웹 해킹과 보안

panics.egloos.com

포토로그



Heartbleed Bug / OpenSSL 취약점

지난 8일 각종 언론을 타기 시작하면서 Heartbleed 취약점(CVE-2014-0160) 이 많은 사람들에게 알려졌습니다.
해당 취약점은 간단하게 말해서 SSL을 사용하고 있는 서버에서 연결이 정상적으로 잘 유지되는지를 확인하기 위한 기능을 악용하여 공격자가 서버의 메모리를 열람할 수 있는 취약점입니다.
(더욱 자세한 설명은 인터넷 검색이나 CVEDB나 http://heartbleed.com/ 등에서 손쉽게 확인하실 수 있습니다.)

워낙 크게 이슈화 되었기 때문에 많은 사이트에서 이러한 문제에 대한 패치가 이루어 졌지만
아직도 패치되지 않은 사이트들이 존재하고 있기 때문에 당사에서는 해당 취약점에 대한 점검 도구(exe)를 배포하고 있습니다.
(별도의 바이너리로 제공되므로 알려진 py 스크립트와 다르게 런타임이 필요하지 않으며,
 패닉시큐리티는 일체의 정보수집을 수행하지 않으므로 안심하셔도 좋습니다 ^_^;)

http://www.panicsecurity.com/sub.html?menu_index=2#heartbleed

그외에도 아래와 같은 사이트를 통하여 별도의 툴 없이 점검할 수 있으니 참고하시기 바랍니다. (당사와는 관계 없습니다)

https://filippo.io/Heartbleed/


Zoom Up 기업열전-패닉시큐리티

■ Zoom Up 기업열전-패닉시큐리티

웹사이트가 나날이 복잡해지고 다양한 서비스를 제공하면서 그에 비례해 보안 허점이 생길 가능성도 아울러 높아지고 있다. 그에 따라 웹 해킹에 대한 대비도 강화되느냐 하면, 그건 아니다. 심지어 성능과 고객편의를 이유로 기 구축된 보안장비도 제대로 가동하지 않는 경우까지 있다.

최근의 웹 해킹이 수문장(웹 방화벽, IDS, IPS 등 보안시스템)을 우회 또는 무력화하고 침입하는 형태를 띠다보니 보다 근본적인 보안책이 요구된다. 모의해킹을 통한 해킹징후파악과 웹 취약점 점검 솔루션은 이 같은 필요에서 갈수록 각광받고 있다.

패닉시큐리티(대표 신용재)는 웹 취약점 점검 솔루션을 2004년 국내에서 처음으로 개발한 업체다. 2007년에는 인터넷뱅킹 메모리 해킹기법을 국내 최초로 시연해 보임으로써 금융감독원이 관련 지침을 만들게끔 한 이력을 갖고 있다.

패닉시큐리티는 2004년 5월 국내 내노라하는 해커(화이트 해커)들이 모여 만든 회사다. 한마디로 `해커 집단'인 셈이다. 당시 금융사와 공공기관들의 해킹사고로 사회적 파장이 고조되고 있을 때다. 해커였던 신용재 대표는 사계의 `고수'들을 끌어 모으기로 결심한다. 그는 "해킹 기술을 사업화 해보자는 것이 주목적이었지만 실력을 자랑하고픈 우쭐함과 공익에 기여한다는 약간의 공명심도 발동했다"고 귀띔한다. 패닉시큐리티는 설립하자마자 공공기관 금융사 통신사 대기업 등으로부터 모의해킹 의뢰가 밀어닥쳤다.

패닉시큐리티는 설립직후 본격적으로 웹 보안을 위한 솔루션 개발에 뛰어든다. 결과는 금방 나왔다. 회사 설립 이전부터 이 분야에 밝았던 전문가들이었기 때문이다. 첫 작품이 웹 취약점 점검도구 `PS 스캔웹'(PS ScanW3B)이다. 국내 최초 웹 취약점 점검 솔루션이다. 당시는 와치파이어의 `앱스캔'과 카바도의 `스캔두'(ScanDo)라는 외산 솔루션이 시장을 선점하고 있을 때였다.

그러나 외산은 국내 웹 환경에 적합하지 못한 부분이 많았다. 취약점에 대한 설명과 조치 방법도 국내 개발자들이 활용하기엔 버거웠고 벽이 높았다. 스캔웹의 방식은 순수 국산 기술로 앱 소스코드를 분석해 취약점을 자동으로 분석하는 방식이다. PS스캔웹은 국내 환경에 적합하고 개발자들이 활용하기 쉬워 출시와 동시에 여러 대형기관들로부터 주문이 쏟아졌다. 현재까지 금융, 포털, 대기업과 서울시, 인터넷진흥원(KISA), 한국과학기술연구원 등 수십 곳에 공급됐다.

