Comments on: “한국형” 보안 기술의 취약점

By: m

Thu, 22 Oct 2009 09:00:24 +0000

많은 기대하고 있습니다.

By: snowall

snowall — Thu, 17 Sep 2009 15:08:56 +0000

그리고 그런 경우는 사이트 주소를 확인하지 않은 사용자 잘못이 되겠죠 -_-; (사용자와 범인 사이에 민사로 풀게 될 것 같네요.)
문화가 그렇게 된 건 어떻게 해결해야 할까요…
보안을 강화했으나 보안에 취약해진…

By: hirameki

hirameki — Thu, 17 Sep 2009 10:41:02 +0000

전에 피싱 이야기가 나와서 생각났습니다만,피싱 메일에 가짜 은행 첫페이지를 만들어놓고 백도어를 만드는 액티브 엑스를 설치해 준 후 원래의 은행 사이트로 리다이렉트 하면 사용자가 눈치채기 힘들것 같습니다. 현행 은행들이 첫페이지부터 액티브 엑스 설치를 요구해도 아무도 이상하게 생각하지 않을테니까요.

그 다음은 설명하지 않아도 될 것 같습니다. 한마디로 내뜻대로 내 마음대로 이니까요. 비스타는 한국의 인터넷 뱅킹을 위한 보안 레벨이라면 별 문제없을테고.

결국 피싱에 잘못 걸리면 금융거래 이외의 다른 개인 정보도 통합해서 유출되겠죠.

By: akdk

akdk — Tue, 15 Sep 2009 08:52:08 +0000

전자 서명과는 관계없는 질문입니다만…
1. ActiveX 보안 모듈의 키로깅 방지 기능을 지속적으로 잘 강화한다.
2. 은행 비밀 번호를 다른 사이트에서 사용하지 않는 별도의 것으로 쓴다.

-> 안티 바이러스 소프트웨어가 없는 상황이라고 하면요, 이 두개가 만족되면 없는 것 보다 좋은 상황 아닌가요? 적어도 은행 거래할 때만은 안전해 지는것 같은데요.

By: arsky

arsky — Mon, 14 Sep 2009 01:09:24 +0000

아직은 갈 길이 정말 멀죠! 무엇이 문제인지 인지 시키는데 많은 노력이 필요 할 듯 하네요! 특히, 정책에 관여하는 분들이요. 제 생각에는 어떠한 보안 프로그램보다 안전한 것이 SSL입니다. 256비트만 암호화 해도 해독하기 위해서 평생을 바쳐도 모자라니까요. 되려 AxtiveX는 프로그램을 설치 후 헛점을 분석한 후 역 이용을 하면 처절하게 난도질 당하니까요! 왜 많은 사용자들이 검증을 한 안전한 것을 이용하지 않고 버그리포트 제대로 받지도 않는 ActiveX를 쓰게 하는지 모르겠습니다.

전자서명도 은행이 책임 회피용 밖에 안됩니다. 프로그램을 허술하게 만들어 놓고 그 피해는 고객에게 돌리기 위한 수단이죠! 저는 정말 다양한 브라우저와 다양한 OS 사용자가 늘어 나면 날 수록 안전해 진다고 생각합니다. 물론 그렇다는 것은 아니지만 해킹피해자들이 원도우즈 사용자가 피해가 클듯 하기도 하구요!

By: SSL

SSL — Sun, 13 Sep 2009 10:25:04 +0000

저도 PayPal이나 해외 사이트에 신용카드 여러개 등록해 놓고 쓰는데 로그인후에는 키보드 두드릴 필요도없이 마우스 클릭 세번으로 결제가 끝납니다. 인증서도 필요없고 카드번호 적을 필요도 없습니다. SSL만으로 처리하죠.
페이팔: https://www.paypal.com/kr/cgi-bin/...

citibank는 .com에서는 https(SSL) 로 결제하지만 .co.kr 에서는 ActiveX 난리법석을 떨어야 하죠. ActiveX 깔면서 PC까지 다운된 경우도 있었습니다. MS사 IE가 아니면 접근도 할 수 없고.
씨티은행 미국: https://online.citibank.com/
씨티은행 한국: http://www.citibank.co.kr … “이 소프트웨어를 설치하시겠니까? … ” 선택이 아닌 것에 왜 묻는 것이며 반드시 예를 누르라는 안내는 왜 필요한지?

금융과 무관한 관공서인데 접속하면 키보드 보안 ActiveX 부터 깔기 시작하는 곳도 있습니다. 정부가 좀비PC를 양산해서 DDOS 공격 자초하는 격이죠. DDOS 대책으로 백신안깔린PC 포탈 접근 막겠다는 뉴스까지 있더군요. 당시 백신업체 대표가 뉴스 앵커와 인터뷰하길래 그 업체 홈페이지를 방문했더니 빈 화면에 “OK”만 적혀 있더군요. 백신업체 서버까지 해킹당한 모양인데 며칠간 그 상태였어요.

