Offcanvas

���������

CIA 문건 공개 파장··· SW업체를 얼마나 믿을 수 있나?

최근 미 CIA(Central Intelligence Agency)의 사이버 간첩행위에 대한 공개가 잇따르면서 소프트웨어 업체들이 시의적절하게 취약성을 수정하겠다는 약속을 반복했으며 사용자들에게 해당 기관에서 유출된 문서에 기술된 결함 중 많은 부분을 수정했다고 밝혔다. 제로데이 취약성은 앞으로도 계속 존재할 것이다.  홍보의 관점에서는 이런 약속을 이해할 수 있지만 실제로 국가의 후원을 받는 해커들이 노리는 기업들과 사용자들에게는 아무런 차이가 없다. 그들이 사용하는 소프트웨어는 안전하지 않을뿐더러 지난 14일 위키리크스(WikiLeaks)가 8,700건 이상의 CIA 문건을 공개하기 이전보다 더욱 안전해지지도 않았다. 유출된 파일에는 CIA의 사이버 부서에서 모든 주요 데스크톱 및 모바일 운영체제뿐만이 아니라 네트워킹 장비와 스마트TV 등 임베디드 기기를 해킹하는 데 사용하는 악성코드 툴과 익스플로잇 공격에 관해 설명되어 있었다. 해당 문서에는 이런 툴의 실제 코드가 포함되어 있지는 않았으며 그 중 좀 더 자세한 것으로 보이는 설명은 수정되었다. 위키리크스의 설립자 줄리안 어산지는 자신의 조직이 소프트웨어 업체들과 비공 세부사항을 공유하여 취약성을 패치할 수 있도록 하겠다고 말했다. 하지만 위키리크스가 그렇게 한다 하더라도 정보는 특정 순간에 관한 것이라는 사실을 인식하는 것이 중요하다. 해당 문서의 가장 최근 날짜 문자열은 2016년 3월 초부터 시작되기 때문에 CIA의 시스템에서 파일을 복사한 시점을 알 수 있다. 일부 익스플로잇 공격 목록도 마찬가지다. 예를 들어, 애플의 iOS에 대한 익스플로잇 공격을 설명한 페이지에는 iOS 버전 별로 배열한 표가 포함되어 있다. 해당 표는 2015년 12월에 공개된 iOS 9.2에서 끝난다. 그 이후의 중요 업데이트인 iOS 9.3은 2016년 3월 말에 공개됐다. 영국의 GCHQ에서 획득한 커널 익스플로잇 공격인 ‘난다오(Nandao)’는 ...

애플 임베디드 기기 익스플로잇 해킹팀 취약성 스마트TV 제로데이 CIA iOS 데스크톱 OS 소프트웨어 위키리크스 난다오

2017.03.15

최근 미 CIA(Central Intelligence Agency)의 사이버 간첩행위에 대한 공개가 잇따르면서 소프트웨어 업체들이 시의적절하게 취약성을 수정하겠다는 약속을 반복했으며 사용자들에게 해당 기관에서 유출된 문서에 기술된 결함 중 많은 부분을 수정했다고 밝혔다. 제로데이 취약성은 앞으로도 계속 존재할 것이다.  홍보의 관점에서는 이런 약속을 이해할 수 있지만 실제로 국가의 후원을 받는 해커들이 노리는 기업들과 사용자들에게는 아무런 차이가 없다. 그들이 사용하는 소프트웨어는 안전하지 않을뿐더러 지난 14일 위키리크스(WikiLeaks)가 8,700건 이상의 CIA 문건을 공개하기 이전보다 더욱 안전해지지도 않았다. 유출된 파일에는 CIA의 사이버 부서에서 모든 주요 데스크톱 및 모바일 운영체제뿐만이 아니라 네트워킹 장비와 스마트TV 등 임베디드 기기를 해킹하는 데 사용하는 악성코드 툴과 익스플로잇 공격에 관해 설명되어 있었다. 해당 문서에는 이런 툴의 실제 코드가 포함되어 있지는 않았으며 그 중 좀 더 자세한 것으로 보이는 설명은 수정되었다. 위키리크스의 설립자 줄리안 어산지는 자신의 조직이 소프트웨어 업체들과 비공 세부사항을 공유하여 취약성을 패치할 수 있도록 하겠다고 말했다. 하지만 위키리크스가 그렇게 한다 하더라도 정보는 특정 순간에 관한 것이라는 사실을 인식하는 것이 중요하다. 해당 문서의 가장 최근 날짜 문자열은 2016년 3월 초부터 시작되기 때문에 CIA의 시스템에서 파일을 복사한 시점을 알 수 있다. 일부 익스플로잇 공격 목록도 마찬가지다. 예를 들어, 애플의 iOS에 대한 익스플로잇 공격을 설명한 페이지에는 iOS 버전 별로 배열한 표가 포함되어 있다. 해당 표는 2015년 12월에 공개된 iOS 9.2에서 끝난다. 그 이후의 중요 업데이트인 iOS 9.3은 2016년 3월 말에 공개됐다. 영국의 GCHQ에서 획득한 커널 익스플로잇 공격인 ‘난다오(Nandao)’는 ...

