(공인)인증서는 두가지 기능이 있습니다. 하나는 보안접속을 하는 기능입니다. 다른 한 기능은 거래 내역을 서명하는 기능입니다.
보안접속만 하면 된다면, 아예 플러그인이 필요 없습니다. 보안접속만이 문제된다면 웹브라우저에 당연히 포함된 모듈(프로그램)로 구현하면 됩니다(https 접속: 익명 사용자 SSL/TLS 접속이건, 사용자 인증 SSL/TLS 접속이건 간에). 그러나, 거래 내역을 전자서명하는 기능은 별도의 플러그인이 필요합니다(액티브X가 되었건, 서명된 자바 애플렛이건, 파이어 폭스 확장이건 간에). 따라서, 보안접속에 더하여, 거래의 구체적 내역을 고객이 전자서명하는 행위가 과연 얼마나 안전에 도움이 되는가 하는 점이 문제로 됩니다.
지금까지의 “당연한 전제”는, 거래 내역을 전자서명하면 나중에 고객이 그 거래를 부인(repudiate)할 수 없게 된다는 것입니다. 그러나, 과연 그런지를 꼼꼼히 따져 볼 필요가 있습니다.
고객이 문제의 거래를 “부인(자신이 한 것이 아니라거나, 자신이 한 거래와는 내용이 다르다는 주장)”할 수 있느냐 없느냐는 기술적 측면과 법적 측면을 모두 살펴보아야 합니다:
- “기술적으로는” 고객의 개인키를 가진 자가 아니면, 그 전자서명을 생성하는 것이 (지금의 컴퓨팅 파워로는) 사실상 불가능하기 때문에, 전자서명이 있으면 고객이 거래를 부인하기 어렵게 되는 것이 맞습니다.
- 그러나, 실제로 금융사고가 생기는 이유는 고객의 인증서와 개인키 파일이 이미 유출되어 공격자가 입수하였기 때문입니다. 따라서 “고객의 개인키 없이는 고객의 전자서명을 생성하기 매우 어렵다”는 기술적 주장은 법정에서는 아예 논쟁 거리로도 되지 않습니다. 이미 고객의 개인키가 유출된 상태에서 고객 모르게 거래가 이루어지기 때문에 분쟁이 발생하는 것입니다.
그 뿐 아니라, 현재와 같이 “복사 가능한 형태”로 저장되는 (공인)인증서는 유출될 가능성이 매우 높다는 사실은 모든 보안전문가들이 당연히 전제로 삼는 사실입니다. 키보드 보안 프로그램 설치를 강제 하는 이유도, 인증서 개인키 파일이 이미 유출되었을 가능성이 높기 때문입니다. 개인키가 유출되지 않는다면, 아무리 키로거로 비밀번호를 알아내 본들, 전자서명을 할 수는 없습니다. 그러나, 키로거를 고객의 컴퓨터에 몰래 설치하여 비밀번호 입력값을 빼가는 수준까지 고객의 컴퓨터를 장악한 공격자가 유독 고객의 인증서 개인키만은 건드리지 않고 가만히 두는 “예의”를 지킬 것으로 기대할 수는 없을 것입니다.
요컨대, 고객의 컴퓨터에 키로거가 설치되는 지경에 오면, 비밀번호 뿐 아니라, 인증서 개인키 파일까지도 당연히 공격자가 입수할 수 있게 됩니다. 이 상황에서 전자서명이 이루어지면, 고객은 그 거래를 부인할 것이고, 그 경우에 법원은 “개인키 없이는 전자서명을 만들 수 없다는 기술적 주장”은 아예 고려조차 할 필요가 없습니다. 유일한 쟁점은 개인키 유출에 고객의 과실이 어느정도 있었는지 뿐입니다.
따라서, “기술적으로는” 전자서명이 부인방지 기능이 있다고 하지만, 실제로는 아무리 전자서명이 된 거래라 하더라도, 고객은 자신의 개인키가 유출되어 누가 그것으로 거래했다는 주장을 펴기 때문에, 결국에는 전자서명이 부인방지 기능을 보장해 주는 것은 전혀 아닙니다.
고객의 컴퓨터가 허술하면, 인증서 개인키 파일은 공격자가 당연히 복사해 올 수 있으므로, (공인)인증서만으로는 아무런 보안책도 되지 못합니다. ‘비밀번호’만이 유일한 장벽이고, 바로 그렇기 때문에 국내 금융권은 키보드 보안에 그렇게 집착하는 것입니다. 개인키는 이미 유출되었지만, 개인키 비밀번호라도 제대로 지켜보자는 것이 바로 키보드 보안 프로그램의 “존재 이유”입니다. 키보드 보안에 집착한다는 사실 자체가 곧, 인증서 어쩌구 아무리 해본들, 실제로는 “비밀번호”가 주는 이상의 보안을 고객에게 제공할 수 없다는 점을 보안업체들이 스스로 잘 알고 있기 때문입니다. 결국, 유일한 “관문”은 개인키 “비밀번호”로 집중됩니다.
PKCS#11 형태로 저장되는 (공인)인증서와 비교하면, 이점은 더욱 분명히 드러납니다. 이 양식(cryptographic token)의 인증서는 복사가 불가능(unextractable)하게 지정할 수 있습니다. 여기 참조. 이 경우에는 아무리 개인키 비밀번호가 유출, 노출되어 본들, 물리적으로 그 매체 자체(스마트 카드 등의 형태로 존재합니다)를 입수하지 않는 이상 고객의 개인키를 공격자가 입수할 수 없으므로, 고객의 전자서명을 만들어 낼 수가 없습니다. 이 양식의 인증서를 사용할 경우에는 키보드 보안 프로그램이 필요없게 되는 셈입니다. 그 외의 경우는 인증서 자체가 보안에 도움이 된다기 보다는 개인키 암호가 비밀로 유지되느냐가 거의 모든 것을 결정하는 셈입니다.
따라서, PKCS#11 형태의 인증서가 아니라면, “보안에 관한 한”, 그리고 “부인방지 효과”를 실제로 거둘 수 있느냐는 오직 “비밀번호”에 달려 있습니다. 실제로도, 인증서를 사용하는 유럽 각국, 캐나다 등의 경우, 우리 나라와 같은 저장 방식과 저장위치에 저장되는 인증서를 사용하는 곳은 없습니다.
이상을 표로 요약하면 다음과 같습니다:
| 보안 매체 | 고객 컴퓨터 integrity | 보안 매체가 제공하는 보안 효과 | 서비스의 범용성, 이용 편의성 |
|---|---|---|---|
| 복사 가능 인증서 | 침해 안된 경우 |
|
|
| 침해된 경우 |
|
||
| PKCS#11 인증서 | 침해 / 불침해 |
|
|
| OTP 생성기 | 침해 / 불침해 |
|
|
| Server-generated OTP | 침해 / 불침해 |
|
|
| 보안카드 방식 | 침해 / 불침해 | 낮은 수준의 보안을 제공 |
|
지난 10년 가까이 우리 금융권이 채택한 방식은 붉게 표시된 부분으로 설명됩니다. 처음에는 공인인증서가 마치 모든 것을 해결해 줄 것처럼 착각하고 그것만 채택하다가, 점점 사고가 터지니까, 보안카드를 도입하고, 이제는 키보드 보안 프로그램 설치에 거의 “올인”하다 시피 매달리고 있습니다.
