Security
-
오픈넷이 발표한 RCS 탐지 툴인 '오픈 백신'을 보면서.. 국내의 특수한 환경이 만들어낸 말도 안되는 쇼를 보는 느낌?Security 2015. 8. 13. 08:24
최근 오픈넷과 P2P재단코리아준비위원회이 한달 가까이 국민 백신 프로젝트를 진행하면서 그 결과로 내놓은 안드로이드용 '오픈 백신'이 말이 많다. 오픈 백신은 국정원이 이번에 탈탈 털린(?) 해킹팀이 만든 감시툴인 RCS의 감염 여부를 확인해주는 모바일 앱이다. 해킹팀의 RCS는 주로 안드로이드 단말기를 대상으로 하고 있기 때문에(그런데 해킹팀에서 유출된 자료에 보면 iOS용 RCS도 있다고 한다) 감염 대상 역시 안드로이드 스마트폰, 태블릿PC가 된다. 문제는 국내의 경우 스마트폰의 90% 가까이가 안드로이드 스마트폰이고 해킹팀 RCS를 구입해서 사용한 것이 다름아닌 국정원이라는 것이 문제가 되었다. 가뜩이나 감청에 대한 이슈들이 많아서 말이 많은 국정원인데 이제는 정말로 감청을 하고 있었다는 증거가 나..
-
변화하는 IT 환경에 뒤늦게 고민하기 시작한 국내 금융권 IT 환경. 어떻게 변화를 받아들여야 할까?Security 2015. 7. 16. 10:32
몇주 전 기사이기는 하지만 어쩌면 당장에 한국 인터넷 금융계에 엄청난 파장을 일으킬 수 있는 내용이 기사화되어 나왔다. 기사의 내용은 간단하다. 구글 크롬의 최신 버전과 MS 윈도 10의 기본 웹브라우저가 될 것으로 보이는 엣지 브라우저에서 더 이상의 NPAPI를 지원하지 않겠다는 것이다. 그래서 금융권 관계자들이 구글 담당자를 만나서 NPAPI 지원 제거 기간을 연장해주면 안되겠냐고 얘기하는데 구글 관계가는 어림껀덕지도 없다는 반응을 보이는 것이 기사의 내용이다. 도대체 NPAPI가 뭐길래 금융권 관계자들이 저렇게 나오는지, 또 이것이 인터넷뱅킹을 비롯하여 인터넷 금융 서비스에 어떤 영향을 미치는지 궁금해진다. 인터넷 금융 방식의 현재 많은 사람들이 알다시피 국내의 인터넷 뱅킹을 비롯하여 결제 관련 서..
-
SPiDER TM 5.0을 통해 살펴보는 차세대 보안 관제 프레임워크가 탑재된 새로운 보안 관제 시스템Security 2015. 7. 6. 16:41
기업에서의 작업 환경이 이전의 페이퍼워크에서 전자서류 방식으로 대부분 다 넘어오면서 PC나 노트북, 혹은 다른 모바일 디바이스 등 스마트 디바이스를 이용해서 작업하는 것이 일반화된지는 꽤 오래되었다. 그리고 네트워크 환경이 발전하면서 대부분의 작업들이 네트워크 환경 안에서 이뤄지고 있으며 내외적으로 데이터들을 송수신하면서 작업하는 것이 당연시 되는 세상이 되었다. 메일을 통한 작업이나 자료 공유, 공동 작업 등이 활발히 일어나면서 네트워크에 연결된 상태에서 이른바 커넥티드 워크가 일반화 되었다고 봐도 좋을 것이다. 또한 기업들 입장에서 여러 기업들이 서로 연계해서 작업하는 경우도 많기 때문에 이러한 네트워크 기반에서의 작업은 더 활발해지는 상황이라고 할 수 있다. 이런 상황에서 네트워크를 통한 다양한 문..
