버그바운티란 보안 취약점 신고 포상제로 이 제도를 허락한 회사의 웹서비스나 소프트웨어 등에서 보안 취약점을 발견하면 이를 회사에 알려 포상금을 받는 제도입니다. 회사는 취약점을 신속히 발견해 대형 사고로 이어질 수 있는 큰 피해나 기업 이미지 실추를 예방할 수 있고 정보보안전문가로 활동하고 있는 사람은 개인의 역량을 높이고 인지도를 상승시키는 동시에 포상금도 챙길 수 있습니다.



국내 기업에선 아직 생소하지만 외국에선 몇 년 전부터 꾸준히 실행하는 기업들이 많습니다. 버그바운티를 운영하는 외국 기업으로는 구글, 이베이, 마이크로소프트, 드롭박스, 어베스트, 페이스북, 닌텐도 등이 있고 국내의 경우 한국인터넷진흥원(KISA), 삼성전자, 한글과 컴퓨터 등에서 실행하고 있습니다.



이렇게 좋은 제도가 국내에서 활발히 운영되지 못하는 이유는 무엇일까요? 바로 해외와는 다른 인식의 차이 때문입니다. 우리나라는 아직 해킹 자체를 불법으로만 바라보고 악용할 것이라 생각합니다. 게다가 기업들은 정보 유출 우려와 보안 기술의 문제점을 인정하지 않으려는 경향도 있습니다. 기업의 제품에 취약점이 있다는 사실을 대대적으로 공표한다고 생각하기 때문에 버그바운티가 대대적으로 실행 되지 못하는 분위기 입니다.



또 해외에 비해 포상금액 액수가 적다는 것도 이유가 될 수 있습니다. 한 예로 페이스북에서 진행된 버그바운티에서는 국내 정보보안 전문가에게 최대 3천만원 상당의 포상금을 주었지만 한 국내 기업의 버그바운티 포상금은 최대 500만원 수준으로 현저히 낮은 것을 알 수 있습니다.



우리나라는 아직 해킹과 보안에 대한 인식이 높지 않습니다. 해킹은 무조건 부정적이라는 인식을 지웠을 때 버그바운티도 국내에서 활발하게 진행될 것입니다.

저작자 표시 비영리 변경 금지
신고
Posted by nProtect

다크 웹



출처: Unsplash출처: Unsplash





몇 달 전 세계최대 불법거래 다크웹 '알파베이·한사마켓'가 폐쇄되었다고 합니다. 세계 3대 다크웹에 포함되어 있는 이 두 사이트는 국제 공조를 통해 마침내 폐쇄되었는데요, 다크웹이란 무엇일까요?




우리는 일반적으로 인터넷을 사용할 때 검증 받은 포털을 이용합니다. 포털을 이용해서 찾고자 하는 사이트로 이동할 수 있죠. 구글, 네이버, 다음 등이 이에 해당하고 검색엔진으로 대부분의 웹사이트를 찾아줍니다. 이렇게 검색엔진으로 찾을 수 있는 웹을 서피스 웹이라고 합니다. 표면적으로 보이기 때문이죠.




다크웹은 이런 일반적인 방식으로는 찾을 수 없습니다. 토르(Tor)라는 브라우저를 이용해 접근 해야하며 이용자들의 추적도 불가능하다고 합니다. 일반적인 경로를 통해 홈페이지가 나오지 않는 이유는 마약, 가짜 신분증, 무기 등 위협적인 것들이 거래되고 있기 때문이죠.




어둠의 물건들이 거래되고 있는 만큼 다크웹에선 판매자와 구매자의 정보를 모두 비밀리에 한다고 합니다. 거래 화폐 역시 은행이 아닌 가상 화폐를 이용한다고 합니다. 




명칭 처럼 어두운 인터넷의 한 면을 보여주는 다크웹, 호기심이라도 접근하는 일은 발생하지 않아야 합니다.