특히 서버 버전의 스캔웹은 웹 환경의 인터페이스를 추가해 한꺼번에 수백, 수천 개의 웹 사이트 점검이 가능하다. 자동화된 상시 진단 시스템을 갖춰야 하는 수백 개 이상의 웹사이트를 보유한 대형 기관들에 안성맞춤이다. 대법원, 국방부, 금융결제원, 한국과학기술정보연구원, KISA, 지경부, 서울대, 경기도, 산림청 등 공공 사이트, 금융, 통신, 제조 분야 대기업 수십 곳이 도입해 쓰고 있다.

웹 해킹 징후분석 시스템 `블랙박스'(BlackBox)는 `해커'들이 해커 징후를 찾아내는 솔루션을 만들었다는 점에서 일단 경쟁제품에 대해 한 뼘을 접고 들어간다. 신용재 대표는 "방대한 로그를 분석하는 데에 해커의 입장에서 접근하기 때문에 징후 포착률이 매우 높다"고 말한다. 해킹은 보통 단시간에 일어나는 게 아니라 장기간에 걸쳐 침입 사실이 발각되지 않게 수행된다. 또 IPS, IDS, 방화벽 같은 보안 장비를 우회하거나 무력화 한 후 웹서버까지 도달하므로 한시도 빈틈을 허용해서는 안 된다.

웹은 주기적으로 개편작업을 하고 크고 작은 수정이 필요하기 때문에 완벽한 웹 애플리케이션을 구축하는 것은 매우 어렵다. 그런 만큼 해킹 징후 분석이 필수적이다. 블랙박스는 방대한 로그 분석을 통해 해커가 남긴 흔적을 수집, 분석해 이상 징후를 파악한다. 신속한 피해 분석과 함께 대안을 제시한다. 블랙박스는 국내 대기업과 대형 공공기관을 중심으로 레퍼런스를 빠르게 늘리고 있다.

패닉시큐리티는 PS스캔웹과 블랙박스 두 솔루션을 통해 웹 보안의 가장 뒷자리, 즉 보안의 보루를 맡는다는 자부심을 갖고 있다. 중소사업자들을 위한 일회성 웹 취약점 분석서비스도 저렴한 가격으로 공급한다. 대형 사이트에 대해서는 모의해킹을 통한 보안 컨설팅도 별도로 제공한다. 특히, 국산 서비스 공급자가 매우 취약한 웹 취약점 분석과 해킹징후 분석을 담당한다는 점에서 소명의식도 갖고 있다. 올해 매출(10~20억 원) 달성과 함께 내년에는 해외로 진출하겠다는 각오를 다지고 있다.

이규화선임기자 david@

◇ 회사개요

대표 : 신 용 재

설립 : 2004년 5월

주요 사업분야 및 제품 : 웹 취약점 점검도구 `PS스캔웹`(PS ScanW3B) PC와 서버 버전, 웹 해킹 징후분석 시스템 `블랙박스`(BlackBox), 스마트폰 앱 해킹방지툴, 모의해킹 및 징후분석 서비스, 웹 취약점 점검 서비스.

◇ 사진설명 : 패닉시큐리티의 해킹징후분석 `시스템 블랙박스`(BlackBox)는 전문 해커의 입장에서 예상되는 거의 모든 형태의 해킹을 가정해 개발됐다. 대용량 웹로그의 효과적 정제기술과 뛰어난 연관성 분석으로 해킹징후를 신속하게 파악한다. 



[뉴스] Zoom Up 기업열전-패닉시큐리티

■ Zoom Up 기업열전-패닉시큐리티

"개인정보가 해킹 당했는데도 모르고 있다 수개월이 지나 아는 경우가 다반사입니다. 해킹은 보통 은밀히 장시간에 걸쳐 일어나기 때문에 보안장비에 징후가 나타나지 않는 경우가 많습니다. 패닉시큐리티의 해킹징후분석 시스템은 막대한 양의 로그를 정제된 분류방식과 연관분석을 통해 가려냅니다."

패닉시큐리티 신용재 대표는 해킹징후 상시 포착시스템은 개인정보를 다루는 곳이라면 꼭 필요하다고 말한다. 해킹징후분석시스템 `블랙박스'를 개발한 후 주로 금융회사에 집중해 공급했지만 올해부터는 공공기관과 일반기업으로 확대해나가고 있다고 했다.

