퓨처

arrow_downward최신기사

ai

“클라우드·IoT·인공지능 시대, 보안도 2017년이 전환점”

커넥티드카가 인질이 되는 시대, 사물인터넷(IoT) 공격 증가, 클라우드 공격하는 랜섬웨어, 머신러닝 보안 기술 발전, 스파이 활동과 공격에 이용되는 드론. 글로벌 보안업체인 시만텍이 선정한 2017년 10대 보안 전망에 포함된 주요 이슈다. 클라우드와 IoT, 인공지능 시대가 본격화되면서 내년부터는 사이버공격자와 방어자들도 이들 분야에 더욱 초점을 맞출 것이란 예측이다. 사이버범죄자들은 끊임없이 공격 방식을 발전시키고 있다. 이에 따라 클라우드와 IoT 등을 활용하거나 이들 환경을 대상으로 나타나는 보안위협에 대응하고 이들 환경이 공격에 악용되는 것을 막아야 하는 과제를 안고 있다. 새로운 유형의 위협에 끊임없이 직면하고 있는 보안업계에서 머신러닝같은 신기술을 적극 활용하려는 움직임이 가속화되는 것도 그 이유다. 시만텍은 2017년이 클라우드, IoT, 드론 등 새로운 IT 기술 확산에 따라...

dlp

소만사 DLP 솔루션, 왜 HTTPS 프록시 일체형으로 바꿨나

내부정보유출방지(DLP)·유해사이트 차단 솔루션 전문업체 소만사가 암호화된 트래픽을 고성능으로 처리하는 ‘암호화웹(HTTPS) 프록시’를 선보이면서 새로운 활로를 개척하고 있다. 소만사 HTTPS 프록시는 네트워크 DLP 제품인 ‘메일아이(Mail-i)’와 인터넷 필터링 솔루션인 ‘웹키퍼’와 일체화돼 제공되는 전용 암호화 트래픽 복호화·가시성 장비다. 암호화 통신 프로토콜(SSL/TLS)을 사용, 암호화 웹(HTTPS) 서비스가 크게 늘어나면서 보안 제품 성능이 저하되거나 기능이 세밀하게 지원되지 못해 발생하는 보안 문제를 해결한다. 페이스북, 트위터, 유튜브를 비롯해 네이버와 다음 메일 등 국내외 주요 웹서비스, 드롭박스같은 클라우드 서비스도 HTTPS를 사용하고 있다. 이같은 암호화 통신 기술은 악의적인 해커로부터 사용자 정보를 보호하는 데 효과적이다. 개인 사생활을 보호하고 외부 스니핑(훔쳐보기) 공격에도 안전한 전송 채널을 확보할 수 있다. 문제는 사이버 공격자나 범죄자들도 자신들의...

512비트 암호화키

10년 만에 발견된 ‘괴짜’ 보안 버그

미국이 최신 암호화 기술에 수출 제한을 건 탓에 생긴 보안 문제가 10여년 만에 수면 위로 떠올랐다. 미국 백악관과 국가안보국(NSA), 연방수사국(FBI) 웹사이트도 같은 보안 문제를 품고 있었다. 애플과 구글 제품도 마찬가지다. <워싱턴포스트>가 3월3일(현지시각) 보도한 소식이다. 90년대 수출품 기술 제한이 남긴 유산 미국은 1990년대 말까지 강력한 암호화 기술(SSL)을 해외에 수출하지 못하도록 가로막았다. 암호화 기술이 들어간 제품을 해외에 내다 팔려면 암호화 기술을 약하게 손봐 “수출급” 제품을 따로 만들도록 강제했다. 수출급 제품은 512비트 암호화키까지만 이용할 수 있었다. 미국은 이보다 복잡한 암호화 기술은 미국 정부기관이나 군용이라고 판단했다. 컴퓨터가 널리 쓰이기 시작하며 여러 나라가 앞다퉈 암호화 기술을 개발하던 이 시기를 “암호화 전쟁(Crypto Wars)” 시대라고 부르기도 한다. 이로부터...