(복사 가능한 형태로 저장되는) 인증서는 애초에 단순 비밀번호(그것도 static 비밀번호) 이상의 보안을 실제로는 전혀 제공하지 못하는 것이었다는 것을 뒤늦게 깨달은 셈입니다. 보안에는 실제로 별 도움이 되지 않는 인증서를 사용하기 위하여 모든 뱅킹 고객들이 “몸살”을 앓아 왔고, 서비스의 범용성이 치명적으로 제약되어온 셈입니다. 인증서로 전자서명하는 플러그인을 판매하는 업체들에게는 적지 않은 도움이 되었겠지만…
OTP 생성기 또는 Server-generated OTP가 가지는 “상대적 장점들”을 전향적으로 검토할 때가 되지 않았나 생각합니다. 어차피 비밀번호에 모든 것을 거는 형국이라면, 그 비밀번호라도 안전하게(매번 똑같이 static 하게 입력하지 않도록) 운용하는 것이 필요하지 않을까요?
사실 저도 예전부터 궁금했던 겁니다. 공인인증서를 발급받을 때를 생각해 보면 필요한 정보가 이름, 주민등록번호, 은행계좌번호, 보안카드 이게 다거든요. 따라서 누군가가 이러한 정보를 얻어내기만 하면 공인인증서를 재발급 받아서 거래해 버리면 끝입니다. 공인인증서가 있으나 없으나 보안카드는 원래 존재하는 보안 수단이고, 설마 주민등록번호가 보안의 역할을 할 것이라 생각했을 것 같지는 않고. 물론 누군가 저런 식으로 거래를 했을 때 내가 원래 가지고 있던 공인인증서가 폐기되기 때문에 누군가 이상한 짓을 했다는 것을 눈치챈다는 건 있네요(물론 이것도 중요한 기능이라 생각합니다). 하지만, 부인방지? 전 공인인증서가 부인방지 기능을 한다는 걸 이 사이트 때문에 최근에야 알게 됐는데, 그런 게 가능할 것이라고 사람들이 생각했다는 것이 믿기지 않네요. 제가 모르는 뭔가가 있는 거겠죠? 제 생각에 애초에 공인인증서가 보안을 위해 만든 것 같지는 않고… 그 기능이 정확히 뭘까 아리송하네요.
PKI 기반기술 및 국내외 기술동향
http://www.kisia.or.kr/download/040227-pki1.ppt
다소 무례하게 생각되시겠지만 링크만 남기겠습니다.
OTP (일회용 비밀번호) 생성기는 PKI(공개키 기반 구조) 기술과는 무관합니다. PKI는 인증서, 전자서명에 관한 것입니다.
OTP는 몇가지 구현 방법이 있지만, 국내에서 이미 많이 배포된 OTP 생성기는 시간 동기화 방법입니다. 시간 동기화 방법이건, one-way function 방식이건 간에, 하드웨어(OTP생성기)는 인터넷과 전혀 연결되어 있지 않습니다.
QUOTE 가 이상하게 달렸습니다.
기능 점검 부탁합니다.
제…웹브라우저 cookie 관련 오류일 수도 있습니다.
아.. 답글을 쓰다 보니 본문의 내용을 까먹고 말았네요. 본문에 공인인증서의 기능은 “보안접속”과 “부인방지” 두 가지라고 명시되어 있네요. 설마 저런 엉성한 수단이 저 두 가지의 엄청난 기능을 수행할 것이라 사람들이 믿어 왔다는 게 여전히 믿어지지 않네요. 지금껏 제가 모르는 심오한 무언가가 있을 거라 생각해 왔거든요.
오픈웹의 활동 목적과 그간의 활동에 대해 공감하며, 멀리서 지지하고 있습니다.
오픈웹의 RSS 구독과 관련한 웹 서비스 정책에 대해 건의하고 싶은데, 딱히 이런 건의를 어떤 경로를 통해야 할지, 현재의 웹 서비스에서는 그 방법을 찾기 힘들어, 현재 가장 최근 올라온 글에 댓글을 쓰고 있습니다. (오래 전부터 이런 건의 드리고 싶었는데, 차일 피일 미루다가 이제야 글을 씁니다.)
웹의 생태 환경에 대해 관심을 가지고 있는 분들 중에는 저처럼 오픈웹의 활동 상황에 대해 많은 관심을 가지고는 있는 분들이 적지 않을 것이라 생각합니다. 하지만 관심이 많다고는 한들, 매일 매일 오픈웹의 사이트에 방문해서 새로운 글이 올라왔는지를 확인할 수는 없는 노릇입니다. 다행히 오픈웹은 이렇게 많은 관심을 가지고 있는 사용자들을 위해 RSS 구독을 권장하고 있지요.
그런데 문제는, 막상 RSS 구독을 통해 오픈웹의 글들을 접해보면, 글의 앞부분 단 몇줄만 구독이 가능할 뿐입니다. 전체 글을 보려면 반드시 오픈웹에 방문해서 해당 글을 열람하도록 강제하고 있다는 것입니다.
(현재 서비스 중인 오픈웹의 사이트에서 오른쪽 영역의 아랫부분을 보면 RSS와 관련해서, “아래 구독서비스를 이용하시면, 새로 게시되는 글을 직접 받아보실 수 있습니다.”라는 안내문이 있는 것을 볼 수 있습니다. 그런데, 정말 RSS 구독을 서비스를 이용하면 오픈웹에 새로 게시되는 글을 볼 수 있는지요? 정확하게는 오픈웹에 게시되는 글의 앞부분 몇줄만 직접 받아 볼 수 있을 뿐입니다.)
현재 오픈웹의 웹 서비스는 WordPress 기반의 블로그 시스템으로 보입니다. WordPress 역시 다른 RSS 지원 시스템처럼 RSS 설정을 변경할 수 있는 항목 있을 것으로 추정되며, 이 항목의 값을 [부분 공개]에서 [전체 공개]로 바꿔주시길 요청 드립니다.
저처럼 오픈웹의 활동을 많이 궁금해 하는 사람들에게, 오픈웹의 서비스 사이트에 방문하지 않더라도 새로 올라오는 글의 [작은 조각]이 아닌 [전체] 내용을 자신이 사용하고 있는 RSS 구독기(서비스)를 이용해서 읽을 수 있도록 조치해 주시길 부탁 드립니다.
아래의 내용은 개인적인 생각입니다. 잘못된 내용이 있을 수 있습니다. 잘못된 부분은 다른 분이 지적해 주실 것이라 믿습니다.
교수님께서 기술적인 면에서 정곡을 찌르셨네요.