"모의해킹서비스나 해킹방지 솔루션을 도입하려면 큰 비용부담을 감수해야했습니다. 기업들이 필요한데도 도입하지 못한 이유는 관련 솔루션이 너무 비쌌기 때문입니다. 이 분야 제품은 거의 외산이 장악하고 있거든요. 전문 해커들이 세운 저희 회사가 이 분야에 도전장을 낸 것도 이 같은 국내 상황을 타개해보기 위해서입니다."

신 대표는 순수 국산 기술로 개발한 블랙박스가 실제 BMT에서도 결코 외산에 떨어지지 않는다고 강조한다. 그는 "해킹징후분석 솔루션을 공급하려면 우선 제품 데모, 수요자 상황 판단, 설치, 교육, 실행에서 리뷰까지 다단계를 거치며 철저히 커스트마이징을 해야합니다. 이런 과정에서 외산이 따라올 수 없는 서비스를 구현하는 것이 패닉시큐리티의 강점입니다."

그 자신이 유명한 해커였던 신 대표는 소프트포럼에서 3년 간 활동했고 보안과 게임SW개발에도 실력을 발휘했다. 그러던 그가 2004년 국내 대규모사이트들이 해킹 당하자 해킹방지 솔루션 개발에 뛰어들었다. 회사를 설립하자마자 국내 최초의 웹 앱 취약점 자동화 분석도구를 개발한 것도 이같은 배경이 뒷받침했다.

신 대표는 "토종 모의해킹서비스와 해킹징후분석 시스템을 국내에 안착시킨 후 해외시장에서도 거대 외산 기업들과 당당히 경쟁하겠다"고 말했다.

이규화선임기자 david@ 

"당신의 회사를 해킹해 드립니다"

"당신의 회사를 해킹해 드립니다"...신용재 패닉시큐리티 대표

<아이뉴스24>

누군가 '당신 회사의 인터넷 사이트를 해킹해준다'고 제의한다면 당신은 어떤 반응을 보이겠는가. 아마도 욕이 먼저 튀어 나올 성 싶다.

그러나 이같은 해킹 제안이 사실은 컨설팅 서비스라면 얘기는 좀 달라질 것이다.

'모의해킹'을 통해 사이트의 취약점을 파악한 후 기업 경영자나 사이트 담당자에게 보완할 부분을 알려주고 해결방법(솔루션)까지 제공하는 보안컨설팅서비스라면 말이다. 물론 이런 작업은 비밀리에 이뤄진다.

패닉시큐리티(www.panicsecurity.com)는 이같은 해킹 서비스를 전문으로 제공하는 기업이다. 짐작대로 해커들이 의기투합해 설립한 회사다.

패닉시큐리티에 모인 해커들의 지휘관인 신용재 대표는 회사소개에 앞서 해커라는 '말뜻 풀이'에 공을 들였다.

"해커들은 사회에서 자신들을 부정적인 시각으로 보는 것을 싫어한다. 전산망을 뚫어 허점을 발견하고 흔적을 남기는 등 '실력'을 과시하지만 데이터를 지우거나 시스템을 다운시키는 피해는 입히지 않기 때문이다."

신 대표의 해명(?)은 이어진다. "실제 시스템에 칩입해 피해를 입히는 사람은 해커와 구분해 '크래커'라 부른다. 그래서 해커들은 자신을 '하얀 모자', 크래커는 '검은 모자'라 부른다."

해커에 대한 설명을 마친후 비로소 패닉시큐리티에 대한 소개가 이어진다.

"지난해 8월 보안업체들에 흩어져 일하던 해커들이 뜻을 모아 설립했다. 그 이전에도 해킹을 연구하는 동호회 형식의 친목모임이 있었고 그 모임의 이름이 패닉시큐리티였다."

그들이 뜻을 모으게 된 배경은 우리나라 웹사이트들의 심각한 보안의식을 더 이상 두고 볼 수 없다고 판단했기 때문.

신 대표는 "지난해 정부기관과 언론사, 주요 기업들의 사이트가 잇따라 해킹당하는 등 갈수록 웹해킹이 빈번하게 일어나 좀더 체계적이고 조직적인 해결방법을 찾자는 논의를 하다가 결국 회사를 만들게 됐다"고 설명했다.