2017.03.15

해킹팀, 그것이 알고 싶다 ②

해킹팀, 그것이 알고 싶다 ①에 이어 이탈리아 해킹 청부 업체 해킹팀에 대한 단편적인 정보들을 소개한다.  -> 해킹팀, 그것이 알고 싶다 ① ciokr@idg.co.kr  

계약서 해킹팀 청부 해킹

2015.07.31

해킹팀, 그것이 알고 싶다 ①에 이어 이탈리아 해킹 청부 업체 해킹팀에 대한 단편적인 정보들을 소개한다.  -> 해킹팀, 그것이 알고 싶다 ① ciokr@idg.co.kr  

2015.07.31

해킹팀, 그것이 알고 싶다 ①

이탈리아 해킹 청부 업체 해킹팀에 대한 단편적인 정보들이 드러나기 시작했다. 연구원들과 기자들은 400GB 데이터 캐시를 발견해 다양한 기술 요소와 문서를 정리해 봤다. 이 슬라이드쇼에서는 이메일, 계약서, 코드, 기타 항목들을 소개한다. -> 해킹팀, 그것이 알고 싶다 ② ciokr@idg.co.kr  

이메일 kittens 청부 해킹 해킹팀 에티오피아 계약서 악성코드 iOS MySQL 개발 트위터 VPN 서버

2015.07.31

이탈리아 해킹 청부 업체 해킹팀에 대한 단편적인 정보들이 드러나기 시작했다. 연구원들과 기자들은 400GB 데이터 캐시를 발견해 다양한 기술 요소와 문서를 정리해 봤다. 이 슬라이드쇼에서는 이메일, 계약서, 코드, 기타 항목들을 소개한다. -> 해킹팀, 그것이 알고 싶다 ② ciokr@idg.co.kr  