Comodia

‘슈퍼피시’ 뿐이랴…악성 해킹 SW 잇따라 적발

중국 컴퓨터 제조회사 레노버가 소비자용 노트북 PC에 선탑재했다는 사실을 들켜 논란이 된 악성 SW '슈퍼피시'처럼 사용자 인터넷 사용내역을 훔쳐보는 프로그램이 더 발견됐다. <아스테크니카>는 레노버가 고객 노트북에 몰래 깐 애드웨어 슈퍼피시처럼 SSL로 암호화된 인터넷 트래픽을 가로채는 프로그램이 10개 더 확인됐다고 2월23일(현지시각) 보도했다. 이 가운데 한 프로그램(Trojan.Nurjax)은 지난해 12월 시만텍이 트로이 목마로 분류하기도 했다. 트로이 목마는 사용자 컴퓨터에 몰래 숨어드는 악성코드다. 이 프로그램은 슈퍼피시를 만든 이스라엘 SW 개발사 코모디아가 만들었다. 슈퍼피시와 마찬가지로 사용자 컴퓨터에 임의로 루트 인증서(root CA)를 심어두고 이걸 이용해 사용자가 SSL로 암호화된 웹사이트에 접속할 때 중간에 끼어들었다. SSL로 암호화된 웹사이트는 주소가 ‘http://' 대신 ‘https://'로 시작한다. 페이스북 보안팀 소속 위험요소 연구원 매트...

Adware

레노버, 노트북에 악성 SW 깔아 팔다 덜미

중국 PC 제조회사 레노버가 노트북에 애드웨어를 깔아 판 사실이 드러났다. 레노버는 뒤늦게 잘못을 인정하고 애드웨어 제거법을 내놓았다. <아스테크니카>는 레노버가 사용자에게 PC를 팔기 전에 '슈퍼피시'(Superfish)라는 애드웨어를 미리 설치해뒀다고 2월19일(현지시각) 보도했다. PC 제조회사가 수익을 얻으려고 소프트웨어(SW) 회사와 계약을 맺고 프로그램을 미리 깔아두는 경우는 드물지 않다. PC를 처음 사서 켰는데 윈도우뿐 아니라 바이러스 백신 등 몇 가지 프로그램이 깔려 있는 걸 본 적 있을 게다. 이런 계약 때문에 PC 제조회사가 미리 깔아둔 선탑재 SW다. 하지만 이런 점을 감안해도 레노버가 저지른 잘못은 덮어주기 힘들다. 일부러 제품에 악성 SW를 몰래 깐 탓에 사용자를 심각한 보안허점에 노출시켰기 때문이다. SSL 트래픽 가로채 광고 띄우는 악성 애드웨어 선탑재 첫 번째, 레노버가...

BB

[BB-0414] "'갤럭시S5' 판매 성적 좋다"

'갤럭시S5' 세계 출시, "판매 성적 좋다" 지난 11일 '갤럭시S5'가 세계적으로 동시에 출시됐습니다. 국내에서는 발표 키노트 대신 미디어 파사드로 진행했습니다. 125개 국가에 동시 출시됐고 대체로 선주문 물량이 매진됐다고 합니다. 삼성은 대부분의 국가에서 출시 첫날 기존 '갤럭시S4'에 비해 높은 판매 성적을 거뒀다고 발표했습니다. 아마존, 6월 스마트폰 출시 아마존이 올 6월께 스마트폰을 내놓을 것이라는 전망이 나왔습니다. 월스트리트저널이 분석가의 입을 빌려 가장 먼저 전한 내용입니다. 아마존이 최근 샌프란시스코와 시애틀 등지에서 개발자를 대상으로 제품을 시범 운용 중이라는 얘기도 포함돼 있습니다. 아마존이 개발 중인 것으로 보이는 스마트폰은 전면에 4개의 카메라가 달려 있는 제품으로, 무안경 3D 기술을 지원하는 디스플레이를 갖췄다고 합니다. [Mashable] 모토로라 'X+1', 커버만 25가지 이상...

