Blog Posts

대학원 논문 일기를 시작하며

대학원 전체 과정의 절반을 지나왔다.  2학기동안 (파트타임 치곤) 많은 수업을 수강해 둔 덕분에 올해 (내년이라 썼다가 고침, 벌써 1월 중순인가) 에는 논문에 좀 더 집중할 수 있을 것으로 보인다. 파트 타임 대학원생은 풀 타임 대비 연구에 투자할 수 있는 시간이 절대적으로 부족하다. 이 팩트 자체를 우선 인정하고 갈 필요가 있다. 좋은 논문을 작성하고 싶은 욕심은 크지만 그렇다고 무리하게 하루에 2시간만 자면서 풀 타임 연구원을 따라가고자 하는 것은 어리석은 짓이다. 무엇보다 대학원의 목표 자체가 “풀 타임 학생만큼 하겠다”는 아니기 때문이다. 따라서 파트타임 대학원생은 전략적으로 논문을 준비할 필요가 있다고 생각한다. 논문 주제도 최대한 실무 경험을 바탕으로 선정하고, 준비 과정에서도 회사 동료들의 의견을 수렴하여 학계안에서만 머무르지 않고 실제 활용이 가능한 논문을 쓰는게 가장 효율적이지 않을까 싶다. 내가 현재 몸담고 있는 고려대학교 정보보호대학원 SANE Lab도 19년도 신입생이 들어온다고 한다. 며칠전 김승주 교수님께서 신입생에게 당부하는 글을 쓰셨는데 그 글이 본 논문 일기를 작성하게 된 동기가 되었기 때문에 짧게 소개하고자 한다. 논문 아이디어를 못내는 것은 괜찮으나 논문 읽기를 게을리 해서는 안된다 프로젝트를 하는데 있어 손이 느린것은 괜찮으나 불성실 한것은 안된다. 우리가 받는 것은 장학금이 아니라 인건비이다. 본인이 그만큼 가치를 하는지 늘 생각하자. 즉, 좋은 대학원생을 만드는 것은 훌륭한 아이템 선정 같은것도 중요하지만 결국 성실함이라는 기본적인 Attitude로부터 결정되는 것이다. 그러한 맥락에서 대학원 졸업때까지 논문 일기를 작성하고자 한다.

Continue Reading

버그는 뜻하지 않게 찾아온다 – 카카오뱅크 취약점 제보 후기

공인인증서나 보안 프로그램과 같은 발암(?)물질이 전혀 포함되지 않아 엄청난 인기를 얻고 있는 카카오뱅크의 취약점을 찾아 지난 8월에 제보하였다. 사실 기술적으로는 굉장히 별거 없는 (화려한 익스플로잇 따위는 1도 포함 안된) 취약점이긴 하나 그것을 찾기 위한 과정은 꼭 한번 소개를 하고 싶었다. 우리의 일상속에서 쉽게 지나칠 수 있는 것들을 유심히 살펴보는 것 만으로 도 버그를 찾을 수 있다는 것을 말해보고자 한다. 슬램덩크에 보면 송태섭의 도움을 받아 강백호가 엘리우프를 성공시켜  기선을 잡는 장면이 있는데 이후 상대팀의 에이스인 정우성(맞나?)이 매우 평범한 점프슛을 넣은 후 다음과 같은 명언을 남겼더랬다. “같은 2점이다” 즉 엄청난 시간의 분석과 리버싱, 익스플로잇을 통해 취약점을 찾는것도 하나의 방법이지만, 일상을 소소하게 관찰하거나, 평소 습관처럼 사용하던 것을 조금은 다른 시선으로 바라보는 것으로도 취약점을 찾을 수 있다는 것이 본 포스팅을 통해 전달하고자 하는 핵심이다.   카카오 뱅크를 신청하고 기다리다. 카카오뱅크를 개설하면 체크카드를 신청할 수 있는데 5개의 캐릭터 중 직장인에게 가장 인기 있는(?) 라이언 카드를 선택하였다. 첨에는 곰인줄 알았는데 알고보니 사자(Lion) 라 해서 당황;;. 어쨌든. 카드를 신청하고 거의 한달이 다 되도록 발송조차 안되는 걸 보며 새삼 라이언 캐릭터의 인기가 장난이 아님을 알게되었다. 그러던 어느날 회사 뒷자리에 앉은 후배가 지난달 신청한 라이언 카드가 도착했다며 보여주었다. 아 이쁘다… 내 카드는 도대체 언제 오는것인가!!! 다시금 카카오뱅크 앱에서 체크카드 배송상태를 체크해보았다. [그림 1. 카카오뱅크 앱에서 발급 진행 중인 카드의 번호 10자리는 확인이 가능함] 순간 응