저작자 표시 비영리 변경 금지
신고
Posted by nProtect

정보보안 용어정리 6


게이트웨이

: 어떤 PC하나가 다른 장치와 통신이 되기 위해서 데이터가 상호 접속 할 때 중간에 접속하는 장비.

 


접근 제어

: 자격 없는 사람이 데이터를 자유로이 호출하지 않도록 보호 기구를 설치해서 제어하는 것.



좀비피

: 악성코드에 걸린 PC를 이용해 해커가 원격 조종으로 다른 PC에 바이러스를 심는 것. 감염된 컴퓨터나 서버는 스팸을 발송하거나 DoS DDoS 공격을 수행하도록 설정 되어짐.

 


보안 토큰

: 공인인증서를 안전하게 사용, 보관할 수 있는 USB 메모리처럼 생긴 장치(토큰). 암호 연산이 토큰 내부에서 수행 되어지기 때문에 외부로 유출되지 않음.

 


핀테크(fintech)

: 기술(technology)과 금융(finance)이 결합한 새로운 서비스결제, 예금, 송금 등 다양한 서비스를 제공하는 금융이 IT, 모바일 기술과 결합되어 새로운 유형의 금융 서비스로 나온 것을 뜻함핀테크로 인해 금융과 기술은 새로운 형태로 발전하고 있으며, 넓은 의미에서 이러한 흐름에 해당하는 모든 서비스를 핀테크라 할 수 있다.

 


O2O(Online to Offline)

: 온라인이 오프라인과 결합하는 것으로 온라인 서비스나 모바일로 실제 오프라인에서 영업 중인 업체들을 소비자와 연결해주는 전자 상거래 시스템을 뜻함. 아마존, 이베이 등이 이에 해당.

 


SaaS(Software as a Service)

: 클라우드 기반 앱을 서비스로서 사용할 수 있는 것. 메일, Microsoft Office 365 등이 있음.

저작자 표시 비영리 변경 금지
신고
Posted by nProtect

정보보안 용어정리 5


루재킹

: 블루투스를 통해 익명의 문자메시지를 전송하여 타인의 휴대폰을 해킹하는 방식. 일명 스팸메시지라고 한다.

 


맨트랩

공격자가 시스템에 침입하기 전 가짜 호스트로 유인함으로써 네트워크로 연결된 실제 시스템을 보호하는 역할.

 


허니팟

해커들을 유인하기 위해 의도적으로 만든 가짜 사이트나 네트워크.

 


제로데이

: 소프트웨어의 보안 취약점이 발견되었을 때 그 문제에 대한 대응책이 제시되기도 전에 해당 취약점을 악용하여 이루어지는 보안 공격.

 


LAN(Local Area Network)

: 근거리 통신망. 가까운 거리에 위치한 장치들을 서로 연결한 네트워크를 말함.

 


핵티비즘

: 사회적 해킹. 정치, 사회적 목적을 이루기 위해 사이버 세계에서 해킹으로 표현하는 것

 


체스트

: 임의의 휴대폰(스마트폰)에 악성코드를 심어 결제 금액을 빼돌리려는 악성 컴퓨팅 코드

 


사전 공격

: 패스워드 공격 방법의 하나. 비밀 키를 알아내기 위해 사전에 있는 단어를 순차적으로 입력하는 컴퓨터 공격 방법

 


보안 커널

: 참조 모니터 개념을 구현한 신뢰 컴퓨팅 기반(TCB)의 하드웨어, 소프트웨어, 펌웨어 요소.

 


키 파일

: 암호 키값을 파일에 저장하기 위해 사용되는 파일.

 


(worm)

: 감염된 pc 시스템을 파괴하거나 자기 복제를 통해 작업을 지연, 방해하는 악성 프로그램의 일종.