“처음에는 공인인증서가 마치 모든 것을 해결해 줄 것처럼 착각하고 그것만 채택하다가, 점점 사고가 터지니까, 보안카드를 도입하고, 이제는 키보드 보안 프로그램 설치에 거의 “올인”하다 시피 매달리고 있습니다.”
정상적인 방법으로 더 땜빵할 수 없다면, 비정상적으로 땜빵하기 위해 하드 시리얼 번호 또는 랜카드 MAC address, 또는 사용자의 시간대별 사이트 접속 목록들이 필요하게 될 지도 모르죠.
빵꾸난 타이어 계속 땜빵해서 쓰고 있는 실정인데…
언젠가..통째로 갈아야 할 날이 올 것입니다.
주체들 스스로가 갈고 싶어할 것입니다.
이게 그 ‘심오한 무언가’가 아닐까요…
위의 내용은 개인적인 생각입니다. 잘못된 내용이 있을 수도 있습니다. 잘못된 부분은 다른 분이 지적해 주실 것이라 믿습니다.
좋은 글 잘 읽었습니다.
이처럼 명약관화한 내용을 관련된 분들은 왜 자꾸 부인하려고 하는 것일까 정말 의아스럽습니다.
그런데…위에 댓글에서 말씀해 주신 것처럼, 이메일로 새로운 글을 받아보는 것이 이전 구글그룹에 있을 때와는 다르네요. 게시글의 일부만 들어오고, 댓글은 아예 들어오지 않는군요. 가능하다면 모든 글을 이메일로 받아보고 싶습니다….^^
오픈웹의 노력이 꼭 결실을 맺길 바랍니다.^^
아 참 길게 썼는데 무슨 보안인증서 오류 ㅋㅋㅋ 날려먹고 나니 어이가 없네요. 남 욕할게 아니라 여기 사이트부터 반성해야 할 듯.
저기 여하튼 그래서 결론이 뭔데요?
PKCS #11을 준수해달라?
예 그런거면 좋습니다. 제가 추구하는 바와도 통할 수 있고요.
그런데 그게 아니지요?
이것저것 자료는 대시는데 – 그것도 편향적 – 그 자료들은 그냥 투덜투덜하는데 쓰고 결론은 ‘가입자 설비’를 없애자는 황당한 비약에다가 해법은 오직 소송 – 사실상 실 혜택자는 특정 PG사 – 이러니 어이가 없습니다.
자료가 아깝… 아니 불쌍합니다.
1. 예전부터 여러 분들이 “소송”을 하는 것에 불편한 감정을 가지시는 것 같은데 그럴 수밖에 없었던 맥락을 이해해주셨으면 하는 바람이 있습니다. 소송 이전에도 많은 문제제기와 노력이 있었습니다. 물론 그러한 노력이 모자라서 혹은 부질없는 것이라서 성공을 거두지 못 했겠지요. 공인인증서, active-x, 뭐 사기업에서 그러는 것은 일말의 이해라도 해 줄 수 있을망정 최소한 정부에서는 그러면 안 되는 것이거든요. 그래서 소송도 정부를 향한 것이고요. 현실적으로 이 난관을 타개할 방법이 소송 말고는 딱히 보이는 게 없어요.
2. 소송이 특정 회사의 특혜를 위해 이뤄졌다는 듯한 말씀을 하셨습니다. 그렇다면 공인인증서를 계속 쓰는 것이 특정 회사의 이익 때문이라는 주장은 어떻습니까? 후자가 더 그럴듯해 보이지 않나요? 설마 다양한 사람들이 모인 오픈웹 커뮤니티가 특정 회사와 결탁했다고 생각하시는 것 아니시겠지요. 만에 하나 그러시다면 그것은 촛불시위에 주동자 있다는 모씨 주장과 비슷한 겁니다.
전~혀 오픈웹의 말을 들으려하지 않는 상황에서는 유일한 선택지는 소송 뿐이었던 겁니다.
뭐 오픈웹의 말을 들을 생각은 추호도 없는대 아무리 떠들어봤자 일이 해결될리가 만무합니다.
언제까지나 상대가 말을 들을 생각이 추호도 없다면
대화는 불가능하죠.
상대는 전혀~~~~~~~~~~~~말을 들어줄 생각이 추호도 없는 상황에서 설득이 가능 할까요?
문자그대로 대화 거부 상태인 상대에게 말을 걸려고 하는 행위 자체가 바보 같은 짓이 됩니다.
문득 심심해서 문명4라는 게임을 한적 있는대
딱 하고 짚이는게 있더군요
이게임에서 외교를 하는대 상대방이 대화 거부상태이면
아무런 외교조치가 가능하지 못한 상태가 되더군요.
그런 격입니다.
상대가 대화를 ‘거부’하는 상황에서 선택할것이 남은게 소송이라는 거죠.
그나저나 오픈웹의 존제 이유가 명확히 정의되야 할것 같습니다.
그렇지 않고서는 갑론을박이 영원이 지속될것이니까요.
키로거가 침투하면 부인방지는 부인방지가 아니다… 그러면 키로거가 침투하면 뭐는 못합니까? 말마따나 PKCS #11에 따르더라도 악성 프로그램이 침투하면 뭐는 못합니까? 결국은 전자결제를 시도할때는 다 접근 가능한 법인데.
MITM 같은 지엽적인 문제를 침소봉대할때부터 이미 분별 능력 상실을 심각하게 보여주고 계십니다. 안타깝습니다.
중요한 포인트는 “부인방지”란 것이 온라인상에서는 애초에 달성 불가능에 가까운 목표라는 겁니다. 그렇다면 공인인증서가 보안의 관점에서라도 나은 면이 있어야 하는데 공인인증서보다 훨씬 나은 다양하고 범용가능한 수단이 너무나도 많이 존재하죠. 근데 계속 쓰는 이유는 아마도 도입 초기의 환경적 이유와 일종의 “매너리즘”일 것입니다. 그래서 몽몽이님의 의견이 “부인방지가 가능하다” 혹은 “쓰던 거니깐 그냥 쓰자” 뭐 이런 것 아니시지 않겠습니까?
키로거의 침투를 가정하면서도 PKCS #11은 부인방지 안전이라는 어이없는 도표를 올린 것부터가 참 부끄러운 일입니다.
혹시 PKCS#11 양식의 인증서를 “usb에 저장된 인증서”라고 오해하신 것이 아닌지요? 양자는 완전히 다릅니다.
몽몽이님/
오픈웹에 오랫동안 관심을 가져주시고, 논의에 참여해 주셔서 고맙습니다.
어떤 업체들이 혜택을 볼지는 조만간 모두가 알게 되지 않겠습니까? 당장에 손해를 보게될 업체들이 누구인지도 모두가 알 수 있을 것입니다.
오픈웹이 추구하는 바대로 변화가 일어난다면, MS사부터 시작해서 무수한 소프트웨어 개발업체와 개발자들의 이익/손해에 변화가 생길 것입니다.
