국내 쇼핑몰 상당수가 사용하고 있는 쇼핑몰 솔루션 위즈몰(WizMall)에 SQL Injection 취약점이 발견돼 해당 솔루션을 사용하는 이용자들의 주의가 요구된다. 지난 17일 밤, 해외 취약점 및 해킹 정보에 대한 데이터베이스를 제공하는 www.exploit-db.com에서 의 SQL Injection 취약점이 공개됐다. 취약점이 발견된 버전은 WizMall v6.4.3이다. 밤 11시 경, 다시 확인한 결과 삭제가 된 상태이며 구글 검색을 통해 다음과 같은 문제점이 있는 것으로 파악됐다. 취약점 문제가 발생한 버전으로 추측되

행정안전부는 지난달 30일 개인정보보호법에 따라 ‘개인정보의 안전성 확보조치 기준’을 제정해 발표했다. 이 기준의 목적은 개인정보처리자가 개인정보의 안전성 확보조치를 위해 준수해야 할 관리적·기술적 보호조치에 대한 세부사항을 규정해 법 대상 기관과 기업들이 꼭 지키도록 하는데 있다. 주요 내용은 개인정보의 안전한 처리를 위한 내부 관리계획의 수립 및 시행, 개인정보에 대한 접근 통제 및 접근권한의 제한 조치, 개인정보를 안전하게 저장·전송할 수 있는 암호화 기술의 적용 또는 이에 상응하는 조치, 개인정보 침해사고 발생에 대응하기 위

개인정보보호법은 공공기관을 비롯해 포털, 금융기관, 병원, 학원, 제조업, 서비스업 등 72개 업종 350만개 전체 사업자에 적용되는 일반법이다. 과태료나 형사처벌 규정도 만만치 않다. 공공기관은 나름대로 준비를 하고 있지만 문제는 일반기업들이다. 차건상 행정안전부 개인정보보호과 전문위원은 18일 소만사에서 개최한 ‘개인정보보호법 고시 개인정보의 안전성 확보조치 기준 해설서 교육’ 세미나에서 법 시행에 맞춰 기업이 기본적으로 이행해야 할 10대 체크리스트를 발표하고 기업들이 꼭 준수해야 한다고 강조했다. 1. 무분별한 개인정보 수집

지난해 이어 두번째로 열리는 ‘Hack The Packet’은 네트워크 패킷 분석을 기반으로 하는 해킹대회로써 bunnyblack에 의해 운영된다. 1·2차 예선을 거쳐 본선은 오는 11월 4일 POC 2011 컨퍼런스와 동시 행사로 진행된다. 운영진 관계자는 “기존 해킹대회 성격과는 다르게 실생활에서 발생하는 다양한 사건들을 네트워크 관점에서 바라보며 해결해야 하며 해킹 문제들 뿐만 아니라 다양한 분야의 문제들이 재미있게 출제될 예정”이라고 설명했다. 올해는 온라인 예선 상위 5팀, 오프라인 예선 상위 5팀 총 10개 팀이 본선을

개인정보보호법이 시행되면서 기업 정보보호에서 최대 이슈는 법 대응을 어떻게 하느냐다. 특히법 시행 부처인 행정안전부가 ‘개인정보의 안전성 확보조치 기준’을 내놓으면서 어떻게 대처해야 할지 대기업과 중소기업들 나름대로 분주한 상황이다. 이에 개인정보보호 전문 보안기업 소만사(대표 김대환 www.somansa.com)는 18일 코엑스 컨퍼런스룸에서 ‘개인정보보호법 고시 개인정보의 안전성 확보조치 기준 해설서 교육 세미나를 개최했다. 300여 명의 민·관 개인정보보호 담당자가 모인 가운데 열린 오늘 행사는 애매했던 개인정보보호법 관련 대

18일 논현동 파티오나인에서 ‘CSA(Cloud Security Alliance, 클라우드 보안 협회, 이하 CSA) Summit Korea’가 열렸다. 오늘 행사에는 CSA 국내 20여개 임원의 회원사가 참여하였으며 국내 대표적인 클라우드 보안 관련 기업 및 개인 참여자들이 자리를 채웠다. CSA는 클라우드 보안으로 전세계에서 가장 대표적인 협회로, 2008년 말 Jim Reavis와 Nils Puhlmann이 설립했으며. 미국, 스페인, 중국, 인도, 일본을 비롯한 44개 지부가 있는 클라우드 보안 글로벌 단체다. 회원사로는 구

빙(bing)과 야후(Yahoo!)에 어도비 플래시플레이어를 검색하는 유저들은 제거하기 힘든 루트킷에 감염될 위험이 있다고 해외 보안기업(GFI Software)이 경고했다. 이 공격은 GetAdobeFlash.com 사이트의 ‘Download Flash Player’ 페이지에 있는 빙 검색 결과물들 사이에서 발견됐다. 이 페이지는 플래시플레이어 10을 인스톨하기 위해 방문한 유저들을 악의적 페이지로 리디렉션시킨다. 그래서 결국 이용자들은 위험한 루트킷에 오염되는 것이다. 빙 서치 기술을 사용하고 있는 야후도 위험에 노출된 상태다.

