인증서버 기반 인증, 서버·네트워크 장애 시 서비스 전체 마비 클라우드 시대, 서버 없이 플러그인 가능한 인증 기술 전환해야 ▲ 이종일 누리아이티 대표 [데이터넷] 사상 초유의 정부 행정망 마비 사건은 정부 인증시스템 네트워크 장비 오류가 원인으로 밝혀졌다. 이 사건이 시사하는 여러 의미가 있지만, 게이트웨이 방식의 인증서버가 갖는 근본적인 문제를 해결해야 한다는 점을 주의 깊게 살펴봐야 한다. 이번 사건 이전에도 기존 인증 방식의 한계가 분명하게 드러나는 사고가 여러 차례 있었다. 특히 랩서스 조직에 의해 기밀정보 유출 사고를 겪은 국내 글로벌 기업의 경우, 2차인증 우회, MFA 피로공격 등으로 내부정보에 접근할 수 있는 권한을 탈취당한 것으로 알려진다. 기존 인증 방식은 프록시·게이트웨이 서버를 통..

이번 사태의 원인과 관련해 정부에서는 아직 정확한 상황 파악을 하지 못하고 있다. 앞서 행정안전부에서는 공무원들이 업무 시스템에 접속하는 과정에서 사용하는 행정전사서명(GPKI)에서의 문제일 가능성을 시사했는데, 정작 행정전자서명 인증관리센터 측은 GPKI 문제가 아니라 국가정보자원관리원의 네트워크 단에서 생긴 문제라고 설명한 것으로 알려졌다. 이렇듯 사고 발생 원인을 두고서도 정부에서 혼선이 발생하고 있는 것이다. 금번 ‘정부24’ 먹통 사태뿐만 아니라 카카오톡 중단사태, 2차 인증의 우회기술 및 피로 공격으로 사이버 범죄에 악용된 삼성전자, MS, 우버, 레딧 등의 공통적으로 모두 별도의 인증서버(Gateway) 방식이라는 점이 IT 보안에 시사하는 바가 크다. 간편성과 편리성을 내세운 별도 인증 서..

가상사설망(VPN, Virtual Private Network)는 별도의 사설 전용망 없이도 암호 기술에 기반한 터널링(tunneling) 프로토콜(통신규약)을 이용해 지점간을 연결함으로써, 저렴한 비용으로 원거리 통신망(WAN)을 구축할 수 있는 네트워크 솔루션을 의미한다. VPN은 한마디로 사용자 기기와 서버를 연결하는 암호화 터널 기술이다. 사용자 기기에서 서버로 전송되는 데이터를 안전하게 보호하는 방법이기 때문이다. VPN(가상 사설망)은 안전한 원격 액세스 방법으로 알려져 있다. 그러나 VPN 전화 앱과 기업용 솔루션에 알려진 취약점이 존재한다. 공격자는 VPN 비밀번호를 훔친 다음, RDP(Remote Desktop Protocol)을 사용해 네트워크 내부 더 깊숙이 침투한다. 또 Mimika..

대부분 기업에서 업무를 위한 정보시스템을 사용해 각종 업무를 디지털로 처리하고 있다. 그러다 보니 시스템 로그인 때 다양한 보안 절차를 구비, 인증을 하고 있는 상황이다. 최근에는 해커에 의한 시스템 침입이나 개인정보 유출도 비일비재, 더 이상 미룰 수 없는 문제로 대두되고 있다. 시스템이 고도화됨에 따라 보안 및 인증 수단도 발전하고 있지만 해킹 기술도 발전하고 있어 보안 시스템 담당자 고민은 늘어가고 있는 상황이다. 이러한 정보시스템 로그인 때 사용되는 인증수단에 대해 알아보고자 한다. 보통의 정보시스템은 아이디와 패스워드로 접근통제가 이뤄지고 있는 데 별도의 추가적인 인증 절차를 두는 방식을 2차 인증 방식이라고 한다. 이중 게이트웨이-프록시 방식이나, SMS 또는 이메일 등 문자기반 인증방식은 해..

