루니프의 짤막보안강의

출입문이 열릴 때 오가는 인증 데이터를 누군가 캡처했다면, 나중에 같은 데이터를 다시 보내도 문이 열릴까요? 결론부터 말하면, 실제 통과 여부는 시스템의 검증 방식에 달려 있습니다. 이 사례가 제시하는 핵심 방어 요소는 일회용 값인 논스(Nonce)와 만료시간입니다.다만 제공된 사례 기록에는 실제 출입 시스템에서 재사용이 성공했는지, 어떤 인증 방식을 썼는지, 논스를 어떻게 검사했는지는 나와 있지 않습니다. 따라서 아래 설명은 확인된 사실과 점검해야 할 설계 조건을 나누어 읽어야 합니다.먼저 알아둘 개념: 인증 데이터와 재전송 공격인증은 시스템이 “이 요청을 믿어도 되는가?”를 확인하는 과정입니다. 출입 앱이나 카드 시스템에서는 문을 열어 달라는 요청과 함께 인증에 필요한 데이터가 오갈 수 있습니다.문제..

분야: 정보보호·접근통제회사 공유 폴더의 보고서를 누가 읽을 수 있을까요? 더 중요한 질문은 그 읽기 권한을 누가 바꿀 수 있는가입니다.접근통제 모델은 누가 어떤 기준으로 권한을 정하고 변경하는지를 설명하는 규칙의 설계 방식입니다. 임의로 권한을 조정할 수 있는 주체가 파일 소유자인지, 중앙 정책을 관리하는 조직인지, 역할을 관리하는 담당자인지에 따라 DAC·MAC·RBAC를 구분할 수 있습니다.접근통제 모델은 권한을 결정하고 변경하는 주체에 따라 구분합니다. DAC는 파일이나 자원의 소유자가 다른 사용자에게 권한을 부여하거나 조정하는 방식입니다. MAC는 중앙에서 정한 보안 정책과 등급에 따라 접근을 통제하는 방식입니다. RBAC는 사용자의 개별 신원보다 조직 내 역할에 연결된 권한을 적용하는 방식입니..

분야: 정보보안코드 검토를 끝냈고 검사 결과에도 이상이 없는데, 프로그램을 실행하자 취약점이 발견됐다고 생각해 보겠습니다. 그렇다면 코드 검토가 무의미했던 걸까요? 꼭 그렇지는 않습니다. 코드 자체를 살피는 검사와 실행 중 동작을 확인하는 검증은 관찰 대상이 다르기 때문입니다.안전한 개발과 코드 검토에서는 정적 보안 점검과 동적 보안 점검을 왜 구분하는지 이해하는 것이 중요합니다. 정적 점검은 프로그램을 실행하지 않은 상태에서 코드를 살피고, 동적 점검은 프로그램을 실제로 실행하면서 동작을 확인합니다.먼저 알아둘 개념: 코드 검토와 보안 점검코드 검토는 개발자가 작성한 코드의 구조와 내용을 사람이 읽거나 도구로 살피는 과정입니다. 문법이나 설계 문제뿐 아니라 보안상 주의할 부분도 확인할 수 있습니다.보안..

분야: 정보보안·암호학온라인 계약서나 전자민원 서류를 제출하다 보면 전자서명과 인증서가 함께 등장합니다. 그래서 둘을 같은 기능으로 생각하기 쉽죠. 그런데 내가 받은 문서가 바뀌지 않았는지 확인하는 일과, 그 문서에 사용된 공개키를 누구의 것으로 믿을지 판단하는 일은 서로 다릅니다.결론부터 말하면 전자서명은 문서 검증에, 인증서는 공개키와 주체의 연결을 확인하는 데 초점이 있습니다. 두 기능은 공개키 신뢰라는 흐름에서 함께 사용될 수 있지만 서로를 대신하지는 않습니다.먼저 알아둘 것: 공개키와 개인키공개키 암호에서는 한 쌍의 키를 사용합니다. 공개해도 되는 키가 공개키(Public Key)이고, 소유자가 비밀로 보관해야 하는 키가 개인키(Private Key)입니다.상대방은 공개키를 이용해 서명이나 암호..

출처: https://www.securityweek.com/novel-android-banking-rat-hirudo-replaces-banking-apps-with-trojanized-copies/amp/은행 앱에 업데이트 알림이 떴습니다. 평소처럼 누르면 될까요? 앱이 직접 보여 주는 보안 결과만으로는 충분하지 않을 수 있습니다. 이미 앱 자체가 교체됐다면, 그 앱이 만든 ‘안전하다’는 신호도 함께 의심해야 하기 때문입니다.SecurityWeek가 분석한 Android 악성코드 Hirudo는 특정 인도네시아 은행 앱을 찾은 뒤 가짜 업데이트 화면을 표시합니다. 이후 정상 앱을 제거하고, 수정된 은행별 대체 앱을 설치합니다. 이 글은 이 사건을 바탕으로 앱 자체 검사와 외부 확인을 구분해 설명합니다.먼..

출처: https://www.securityweek.com/supermarket-refrigeration-attack-widens-to-copeland-dixell-controllers/매장에서 냉장고가 한꺼번에 멈추면 식품 보관과 영업이 함께 흔들립니다. 그런데 냉장 설비를 관리하는 제어기가 인터넷에 직접 노출돼 있다면, 사고 초기에 가장 먼저 검토할 조치는 복잡한 원인 분석보다 외부 연결을 끊는 일일 수 있습니다.이번 프랑스 사례에서는 냉장 설비 장애와 함께 경보 대상 제어기 제품군이 넓어졌습니다. 다만 Copeland와 Dixell 장비가 모두 실제로 침해됐다고 단정할 수는 없습니다. 제공된 기록에서 확인되는 사실과 아직 모르는 부분을 나눠 보겠습니다.냉장 설비 제어기와 OT란 무엇인가냉장 설비 제..