저작자 표시 비영리 변경 금지
신고
Posted by nProtect

정보보안 용어정리 4

 

OTP(일회용 패스워드, One Time Password)

:일회용 비밀번호 생성기로 같은 비밀번호만 쓰는 기존 방식과 달리 매번 다른 비밀번호를 사용해 보안에 취약한 점을 보완해줄 수 있는 인증 방식.


아이핀 

: ‘인터넷 개인 식별 번호’(Internet Personal Identification Number)로 주민등록번호를 대신해서 신분을 확인 받을 수 있는 인증 방법이다. 주민등록은 개인의 중요 정보이기 때문에 많이 노출되면 도용의 위험이 있어 이를 방지하기 위해 나온 사이버 인증 방식이다.


암호화

: 암호 키를 이용해 어떠한 정보를 제 3자가 알지 못하게 암호문으로 변환하는 것.


복호화

: 복구 키를 사용하여 원래의 정보로 복원하는 것. 복구 키를 알고 있는 사람 외에는 올바른 정보로 복원할 수 없으므로, 키가 제3자에게 알려지지 않으면 정보는 보호된다.


프리서버(Private Server)

: 사설 서버라고도 하며 종료된 온라인 게임 혹은 유료 게임 등의 게임 서버를 복사해서 본 서비스사가 아닌 제 3자가 운영하는 것. 개인이 운영하기 때문에 게임 소스를 마음대로 조정할 수 있음. 하지만 엄연한 불법행위.


호환성

: 서로 다른 방식의 장치나 시스템 끼리 교환해도 같은 동작을 할 수 있는 것.


부팅(Booting)

: 컴퓨터의 시동을 뜻하며, 하드디스크 같은 보조기억장치를 사용하여 컴퓨터가 동작할 수 있도록 준비하는 작업.


버퍼 오버플로어(buffer overflow)

: 메모리 공간을 다루는 프로그램에 예상치 못한 버퍼가 들어가면서 오류를 발생시키는 것.


스푸핑

: 의도적인 행위를 위해 타인의 신분으로 위장하는 것으로 승인받은 사용자인 것처럼 IP주소를 변조해 공격 대상 시스템에 접근, 시스템을 해킹을 하는 행위를 말함.


피기배킹

: 서버가 잠깐 열린 틈을 타서 침입하는 것으로 합법화한 물리 절차나 보안 프로그램에 편승하는 공격 방법

 

스니핑

: 네트워크의 중간에서 남의 패킷 정보를 도청하는 해킹 유형의 하나.

 

백도어

: 인증되지 않은 사용자에 의해 정상적인 인증을 거치지 않고 컴퓨터 시스템이나 기능 등에 무단으로 접근할 수 있도록 하는 방법

 

패킷

: 데이터를 전송하기 쉽게 분해한 기본 전송 단위




저작자 표시 비영리 변경 금지
신고
Posted by nProtect

블록 체인






블록 체인이란?

가상 화폐 거래에 쓰이는 기술입니다. 정보의 블록을 체인처럼 엮었다 해서 블록 체인이란 이름이 붙었는데 비트코인이나 이더리움이 이 기술을 사용하고 있습니다. 비트코인과 이더리움이 가상화폐지만 안전하다고 소문난 이유가 바로 이 블록 체인 때문인데요, 과연 블록 체인은 어떤 기술일까요?

 


공공 거래장부라고도 불리는 블록 체인은 모든 사용자(거래자)의 전체 거래 장부를 공유하고 대조하면서 거래를 안전하게 만드는 보안 기술입니다. 기존의 거래 방식은 송금인과 수취인 모두 제 3자인 금융권을 거쳐야 했습니다. 두 사용자 모두 금융기관을 거쳐야 하기 때문에 사용자의 모든 정보, 장부는 금융기관(중앙 집중형 서버)이 보관하고 있습니다. 폐쇄적인 구조이고 항상 범죄의 표적이 되며, 한 번 해킹을 당하게 되면 금융기관 사용자들의 정보 모두가 빠져나가게 됩니다.