2015.07.31

강은성의 보안 아키텍트 | '해킹팀'은 보안업체가 아니다

한 정보보안업체에서 연구소장으로 일할 때다. 외부인 대상으로 특강을 할 때 악성코드(컴퓨터 바이러스)를 직접 만들어 배포하지 않느냐는 질문을 받은 적이 있다. 안티바이러스(백신) 제품이 더 잘 팔리게 하기 위해 그럴 수 있지 않느냐는 질문이었다. 답변은 간단했다. 당연히 아니다. 첫째, 보안업체가 굳이 악성코드를 만들지 않아도 대응해야 하는 악성코드가 엄청나게 많고, 둘째, 무엇보다도 보안업체는 고객의 '신뢰'를 먹고 살기 때문에 악성코드를 혹시 제작, 배포했다가 알려지면 회사가 그대로 망할 수밖에 없다. 셋째, 불법이다. 따라서 그런 일은 생각조차 할 수 없다. 어떤 보안업체도 마찬가지 입장일 것이다. 2007년 9월에 한 물리보안업체의 직원이 자신의 담당지역 고객의 집을 턴 강도 사건이 발생했을 때, 이에 책임을 지고 그 회사 사장과 해당 지역 책임을 맡은 전무가 동시에 사임하였다. 직원이 수천 명인 회사에서 사장이 어떻게 한 직원의 일탈까지 책임질 수 있겠느냐마는 고객의 재산과 생명을 지켜야 할 회사로서는 치명적인 일이기 때문에 이러한 강수를 두지 않았나 싶다. 보안회사에서는 개인의 실수나 일탈을 예방하기 위해 직원들을 늘 교육하고 여러 수단과 체계를 운영하지만 각 개인의 행동을 완벽히 통제하는 것은 사실상 어렵다. 그래서 시스템을 갖추는 일뿐 아니라 사람을 뽑는 것이 매우 중요하다는 결론에 이른다. 다른 이들을 돕기 좋아하고, 그들의 생명과 재산을 지키는 것을 자신의 즐거움으로 여기는 사람들이라면 실수로라도 범죄를 저지를 가능성은 훨씬 줄어들기 때문이다. ->한국IDG 보안 컨퍼런스 나 역시 보안업체에 있으면서 악성코드 대응ㆍ분석 인력을 채용할 때에 늘 그 사람의 전력에 관심을 가졌다. 그 바닥이 좁아서 조금 (나쁜) 활동을 했다고 하면 어렵지 않게 알 수 있었다. 해킹 경력이 있으면 보안업체 취직에 도움이 될 거라는 망상을 가진 사람들을 가끔 봤으나 현실은 정반대다. 아무리 뛰어난 기술이 있는 사람이라 하더라도...

CSO CISO 비즈니스 모델 신뢰 강은성 해킹팀 CISO Lab Hacking Team 보안 업체

2015.07.27

한 정보보안업체에서 연구소장으로 일할 때다. 외부인 대상으로 특강을 할 때 악성코드(컴퓨터 바이러스)를 직접 만들어 배포하지 않느냐는 질문을 받은 적이 있다. 안티바이러스(백신) 제품이 더 잘 팔리게 하기 위해 그럴 수 있지 않느냐는 질문이었다. 답변은 간단했다. 당연히 아니다. 첫째, 보안업체가 굳이 악성코드를 만들지 않아도 대응해야 하는 악성코드가 엄청나게 많고, 둘째, 무엇보다도 보안업체는 고객의 '신뢰'를 먹고 살기 때문에 악성코드를 혹시 제작, 배포했다가 알려지면 회사가 그대로 망할 수밖에 없다. 셋째, 불법이다. 따라서 그런 일은 생각조차 할 수 없다. 어떤 보안업체도 마찬가지 입장일 것이다. 2007년 9월에 한 물리보안업체의 직원이 자신의 담당지역 고객의 집을 턴 강도 사건이 발생했을 때, 이에 책임을 지고 그 회사 사장과 해당 지역 책임을 맡은 전무가 동시에 사임하였다. 직원이 수천 명인 회사에서 사장이 어떻게 한 직원의 일탈까지 책임질 수 있겠느냐마는 고객의 재산과 생명을 지켜야 할 회사로서는 치명적인 일이기 때문에 이러한 강수를 두지 않았나 싶다. 보안회사에서는 개인의 실수나 일탈을 예방하기 위해 직원들을 늘 교육하고 여러 수단과 체계를 운영하지만 각 개인의 행동을 완벽히 통제하는 것은 사실상 어렵다. 그래서 시스템을 갖추는 일뿐 아니라 사람을 뽑는 것이 매우 중요하다는 결론에 이른다. 다른 이들을 돕기 좋아하고, 그들의 생명과 재산을 지키는 것을 자신의 즐거움으로 여기는 사람들이라면 실수로라도 범죄를 저지를 가능성은 훨씬 줄어들기 때문이다. ->한국IDG 보안 컨퍼런스 나 역시 보안업체에 있으면서 악성코드 대응ㆍ분석 인력을 채용할 때에 늘 그 사람의 전력에 관심을 가졌다. 그 바닥이 좁아서 조금 (나쁜) 활동을 했다고 하면 어렵지 않게 알 수 있었다. 해킹 경력이 있으면 보안업체 취직에 도움이 될 거라는 망상을 가진 사람들을 가끔 봤으나 현실은 정반대다. 아무리 뛰어난 기술이 있는 사람이라 하더라도...

