금융보안연구원(원장 김광식)은 전자금융거래시 일회용비밀번호(OTP)를 이용해 부인방지 기능을 제공할 수 있는 기술을 개발하고 연내 국제표준으로 등록할 예정이다. ‘부인방지 기술’은 금융회사와 금융소비자 상호간에 거래한 사실을 부인하지 못하도록 방지하는 기술로서, 국내에서 전자자금 이체시에는 필수적으로 제공되어야 하는 보안 기능이다. 금융보안연구원은 해당 기술의 국제 표준화를 위해 5월 7일부터 14일동안 스톡홀름에서 개최되는 국제표준기구(ISO) 회의에 참석할 예정이며, 연말까지 ’OTP 부인방지 기술‘을 국제통신기술연합(ITU-T

PHP-CGI의 심각한 원격코드 실행 취약점이 공개됐다. PHP-CGI는 쿼리 구문번석이 PHP 파일들로부터 파라미터를 나열할 때 취약점이 포함되는 것이다. 개발자들은 아직 이 취약점 패치를 제대로 하지 않은 것으로 나타났다. 이 취약점은 지난 수요일에 공개됐다. 그러나 이 취약점은 HTTP 서버가 CGI 스팩의 불명확한 부분을 따를 때만 노출되는 취약점이다. 전문가들은 “PHP-CGI설치가 원격 코드 실행에 취약할 수 있다”고 경고하고 “쿼리 문자열을 통해 PHP에 ‘show source’에서 ‘s’와 같은 명령어 인수를 패스할

[박춘식 교수의 보안이야기] 페이스북이 5개 시큐리티 기업과 공동으로 바이러스 대책 소프트웨어 제공에 나선다. Facebook의 서드파티 시큐리티 제공자로는 Microsoft、McAfee、TrendMicro、Sophos、 Symantec의 5개 회사이다. Windows 및 Mac 사용자를 대상으로 여러 가지 종류의 바이러스 대책 패키지를 배포해 나갈 예정이라고 한다. 5개 회사는 Facebook이 설립한 「Facebook Security Family」에 참가한다. Facebook 사이트의 사용자 수가 9억 명에 가까워지는 것을 생각

[박춘식 교수의 보안이야기] 만약 가지고 있는 게임기의 매각을 생각하고 있다면 생각을 고쳐먹는 것이 좋을 지도 모른다. 미국 국토안보부(DHS)는 ‘Xbox’ ‘Wii’ ‘PlayStation 3’ 등의 게임기에 축적된 사용자의 중요한 정보에 액세스하는 방법을 찾기 위해 새로운 연구 프로젝트를 시작하였다. DHS는 전 주, 캘리포니아주의 Obscure Technologies라는 기업과 이 프로젝트에 관련된 최초의 발주 계약을 맺었다고 말했다. 이 회사에는 게임기 본체로부터 법정 이용을 위한 데이터를 추출하는 툴을 개발하게 된다. F

최근 플래시백 트로이잔(Flashback Trojan) 이면의 비즈니스 모델을 분석한 시만텍 시큐리티 리서처들은 그 맬웨어의 목적은 광고 클릭을 통한 수입이 목적이었다고 밝히고 있다. 시만텍 보안전문가들은 Flashback Mac OS X 봇넷이 하루에 대략 1만 달러의 수입을 올리고 있다고 추정하고 있다. 러시아 보안기업 Dr. Web은 대량 플래시백 봇넷이 최근 몇 달 동안 발견됐다고 밝히고, 그 결과 46만대가 감염되는 동안 그 봇넷은 애플이 패치를 공개하면서 일주일에 십만대 감염 정도로 움츠러들었다고 한다. 이 맬웨어에 감염

스카이프(Skype)는 유저들에게 IP 어드레스를 취합하는 사이트로 유도될 수 있다는 것을 경고했다. 스카이프 IP-Finder 사이트는 사용자 이름에서 단순한 형태의 알려진 최근 IP 알아내기 위해 관련 기업을 한 스크립트가 이러한 옵션을 제공하는 Github에 업로드되었다. 이로인해 온라인 스카이프 계정의 IP 어드레스를 찾아내는 것이다. 그리고 웹사이트에서 스카이프 계정의 원격과 로컬 IP 둘다를 수집하게 된다. 스카이프 보안 관계자는 “우리는 스카이프 유저들의 최근 알려진 IP 어드레스를 수집하는 새로운 툴에 대해 조사중”이

미군 지휘부는 사이버공간에 대한 보안이 심각하다는 판단에 따라 펜타곤의 사이버 사령부를 전투부대로 격상할 수 있도록 원하고 있다. 전투부대로 격상이 되면 2년이 된 사이버전 부서는 합동참모부 의장 마틴 뎀시와 국방부장관 레온 파네타오와 직접적인 의사소통할 수 있게 된다. 이번 변화는 미군이 사이버 영역의 "전략적 중요성"을 고려하라는 메시지를 보낸 것이다. 하지만 사이버 사령부의 국가 방어를 하기 위한 권한 범위에 대해서 여전히 의문이 남아있는 상태이다. -www.washingtonpost.com/world/nati

