AndrewNA

i-PIN(internet Personal Identification Number) 인터넷에서 본인확인을 위한 기존 주민등록번호 대체 수단이다. 기존 주민등록번호는 개별 웹사이트에 저장하지만 i-PIN 방식은 주민등록번호를 별도로 저장하지 않아 유출을 예방할 수 있고, 주민등록번호와 더불어 신원확인까지 하므로 본인 확인이 더 강화되었다.

패스워드 가장 간단하면서 오래전부터 사용해왔지만 안정성이 떨어지는 방식이다. 패스워드 유형 고정 패스워드, 동적 패스워드 고정 패스워드 패스워드 저장 방식 1. 평문 : 단순히 아이디와 패스워드를 평문형태로 저장 → 보안에 매우 취약 2. 해시함수 : 일방향 해시함수 이용하여 저장 → 사전공격 가능, 패스워드 값 추측 불가 3. 솔팅 : 패스워드 문자열을 솔트라고 부르는 랜덤 문자열을 패스워드에 붙인 후 해시함수 적용 → 사전공격 불가, 패스워드 값 추측 불가 보안성 : 1 < 2 < 3 동적 패스워드(일회용 패스워드) 패스워드 공격 유형 사전공격(Dictionary Attacks) 패스워드가 될 가능성이 있는 사전 파일을 만들어 크랙하는 공격으로 공격대상의 개인 정보 등을 알고 있다면 효율적인 공격이 ..

지식 기반 인증(What you know) 사용자가 알고 있는 어떤 것에 의해 의존하는 기법 ex) 패스워드, 핀(PIN) 지식 기반 인증 장점 검증이 확실함 관리비용이 저렴 편리함 지식 기반 인증 단점 사용자의 기억 망각 사용자의 관리 부주의 공격자의 추측 가능 사회 공학적 공격의 취약점 소유자 기반 인증(What you have) 사용자가 가지고 있는 어떤 것에 의존하는 기법 ex) 메모리카드, 스마트카드, OTP 소유자 기반 인증 장점 일반적으로 사용 소유자 기반 인증 단점 사용이 불가능할 때 인증 불가 소유물이 없을 경우 인증 어려움 복제 가능 사회 공학적 공격의 취약점

사용자 인증 정당한 접속자인지 확인하는 과정 cf 메시지 인증 : 정당한 메시지인지 확인하는 과정 사용자 인증 유형 지식, 소유, 존재, 행위 등 존재 Type 1(지식) Something you know : 본인이 알고 있는 것 ex) 패스워드, 핀(PIN) Type 2(소유) Something you have : 본인이 가지고 있는 것 ex) 토큰, 스마트카드 Type 3(존재) Something you are : 본인을 나타내는 것 ex) 홍채, 지문 (행위) Something you do : 본인이 하는 것 ex) 서명, 움직임 ―――――――――――――――――――― Two Factor 위 타입 중 두가지 이상 결합하여 구현 Multi Factor 위 타입 중 세 가지 이상 결합하여 구현

접근통제(접근제어) 특정 정보 및 시스템을 권한 없는 사용자로부터 유출, 변조, 파괴 요소를 방지하는 정보보안 기술로 인가된 사용자만 접근 가능하도록 하고, 인가된 사용자도 정당한 권한만을 사용할 수 있게 한다. 접근통제 구성 주체(Subject) 행위자로 객체에 접근하는 대상 ex) 사용자, 프로그램, 프로세스 등 객체(Object) 주체의 접근대상 ex) 서버, 컴퓨터, 데이터베이스, 파일 등 접근(Access) 주체와 객체 사이의 정보 흐름의 행위 ex) 읽기, 쓰기, 수정, 삭제 등 접근통제 절차 식별 → 인증 → 인가 식별 사용자를 식별하는 것으로 책임추적성 분석에 유용하게 사용 ex) ID 인증 식별에 대한 검증하기 위한 활동으로 다양한(메시지 인증 ,사용자 인증, Type별 인증, SSO 인..