OpenSSL

오픈SSL에 심각한 보안 결함 발견…"판올림하세요"

네트워크에서 데이터를 주고받을 때 널리 쓰이는 암호화 기술인 오픈 시큐어소켓레이어(Open SSL)에 심각한 버그(공식 이름 CVE-2014-0160)가 있다고 보안업체 코드노미콘이 4월7일(현지시각) 발표했다. 코드노미콘은 이 버그를 ‘심장출혈(Heartbleed)’ 버그라고 불렀다. 오픈SSL에 덧붙은 하트비트 확장기능(RFC6520)에서 생긴 버그이기 때문이다. 전세계 웹사이트 가운데 절반 정도가 SSL을 쓰는 것으로 알려졌다.   이번에 알려진 버그를 악용하면 해커가 오픈SSL 기술을 적용한 서버 메모리에서 64KB짜리 데이터 뭉치를 빼돌릴 수 있다. 이를 몇 번씩 반복하면 사용자가 서버에 보낸 암호키를 손에 넣을 수도 있다. 일단 암호키를 손에 넣으면, 사용자와 서버가 주고받은 정보를 해독할 수 있다고 코드노미콘은 설명했다. 코드노미콘은 자체 서비스를 대상으로 이 버그를 실험했다. 결과는 놀라웠다. 어떤 증거도 남기지 않고 암호키를 손에 넣어...

ios

iOS7.0.6 판올림…“SSL 보안 문제 때문에”

한국시간으로 2월22일 새벽, iOS7이 7.0.6로 판올림을 했다. 특별한 예고 없이 iOS7.1이 발표를 앞두고 있는 시점에서 업데이트가 배포됐다. 애플이 밝힌 이유는 ‘보안 업데이트’다. 애플은 “SSL 연결 확인에 대한 수정 사항을 제공한다”라고 업데이트 리포트에 공개했다. 권한을 갖고 있는 네트워크로 접속한 공격자가 SSL이나 TLS를 이용해 보호된 세션의 데이터를 캡처하거나 수정할 수 있다는 것이다. SSL은 서버와 클라이언트 사이에 데이터를 주고받을 때 쓰는 프로토콜로, 약속되지 않은 기기가 접근하는 것을 차단하는 기술이다. 인터넷뱅킹이나 전자상거래처럼 돈이 오가는 경우에 본인이 맞는지를 확인하는 데 주로 쓰였다. 점차 보안 위협이 늘어나면서 최근에는 포털을 비롯한 일반 웹사이트에도 적용하는 추세다. e메일 서비스 등에서도 쉽게 볼 수 있다. 디지털 인증서로 가장할 수 있으면 할 수 있는...

SSL

공인인증서 강제 사용, 왜 불합리한가

맥 OS X, 크롬 웹브라우저를 주로 쓰는 사람으로서, 공인인증서를 도무지 이쁘게 봐줄 수 없다. '지원하지 않는 브라우저입니다',  '지원하지 않는 운영체제입니다', '본 연결은 신뢰할 수 없음' 등과 같은 경고 문구 앞에 수차례 결제 거래가 좌절된 경험 탓이다. 연말정산할 때, 인터넷에서 D모 피자를 주문할 때 공인인증서 실행을 위한 플러그인을 설치하지 못해 윈도우 PC를 켜거나 스마트폰으로 배달 주문을 해야 했다. 왜 우리는 웹사이트에 아이디와 비밀번호를 입력하고 신용카드 결제 번호를 넣어 인터넷 거래를 하면 안되는 걸까. 강아지 백내장 치료를 위해 해외 웹사이트에서 안약을 구매할 때 요란한 팝업창 없이도 구매를 마쳤는데. 물건도 문제없이 잘 받았고. 그렇다. 나는 공인인증서 외에 다른 인증 방식 도입도 필요하다고 보는 전자금융거래법...