가톨릭대학교에서 오는 11월 18일 오후 7시부터 20일 오전 9시까지 CAT-Security에서 두번째로 개최하는 해킹 페스티발 ‘Holy Shield’를 개최한다. 등록은 11월 1일부터 18일 오후 7시까지다. -관련 홈페이지: holyshield.catsecurity.net[데일리시큐=길민권 기자]

사용자 계정과 관련된 ‘해킹된 계정의 상태’란 보고서가 얼마전 발표됐다. 중국 IT전문 매체인 http://www.2cto.com은 연구보고서를 인용해 “지메일(Gmail), 야후(Yahoo), 핫메일(Hotmail)과 페이스북(Facebook) 등의 계정들이 해커의 공격을 가장 많이 받는 것으로 나타났다”고 보도했다. 이러한 결과가 나온 것은 사용자들이 이들 서비스에 개인정보를 가장 많이 저장하기 때문이다. 그 중 야후를 공격한 빈도가 1위를 차지했으며, 페이스북이 23%로 2위, 지메일이 19%로 3위를 차지했다. 계정이 도용된

광주시는 광주 전남지역 민간사업자 및 협회 단체 임원을 대상으로 20일 오전 10시 광주지방공무원교육원에서 개인정보보호법 교육을 무료로 실시한다고 밝혔다. 이번 교육은 개인정보보호법이 9월 30일 시행됨에 따라 시행 초기 혼란을 방지하기 위하여 행정안전부와 공동으로 실시하며, 법 주요내용과 법적 의무조치 및 유의사항 등에 대해 교육할 예정이다. 교육 희망자는 개인정보보호종합포털(www.privacy.go.kr)에서 신청하면 된다. 개인정보란 살아있는 개인에 관한 정보로서 그 개인을 ‘알아볼 수 있는 정보’를 말하며 그 정보만으로는

최근 정보보호 교육이 기관과 기업에서 활발히 진행되고 있다. 잇따른 정보보안 사고와 개인정보보호법 시행에 맞춰 정보보호 교육 수요가 늘고 있는 것도 그 원인이다. 기업과 기관에서 열정적으로 보안교육에 힘쓰고 있는 김석 컨설턴트를 만나 보안과 관련된 여러가지 이야기를 나눴다. 10여 년간 정보보호 교육과 교육교재 개발, 모의해킹과 포렌식 강의에 전념해 온 김석(인텍 컨설팅/ 한국 솔라리스 사용자 모임 회장/솔라리스 시큐리티 테크넷 운영진)컨설턴트는 “2005년부터 솔라리스와 보안강의를 해 왔다. 최근에는 수사기관과 군 정보기관, 검찰

2011년 10월 14일부터 16일까지 진행된 순천향대학교 정보보호페스티벌(Youth’s Information Security Festival)을 무사히 마치게 됐다. 벌써 3년째 페스티벌을 경험하고 있는데 시간이 참 빠른 것 같다. 1학년 때, 선배님들이 서버실에서 대회를 운영하는 것을 보고 배웠고 2학년 때는 미숙한 실력과 부족한 경험으로 직접 대회를 운영했으며 3학년인 올해, 완벽하다고는 할 수 없지만 큰 문제없이 성공적으로 대회를 운영했다. 서당개도 3년이면 풍월을 읊는다고 나름 경험이 생기다 보니 지난해와 같은 실수도 없었

개인적으로 Security의 꽃은 “취약점”이라고 생각합니다. 취약점의 형태는 다양하게 나타날 수 있습니다. 컴퓨터 상에서 구동되는 프로그램들에서 발견될 수도 있고, 소셜 엔지니어링으로도 찾아낼 수 있습니다. 심지어 직원들의 나태함으로 인해서 발생할 수도 있죠. 애초에 취약점으로 인해 문제가 발생될 수 없는 환경이라면, Security 분야도 탄생하지 않았을 것입니다. 취약점들을 가리키는 다른 표현으로는, 제로데이(0-day)가 있습니다. 이번 글에서는 제로데이가 실제 세계에 나오기까지 어떤 과정을 거치는지 간략히 알아볼 것입니다.