USB에 저장된 인증서로 오해한거 아닙니다.
본인이 보고 싶으신 것에는 그렇게 솔깃해하시며 귀가 얇으시면서 왜 그리 다른 기술자는 가차없이 폄하하시나요? 그런 성향이 점점 강해지시는군요.
PKCS #11 양식 아니라 그 무엇이라도 서명에 사용되는 도중에 개인키가 나오게 됩니다.
말마따나 전능하신 키로거가 침투했는데 왜 복제가 안될까요?
이것이 암호화된 상태로 개인키의 중간 생성 없이 그대로 사용되는 것이면 모를까, 그렇지 않고는 키로거의 존재를 가정하였을때 어느쪽은 부인방지 불가 어느 쪽은 부인방지 안전을 논할 수 있는 것은 아닙니다.
계속 일방적인 주장을 하기 위해 연속선상에 있는 문제들을 가지고 특정한 수준에만 선을 긋고 이건 나쁜 놈, 저건 좋은 놈 하시는데 그런 식으로는 백날 해봐야 이번 소송 결과같은 모습밖에 못 보실 겁니다.
진정한 성과를 바란다면 이것저것 문제를 침소봉대하며 소송에만 집착하지 마시고 – 게다가 그렇게 꺼낸 문제들은 소송의 직접적인 논거로 사용하지도 못하는 것들 – 문제 자체에 대한 객관적인 평가와 기술적인 해법 연구에 집중하시기 바랍니다.
네, 알겠습니다. PKCS#11 보안 토큰에도 “디자인 오류”가 있을 가능성이 있다는 말씀으로 이해하겠습니다만. 그런 이슈는 RSA 사와 논의를 할 성질이라고 생각합니다.
RSA사가 공표한 스펙을 정확히 준수하여 구현한 경우에는 아직, 공격자가 PKCS#11 인증서를 복제해 가는데 성공했다는 보고는, 제가 아는 한 없습니다.
이것은 스펙과는 좀 다른 문제입니다.
키로거라는 구현물은 PKCS와 같은 스펙 차원에서 고려할 수준의 것은 아닙니다.
일례로 스마트카드를 이야기 하셨는데 스마트카드 역시 SW 드라이버에 ‘붙어’ 정보를 복제할 수 있는 가능성이 얼마든지 있습니다.
그 난이도는 스마트카드의 방식등에 따라 많은 차이가 납니다.
여하튼 그렇다고 해서 스마트카드 방식의 보안 체계가 스펙상 결함이 있다고 말하지는 않습니다.
어떠한 보안 모델을 논할 때에는 개념-논리-구현의 3단계 정도 level을 가지고 구분해서 접근하는 것이 정확한 이해에 도움이 되리라 생각합니다.
조재윤/ 부인방지가 불가능한 사안이므로 아예 논외로 하자… 그러면 대체 전자서명이 왜 표준에 들어가 있는지 재고해보시기 바랍니다.
그런 말씀이 나오는게 바로 문제를 침소봉대하기 때문이며 점점 그렇게 되어가기 때문에 제가 강한 불만을 표하는 겁니다.
이래서는 오픈웹을 종교단체에 비유하는 조롱을 반박할 수 없습니다.
그리고 부인방지라는 원뜻은 “니가 보낸건데 왜 억지냐”라는 의미만이 있는게 아니고 “봐라 이거 내가 보낸거다”의 의미도 있습니다.
이 글만 해도 그렇습니다.
물론 PKCS #11을 따르는 것이 현재 방식보다 보안성 개선에 도움이 될 겁니다.
그러나 그런 식이라면 키로거 방지 프로그램을 보내는 것 역시 효과를 부정할 것은 아닙니다.
어떤건 절대적인 안전성이 있는양 과장하고 어떤건 악의 축처럼 평가하는 것은 부당합니다.
그런데 오픈웹은 점점 갈수록 그런 경향이 강해지고 있습니다. 이유는 왜일까요?
그건 바로 보안채널과 전자서명을 합성해서 쓰는 현행 전자결제 체계 자체를 부정하는 목적으로만 논리를 이끌어가려 하기 때문입니다.
이것이 바로 타 기술자들이 욕을 하는 이유입니다.
그렇게 특정 목적을 정해두고 이야기를 합니다만, 정작 유일한 행동 수단이 소송에는 그런 내용은 올리지도 못하는 – 당연히 올릴 수가 없지요 – 딜레마에 빠진 것으로밖에 안 보입니다.
왜 그리 소송에 집착하며 왜 소송을 위한 이야기전개밖에 안 하시는지요.
잘 모르겠습니다. 전자서명이 왜 표준에 들어갔죠?
몽몽이님/
오픈웹은 “키보드 보안 프로그램의 유용성이 마치 절대적인 것처럼 제시하는 기존의 입장”을 비판하고, 다른 대안들에 대한 유연성을 주문할 뿐, 다른 대안이 절대적이라는 입장은 아니라고 저는 이해하고 있습니다만…
몽몽이님은 어떻게 “봐라 이거 내가 보낸거다”란 의미가 있는지 기술적으로, 논리적으로, 상식적으로 설명을 해주세요.
상식적으로 생각해서.
인감도장의 경우에…
“봐라 이거 내가 찍은거다” 이런 의미가 없거든요.
하지만 “니가 찍은건데 왜 억지냐” 이런 의미는 있죠.
제발 상식적으로 생각합시다.
보안이라고 해서 뭐..특별난거 아니거든요.
현실세계에서 발생하는 일이 컴퓨터 내(또는 네트워크)에서 발생하는 것과 다를 바가 없는 겁니다.
그러면…법적인 책임 때문에
인감으로 공인인증서를 사용한다…그거 잖아요.
하지만 인감으로 사용할 만한 것이 공인인증서 뿐인가요????
진짜…가슴이 손을 얹고 생각합니다.
다 알만한 사람들이 그러지 맙시다.
소송이든 뭐든 오픈웹의 추구하는 바가 성취되려면 무엇보다도 기술적인 주장이 신뢰를 받아야 합니다.
날이 갈수록 침소봉대하여 보안 기술자들의 반발이 생긴다면 목표 달성은 어림도 없습니다.
오픈웹이 “한국” 전자결제의 지엽적인 문제점만을 캐 대는 대신 좀 기술 아키텍처적인 관점에서 접근하면서 관련 기술자들이 권위를 인정하게 된다면 그런 맥락에서 ‘가입자 설비’의 개선도 유도할 수 있으리라 봅니다.
‘가입자 설비’도 무슨 자바 애플릿이니 이런 식의 너무 제한적인 것 말고 그보다 더 포괄적이지만 분명하게 정의된 요건을 제시해서, 여하튼 공인 인증 주체가 임의적으로 선별할 여지를 없애고 이런 기술적 요건에 충족되면 무조건 심사를 하도록, 선도적인 역할을 하는 NGO가 되어야 할 것입니다.
그렇게 하는데 소송이 어울리는 수단으로 생각되지는 않습니다. 오히려 자승자박으로 보입니다.