해킹을 당하면 데이터가 왜곡되고 서비스가 중단되는 피해가 발생한다. 그러나 신 대표에 따르면 이보다 더 큰 문제는 다른 데 있다. 신 대표는 "요즘은 인터넷이 내부 전산망에도 활용되기 때문에 기업의 인트라넷이나 웹기반 데이터베이스에 담긴 자료들도 얼마든지 유출될 수 있다"고 강조했다.

보안업계에서 활약하던 해커들이 회사를 만들었다는 소문은 금방 퍼졌다. 지난 6개월간 정부기관, 통신회사, 금융기관, 보험회사, 대기업 등 7~8곳이 해킹 의뢰를 해왔고 이들 사이트의 취약점을 분석해 컨설팅을 해주었다.

컨설팅 서비스와 함께 패닉시큐리티는 이를 토대로 웹사이트 취약점 자동분석도구인 '피에스스캔웹(PS ScanW3B)'도 개발, 공급하고 있다. 이 소프트웨어는 웹 애플리케이션 소스 코드를 자동으로 분석한 뒤 취약점을 찾아내는 게 특징. 자동 컨설팅 도구인 셈이다.

신용재 대표는 "외국 제품은 더러 소개된 적이 있지만 국내 개발자들이 우리 실정에 맞춰 개발한 제품으로는 처음"이라며 "국내 사이트에서 많이 사용되는 스크립트와 플래시에 대한 취약점도 쉽게 분석할 수 있으며 공격자의 입장에서개발됐기 때문에 사이트를 개편할 때마다 이 소프트웨어를 한번씩 돌려보면 약점을 자동으로 찾아낼 수 있다"고 자부심을 감추지 않았다.

패닉시큐리티는 올들어 급속하게 확산되고 있는 '산티'(Santy)웜에 대한 취약점을 확인할 수 있는 스캐너도 무료로 배포하고 있다. 산티웜은 PHP(홈페이지를 만들 수 있는 프로그래밍 언어)로 된 인터넷 사이트를 공격, 웹사이트를 변조시키는 웹서버 공격 전용 악성코드다.

국내 인터넷 사이트들이 외국 해커의 표적이 되고 있다는 것은 공공연한 비밀. 이에 대해 신용재 대표는 우리 사이트들이 훨씬 복잡하고 수준높은 서비스를 제공하기 때문이라고 설명한다.

"프로그래머들이 고객의 요구에 따라 다양한 서비스를 웹사이트에 반영하고 사이트도 자주 개편하지만 이 과정에서 보안문제에 허점이 생길 가능성이 그만큼 커지기 때문"이란다.

이런데도 국내 사이트 운영자들의 웹해킹에 대한 대비는 아직 허술하다. 신용재 대표는 "모의해킹의 경험이 많은 우리 회사 구성원들에 따르면 해당 기관의 규모가 크고 작고를 막론하고 대부분 웹해킹에 노출되어 있는 실정"이라며 "이는 방화벽이나 침입탐지 등의 보안 제품을 맹신한 결과"라고 못박았다.

신 대표는 "적을 이기기 위해서는 적을 알아야 하듯 웹 보안을위해서는 웹 해킹을 알아야 하며, 소스 차원에서의 문제점 분석과 해결이 최선의 방법"이라고 덧붙였다.

"민간기업은 해킹을 당해도 기업이 손해보면 되지만 정부부처나 정당, 단체, 공기업, 교육기관 등 공공기관이 해킹을 당하면 그 피해가 국민에게 고스란히 돌아간다."

신 대표는 끝으로 우리나라 공공기관의 보안의식에 심각성을 지적했다.

"정부 차원에서 웹해킹의 심각성을 인식해야 한다. '정보통신망 이용촉진 및 정보보호 등에 관한 법률' 시행규칙에서 웹 보안에 대한 항목의 신설이 필요하며, 웹 해킹의 대비책에 대한 투자도 서둘러야 한다."

/김상범기자 ssanba@inews24.com

IT는 아이뉴스24, 연예스포츠는 조이뉴스24

(Copyright ⓒ 아이뉴스24. 무단전재 및 재배포 금지)

윈도우 환경에서의 WEP 암호 크랙

윈도우 환경에서의 WEP 암호 크랙

이 글의 저작권은 panicsecurity에 있습니다. 다른 곳으로의 복사나 이동은 허락하지 않습니다.