해커들이 영국의 중대온라인범죄기관(SOCA)의 웹 사이트를 대상으로 DDoS 공격을 감행했다. 이 사이트는 지난 수요일 저녁에 오프라인으로 전환하였으며, 기관에서는 이번 공격으로 불편한 정도이고 보안 위협은 없었다고 밝혔다. SOCA가 이번에 공격을 받은 이유는 최근에 도난당한 신용카드 데이터로 부정거래하고 있는 60여 개의 웹사이트를 차단하는 일을 했기 때문인 것으로 보고 있다. SOCA는 공격을 인지한 후 동일한 인터넷 서비스 제공자로부터 호스팅하는 고객들에게 가는 영향을 제한하기 위해 고의적으로 사이트의 인터넷을 차단하였다.

모질라는 미국 회사에서 처음으로 최근 미하원에서 통과된 사이버첩보 공유 및 보호법(CISPA)에 대한 반대의사를 밝혔다. 포브스의 앤디 그린버그 저널리스트에 보낸 서한에서 모질라는 "CISPA법이 인터넷 보안 범위를 한참 초과하였다"고 밝혔다. 페이스북, 시만텍, 버라이존 및 마이크로소프트 등 다른 기술 회사는 CISPA에 대한 지지의사를 밝혔다. 마이크로소프트는 "기업들이 고객들에게 약속한 고객의 프라이버시와 보안을 존경할 수 있도록 하는 법안이 필요하다”라고 밝혔다. 이번 모질라의 선언으로 CISPA 지지도가 약해지고 있다

어나니머스 해커들이 푸틴 대통령 취임식에 맞춰 러시아 정부 기관 웹사이트들을 타깃으로 하고 있다. 유투브에서, 해커들은 러시아 정부 웹사이트는 5월 6일~7일 DDoS 공격을 받을 것이라고 공격 선포를 하고 있다. 이들은 유투브를 통해 정확하게 날짜와 시간까지 명시하고 있다. 5월 6일 러시아 정부사이트인 Government.ru를 정각 12시에 공격하겠다고 선언하고 있고 7일 09시에는 Premier.gov.ru 사이트를 대상으로 DDoS 공격을 하겠다고 공언했다. 어나니머스는 러시아 당국이 인터넷에서 표현의 자유를 제한하는 것에

이전 룰즈섹 맴버였던 Jeremy Hammond는 쉐도우 CIA라 불리는 스트랫포사를 해킹한 중심인물로 알려져 있다. 그는 스트랫포사의 서버에서 회원들의 신용카드 정도 6만건을 빼돌리도록 그룹을 배후에서 조정한 것으로 알려지고 있다. 피고인 Hammond와 함께 체포된 Sabu는 미국인이였으며 나머지 4명은 영국인들이다. 이들이 스트랫포사의 서버로부터 6만여 명의 맴버들 신용카드 정보와 법적으로 민감한 도큐먼트들이 포함된 데이터를 훔쳐냈고 스트랫포 클라이언트 86만명의 개인정보도 훔쳐냈다. Hammond와 맴버들은 훔친 신용카드로

지난 3일 코엑스에서 열린 국제 개인정보보호 심포지움 Privacy Global Edge 2012 마지막 시간에 “개인정보보호 애정남: 애매한 것을 정해드립니다”라는 주제로 패널 토의가 열렸다. 이날 참석한 500여 명의 참관객들 대부분이 패널들의 한마디 한마디에 귀를 기울였다. 패널토의에 참가한 패널로는 한순기 행안부 개인정보보호과장, 김광수 방통위 과장, 전응준 유미 법률사무소 변호사, 박진식 법무법인 넥스트로 변호사, 유창하 다음커뮤니케이션 본부장이 참석했고 사회는 이경호 고려대 교수가 맡았다. 이경호 교수는 “개인정보보호 정

최근 기업을 대상으로 이루어지는 대부분의 공격이 APT 형태로 이루어지고 있다. 이에 대한 대응 방안 모색에 보안업계와 기업들이 촉각을 곤두세우고 있다. APT 이슈에 대해 김대환 소만사 대표는 지난 5월 3일 열린 ‘Privacy Global Edge 2012’에서 APT 공격 방어를 위한 단계적 대책에 대해 발표해 관심을 끌었다. 우선 APT 공격을 통한 개인정보 유출 과정에 대해 김 대표는 “공격자는 DB접속 권한자의 PC에 악성코드를 배포해서 해킹을 시도한다. 그 방법은 이메일의 첨부파일이나 악성코드 배포 사이트 방문 유도