좋은 지적 고맙습니다.
소송의 “유용성”에 대해서는 다양한 견해가 있다는 점은 잘 알고 있습니다. 특히, “MS IE가 공개 소프트웨어”라고 판시하는 법원을 상대로 전자서명을 설명하는 것이 쉽지는 않네요…
사실 오픈웹이 본래 취지는 “이 기술이 저 기술보다 나으니 이 기술을 쓰자” 이런 것이 아니라 말 그대로 “오픈”웹을 만들자였습니다. www가 world wide web이지 ms wide web이 아니지 않습니까? 그런 논의를 하다 보니 여러 기술에 대한 비교를 하게 되는 것이지요. 그런데 최근에 보면 그런 주변 논의들이 본질을 흐리는 느낌을 강하게 받습니다. 소송에 패소한 이후 어쩔 수 없이 다소 “갈팡질팡”한다는 느낌도 좀 받고요. 다시 말씀드리지만 최소한 제가 이해하고 있기로는 소송의 이유는 기술적으로 우월한 다른 것을 받아들이자는 그런 류의 것이 아닙니다. 따라서 기술적인 주장이 신뢰를 받아야 한다는 말씀을 볼 때 약간 본질을 오해하신 것 아닌가 하는 느낌도 받게 됩니다. 그리고 위의 댓글에도 말씀드렸지만 소송은 말 그대로 피치 못할 선택입니다. 다른 어떤 방법으로 저 목적이 가능해질까요? 전 솔직히 지금껏 오픈웹의 노력을 (패소는 했지만 최소한 미디어에 무수히 보도가 되었죠) 보안업체에서 상황을 바꿀 기회로 삼을지 모른다는 순진한 생각을 했었습니다. 그런데 최근의 “혼란”과 그때 오갔던 논의들을 볼 때 요즘은 보안업체 종사자분들께서 현재 한국 웹의 참담한 실정을 “인식”하고 있기는 한가 하는 좌절감마저 느껴집니다. 여담임니다만 오픈웹이 NGO와 비슷한 역할로 뭔가를 바꿀 수 있다는 것도 저 못지않게 너무 순수하신 생각 아니신가 싶습니다.
마지막으로 하나만 더, 반복적으로 침소봉대라고 말씀하시는데, 오히려 누군가 몽몽이님의 댓글을 보며 “작은 부분을 침소봉대해서 본문 전체의 본질을 흐린다”고 할 수도 있지 않겠습니까? 뭔가 사소한 문제가 있다면 그것을 고치면 될 입니다. 누군가의 얘기를 침소봉대라고 하다 보면 본질은 뒤로 한채 서로에게 소모적인 감정싸움만 일어날 확률이 큽니다. 본문의 본질은 제가 이해하기로는 현 공인인증서 제도가 “보안”과 “부인방지”의 관점에서 다른 방법들에 비해 실효성이 별로 없다는 것인 것 같은데 이 자체를 부정하시는 건 아니지요?
첨언하자면, OTP는 부인방지와는 다른 개념입니다.
“사실상의”라는 말로 땜방이 되는 이야기가 아닙니다.
부인방지라는 말을 잘못 알고 계십니다.
부인방지에 2가지 뜻이 있다고 말씀드렸지요?
쇼핑몰에서 결제를 했는데 상거래가 부인된 경우를 생각해보시면 간단히 알 수 있습니다.
OTP 전용 기기도 그렇지만 핸드폰에 OTP 번호가 찍힌 것으로 상거래를 입증하기는 곤란합니다.
이런 문제를 명백히 해결해주는게 전자서명의 취지입니다.
또한 OTP를 사용한다 하더라도 키로거 방어가 불필요하지는 않습니다.
해커가 매우 많은 수의 키로거를 유포하여 충분히 많은 입력 정보를 수집할 수 있을 경우에는 결국 보안 카드의 패턴 탐지와 동일한 문제가 되고 맙니다.
중국의 보안 카드 해킹이 바로 이런 물량적 방법에 의한 것입니다.
보안 카드나 복사 가능 인증서의 안전도를 낮게 평가한다면 키로거가 유포된 환경에서의 OTP 역시 본질적으로 다를 바 없다는 것을 지적하여야 할 것입니다.
참고로 OTP 번호 생성에는 해시 알고리즘이 이용되는데, 개인키 파일의 암호화에 쓰이는 해시 알고리즘과 대동소이한 것입니다.
좀 더 자세히 말씀해 주시죠. 제 수학적 상식으로는 도저히 이해가 안 되는 상황인데요. 그러니까 OTP의 해쉬 알고리즘을 물량공세를 통해 역으로 풀 수 있다 이 얘기입니까? 그게 물랑공세로 달랑 보안카드 번호 알아내는 거랑 같은 수준의 일이라 생각하시는 건가요? 한번 “일반인”을 이해시켜 보시죠. “보안밥”은 안 먹지만 적당한 구라로는 이해시키기 힘드실지 모릅니다.
OTP 번호도 키보드로 입력해야 하기 때문에
안티 키로거가 필요하다는 뜻 같습니다.
그러니까… 몽몽이님은
램덤으로 키 위치를 바꾸어 주는 스크린 키보드…
이런 기술의 존재를 모르는 것 같습니다.
결국 램덤 이미지 키보드도…OTP이거든요.
키보드를 전혀 사용 안 하고 마우스로만 딸걱 거리면 되거든요.
OTP 단말기의 원리가 어떻게 되는지는 제가 모르지만,
만약 firmware (프로그램)이 실행되어 숫자를 만들어주는 거라면,
firmware 을 빼오면 됩니다.
spi 로 빼오든…선 연결하는 방식이 안 먹히면…
칩을 통채로 뽑아서 칩 lead 에 선을 연결해서
function 을 테스트하면 되거든요.
그런 장비가 실제로 존재합니다.
제가 알고 있기로는 OTP 단말기는 입력값을 키보드를 통해서가 아니라 기기 자체에서 하도록 되어 있습니다 (다 그런 건 아닌지 잘 모르겠으나 우선 그런 것이 있으니 그걸 쓰는 경우를 생각해 보죠). 그러한 OTP 단말기는 컴퓨터와 전혀 연결이 되어 있지 않기 때문에 입력값을 알아내는 것은 불가능합니다. 결국 hacker가 할 수 있는 일은 hash function(편의상 f(x)라 하죠)의 f(x)를 샘플링해서 x를 알아내거나 하드웨어적으로 칩 내부의 알고리즘을 알아내는 건데 전자는 수학적으로 “거의” 불가능하고 후자는 칩 자체가 암호화되어 있어서 역시 “거의” 불가능합니다. 물론 암호학에 있어 “거의”는 “전혀”가 아니지만 상식적인 수준에서 “전혀”에 가깝다 보면 되겠죠. 뭐가 되었든 아무리 좋게 잡아도 키로거 수준의 해킹과 비교할 바는 아니겠지요.