-
이제는 제대로 논의해야 할 시기가 온 IoT 해킹에 대하여..Security 2015. 6. 12. 17:36
최근들어 해킹에 대한 피해사례들이 언론을 통해서 많이 공개되면서 해킹에 대한 관심이 높아지고 그만큼 경각심도 많이 높아진 것이 사실이다. 실제로 해킹은 수년 전부터 이뤄져 왔는데 해킹의 범위가 넓어지고 피해가 커지면서, 또한 그 피해가 기업 뿐 만이 아니라 개인으로 확산되면서 더 많은 주목을 받는 듯 싶다. 최근에 얘기가 나오고 있는 해킹은 주로 어떤 부분에서 이뤄지는 것일까? 일반적으로 해킹은 자신의 단말기(PC가 되었던 스마트폰이 되었던, 혹은 그 외의 웨어러블 디바이스와 같은 IoT 단말기가 되었건 간에)에 저장된 정보를 정당한 방법이 아닌 비정상적인 방법으로 접근하여 가져가는 행위를 말한다. 이렇게 비정상적으로 가져간 정보들은 대부분이 민감한 개인정보들이며 그것들을 악용하여 해커들은 금전적인 이득..
-
클라우드 시스템 환경에서의 서버 시스템 보안에 대해서Security 2015. 6. 8. 08:00
최근들어 엔터프라이즈 컴퓨팅 환경이 데스크탑이나 노트북과 같은 PC 계열에서 모바일 환경으로 넘어가고 있는 추세입니다. BYOD가 업무 효율성이 높다는 얘기가 나오면서 기업들이 경쟁적으로 모바일 업무 환경을 도입하기 시작했고 모바일 업무 환경을 뒷받침해주는 기반 시설을 본격적으로 고민하고 갖추기 시작한 것입니다. 비단 BYOD를 이용하기 위한 모바일 업무 환경 뿐만이 아니라 사무실 안에서 자원 효율성을 높히고 자료의 외부 유출을 막는 등 효율성과 보안을 고려한 업무 환경에 대해서 고민하기 시작했습니다. 그리고 빅데이터를 활용하는 업무 시스템이 도입되면서 수집된 데이터의 보관 및 처리에 사용될 시스템 자원을 유동적으로 제어하기 위한 시스템 환경도 함께 고민하는 시기가 왔습니다. 이런 시스템 환경을 만족시켜..
-
보안의 핵심요소, 암호화의 악용. 랜섬웨어의 공포!Security 2015. 5. 26. 14:54
인터넷이 활성화된 이후 수많은 사람들이 데스크탑이나 노트북과 같은 PC를 통해서, 혹은 스마트폰이나 태블릿PC와 같은 스마트 디바이스를 통해서 인터넷을 사용하고 있습니다. 그리고 수많은 서비스 사업자들이 다양한 인터넷 서비스를 만들어 제공하고 있습니다. 인터넷을 통해서 수많은 생태계들이 조성되고 에코시스템들이 만들어지고 있지요. 그러다보니 이를 악용하여 수많는 블랙해커들이 인터넷 서비스들을 공격하여 변조하고 악성코드를 심어 서비스를 이용하는 사용자들에게 피해를 입히고 있습니다. 지금도 하루에 수백개씩 악성코드들이 생성되고 있으며 이런 악성코드들이 서비스 제공자와 사용자들을 노리고 있습니다. 최근에 얘기가 나오고 있는 랜섬웨어(Ransomware) 역시 이런 악성코드 중에 하나입니다. 언론에서 랜섬웨어에 ..
-
RSA 2015, 또 다른 관점에서의 유익함을 전하다. (마크애니 유창훈 부문장)Security 2015. 4. 30. 13:01
뭐 하는 일이 보안쪽 일이라 여러 보안 컨퍼런스에 나가서 보고 싶은 생각이 간절하다. 특히 해외에서 하는 컨퍼런스는 정말 가고 싶은데 여건이 안되서 못가는 경우가 대부분이라 많이 아쉽다. 이래저래 언론에서 나오는 뉴스만으로는 좀 성이 안차는 것 또한 사실이다. 보안관련 여러 컨퍼런스가 있지만 그 중에서 RSA 컨퍼런스는 꽤 규모가 크다. 국내에서도 많은 보안기업들이 참여하기도 한다. 이번에 RSA 2015가 미국 샌프란시스코에서 개최되었는데 나는 못갔지만 이전에 다녔던 마크애니(DRM 전문 기업)의 지인이 다녀왔고 후기를 썼다고 해서 보내왔다. 뭐 직접 보지 못했지만 이렇게라도 RSA 2015의 분위기가 어땠는지 공유해보고자 한다. 참고로 글 하단에는 마크애니의 본부장 입장에서 회사의 비전에 대한 이야기..