 


그에 반해 블록 체인의 장부는 각 개인의 컴퓨터에 보관되고 모든 거래 기록들이 공유되며 10분마다 비교하도록 되어있습니다. 중앙 관리 체제가 없고 그 역할을 사용자들이 합니다. 거래내역은 10분에 한 번씩 묶어서 블록을 만듭니다. 사용자들의 검증과 동의가 과반수일 때 모인 정보는 블록으로 만들어지게 되고 그 블록은 사슬처럼 엮여 중간에서 위조를 할 수 없게 만듭니다. 이러한 과정을 거쳐 블록 체인이 형성됩니다.

 


기존의 거래 방식은 중앙 집중적이라 정보를 보관하는 금융기관의 보안을 위해 금고, 시스템 등을 강화해야 합니다. 사용자가 증가하면 정보의 양도 방대 해지기 때문에 보안 서비스를 증설해야 합니다. 그런 면에서 비용이 많이 소요됩니다. 그러나 블록 체인은 데이터를 모든 사용자들에게 분산시키고 그들이 검증하기 때문에 보안 서비스의 비용이 크게 들어가지 않습니다.

 


게다가 모든 데이터가 개개인의 컴퓨터에 분산되어 저장 되어있어 해킹이 불가한 방식으로 주목 받고 있습니다. 해킹을 하기 위해선 모든 사용자의 장부를 봐야하는데 이는 슈퍼컴퓨터 500대로도 불가능한 일이라고 합니다. 그러한 이유들로 블록 체인은 기존의 거래 방법보다 뛰어나다는 평을 받고 있습니다. 이미 여러 기업들이 시행 단계로 블록 체인을 사용하고 있으며 검증이 된다면 보안계의 혁신적인 기술일 수 있습니다.


저작자 표시 비영리 변경 금지
신고
Posted by nProtect

정보보안 용어정리 3

 

API함수

:  API는 프로그램과 운영체제 사이의 중간매체. 다양한 운영체제간의 통신을 원활히 작동하게 함.

 

 

유틸리티

: 사용자가 컴퓨터를 좀더 효과적이고 쉽고 편하게 사용할 수 있도록 도와 주는 프로그램의 총칭.

시스템 사용자들이 요구하는 몇몇 일반적 기능을 수행하도록 설계된 컴퓨터 프로그램으로 사용자가 컴퓨터를 좀더 쉽게 사용할 수 있도록 도와주는 프로그램을 말함.

 

 

커스텀롬 

: 공식적인 운영체제가 아닌 사용자가 자신이 원하는 대로 수정하여 만든 커스터 마이징 된 롬.

 

 

순정롬

: 말 그대로 디바이스에 탑재되어 배포된 롬. 기존 운영체제가 자사 형식에 맞춰 배포한 롬

 

 

키로깅

: 사용자가 PC에 키보드로 입력하는 모든 정보를 가로채기하는 해킹 기술.

키로깅 프로그램이 설치되면 인터넷 사이트 로그인 정보, 메신저 대화, 기밀 정보 등 키보드로 입력한 모든 개인 정보를 해킹할 수 있음. 또한 키로깅 프로그램은 설치되어 있는지 인식하기 어려워 한 번 설치되면 발견 되기 전까지 지속적으로 중요한 개인 정보가 유출될 위험이 있다.

 

 

매크로

: 반복되는 여러 개의 명령어를 기록해 두었다가 하나로 묶어서 원하는 명령이 있을 때 쉽게 수행할 수 있도록만든 것. 필요할 때마다 하나의 키 입력 동작만 실행하면 된다.

 

 

에뮬레이터

: 흉내내다(emulate)라는 뜻에서 붙여진 이름으로 A장치의 기능을 흉내내서 A장치와 똑같이 쓰일 수 있도록 설계되었다. 호환성을 실현하는 장치의 하나로 사용된다.