몽몽이님, 죄송스럽지만 “보안 카드나 복사 가능 인증서의 안전도를 낮게 평가한다면 키로거가 유포된 환경에서의 OTP 역시 본질적으로 다를 바 없다는 것을 지적하여야 할 것입니다” <– 이런 것을 “침소봉대”라 하는 것입니다.
정답 입니다.
이야기가 모순되었죠
여하간 말입니다.
OTP도 뚫는게 불가능 하지는 않기야 하갰죠
진짜 예측 불능의 난수라면
떠오르는 생성 방법이
방사성 물질이 붕괴되는 시간.
……
표를 다시 보니 아예 PKCS #11 여부를 떠나서 인증서 체계와 OTP 체계가 부인방지의 관점에서 동등하게 비교할 수 있는 것처럼 쓰셨군요.
이건 빨리 시정하시는게 좋을 것 같습니다.
앞서 지적한 것처럼 부인방지는 전자서명을 통해서 가능하지 OTP와는 상관이 없습니다.
그리고 OTP의 경우에는 생성기나 핸드폰이 도단되었을 경우도 고려해야 합니다.
도단되었다면 OTP 번호를 요청하는 최초 단계에서의 패스워드에 전체 사활이 걸리는 문제가 있습니다.
게다가 핸드폰의 경우에는 폰 자체의 복제가 가능하다는 문제가 있습니다.
따라서 OTP는 보안 카드를 대체하는 개념, 즉 강화된 보조 수단으로서만 고려되는 것이 타당하며 전자서명 체계와 동등한 입장에서 고려할 성질의 것이 못됩니다.
몽몽이님/
전자서명이 부인방지 역할을 한다는 것은 당연한 전제입니다. 그리고, OTP가 되었건, static password 가 되었건, 기술적으로는 “세션 인증”만 가능할 뿐, 구체적인 거래의 내역에 대한 부인방지 역할이 없다는 것도 당연한 전제입니다.
제가 제기한 의문은 이러한 “기술적 전제”가 과연 “실제 분쟁 맥락에서” 기능하는지에 대한 것입니다.
암호화 기술, 보안 기술인력들께서는 당연한 전제라고 생각하시고, 의문을 제기하지 않는 사실이지만, 그 분들은 법률 분쟁이 어떤 맥락에서 발생하는지에 대한 고려는 별로 없으신 것 같습니다.
실제로 분쟁이 발생하는 맥락은 고객이 자신의 인증서 개인키가 유출되었다고 주장하고, 자신은 아예 그 거래를 하지 않았다고 주장하는 것입니다.
이 상황에서 서버(은행이나 카드사)가 아무리 고객의 전자서명을 제시해 본들, 고객은 “내가 한 것이 아니라, 내 개인키를 입수해간 해커가 나의 비밀번호를 알아내어 서명한 거래이다”라고 주장하는 것입니다.
인증서 개인키 비밀번호와 hanmail.net 비밀번호, 기타 아무런 보안이 없는 사이트 로그인 비밀번호를 같이 정해두는 사람은 매우 많습니다. 따라서 공격자는 인증서 개인키(이것은 쉽게 복사해 갈 수 있습니다)를 먼저 입수하고, 피해자가 다른 웹사이트에 로그인할 때 사용하는 암호를 입수하여(은행이 아무리 보안 플러그인을 강제로 줘 본들, 고객은 은행 외의 다른 웹사이트에서 자신의 암호를 흘리고 다닙니다), 그 암호가 개인키 암호와 동일하면, 그때 부터 공격자는 “고객 행세를 하며” 전자서명 거래를 마음껏 할 수 있게 됩니다.
이런 사정을 법원에 제시하면서, 고객은 자신이 한 거래가 아니라고 주장하는 것입니다.
바로 이런 이유때문에, “기술적으로는” 전자서명이 부인방지 효과가 있지만, “법률 분쟁의 맥락에서는” 실제로 부인방지 효과를 거두기 어렵다는 것입니다.
OTP가 어째서 “사실상의 부인방지 효과”가 있느냐 하면, 그 기계(발생기)를 분실하였다는 신고가 없는 상태에서 어떤 거래가 고객 이름으로 이루어지면, 고객은 도저히 자기가 한 거래가 아니라고 잡아떼기 어렵게 되기 때문입니다.
기술적 이유가 아니라, 상식적 이유에서 부인하기 어렵게 된다는 것이고, 판사가 보기에는 이것이 더 설득력이 있는 판단 근거가 된다는 것입니다.
기술과 법률 간의 괴리가 있습니다.
용어 설명을 보면요…
“부인방지의 일반적인 의미는, 계약 또는 통신의 한 상대가 문서에 있거나 또는 보내어진 메시지에 첨부된 서명의 확실성을 부정할 수 없도록 보증하는 능력을 가리킨다. 인터넷 상에서 전자 서명은, 메시지나 문서가 당사자에 의해 전자적으로 서명되었다는 것을 보증하는 것은 물론, 후에 그 서명이 제시되었을 때 그가 부인할 수 없도록 보증하기 위해 사용된다. 그러나 어떠한 경우에라도 잘못되지 않는 완벽한 보안기술은 존재할 수 없기 때문에, 디지털 서명만으로 부인방지를 항상 보장하는 것은 어려울 수도 있다고 일부 전문가들이 지적한다. 따라서, 송신자 또는 서명자에 관해 독특한 생체 정보 등과 같이 총괄적으로 부인하기 어려운 데이터를 취득하는 등 여러 방식을 함께 사용할 것이 권장된다. ”
부인 방지란게 단지 전자 서명을 통해서만 가능하다고 볼게 아니라 총괄적으로 부인하기 어려운 데이터를 취득하는 방식이죠. 즉, 특정 시점에 계좌이체시 사용한 보안카드 입력 번호, OTP 비밀번호 같은 것이 정황상 부인 방지에 사용된다는 겁니다.
OTP기기나 휴대폰이 도단되는 것을 감안하면 공인 인증서와 인증서 암호가 도단되는 것도 감안 해야 합니다. 암호화된 디지털 서명 부인 방지의 서브셋이 될 수는 있어도 전체가 될 수 없는 것이 바로 그런 이유입니다.
기존의 전자서명법이란것이 오로지 PKI 기술을 근거로 입안되어 있기 때문인데요. 예를 들어 공인 인증 시스템이 도입되지 못하는 모바일 VM뱅킹 (인증서 사용을 안합니다.)의 경우 부인 방지 기술 없는데 어떻게 금융 거래가 가능한건가요. 그건 전자서명법의 영역이 아니라 전자금융 거래법상 공인 인증 예외 조항에 해당되기 때문입니다.
전자서명법은 각종 거래에 대한 법과 동등한 위치에 있지 상위에 있는 게 아닙니다. 지금 전자서명법 혹은 체계를 무력화 시키는 게 아니라 전자서명법을 기술적으로 적용하기 힘든 곳에서는 다른 방식으로 부인 방지를 사용할 수 있다는 이야기입니다.
몽몽이님…
꼬투리 잡아 물고 늘어지는 모습은 보기가 안 좋습니다.