트위터 스팸이 기승을 부리고 있다. 트위터로부터 스팸 메시지를 안 받아본 이용자는 거의 없을 것이다. 최근 트위터 스팸을 이용해 피싱 사이트로 유도하는 수법이 증가하고 있다. 그들은 피싱사이트로 이용자들을 유도해 트위터 계정을 탈취해가고 있다. 그들은 트위터 로그인 페이지와 99% 유사한 페이지를 만들어 놓고 이용자들에게 스팸을 보내 계정을 다시 확인하도록 유도하고 있다. 마치 트위터 관리자가 보낸 것 처럼 위장해 계정 확인을 유도하는 경우 대부분의 사람들이 가짜 트위터 로그인 페이지에 접속해 자신의 계정을 타이핑하게 된다. 트위터

[박춘식 교수의 보안이야기] 독일 해커 집단 Chaos Computer Club(CCC)이 독일정부에 의해 스파이 목적으로 사용되고 있는 트로이목마를 발견했다고 발표했다. 시큐리티 기업들이 블로그에서 일제히 전했다. 이 블로그에 의하면 발견된 것은 윈도우를 겨냥한 백도어형 트로이목마로 ‘R2D2’ 등의 명칭이 붙어 있다. CCC가 공표한 분석 결과에 의하면、Firefox、Skype、MSN Messenger、ICQ 등의 어플리케이션의 키 입력을 감시하는 키로거 기능 외에 Skype의 통화를 녹음하거나 화면의 스크린샷을 취하는 기능이

[박춘식 교수의 보안이야기] 지난 6월말, 인도 뉴델리 간디 국제공항(IGI)에서 발생한 시스템 장해 원인이 사이버 공격이었다는 사실이 밝혀졌다. 인도신문 The Economic Times에 의하면 6월29일 오전 4시, 공항 터미널 3의 체크인 시스템용 서버에 알 수 없는 장해가 발생. 이 때문에 체크인 업무는 수 작업 외에는 다른 방법이 없어 결과적으로 장해 발생 30분 후까지 약 50편의 이착륙에 영향을 미쳤다. 공항을 관리 운영하고 있는 DIAL(델리국제공항회사)에 의하면 장해가 발생한 것은 체크인 업무 목적으로 사용되고 있

[박춘식 교수의 보안이야기] 일본 노다 정부는 7일, 수상 관저에서 ‘정부의 정보보전에 관한 검토위원회(위원장 후지무라 관방장관)’를 열고 2012년 정기 국회에서, 비밀보전법안의 제출을 목표로 하는 방침을 확인하였다. 기밀정보를 유출시킨 국가공무원에 대한 처벌을 강화하는 내용이었다. 회의에서 후지무라 관방장관은 “국민의 알 권리와 취재의 자유는 충분히 배려하면서 폭넓게 국민 각 계층의 의견을 듣고 정중하게 대응하고 싶다”고 관계성청의 간부들에게 요청하였다. 검토위원회가 열렸던 것은 노다 정부의 발족 후 처음으로 센카쿠 열도의 중국

[박춘식 교수의 보안이야기] IT 전문조사회사 IDC Japan은 10월 4일, 2010년 일본 모바일 시큐리티 시장 규모 실적과 2015년까지의 예측을 발표했다. 발표에 의하면 2010년의 일본 국내 모바일 시큐리티 시장 규모는 23억엔, 2010년~2015년간의 년 평균성장률(CAGR: Compound Annual Growth Rate)은 32.2％로 2015년에는 93억 엔(약 1,400억원)이 될 것으로 예측하고 있다. 모바일 시큐리티 시장은 모바일 Identity/Access 관리 시장, 모바일 Secure Contents

[박춘식 교수의 보안이야기] 후지키메라 총연은 9월 29일, 정보유출이나 내부 위협 시큐리티 대책, 법령 준수를 위해 확대되는 일본 내 네트워크 시큐리티 비지니스를 조사했다. 그 결과 보고서인 ‘2011 네트워크 시큐리티 비즈니스 조사총람(상하권)’으로 정리해 발매하였다. 상권에는 네트워크 시큐리티 17개 서비스와 네트워크 시큐리티 툴 30개의 시장 개황이나 잠재수요, 향후 방향성 등에 대해서 조사?분석결과를 정리하였다. 하권에는 네트워크 시큐리티 솔루션 제공업자 40개 회사, 네트워크 툴 벤더 16개 회사의 사업 전략에 대해서 조

워드프로세서 ‘한글’에서 코드실행 취약점이 발견됐다. 공격자는 웹 게시, 스팸 메일, 메신저의 링크 등을 통해 특수하게 조작된 한글문서(HWP)파일을 사용자가 열어보도록 유도해 악성코드를 유포할 가능성이 있는 것으로 드러났다. 낮은 버전의 한글 사용자는 악성코드 감염에 취약할 수 있으므로 해결방안에 따라 보안업데이트를 해야 한다. 해당 취약점을 악용한 한글 문서파일 형태의 악성코드가 유포되고 있으므로, 사용자의 보다 적극적인 조치가 필요하다. 취약점을 악용하여 설치된 악성코드는 해커로부터 원격에서 제어를 받는 봇(Bot)으로써, P