금결원은 ActiveX 안 쓰면 보안이 더 좋을텐데. 보안이나 표준 이전에 사용자의 선택권이나 결정권은 더 근본적인 문제이거나 상위이지 않을지?

By: AppleADay

AppleADay — Sun, 13 Sep 2009 06:18:28 +0000

이번 애플의 미디어 이벤트를 보니, 잡스가 iTunes에서 80억개의 노래가 팔렸고, 10억개의 사용자 계정(Accounts with credit card)에 대해 자랑하네요.
http://blog.naver.com/wayne0714/70068978770

근데 트랙백을 하려니 안되네요..

By: hirameki

hirameki — Sat, 12 Sep 2009 20:40:27 +0000

과거에 오픈웹에서 소송을 했던 내용을 살펴보시면 보시면, 공인인증서 그 자체보다도 플랫폼에 구애받지 않아도 되도록 구현되어있던 것을 외면하고 왜 굳이 한 플랫폼에 구애받는 것을 선정했는지 이유를 밝히라고 요청한 바 있습니다.

즉, 원래의 논점은 브라우저의 기본 기능을 놔두고 왜 공인인증서를 쓰느냐 가 아니고, 공인인증서를 쓰는데 왜 굳이 플랫폼 의존적으로 결정했느냐 였습니다. 여기서 공인인증서 쓰지 않아도 되지 않냐라는 이야기가 나온 것이고요.
현재 한국의 인터넷 뱅킹이 더 위험하다는것은 어디까지나 운영체제에 보안 구멍을 뚫어놓고 시작하는 행태를 두고 이야기하는 것이지 인증서를 사용하는 방식 그 자체가 더 나쁘다는 말은 아닐 것입니다.

그리고 피싱 메일 자체는 그 목적과 피해범위가 광범위하므로 피싱메일에 대한 방어 대책은 별도로 세우는 것이 맞다고 생각되네요.
한가지 궁금한것은 외국 보안 관계자들이 제일 부러워하는 것이 한국 PKI인프라 라고 하셨는데, 주로 대상은 미국인가요? 저는 일본에 있습니다만 결재쪽 처리할때 한국을 부러워하는 소리는 단 한번도 들은적이 없어서 여쭤봅니다. (한국의 케이스는 참고정도는 합니다.)

아 보안 관계자라면 실제 사업자와는 관계없는 보안 프로그램 업체쪽을 말씀하시는것일지도…..

By: 카나리아

카나리아 — Fri, 11 Sep 2009 12:15:32 +0000

그리고 부인방지효과가 없다는건 당연한 얘기기도 합니다.

위에서 말했듯이 공격자가 사용자 컴퓨터에 침입해서 키를 접수할경우 의미가 없어지거든요.

이걸 줄이는 가장 좋은 방법은 리눅스처럼 운영체제 차원에서 외래 소프트웨어를 깔때 확인을 하고 깔고 ActiveX같은 웹에서 외부 프로그램을 바로 실행하는 기능은 지양해야 합니다. 굳이 웹에서 할수 없는 일을 하고자 할때는 자바 애플릿같은 가상 머신을 통하는게 맞구요.

By: 카나리아

카나리아 — Fri, 11 Sep 2009 12:11:50 +0000

근데 중요한건 악성코드가 미리 설치되어서 메모리를 후킹할경우 키보드 보안을 깔았다고 해도 방법이 없습니다. 내리거나 작동 못하게 할수도 있고, 그렇지 않더라도 키입력이 아닌 메모리 공간을 확보해서 비밀번호를 알아내고자 한다면 의미 없습니다. 이에 대해 이잡듯이 대응할수 있을지도 모르지만, 그것또한 해커가 자작해서 쓴다면 효과 없구요. 보안업체는 한둘이지만 해커는 많으니… 실제로 TV 시사프로그램에서도 그러한 시도가 나왔기도 하구요.

By: 김동현

김동현 — Sat, 05 Sep 2009 17:16:36 +0000

저는 외국(터키)에서 살고 있는 사람입니다. 이곳에서도 인터넷뱅킹이 활발하게 이루어지고 있고 은행들도 여러가지로 보안에 대체하고 있습니다. 현재 저는 우분투를 사용하고 있습니다. 터키의 은행및 정부기관들의 홈페이지 이용에 전혀 문제가 없습니다. 인터넷 뱅킹도 보안의 큰 문제 없이 잘 사용되고 있습니다. 저도 물론 windows를 멀티부팅으로 사용하고 있습니다. 한국에서의 인터넷뱅킹과 한국의 사이트를 위해서 입니다. 안철수연구소도 파폭으로 로그인을 할 수 없으니…
제가 전문가는 아니지만 사용자의 한 사람으로 한국의 이러한 인터넷 사용 환경이 이해가 되지 않습니다. 오픈 웹에 대해서 적극 지지 합니다. 멀티부팅 하지 않고 지냈으면 좋겠는데요. ^O^