전체적인 틀에서 봐주세요.
누구의 글이든…정확히 전달되지 않는 문제가 있다는 거 다들 아시잖아요.
이탈리아 인터넷 뱅킹, 어떻게 하나?
http://openweb.or.kr/?p=1402
여기서 제가 답글로 달은 글에 대해 답변이나 해보세요.
전체적인 틀 운운하시는데 일반인에게 들을 말씀은 아닌 듯 합니다만?
꼬투리 잡아 물고 들어지는 답변 강요 사양합니다.
웬 자존심들 그리도 쎈지…
해킹, 보안 관련 지식과 기술들이 어디까지 공개가 되어야…인정하시겠습니까.
나중에 망신당하지 말고
이쯤되면 인정할 건 인정합시다.
그리고 미래를 설계합시다.
이전부터 여기 글 쓰시는 몇몇 소위 “보안밥” 드신다는 분들은 왜 그러시는지 모르겠습니다. 내가 몇년 보안밥을 먹었네 이러이러한 보안 용어를 알고 있느냐 일반인과 대화가 안 된다 이러시면서 말이죠. 저도 전문직 종사자로서 어떤 심리인지 충분히 이해는 합니다만 그것이 상대방에게 어떻게 비칠지, 그리고 그러한 얘기가 이러한 게시판에 글을 쓰는 스스로의 이유/목적과 부합하는지도 생각하시길 바랍니다. 설마 글 쓰는 목적이 “자위”는 아니실 거 아닙니까? 그런 건 다른 사람 안 보는 데서 하는 거죠.
저는 일반인이라 OTP 단말기 이런거 잘 모르겠고
상식적으로 간단하게 생각해서
패스워드 : 1234 일때, (서버가 알고, 고객이 알고 있음)
서버에서 랜덤으로 이미지 키보드를 만들어주고,
사용자가 오로지 마우스만으로 입력하고,
입력창에 이미지로만 **** 표시되고,(아예 노출 안되죠)
서버에 전송할 때 좌표를 전송합니다.
이런 경우 전용 OTP 단말기도 불필요하고,
안티 키로거도 불필요하고, 안티 마우스 로거도 불필요하잖아요.
위의 저런 방식도 일회용 방식이잖아요.
굳이 명칭을 붙이자면… OTK (one time keyboard)
사실 저는 저런게 있는지 없는지 모르겠고,
이렇게 이름을 붙여 봅니다.
server generated one time keyboard
상식적으로 생각할 때 이런 방식을 사용하면,
적어도, 안티 키로거(키보드 보안 프로그램)는 불필요한 것 맞잖아요. 단말기 방식보다 가격도 싸고.
인정할 건 인정합시다.
해커가 사용자의 컴퓨터를 점거했다면 화면에 무엇이 나오는지 화면의 어떤 좌표를 마우스로 클릭하는지 어떤 키를 입력하는지 모두 다 알 수 있다 가정해야겠죠. 저 역시 몽몽이님처럼 “키로거”와 관련된 문제는 지엽적인 문제라 봅니다.
스크린 로거 정도까지 가면…
세상에 존재하는 어떤 보안 기술이든…다 막장…아닌가요…
거기에다..실시간 해킹 시스템이면…
어떠한 보안 방법도 무용지물인것 같은데.
아..그리고…
이런게 있네요…
내일 읽어봐야겠네요. 안녕히 주무세요.
PASSWORD AUTHENTICATION VIA A ONE-TIME KEYBOARD MAP
http://www.freepatentsonline.com/y2008/0184036.html
보안 전문가라는 사람들이 노력을 할 생각을 해야지…
보안 전문가는 놓 손고 있고,
일반인들이 노력하고 있으니…
참 우리나라 문제입니다.
지금 시스템이 참 마음에 드시죠?
천년 만년 계속 액티브X 고수하세요…
나중에 가서 바꾸네 어쩌네…그러시지 말고요.
구글폰에도 액티브X 깔고, 아이폰에도 액티브X 깝시다.
기술적으로 못 깐다고요?
그러면 액티브X 애뮬레이터라도 만들어서….설치하면 되지요.
액티브X는 지구상에서 존재하는 가장 훌륭한 플러그인 방식입니다.
천년 만년 열심히 씁시다.
아주 교만하고 게으르고 방만한 사람들…그 따위로 하니까..시스템이 이 모양 이 꼴인 겁니다.
현 시스템 너무 좋습니다.
위에 OTP 와…그와 비슷한 것들이 많이 검색되는군요.
벌써 이미 외국에서는 연구를 해서 특허 많이 내놓았군요.
우리나라는? 뭐 한거 있나요?
우물 안 개구리들.. 그 만큼 보안 기술이 뒤쳐진 겁니다.
액티브X 보안 기술이라도 특허를 내서 세계 보안 기술을 선점해야 하는 것 아닌지요. 더군다나 외국에서 조차 우리나라와 같은 액티브X 기반 보안 시스템을 도입한다면서요.
결국 우리나라 보안산업은 그 동안 온실 속에 있었고,
연구개발 게을리 해서… ssl 등으로 이행 했을 시,
어떤 위험이 있을지, 노하우가 없다는 것 인정하시죠.?
당신들도 가짜 전문가입니다. 그러니까..기술자가 천대받고 그런거에요. 괜히 왜 천대하겠습니까.
천대 받기 싫으면 더 연구개발에 매진해서 열심히 할 생각을 해야지…
세계는 보안수준을 유지하면서 접근성을 살리는 방향으로 가고 있습니다. 우리나라 처럼 지들 편할라고 액티브X 남발하지 않습니다.
OTP, OTA, fraud detection system, HCI, 심리학 이런 거 왜 연구하겠습니까? 다 그런 이유 때문입니다. 보안 문제는 기술적인 것만으로 해결되는 것이 아닙니다.
어떤 철학도 없이 임시방편으로 땜빵하는 시스템은 업계 관계자들이나 열심히 쓰세요. 앞으로 헛소리 이제 그만하시고요.
OTA : one time authentication
HCI : human–computer interaction
핸드폰(휴대전화)로 뱅킹하는 경우를 생각합시다.
공인인증서?? 이런거 쓰나요?
전자서명?? 이런거 하나요?
부인방지 좋아하네…
뻥을 쳐도 작작 칩시다.
이제 그런 구라 안 통하거든요.
말이 전자서명이지…
전자서명 원리가 아래(비대칭키) 같은 거잖아요.
전자 서명
{
암호화된 메세지 = 암호화_by_고객 개인키 (메세지);
}
결국 공인인증서 유출되면 부인방지고 뭐고…끝난거에요.
말이 인증서지…
공개키, 개인키입니다.
벌써 우리나라는 대량으로 유출되었다고 추정하고 있잖아요.
신문 기사를 봐도 그렇게 나오고,
MS윈도우 불법으로 깔았으면 커널 크랙되었다고 보고, 트로이 목마가 있다고 보고, key-gen 이나 activation 같은 프로그램 실행했다면…거의 끝장 났다고 봐야죠.
