템은 없다.

강력한 보안을 위해서는 2,3 단계의 과정을 더 거치게 되기 때문에 번거롭고 복잡하다는 생각을 할 수도 있다. 그러나 이러한 보안과정이 해킹이나 정보 유출로부터 자신의 정보를 안전하게 지켜줄 수 있다. 그래서 "최신 기술"들은 복잡하고 번거로운 과정을 조금 더 간단하고 쉬우면서도 안전하게 개인의 정보를 지킬 수 있도록 하기 위한 방법으로 발전하고 있다. 처음부터 완전한 보안 시스템은 없으며, 느슨한 구성으로 시작해서 더 견고한 보안 시스템으로 진화하는 것이 매우 중요하다. 간편성과 편리성을 내세우면 보안은 그만큼 허술하며 그 댓가는 혹독할 것이다. 날로 지능화되는 사이버 공격에 대응하기 위하여 무엇 보다도 정보자산에 대한 보안 인식의 대전환이 필요한 시기다. 무엇보다도 2차 인증에 사용되는 인증키는 본인..

[데이터넷] 누리아이티, VPN 2차인증 지원 ‘바로팜’ 출시

인증서버 없이 플러그인 가능한 인증모듈로 제공 바로팜 이용 VPN 로그인 화면/ 누리아이티 [데이터넷] 누리아이티(대표 이종일)는 VPN 2차인증을 지원하는 ‘바로팜(BaroPAM)’을 출시했다고 10일 밝혔다. 바로팜은 별도의 인증서버가 필요 없이 다중 인증이 필요한 다양한 운영체제와 애플리케이션에 누구나 손쉽게 곧바로 적용할 수 있는 플러그인 가능한 인증 모듈(PAM)로 제공된다. 이종일 누리아이티 대표는 “지능화된 사이버 공격에 대응하기 위해서는 VPN에 2차 인증이 필요하다. 바로팜은 VPN의 2차 인증을 무력화시키기는 우회 기술 및 피로 공격을 방어해 2차 인증 취약점을 보완하고 안전하게 VPN을 사용할 수 있게 한다. VPN의 관리 및 운영 비용을 절감할 수 있다”고 말했다. 김선애 기자 출처..