확산(Diffusion) 암호문과 평문 사이의 관계를 숨김 혼돈(Confusion) 암호문과 키의 상관관계를 숨김

지적 재산권 보호 방법 스테가노그래피(Steganography) 고대 그리스에서 사용한 방법으로 무언가를 감추어 메시지 자체를 은폐한다. 디지털 워터마킹(Digital Wtermarking) 원본을 왜곡하지 않는 범위 내에서 사용자가 인식하지 못하도록 저작권 정보를 삽입하는 기술이다. 핑거 프린팅(Fingerprinting) 구매할 때 구매자 정보를 삽입한다. 항목 스테가노그래피 워터마크 핑거프린트 은닉정보 메시지 판매자 정보 구매자 추적정보 관심 은닉메시지 검출 저작권 표시 구매자 추적 트래킹 X O O 불법예방 효과 하 중 상 저작권증명 효과 하 중 상 공격 강인성 약함 강함 강함 디지털 저작권 관리(DRM, Digital Rights Management) 일종의 접근 제어 기술로 다양한 방식으로 디..

암호기법 분류 링크 암호화, 종단간 암호화 링크 암호화(Link Encryption) 모든 정보(헤더, 트레일러 등)는 암호화되고, 경로 중간에 있는 장비가 복호화하고 다시 암호화하여 전송한다. 키 관리가 어려우나 트래픽 분석에 강하다. 통신사업자(ISP)가 암호화를 진행하고 Layer 1~2 계층(물리, 데이터링크 계층)에서 발생한다. 네트워크를 거치는 장비가 암호화 장비를 갖춰야 해서 비용 부담이 크다. ex) A(암호화) → B(복호화/암호화) → C(복호화/암호화) → D(복호화) 종단간 암호화(End-to-End Encryption) 헤더와 트레일러가 암호화되지 않아 장비가 암호화 하는데 관여하지 않는다. 키 관리에 용이하나 트래픽 분석에 취약하다. 사용자가 암호화를 진행하고 Layer 7 계층..

대칭키 암호(symmetric crptography) 암호화 및 복호화의 키가 동일한 것으로 키의 배송문제를 가지고 있음 비대칭키 암호(asymmetric crptography) 암호화 및 복호화의 키가 다른 것으로 서로간의 키는 수학적인 상관 관계로 존재 하이브리드 암호시스템(hybrid cryptosystem) 대치킹 암호 + 공개키 암호의 장점을 조합

피싱(Phishing) 개인정보(Private Data) + 낚시(Fishing)의 합성어로 메일을 보내 가짜 홈페이지로 접속하도록 한 뒤 정보를 입력하도록 유도하여 개인 정보를 빼돌리는 기법이다. ex) www.tistorry.com 접속하여 로그인시도시 해당 정보를 갈취한다. 자세히 보면 해당 URL은 실제 티스토리 주소가 아닌 r이 하나 더 붙어있는 피싱 홈페이지의 예시다. 파밍(Pharming) 특정 홈페이지를 진짜처럼 꾸며놓은 뒤에 사용자가 진짜 홈페이지로 접속시 DNS 혹은 프락시 서버의 주소를 변조함으로써 가짜 홈페이지로 연결하여 금융 정보를 습득하는 수법이다. ex) www.tistory.com 접속시 DNS의 방향을 재지정하여 진짜 티스토리 홈페이지가 아닌 다른 홈페이지로 접속시킨다. 스..

암호화(Encrypt) 평문을 암호문으로 암호화 하는 과정 C = EK(P) or C = E(K, P) : 평문 P를 K키로 암호화 복호화(Decoding) 암호문을 평문으로 복호화 하는 과정 P = DK(C) or P = D(K, C) : 암호문 C를 K키로 복호화 평문(Plaintext) 암호화 되기 전 메시지 암호문(Ciphertext) 암호화가 된 메시지 키 암호화 및 복호화 알고리즘에 사용되는 핵심 값 키 스페이스 암호화 알고리즘에서 사용하는 키 값의 크기

예방통제(Preventive Control) 위협과 취약점에 대해 사전에 대처하는 통제 방법 탐지통제(Detective Control) 위협에 대한 탐지하는 통제 교정통제(Corrective Control) 탐지단 위협이나 취약점에 대한 대처 혹은 취약점을 감소시키는 통제

자산(Asset) 정보보호를 해야 할 물리적인 대상 위협(Threat) 보안에 해를 끼치는 행위 ex) 가로채기, 가로막음, 변조, 위조 취약점(Vulnerability) 관리적, 물리적, 기술적 약점으로 공격자에 대한 정보자산의 보안상 약점 위험(Risk) 위협 대상이 비정상적인 악 영향을 미치는 결과를 가져올 가능성 위험 = 자산×위협×취약점