2015.07.27

'플래시 없는 세상' 카운트다운 시작

어도비 플래시 기술에 대한 비난이 거세다. 플래시 없는 세계가 마침내 올 것인가? 감시 소프트웨어를 만드는 해킹 팀(Hacking Team)이 플래시 취약점 3개를 발견한 데 따라 지난 주 모질라는 파이어폭스 브라우저에서 일시적으로 플래시 플레이어 플러그인 사용을 차단했다. 페이스북 CSO 알렉스 스타모스는 플래시 사용을 이제 끝낼 것을 촉구했다. 구글 크롬 브라우저도 전력 소비량 개선을 위한 업데이트를 통해 현재 일부 플래시 콘텐츠를 중지시키고 있다. 애플은 2년 전부터 사파리 브라우저에서 이와 비슷한 정책을 시행하고 있다. 이미 불명예를 안고 있는 플래시에 대한 공세가 새삼 거세지고 있다. 사실 플래시 기술에 대한 불만은 몇 년 전까지 거슬러 올라간다. 이제 더 안전한 표준으로 HTML5가 부상하고 있는 만큼 플래시의 종말이 점점 다가오고 있는 듯하다. 보안 블로거 그레이엄 클루리는 “어도비는 플래시를 개선하기 위해 지난 몇 년 동안 많은 노력을 기울였고 보안 문제에 대해 훨씬 더 적극적으로 대처하고 있다. 그러나 온라인 범죄자들이 플래시 코드에서 계속해서 악용 가능한 치명적인 결함을 찾아내고 있다는 것은 명확한 사실”이라며 “어렵겠지만 어도비는 플래시를 폐기하는 결단을 내려야 한다”고 지적했다. 플래시는 그동안 데스크톱에 폭넓게 확산되었지만 W3Techs에 따르면 현재 플래시를 사용하는 웹 사이트는 10.6%에 불과하며 그마저도 계속 내려가는 추세다. 그렇다면 플래시 없는 세계는 과연 어떤 모습일까? 플래시, HTML 또는 기타 포맷을 사용하는 광고를 위한 관리 플랫폼을 제작하는 시즈멕(Sizmek) 연구 책임자인 앤디 칼은 “이미 시작되고 있다”고 말했다. 칼은 유튜브가 지난 1월부터 더 이상 플래시를 주 비디오 플레이어로 사용하지 않고 있다면서 “유튜브에서 비디오를 볼 수 없다고 불평하는 사람들은 없다. 플래시 없이도 원활하게 돌아가고 있다는 뜻&rd...

보안 어도비 플래시 해킹팀

2015.07.23

어도비 플래시 기술에 대한 비난이 거세다. 플래시 없는 세계가 마침내 올 것인가? 감시 소프트웨어를 만드는 해킹 팀(Hacking Team)이 플래시 취약점 3개를 발견한 데 따라 지난 주 모질라는 파이어폭스 브라우저에서 일시적으로 플래시 플레이어 플러그인 사용을 차단했다. 페이스북 CSO 알렉스 스타모스는 플래시 사용을 이제 끝낼 것을 촉구했다. 구글 크롬 브라우저도 전력 소비량 개선을 위한 업데이트를 통해 현재 일부 플래시 콘텐츠를 중지시키고 있다. 애플은 2년 전부터 사파리 브라우저에서 이와 비슷한 정책을 시행하고 있다. 이미 불명예를 안고 있는 플래시에 대한 공세가 새삼 거세지고 있다. 사실 플래시 기술에 대한 불만은 몇 년 전까지 거슬러 올라간다. 이제 더 안전한 표준으로 HTML5가 부상하고 있는 만큼 플래시의 종말이 점점 다가오고 있는 듯하다. 보안 블로거 그레이엄 클루리는 “어도비는 플래시를 개선하기 위해 지난 몇 년 동안 많은 노력을 기울였고 보안 문제에 대해 훨씬 더 적극적으로 대처하고 있다. 그러나 온라인 범죄자들이 플래시 코드에서 계속해서 악용 가능한 치명적인 결함을 찾아내고 있다는 것은 명확한 사실”이라며 “어렵겠지만 어도비는 플래시를 폐기하는 결단을 내려야 한다”고 지적했다. 플래시는 그동안 데스크톱에 폭넓게 확산되었지만 W3Techs에 따르면 현재 플래시를 사용하는 웹 사이트는 10.6%에 불과하며 그마저도 계속 내려가는 추세다. 그렇다면 플래시 없는 세계는 과연 어떤 모습일까? 플래시, HTML 또는 기타 포맷을 사용하는 광고를 위한 관리 플랫폼을 제작하는 시즈멕(Sizmek) 연구 책임자인 앤디 칼은 “이미 시작되고 있다”고 말했다. 칼은 유튜브가 지난 1월부터 더 이상 플래시를 주 비디오 플레이어로 사용하지 않고 있다면서 “유튜브에서 비디오를 볼 수 없다고 불평하는 사람들은 없다. 플래시 없이도 원활하게 돌아가고 있다는 뜻&rd...