 

저작자 표시 비영리 변경 금지
신고
Posted by nProtect

스미싱

 

 

 

 

스미싱(Smishing)이란 문자메시지(SMS)와 피싱(Phishing)의 합성어이며 문자 메시지를 이용한 사기 수법입니다. 이전의 보이스피싱(voice phishing)이라는 목소리를 이용한 사기 수법보다 진화한 형태라고 볼 수 있습니다. 보이스피싱의 예방법으로 모르는 번호로 발신이 오면 받지 않게 되자 쉽게 접근할 수 있는 문자메시지로 신뢰할 수 있는 기업을 사칭해 사람들의 금융정보나 개인정보를 빼내는 형태의 사기 수법 입니다.

 

 

스마트폰 사용량이 증가하자 결혼식이나 돌잔치 같은 중요한 경사의 초대장을 모바일로 돌리면서 이를 악용한 스미싱 범죄가 증가하고 있습니다. 조심해야 될 것은 문자 내용과 함께 첨부된 주소 입니다. 주소에는 악성코드가 담겨 무심코 누르기만 해도 휴대폰에 악성코드가 심어지게 됩니다. 문자 내용이 이상하지 않아 눌렀다가 개인정보 유출이 된 피해 사례들이 많습니다. 보이스피싱과 다르게 위협적이거나 불안감을 조성하지 않고 평범한 분위기의 문자 메시지로 의심 없이 접근 가능하기 때문에 누구나 쉽게 걸릴 수 있습니다.

 


모르는 번호로 온 문자는 내용을 꼼꼼히 읽어야하며 확인되지 않은 발신자가 보낸 문자 메시지의 링크는 들어가지 않는 것이 좋습니다. 또한 신뢰할 수 있는 기관에서 보낸 것이더라도 번호를 확인하고 혹시 사칭이 아닌지 의심해 볼 필요가 있습니다.

 

 

크고 작은 범죄로 꾸준히 발생하고 있으며, 방심하면 당하기 쉬운 범죄 수법입니다. 게다가 범죄의 성공률을 높이기 위해 모르는 번호로 발송을 하지 않고 지인을 사칭해 보내는 사례도 생겨나고 있습니다. 항상 경각심을 가지고 스미싱 범죄를 미리 예방해야 합니다.

저작자 표시 비영리 변경 금지
신고
Posted by nProtect

최근 일본이 비트코인을 공식화폐로 인정하면서 비트코인의 가치가 상승했는데요, 비트코인이란 정확히 무엇일까요?

 

 

 

 

비트코인은 지폐나 동전과 달리 물리적인 형태가 없는 온라인 가상화폐 입니다. 시대가 발전하면서  화폐도 디지털로 등장하게 되었습니다. 사실 우리는 가상화폐를 몇 년 전부터 사용하고 있었습니다. 예를 들어 싸이월드의 도토리, 네이버의 네이버캐쉬, 카카오톡의 초코 등 흔히 사이버 머니라고 불리는 것입니다. 예전부터 존재했던 가상화폐지만, 비트코인은 왜 이슈화 되는 걸까요? 그 이유는 작동 방식이 특이하기 때문입니다.

 

 

 

 

비트코인은 채굴을 통해 만들어 집니다. 각종 연산을 통해서 문제를 풀게 되면 비트코인이 나오는데 이 과정을 채굴이라고 합니다. 연산이 쉬우면 그만큼 비트코인을 많이 채굴하기 때문에 점점 연산문제를 어렵게 만들어 코인을 쉽게 채굴하지 못하도록 조절하고 있습니다. 만들어진 비트코인은 거래소나 개인간의 직접 거래, 비트코인 ATM기를 통해 거래가 가능합니다. 본인의 채굴양에 따라 비트코인을 가져가는 방식이라 화폐를 찍어내는 기업이나 주인이 없다는 점에서 주목을 받고 있습니다.

