루니프의 짤막보안강의

분야: 소프트웨어 보안새 기능을 만들 때 보안을 마지막에 확인해도 괜찮을까요? 그렇지 않습니다. 무엇을 지켜야 하는지 먼저 정하고, 위협모델링과 검증, 코드검토, 배포 통제를 한 흐름으로 연결해야 합니다.보안 요구사항은 무엇인가요?소프트웨어 개발에서 요구사항은 만들 기능과 지켜야 할 조건을 정리한 기준입니다. 그중 보안 요구사항(Security Requirements)은 기능이 어떤 위험을 피해야 하고, 무엇을 보호해야 하는지를 미리 정해 둔 내용입니다.예를 들어 새 기능을 만든다면 먼저 다음 질문을 적어 볼 수 있습니다.보호해야 할 대상은 무엇인가?사용자가 기대하는 안전 조건은 무엇인가?기능이 처리하는 과정에서 문제가 생길 수 있는 지점은 어디인가?특정 목록을 정답처럼 외우기보다, 코드를 작성하기 전에..

분야: 정보보안(암호)온라인 서비스에 로그인하려는데 인증서가 정상처럼 보입니다. 이때 바로 믿어도 될까요? 이번 주제의 결론은 간단합니다. PKI 검증과 인증서 폐지 확인은 같은 질문이 아닙니다. 하나가 끝났다고 해서 다른 하나까지 확인됐다고 단정하면 안 됩니다.인증서의 외관상 정상 여부와 계속 신뢰해도 되는지는 나누어 확인해야 합니다.인증서와 PKI를 먼저 이해하기이 글에서 인증서는 상대의 신원과 공개키를 연결해 확인할 때 사용하는 정보라는 기본 그림으로 설명합니다. 공개키는 암호화나 전자서명에 활용되는 공개 정보이고, 인증서는 그 공개키를 누구의 것으로 볼지 판단하는 데 관여합니다.공개키 기반구조(Public Key Infrastructure, PKI)는 이런 인증서와 신뢰 관계를 다루는 큰 틀입니다..

출처: https://www.boannews.com/news/articleView.html?idxno=146439오래전에 만든 파일이 아직도 회사나 기관의 시스템에서 열리는 경우가 있습니다. 그렇다면 그 파일도 해킹 때 함께 빠져나갈 수 있을까요?결론부터 말하면, 오래된 데이터는 오래됐다는 이유만으로 침해 범위에서 제외되지 않습니다. 영국 법률구조청(Legal Aid Agency, LAA) 해킹 조사에서 2007년 이전 기록 약 25만 건과 1978년 기록이 확인된 이유도 여기에 있습니다. 다만 그 기록이 왜 계속 보관됐는지, 어떤 경로로 도난됐는지는 제공된 자료만으로 알 수 없습니다.먼저 알아둘 개념: 개인정보 침해와 보관 데이터개인정보 침해는 공격자가 시스템이나 파일에 접근해 개인정보를 훔치거나 노출..

분야: 네트워크 보안집이나 회사에서 파일이나 메시지를 보내면 데이터는 목적지까지 네트워크를 거칩니다. 그렇다면 여러 경로 중 어떤 길을 선택할까요? 이 질문이 바로 네트워크의 경로 결정을 이해하는 출발점입니다.SDN이라는 이름만으로 중앙에서 모든 경로를 결정한다고 단정할 수는 없습니다. SDN과 일반 네트워크의 차이를 설명하려면 제어 기능과 데이터 전달 기능이 어떻게 나뉘는지 확인해야 합니다.네트워크와 경로 결정을 쉽게 이해하기이 글에서 네트워크는 기기들이 데이터를 주고받을 수 있도록 연결된 구조라는 뜻으로 사용하겠습니다. 경로는 출발한 데이터가 목적지에 도착하기까지 지나갈 장비와 연결의 순서입니다.예를 들어 사무실 컴퓨터에서 다른 서버로 파일을 보낸다고 생각해 보세요. 데이터는 한 장비에서 다음 장비로..

출처: https://www.boannews.com/news/articleView.html?idxno=146655로그인 없이 서버에서 코드가 실행될 수 있다는 소식이 들리면 무엇부터 해야 할까요? 이때 가장 중요한 일은 공격 코드를 직접 분석하는 것이 아니라, 취약할 수 있는 PHP 서버를 찾아 최신 패치를 적용할 준비를 하는 것입니다.PHP는 웹사이트의 요청을 처리하는 서버 측 실행 환경입니다. PHP2Shell은 애플리케이션 코드의 실수라기보다 PHP 엔진 자체의 결함으로 설명된 취약점입니다. 따라서 특정 웹 기능만 살펴보는 것으로는 충분하지 않을 수 있습니다.PHP2Shell에서 확인된 위험제공된 보안뉴스 기록에 따르면 티오리는 2026년 10월 22일 PHP2Shell을 재현·검증하고 기업과 기관..

분야: 정보보안(암호학)파일이나 메시지를 암호화할 때 데이터 길이가 블록 크기에 딱 맞지 않으면 어떻게 될까요? 패딩(Padding)을 넣어 길이를 맞추는 경우가 있습니다. 하지만 모든 암호가 패딩을 사용하는 것은 아닙니다.핵심은 암호 이름만 보는 것이 아니라, 데이터를 처리하는 단위와 암호 운용모드(Mode of Operation)를 함께 보는 데 있습니다. 일반적으로 블록 암호는 고정 길이 블록을 처리하기 때문에 일부 운용모드에서 패딩이 필요합니다. 반면 스트림 암호는 데이터 흐름에 맞춰 처리하므로 암호 처리 자체에는 패딩이 보통 필요하지 않습니다.패딩 필요 여부는 암호 방식이 데이터를 고정 길이 블록으로 처리하는지, 아니면 연속적인 비트나 바이트 흐름으로 처리하는지에 따라 달라집니다. 일반적인 암호..