정보보안 강화가 기업용 IT 시장에 가장 큰 화두가 될 것으로 보이고, 경기둔화로 인해 한정된 IT 투자 예산은 업종별, 기업별로 비즈니스 성장에 도움이 되는 분야에 집중될 것으로 보인다. IT 시장분석 및 컨설팅 기관인 한국IDC(대표 홍유숙 www.idckorea.com)는 최근 발간한, ‘2012년 국내 기업 IT 이슈 보고서'('Korea IT Issues by Vertical and Company Size in 2012’)를 통해 이와 같은 전망을 내놨다. 2012년 국내 기업들의 IT 투자 트렌드와 이슈를

네이버 위젯 서비스에서 XSS 취약점이 발견됐다. 이 취약점을 발견한 신서중학교 2학년 이인호 학생은 지난 2월경 해당 취약점을 발견하고 데일리시큐에 최근 제보를 해 왔으며 “위젯 서비스는 네이버 블로그의 자랑거리 중 하나가 될 수 있는 만큼 보안이 더 강해졌으면 하는 바람에서 제보하게 됐다”고 밝혔다. NHN 네이버 측은 신속한 조치가 있어야 할 것이다. 위젯 서비스의 XSS 취약점 내용을 살펴보면, 일단 base64와 같은 암호화를 통해 XSS구문을 인코딩한다. 그후 위젯을 실행하는 소스에서 암호화된 XSS구문을 복호화시켜주도록

[인포섹 컨설팅사업본부 윤선중 수석컨설턴트] 방송통신위원회의 “2011년 정보보호 실태조사” 결과 개인정보 수집·이용, 제3자 제공·취급위탁 시 이용자 동의를 확보하는 기업이 증가하였고, 이용자 주민번호를 포함한 개인정보 암호화 저장률이 '10년 57.3%에서 ‘11년 79.3%로 상승하는 등 법적 요구사항에 대한 공공기관 및 기업들의 조치들이 활발하게 진행되고 있어 개인정보보호 수준이 전반적으로 향상되고 있다고 발표되었다. 하지만 실제 조치가 이행되고 있는 현황을 살펴보면 서비스 가용성 Risk와 인력 및 예산 부족 등의

이글루시큐리티가 5월 2일 차세대 통합보안관리 플랫폼 IS Center 출시에 맞춰 기자간담회를 열었다. 이번에 이글루시큐리티는 자사에서 야심차게 출시한 IS Center가 공공기관, 금융기관, 기업 등에서 필요한 모든 내외부 위협요수 및 대용량 로그 관리 플랫폼을 하나로 통합해 빅데이터 처리, 원본 로그 저장, 검색 및 지능적 분석, 개인 및 내부정보 유출에 대한 탐지, DDoS 공격 대응, 악성코드 분석 등의 이슈들에 효율적으로 대응할 수 있는 차세대 통합관리 플랫폼이라고 소개했다. 이 자리에서 이용균 전무는 “무엇이 차세대 보

시만텍(www.symantec.com)이 2011년 한 해 동안의 주요 사이버 범죄 및 보안 위협 동향을 조사, 분석한 최신 보고서인 ‘인터넷 보안 위협 보고서(Internet Security Threat Report)’ 제17호를 발표했다. 시만텍은 2011년 1월부터 12월까지 전세계 200여 개국에 설치된 24만여 개의 센서에서 수집된 방대한 실제 데이터를 기반으로 인터넷 보안 위협을 분석했다. 이번 보고서에 따르면 ▲다형성 악성공격의 급증 ▲표적공격(Targeted attacks)의 전방위 확산 ▲모바일 보안위협의 현실화 ▲

[박춘식 교수의 보안이야기] 일본 NISC와 어도비시스템즈는 4월25일, 사이버 공격에 대한 대책을 위해 협력한다고 발표하였다. 일본 정부는 위장한 PDF를 악용해서 맬웨어 감염 등을 노리는 공격에 대처하려 하고 있다. 협력의 일환으로 어도비는 일본 정부의 인증 기반(GPKI)을 사용해서 발행된 전자증명서를, Adobe Reader/Acrobat로 자동적으로 확인하는 기능을 제공하며 이 기능은 4월21일부터 제공되어 적용 완료된 사용자는 이미 이용 가능한 상태다. Reader/Acrobat가 정부 기관이 제휴하고 있는 기능과 연계하

[박춘식 교수의 보안이야기] 러시아 카스퍼스키랩 CEO 유진 카스퍼스키는 Computer Business Review(CBR)와의 독점 인터뷰에서 “Apple은 시큐리티에 관해서 Microsoft 보다 10년 늦다”라는 견해를 나타내었다. 4월25일의 CBR 온라인판에 게재된 인터뷰 가운데에서 캐스퍼스키는 Mac을 노렸던 맬웨어 ‘Flashback’의 맹위는 앞으로의 공격의 연쇄의 시작에 불과하다고 예상하였다. Mac을 노렸던 맬웨어의 증가는 “시간과 시장 점유와의 문제다”라고 설명하면서 “Microsoft가 10년 이상 전부터 있