2015.07.23

파이어폭스, 해킹 팀 이슈로 플래시 플레이어 임시 차단

모질라가 13일부터 파이어폭스 브라우저 내에서 자동으로 구동되는 모든 버전의 어도비 플래시 플레이어를 차단하기 시작했다. 이탈리아의 감시 소프트웨어 업체 해킹 팀(Hacking Team)의 데이터 유출로 밝혀진 제로데이 취약점에 대한 대응이다. 현재 파이어폭스 버전(v.39)는 윈도우와 OS X 상에서 모두 플래시를 차단했다. 모질라는 어도비가 모든 취약점을 패치할 때까지 계속 차단할 것이라고 전했다. 그러나 이러한 결정이 내려지기 전, 어도비는 플래시 플레이어를 .209 버전으로 업데이트했으며, 이 버전은 차단되지 않았다. 어도비는 이번 주까지 알려진 모든 취약점을 수정하겠다고 밝혔으나, .209 버전이 그것인지는 확실치 않다. 한편, 플래시가 차단되는 동안 파이어폭스에는 플래시 콘텐츠 자리에 “파이어폭스는 안전하지 않은 플러그인을 차단했다”라는 문구가 표시될 예정이며, 문구 옆에 ‘허가’라는 버튼을 두어 일시적으로 플래시 콘텐츠를 볼 수 있게 할 예정이다. editor@itworld.co.kr  

모질라 어도비 플래시 해킹팀

2015.07.15

모질라가 13일부터 파이어폭스 브라우저 내에서 자동으로 구동되는 모든 버전의 어도비 플래시 플레이어를 차단하기 시작했다. 이탈리아의 감시 소프트웨어 업체 해킹 팀(Hacking Team)의 데이터 유출로 밝혀진 제로데이 취약점에 대한 대응이다. 현재 파이어폭스 버전(v.39)는 윈도우와 OS X 상에서 모두 플래시를 차단했다. 모질라는 어도비가 모든 취약점을 패치할 때까지 계속 차단할 것이라고 전했다. 그러나 이러한 결정이 내려지기 전, 어도비는 플래시 플레이어를 .209 버전으로 업데이트했으며, 이 버전은 차단되지 않았다. 어도비는 이번 주까지 알려진 모든 취약점을 수정하겠다고 밝혔으나, .209 버전이 그것인지는 확실치 않다. 한편, 플래시가 차단되는 동안 파이어폭스에는 플래시 콘텐츠 자리에 “파이어폭스는 안전하지 않은 플러그인을 차단했다”라는 문구가 표시될 예정이며, 문구 옆에 ‘허가’라는 버튼을 두어 일시적으로 플래시 콘텐츠를 볼 수 있게 할 예정이다. editor@itworld.co.kr  

2015.07.15

회사명:한국IDG 제호: ITWorld 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아00743 등록일자 : 2009년 01월 19일

발행인 : 박형미 편집인 : 박재곤 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2022 International Data Group. All rights reserved.

10.5.0.5