정보보호 목표에 따른 공격유형 분류 기밀성 위협 공격, 무결성 위협 공격, 가용성 위협 공격 기밀성 위협 공격 스누핑(Snooping) 송수신하는 데이터에 대해 불법으로 접근하여 정보를 탈취하는 행위 트래픽 분석(Traffic Analysis) 데이터가 암호화 되어있을시 데이터 자체는 확인이 불가능하지만 트래픽을 분석하여 송신자의 메일 주소라든지 기타 트래픽 정보를 습득하는 행위 무결성 위협 공격 변경(Modification) 메시지를 불법으로 수정하는 행위 가장(Masquerading) 한 개체가 다른 개체로 신분 위장을 하는 공격으로 다른 공격들과 병행하여 수행 재연(Replaying) 획득한 데이터 단위를 보관하고 있다가 시간차를 두고 재전송을 함으로써 인가되지 않은 사항에 접근 부인(Repudia..

정보보호 관리와 정보보호 대책 기술적 보호대책 < 물리적 보호대책

정보보호 목표 기밀성, 무결성, 가용성, 인증성, 책임추적성, 부인방지성 기밀성(Confidentiality) 기밀성은 알 필요성에 근거하여 정당한 권한이 주어진 사용자, 프로세스, 시스템만 접근 가능해야 한다. 방법 접근제어, 암호화 위협요소 도청, 불법복사, 사회공학(Social Engineering) 무결성(Integrity) 무결성은 네트워크를 통해 송수신되는 정보의 내용이 임의로 생성, 변경, 삭제가 일어나면 안된다. 즉, 자산이 인가된 사용자에 의해 인가된 방법으로만 변경 가능하다. 방법 해쉬함수, 전자서명, 백신 위협요소 논리폭탄(logic bomb), 변조, 위조, 백도어(back door), 해커(Hacker), 바이러스(Virus) 가용성(Availability) 가용성은 정당한 사용자..

prstat 솔라리스에서 prtstat 명령어를 통해 CPU 사용률, 메모리 사용률 등 다양한 자원 사용률을 볼 수 있다. Command prstat [옵션] Option -a : 실행한 유저와 관련 정보 -t : 유저 단위의 사용률 -v : 자세하게 -n [숫자 필수] : 화면에 출력되는 갯수 제한 -s [정렬할 대상 필수] : 내림차순 정렬 -S [정렬할 대상 필수] : 올림차순 정렬 ex) prstat -v : 모든 프로세스 사용률 정보 자세하게 출력 prstat -s rss -a -n 10 : 메모리 사용률 내림 차순으로 10개까지 출력 prstat -s cpu -a -n 10 : CPU 사용률 내림 차순으로 10개까지 출력 자동갱신도 되지만 '엔터' 혹은 '스페이스' 입력시 수동으로 즉시 갱신된다.

SUN OS 버전 확인 Command showrev 출력 ex) Hostname: Test Hostid: 8576fa74 Release: 5.10 Kernel architecture: sun4v Application architecture: sparc Hardware provider: Oracle Corporation Domain: Kernel version: SunOS 5.10 Generic_150400-64 Command uname -a 출력 ex) SunOS Test 5.10 Generic_150400-64 sun4v sparc SUNW,T5140 SunOS 5.10 버전임을 알 수 있다. 솔라리스 버전 확인 Command more /var/sadm/softinfo/INST_RELEASE 출력 ex..

마이크로 그래픽 문자, 도형, 그림 등으로 구성된 정보를 보관, 검색하기 위해 작은 면적에 대량의 정보를 수록하는 기술 CAR(Computer Assisted Retrieval) 마이크로 필름에 들어있는 정보 검색시 이용하는 장치 COM(Computer Output Microfirm) 컴퓨터에서 처리된 데이터를 사람이 해독 가능한 문자나 도형으로 변환시키는 기술

순방향 채널 기지국 → 가입자 방향의 채널 · 파일럿(pilot) 채널 . 가입자가 기지국을 쉽게 찾을 수 있도록 항상 송출하는 채널 · 동기(sync) 채널 . 가입자가 망에 동기화를 맺을 수 있게 항상 송출하는 채널 · 호출(paging) 채널 . 가입자가 통화채널 할당 액세스 시도시 응답용으로 사용 · 통화(traffic) 채널 . 통화음성 등을 기지국에서 가입자로 전송하는데 사용 역방향 채널 가입자 → 기지국 방향의 채널 · 액세스(access) 채널 . 가입자가 통화를 요청하기 위해서 사용하는 채널 · 통화(traffic) 채널 . 통화음성 등을 가입자에서 기지국으로 전송하는데 사용