WEP 방식의 Wi-Fi 보안은 표준 무선랜과 함께 등장하여 지금도 많이 애용되고 있는 방식이지만 한편으로는 큰 위험성을 가지고 있습니다. 다행스럽게도 이러한 보안 헛점은 이제 많은 사람들에게 알려져서 WEP 방식의 무선랜 AP가 많이 줄어들고는 있으나, 여전히 많은 사용자들이 WEP 방식의 암호화를 사용하고 있으며 위험에 노출되어 있습니다. 물론 대부분의 착한 사용자들은 이러한 헛점이 존재한다고 해서 직접적인 해를 가하지는 않겠지만 내가 사용하고 있는 인터넷 망이 언제든지 개방되어 있다면 돈을 내고 서비스를 받고 있는 입장에서 이는 마냥 즐거운 일은 아닐 것입니다.

만일 글을 읽는 독자의 무선망이 WEP로 구성되어 있다면 지금이라도 바꾸는 것을 권장 드리겠습니다. WPA나 다른 방식의 설정에 대한 가이드는 인터넷을 통해서 얼마든지 구할 수 있습니다.

사실 인터넷 상에는 WEP의 암호를 크랙할 수 툴들과 강좌들이 넘쳐나고 있지만 대부분의 글들이 약간의 진입장벽을 가지고 있습니다. (적어도 필자가 본 방법들은 대부분 패킷 캡쳐를 위해서 리눅스 셋팅을 필요로 했습니다.) 덕분에 일부 사용자들이 아니고서는 대부분 이러한 방법을 통하여 시도하지는 않을 것 같습니다. 하지만 이 글에서 사용하는 방법은 기존에 알려진 방법보다 훨씬 간단하며 단순히 윈도우 환경에서 클릭만으로 크랙하는 방법으로 훨씬 간단하게 WEP 암호를 획득할 수 있습니다. (그만큼 툴이 쉬워진 것이긴 합니다만..) 물론 따라하는 것은 권장드리지 않으며 책임은 사용자에게 있습니다.

먼저 aircrack 과 CommView 를 설치합니다. 각각 홈페이지를 통해서 다운로드 받을 수 있으며 CommView 의 경우 CommView For WiFi 무료 버전이면 충분합니다.

첫번째 도구인 aircrack 은 지속적으로 버전업 된 WEP/WPA 해킹 도구로 무선랜 해킹을 위한 많은 기능을 가지고 있습니다. 게다가 프론트엔드 방식의 GUI 버전까지 포함하고 있습니다.

다음으로 CommView for WIFI 는 WIFI 분석을 위한 강력한 도구로 평가판이 공짜로 제공되고 있습니다. 약간의 제한은 있지만 오늘 보여드릴 작업에는 손색이 없는 기능을 가지고 있습니다. 물론, 툴이 지원하지 않는 무선랜 카드라면 더 이상의 진행은 힘들겠지만 대체로 많은 무선랜카드를 지원하는 것으로 잘 될 것으로 보입니다. (해당 사이트에서 확인이 가능합니다)

일단 aircrack 을 통한 크랙을 위해서는 상당량의 패킷 확보를 필요로 합니다. 때문에 약간의 시간을 투자해서 패킷을 확보하여야 하는데요, 대부분의 WEP 크랙에는 일정량의 패킷 캡쳐가 필요로 하므로 당연한 일입니다. 이론적인 내용은 여러가지 글에서 잘 다루어 지고 있으므로 이 글에서는 생략합니다.

모든 준비가 완료되었다면 크랙을 위한 패킷 캡쳐를 시작합니다. 위에서 설명한 CommView for WIFI 를 설치하고 지정된 타켓의 패킷을 수집합니다. (주의: CommView 는 강력한 기능을 제공하지만 많은 양의 패킷을 저장해주지는 않으므로 반드시 Auto Save 옵션을 통해서 다수의 패킷을 자동 저장하는 옵션을 켜주어야 합니다.)

패킷의 수집이 완료되면 내부 도구인 LogView 를 통해서 자동 백업된 로그들을 병합하고 aircrack 에서 사용할 pcap 파일을 생성합니다.

생성된 pcap 파일을 Aircrack-ng GUI.exe 를 이용하여 크랙합니다. 프론트 엔드 툴이므로 직접 커맨드 창에 입력하셔도 되지만 편한툴을 놔두고 어렵게 할 이유가 없습니다.

Launch 버튼을 누르면 본체인 aircrack-ng.exe 가 실행되고 수집한 AP들의 리스트를 보여줍니다. 5번째 AP가 충분한 IV 를 수집한 것으로 보이므로 해당 타겟을 지정하여 크랙을 수행합니다.

5초 경과후 WEP 패스워드를 획득하는데 성공하였습니다.



1 2