By: 지니

지니 — Fri, 28 Aug 2009 04:29:14 +0000

실무자님 공인인증서가 사실상 부인 방지 효과가 없다는 것은 여기서 수 없이 많이 논의되었던 것 입니다.
인증서 파일과 패스워드만 유출되면, 다른 사람이 쉽게 인증서로 로그인 할 수 있게되죠.
PC가 이미 다른 사람 손에 장악된 상태라면, 패스워드 뿐만 아니라 파일 또한 손쉽게 입수 할 수 있게 되죠.
차라리 OTP나 보안카드가 공인인증서 보다 부인방지에 있어서는 좀 낫지 않나요?
http://openweb.or.kr/?p=1329
를 한번 읽어보십시오.

By: 실무자

실무자 — Wed, 26 Aug 2009 14:27:27 +0000

안당해보셨겠지만…. 이체 해놓고 안했다고 우기는 사람이 생각보다 많습니다.
다행히 법원에서 전자서명을 인정하고 있기에 은행입장에서는 참으로 안전한 수단이라 할수 있습니다. ^^

공인인증서를 통한 “인증” 은 사용자를 식별하므로 안전한 인증 수단이 되지만…
공인인증서를 통한 “전자서명” 은 사용자가 한 행위를 부인 방지하는 것이므로… 사용자 보다는 은행입장에서 안전한 거래 수단이 됩니다. ^^

By: skonmeme

skonmeme — Fri, 14 Aug 2009 17:44:41 +0000

qk// 여기에 쌓여있는 수많은 글들을 좀 읽어보시고 글을 쓰시던가요.. 주장하시는 바는 이미 수도없이 논의되었던 내용들입니다.

기존에 논의되어 나온 결론을 뛰어넘을 수 있는 얘기를 하실 것 아니시면 그냥 글을 좀 읽어보시고 생각해보세요..

By: qk

qk — Fri, 14 Aug 2009 08:57:36 +0000

전략을 바꿔보는것은 어떻습니까? 지난 몇년동안 오픈웹이 굉장히 고생을 많이 한것을 알고 있습니다. 그런데 그 노력에 비해 성과는 상대적으로 미미해 보입니다. 소송을 통해 한꺼번에 해결하려는 전략은 논란의 여지도 많을뿐더러 가능성도 크지 않고 고생하시는 분들의 에너지 소비도 커 보이네요.. 지금의 이런 전략을 유지해야 한다면 소송과 함께, 동시에 쉽게 할 수 있는 작은 일을 찾아서 성취해 나가면 좋을 것 같습니다. 다른 사람들의 참여도 많이 유도할 수 있고요. 일례로 현재 핸드폰 요금, 초고속 인터넷 요금 고지서 html 보려면 activeX 설치해야 합니다. IE 에서밖에 안되는데,, 인터넷 뱅킹도 좋지만, 이런 단순한 것들을 먼저 해보는것은 어떨지요,,,

By: 황병희

황병희 — Thu, 13 Aug 2009 07:51:27 +0000

Email 에 대한 피싱은.. RFC4871 과 RFC5617 로 해소될 수 있습니다.. IETF 에서 Email 에 대한 전문가들이 모두 모여서 만든거라서.. 믿을 수 있습니다..

실지 구현 진척현황과 좀 더 세부적인 정보는..?
dkim.org 에서 확인 할 수 있습니다..

By: T. K.

T. K. — Tue, 11 Aug 2009 11:05:06 +0000

이해하겠습니다. 원래는 오픈웹의 방향도 공인인증서를 사용하는 유럽 국가들처럼 다양한 플랫폼 지원을 요구하는 것이었으나 모바일 인터넷용을 지원하기 위해 별도로 이를 구현해야 하는 문제도 있어 이미 플랫폼에 구애받지 않고 널리 쓰이고 있는 SSL을 사용하자는 쪽으로 방향전환(?)이 있었습니다. 제 생각에도 지금까지 관련자들(?)의 행태로 볼 때 전자로 갈 경우 시장성 등등 이런저런 핑계대면서 미적거릴 것 아닙니까?

By: qk

qk — Tue, 11 Aug 2009 10:03:07 +0000

플래폼 접근성만 집착하지 말고
다 방면에서 검토를 하여 올바른 방향으로
나아가기를..

2 Factor 인증이 필요한 이유..
http://www.boannews.com/know_how/view.asp?page=1&gpage=1&idx=1485&numm=1158&search=title&find=&kind=03&order=ref

공인인증서의 혜택
http://www.fnn.co.kr/content.asp?aid=3efae4d55fcf40bfb085ff7b4a1fcb03