요즘 들어, 하루가 멀다 하고 해커들의 사이버 공격이 때를 가르지 않고 밤낮없이 발생하고 있다. 방심한 사이를 틈타 눈 깜짝할 사이에 시스템을 마비시키거나 소중한 개인정보를 탈취해 간다. 더욱이 사이버 범죄자들은 날이 갈수록 체계적이고 지능화되어 조직화되는 양상으로 진화하고 있다. 처음부터 완전한 보안 시스템은 없으며, 느슨한 구성에서 시작해서 더 견고한 보안 시스템으로 진화하는 것이 매우 중요하다. 날로 지능화되는 사이버 공격에 대응하기 위하여 무엇 보다도 정보자산에 대한 보안 인식의 대전환이 필요한 시기다. 정보자산의 보안 강화를 위하여 무엇 보다도 다양한 운영체계나 애플리케이션에 로그인 시 로그인-ID 및 비밀번호 이외에 별도의 추가인증 절차가 필요한데, 이를 2차 인증이라 일컷는다. 2차 인증은 ..

1. RADIUS 인증 1.1 개요 RADIUS(Remote Authentication Dial In User Service, 원격 인증 전화 사용자 서비스 위치)는 네트워킹 프로토콜로 사용자가 네트워크에 연결하고 네트워크 서비스를 받기 위한 중앙 집중화된 인증, 인가, 회계 (AAA, 회계 Accounting은 인증, 인가 후 각종 사후 처리를 맡는다.) 관리를 제공한다. RADIUS는 1991년 서버 접근 인증, 회계 프로토콜로써 Livingston Enterprises, Inc. 에서 개발했다. 그리고 후에 IETF표준으로 등재되었다. 지원 범위가 넓고 유비쿼터스 환경에서도 사용이 가능하기에 ISP와 기업들이 인터넷이나 인트라넷 접근을 관리하거나 무선 네트워크 인증, 통합 메일 서비스 등에 자주 쓰..

요즘들어, 하루가 다르게 사이버 공격이 밤낮없이 발생하고 있다. 방심한 사이를 틈타 눈 깜짝할 사이에 시스템을 마비시키거나 소중한 개인정보를 탈취해 간다. 더욱이 사이버 범죄자들은 날이 갈수록 체계적이고 지능화되어 조직화되는 양상으로 진화하고 있다. 처음부터 완전한 보안 시스템은 없다. 간단(느슨)한 구성에서 시작해 더 복잡(견고)한 보안 시스템으로 진화하는 것이 중요하다. 날로 지능화되는 사이버 공격에 대응하기 위하여 무엇 보다도 정보자산에 대한 보안 인식의 대전환이 필요한 시기다. 정보자산의 보안 강화를 위하여 무엇 보다도 2차 인증을 우선적으로 도입해야 하는 곳은 바로 다양한 애플리케이션이 운영되는 Windows, Mac, Linux/Unix 계열의 운영체제(OS, Operation System)가..

(내부망/외부망)망분리로 인한 보안이 강화된다는 것은 어불성설이며, 지금은 정보보안에 대한 인식의 대전환이 필요한 시대입니다. 국내 망분리 사업 최초 설계 시 일부 참여한 사람이 남긴 내용) 나는 망분리로 인해 보안이 강화된다는 말에 절대 동의하지 않는다. 망분리는 MB 때 기업, 기관의 내수촉진 차원에서 추진된 사업이다. 당시 전산 시스템을 2배로 뻥튀기 시켜 돈을 쓰게 만드는 명분에 불과했었다. 국내 망분리 사업 최초 설계 시 일부 참여한 사람으로서 이 병신 같은 놀음이 얼마 안갈 것으로 나는 확신 했었는데, 보안 카르텔이 여기에 광분하며 호응했다. 돈이 되니까. 지금은 이미 법제화까지 되었고, 외계인 침공 소설까지 써대면서 망분리를 옹호하는 세력의 무식함에 아연실색이다. 기술적 보호대체으로서의 허접..

情報資産のセキュリティ強化のため、3段階認証のためのBaroPAMソリューション設置計画書（Windows）