개인조립PC 사용자 99%가 MS윈도우 불법 설치합니다.
MS윈도우 가격은 한국이 세계최고입니다.
저번에 집에 컴퓨터 고장나서 PC방에서 USB 꼽고 인터넷뱅킹 했더니 바로 공인인증서, 패스워드 빠져나거더군요. USB에 바이러스 달라 붙고요…
PC방 컴퓨터에 안티바이러스, 방화벽, 깔려있고…. 은행에 접속하면 안티키로거 까지 깔리거든요… 그런 상황에서도 유출이 되었습니다. 그런데 왜 이런 일이 발생할까요…
우리나라가 현재 이런 상황입니다.
이런 상황에서는 액티브X 사용을 최소화하는 것이 맞습니다.
외국에서 OTP, OTA, 인지과학 기술 등을 보안에 적용하려고 괜히 쓸데없이 연구하는 거 아니거든요. 그들도 액티브X로 땜방하면 당장 편하다는 거 알아요. 왜 모르겠어요. 하지만 그런 방식을 사용하지 않고 컴퓨터 외적인 기술로 보완하려고 연구개발 정말 열심히들 합니다. 특허 검색만 해봐도 그 사실을 알 수 있습니다.
우물 안 개구리들… 자기가 세상에서 제일 잘난 줄 알죠.
뛰는 놈 위에 나는 놈 있다는거 모르죠.
그래요..인정합니다. 한국에서 당신들이 제일 잘났습니다.
보안 패치라면
매우 편리하게도 어떤분이 정품인증을 피해서 보안 패치를 가능하게 하는 프로그램을 맹그셨습니다.
개꿈닷넷에 있더군요.
우리나라는
비대칭키, 대칭키 혼합해서 쓰는 방식이죠?
키 유출되면 끝장입니다.
그런데 그 중요한 키를 USB에 휴대하라고…그토록 강조 열심히 하셨죠.
보안업에 종사하는 분들, 정말 전문가 맞아요?
제가 위한 한 말 중에 잘못된 부분이 있으면 꼭 답변을 달아주세요.
위에서 쭉 주장하신 의견을 가진 일반인이라면
도대체 “국회의원”은 왜 그따위로 뽑으신겁니까?
일반인 수준에 맞게 제발 현재 국회나 나라가 백성의 편으를 위해 제대로 돌아가고 있다고 판단하십니까? 제발 “일반인”이라고 하시면 현재 돌아가는 상황을 고쳐보려고 노력좀 하시죠 라는 의견을 드리겠습니다 ^^
제가 화나서 말 막한 것은 사과 드립니다. 죄송합니다.
일단, 의견은 교수님께 전달드렸습니다.
제가 전달한 내용을 잘 이해하셨을까 걱정이 되긴 하지만,
‘지나가다’ 님의 의견 감사히 듣겠습니다.
그리고, 저도 느끼는 건데… 많이 답답합니다.
바쁘실텐데, 감사합니다.^^
일반인님, 그만 하시지요. 글의 잘잘못을 떠나서 서로에게 전혀 도움이 안 되는 얘기들입니다. 전문가가 비전문가를 얕잡아 보는 것도 문제지만 비전문가가 전문가를 가르치려 드는 건 더더욱 어처구니 없는 일입니다. 보안업계분들의 상황인식에는 개인적으로 동의하지 못 하지만 그 분들의 보안지식이 부족할 것이라 생각하신다면 그건 큰 착각입니다.
일반인 이름으로 댓글단다고 해서 정말 일반인이라고 생각한다면 그것 또한 큰 착각입니다.
저도 한 때 보안업에 종사했던 사람입니다.
이 정도 했으면 다들 알아들었다고 생각하고…
자제하겠습니다.
제가 무시당하는 거 같아서
너무 흥분해서 말을 너무 막하고 그랬네요…
관련 분들께… 너무 죄송합니다.
그리고 저는 일반인 맞습니다.
정말 … 죄송합니다….
“일반인님, 그만 하시지요. 글의 잘잘못을 떠나서 서로에게 전혀 도움이 안 되는 얘기들입니다. 전문가가 비전문가를 얕잡아 보는 것도 문제지만 비전문가가 전문가를 가르치려 드는 건 더더욱 어처구니 없는 일입니다. 보안업계분들의 상황인식에는 개인적으로 동의하지 못 하지만 그 분들의 보안지식이 부족할 것이라 생각하신다면 그건 큰 착각입니다.”
주어들은 지식으로 깝죽거리고 다녀서 죄송합니다.
몽몽이님, 조재윤님, 보안업계 관계자분 진심으로 사죄드립니다.
서버 제너레이티드 OTP에 대해 위의 링크에 있는 베리사인 사이트에서 도표를 봤는데, 최종적으로 고객은 이메일, 전화, SMS를 통해서 OTP를 받는군요.
궁금한 것이 있는데, 이메일 암호, 전화기, 휴대전화가 제3자에게 넘어간 경우 어떻게 보안을 유지합니까?
휴대 전화로 은행 거래용 OTP를 받아오던 자가, 휴대 폰을 잃고서도 은행에 그 사실을 알리지 않는다면, 사고에 대한 책임을 모두 뒤집어쓰는 것이 옳습니다(고의 또는 중대한 과실이 있는 경우). 이런 고객을 상대로 “보안”을 유지해 줄 방법은 아예 없지 않을까요?
물론, 휴대 전화만 습득한 자가, 그 소유자가 무슨 은행 거래를 하며, 그 은행의 로그인 ID가 무엇인지를 알기는 쉽지 않겠지요. 로그인 ID를 통과한 다음에야 비로소 OTP입력 단계가 나오니까요.
이메일 암호가 뚫린 경우, 공격자는 OTP를 입수할 있지만, 별로 소용은 없습니다. 왜냐하면, 고객이 그 값으로 로그인에 성공하는 순간, 그 OTP는 무용지물로 변해버립니다.
만일 공격자가 고객보다 몇초 앞서 로그인 하는 경우, 고객은 로그인을 못하게 되고, 다시 로그인을 시도하면, “이미 로그인 되어 있다”는 메세지를 받게 되므로, 당장에 이상한 사정을 눈치채고, 은행에 연락하게 되지 않을까요?
OTP는 단 한번 로그인에만 사용하는 것이라는 점 등, 기존의 인증서 암호(static 암호)와는 매우 다릅니다.
현실적으로 충분히 구현가능할 만클 만족스러운 솔루션이기 때문에 Verisign 같은 곳에서 공개적으로 출시하는 것이고, 이탈리아의 은행들 중 일부는 실제로 이 방법을 채용하고 있습니다.
정답입니다;;
간단해요, 휴대폰은 잊어버리면 대다수 사람들이 잊어버렸다는것을 알수 있지만, 키로거는 들어와도 대다수 사람들이 들어왔다는걸 모르거든요 [안티바이러스 등의 실시간 감시 기능이 없다는 가정하에서]