 

 

 

 

그렇다고 아무나 채굴이 가능한 것은 아닙니다. 복잡한 연산을 빠른 속도로 많이 처리 해야하기 때문에 일반 PC로는 하기 힘든 점이 있습니다. 게다가 기본적인 전력 소모량이 크기 때문에 가정에서 채굴하기에는 어렵다고 볼 수 있습니다. 그래서 대신 채굴을 해주는 채굴 전문가도 생기고 있고 또 채굴 전용 본체도 나오며 고사양 그래픽 카드를 이용해 전문적으로 채굴하는 사람들이 늘고 있다고 합니다.

 

 

 

 

비트코인의 총량은 한정되어 있고 발행량이 체감되기 때문에 희소성의 면에서 금과 같은 가치를 가진다고 합니다. 이렇게 가치가 높다 보니 범죄의 수단으로도 사용됩니다. 대표적인 예로 랜섬웨어에 걸리면 해커들이 돈을 요구하는데 이 때 비트코인을 요구합니다. 실물 화폐로 교환이 가능하고 전 세계 어디서든지 사용할 수 있기 때문입니다.

 

 

 

 

점점 증가하는 비트코인의 가치와 긍정적인 전망, 여러분은 어떻게 생각하시나요?

 

 

 

 

 

저작자 표시 비영리 변경 금지
신고
Posted by nProtect

정보보안 용어 정리 2

 

BHO

 

: Internet Explorer 시작 시 생겨나 메모리를 공유하고 브라우저 창과 모듈에 어떠한 지시라도 할 수 있는 객체. 이벤트를 감지해 띄워진 페이지에 추가 정보를 보여주기 위해 브라우저 창을 생성하고, 메시지와 작업을 감시할 수도 있다. 또한 다른 브라우저 침투에 따른 홈 페이지 변경, 배너 광고 변경, 페이지 감시 및 보고 등 스파이 기능도 갖고 있다.

 

 

MBR

MBR이란 파티션 된 저장장치(하드 디스크, 이동식 저장장치, USB메모리 등)의 가장 앞 부분에 쓰여있는, 저장장치 이용 시 반드시 필요한 정보이다. MBR에는 PC 부팅에 반드시 필요한 여러 정보(파티션정보, 부트로더 정보 등)이 손상되면 저장장치를 읽을 수 없게 되어 대표적으로 PC 부팅 실패 등 여러 이상이 발생한다.

 

 

Spyware

: 스파이(spy)와 소프트웨어의 합성어로, 다른 사람의 컴퓨터에 몰래 숨어 중요한 개인정보를 빼가는 프로그램을 지칭한다.

 

 

RSA (Rivest Shamir Adleman)

: 공개키와 개인키를 세트로 만들어서 암호화와 복호화를 하는 인터알고리즘을 사용하는 인터넷 암호화 및 인증시스템이다.

 

 

프레임워크

: 소프트웨어의 개발의 필수적이고 표준적인 설계와 구현을 재사용할 수 있도록, 일련의 협업화된 형태의 클래스로 제공되는 반제품 소프트웨어 모듈을 말한다.

 

 

API (Application Programming Interface)

: 응용프로그램이 아닌 운영체제가 응용프로그램 개발을 위해 제공하는 프로그래밍 규격이다. 윈도우 API의 경우 C, C++, 파스칼 등과 같은 언어에서 윈도우를 만들고, 파일을 여는 것과 같은 처리를 할 수 있도록 1,000여개 이상의 함수로 구성되어 있다.               

 

 

어나니머스

: 전 세계에서 활동하는 인터넷 해커들의 집단. '익명'이란 뜻으로 전세계에 점조직으로 있다. 컴퓨터 해킹을 투쟁수단으로 사용하는 새로운 형태의 행동주의자들로 자신의 의사에 반하는 사회나 국가 등 특정 대상에 공격을 가하는 핵티비스트(hacktivist:hacking+activist)로 간주한다.

 

저작자 표시 비영리 변경 금지
신고
Posted by nProtect