-
핀테크에 있어서 확실한 인증 수단으로 자리잡고 있는 생체인증 기술Security 2015. 3. 30. 10:29
애플의 아이폰 5S, 팬텍의 베가 시크릿, 삼성의 갤럭시 S5. 앞서 열겨한 스마트폰의 특징은 잠금해제의 기술이 다른 스마트폰과 다른 점에 있다. 이들 스마트폰에서 사용한 잠금해제의 기술은 핀번호 입력과 패턴 입력과 함께 지문인식이라는 생채정보를 활용한 사용자 인증 방식을 이용했다는 점이다. 아이폰 5S는 터치ID라는 이름의 지문인식 기술을 이용했고 갤럭시 5S는 홈버튼과 화면 하단의 일부를 쓸어내리면서 지문을 인식하는 방식을 이용했다. 베가 시크릿의 경우 스마트폰 뒤의 카메라 밑에 지문인식 센서를 두고 지문을 인식할 수 있게 했다. 이들 스마트폰에서 사용되었던 지문인식을 이용한 사용자 인증은 이후 같은 계열의 스마트폰 모델들이 계속적으로 사용하는 방식이 되었다. 애플의 애플페이, 삼성의 삼성페이. 최근..
-
오로지 ActiveX 방식만을 피하기 위해서 나온 Non-ActiveX 방식이라 불리는 방식. 과연 이게 맞는 방향일까?Security 2015. 2. 16. 11:18
최근은 아니지만 몇달전 천송이코드 관련 사건(?)으로 인해 다시 한번 ActiveX를 비롯한 관련 솔루션들이 재조명(?)을 받은 적이 있다. 뭐 좋은 쪽으로 재조명을 받은 것은 아니고 불편하고 비합리적이고 안전적이지도 않다는 부분에서 말이다. 이미 업계 안에서는 이런 부분이 어쩔 수 없는 상황으로 인해 야기된 것이라고 얘기하고 있지만 사용자들은 그런 변명(?)을 들을 생각을 하지 않는다. 뭐 이건 국가의 수반인 수첩공주께서도 마찬가지일테고 말이지. 결국 ActiveX 퇴출 운동의 정점을 찍으라는 지시에 이번에는 제대로 보안 관련 체계가 잡히려나 싶어서 어느정도 기대는 했는데 나온 방안이라고 하는 것이 너무 골때려서 말이지. ActiveX 방식의 문제점은? 최근 보안 솔루션 업체들을 비롯해서 이들 솔루션을..
-
CJ헬로비전의 보안 미숙에 대한 안일한 대처. 이를 통해 살펴본 기업 보안의 핵심은 외부 보안보다는 내부 보안에 있는데..Security 2015. 1. 27. 09:46
페이스북으로 이런저런 글들을 보고 있는데 아래와 같은 기사가 하나 올라왔다. 보안관련 기사여서 좀 살펴봤는데 제목도 그렇고 내용도 그렇고 어이가 없는 기사다. CJ헬로비전, 고객정보 23만명 유출…"회수 완료" (디지탈타임즈) 솔직히 기자를 탓한 생각은 없다. CJ쪽에서 보내온 보도자료가 아마도 저랬을 것이며 제목 역시 내용보고 뽑았을테니 말이다. 하지만 좀 생각해봐야 할 것이 넘어간 고객정보를 회수했다는 표현 자체가 과면 맞는 것인가 하는 부분이다. 일단 넘어가면 원본은 여러 방식으로 복제되어 사용될텐데 어떻게 다 회수되었다는 것인지, 또 종이가 아닌 디지털 파일 형식으로 되어있을텐데 손쉽게 다량으로 복제가 가능한데 어떻게 회수했다는 것일까? 유출된 자료가 고객이름과 전화번호 뿐이라고 하지만 그것만을 ..