Continue Reading

해커원 버그바운티 절반의 실패 경험기

HackerOne (http://hackerone.com)은 온라인 버그바운티 플랫폼으로써 170여개의 기업이 참여하고 있다. 현재까지 45,000개 이상의 취약점이 HackerOne을 통해 보고 되었다고 하니, 해커들이 이 플랫폼을 얼마나 적극적으로 활용하고 있는지를 대략이나마 가늠할 수 있다. 해커원 버그 바운티 현황…버그가 많이도 나왔다   사실 시스템 해킹을 공부하는 입장에서 HackerOne 은 크게 매력적인 플랫폼은 아니다. 참여하고 있는 대부분의 기업들이 웹 어플리케이션(Web Application)을 바운티 범위 (Scope)로 잡고 있기 때문에 대부분의 보고된 취약점 역시 웹 취약점에 한정되어 있다. 그럼에도 불구하고 나는 매일같이 이 사이트를 들락날락 거리면서, 여러 해커들이 찾은 신선한 아이디어를 낼름낼름 공짜로 공부하는 즐거움을 느낄 수 있었다. 이번 블로그 포스팅은 나의 첫번째 해커원 버그바운티 도전/실패 경험 그리고 외국 보안 담당자와 우리나라 보안 담당자의 미묘한 차이에 대해 이야기 해보고자 한다.   무슨 취약점을 찾아 볼 것인가? 회사에서 모의해킹을 할 때에는 주어진 대상과 찾아야 하는 취약점이 명확한 경우가 많다. 그러나 해커원에 등록되어 있는 수 많은 기업들 중에서 어느 하나를 집어 취약점을 찾으려고 하니 뭔가 방법적인 면에서 비효율적이라는 생각이 들었다. (언제 무슨 취약점이 나올지도 모르는 상황에서 끝도없이 테스트만 해보는건 너무 무모하므로…) 따라서, 최근 해커원에서 보고된 취약점 카테고리를 하나 선정한 후에 다른 사이트에서 동일한 취약점이 있는지를 점검해보는 방식으로 진행하기로 했다.   아마존 S3버킷 Access Control Misconfiguration 취약점 SQL 인젝션이나 XSS 같은 경우는 개인적으로 식상하기도 하고 관심사에서 멀어진 취약점이라 처음부터 고려를 하지 않았다. 최근

Continue Reading

구글의 BeyondCorp 2부 – 새로운 보안 모델로의 이동

앞서 1부에서는 구글의 BeyondCorp 프로젝트의 시작 배경과 기본적인 아키텍쳐 구성에 대해 알아보았다. 구글의 BeyondCorp 1부 – 보안네트워크의 새로운 패러다임 ☞ http://noplanlife.com/?p=1500 기존의 Perimeter 보안 모델에서 완전히 새로운 방식의 보안 네트워크 모델로의 전환은 굉장히 모험적인 일이었을 것이라 예상된다. 특히, 기업의 네트워크를 구축하는데 있어 가장 중요하게 생각되는 것이 바로 “가용성”과 “안정성”인 만큼 보수적인 시각으로 아키텍쳐를 구성하는 것이 일반적이다. 그럼에도 불구하고 구글은 완전히 새로운 모델을 구축하고 안정화시키는데 성공했다. 데이터 센터간의 서버 수십대 이전 작업만해도 굉장히 치밀한 계획이 필요한 것을 생각해보면, 전체 네트워크를 이와같이 변경한것이 얼마나 대단한지를 알 수 있다. 2부에서는 구글이 새로운 네트워크 모델로 어떻게 이전(Migration) 했는지에 대해 다룰 것이다. 또한 1부에서 BeyondCorp 각각의 구성 요소들을 소개했다면 2부에서는 이 모델이 전체적으로 동작하는 흐름에 대해 알아볼 것이다.   BeyondCorp의 TrustLevel(보안 등급) 정책 앞서 1부에서 다루었다시피 BeyondCorp는 접속자의 디바이스, HR데이터베이스 등 다양한 정보를 수집한다. 이렇게 수집된 데이터는 상관분석 (Correlation)과 신뢰도 평가(Trust Evaluation)과정을 거친 후, 최종적으로 보안등급이 부여되어 Access Control Engine에 전달된다. 아래 2개의 예시 상황을 통해 보안 등급 평가가 어떤 것인지를 알아보자. 예시 ① – (높은 보안 등급이 요구되는) 핵심 시스템에 접속할 때 아래 사항을 만족해야 한다. – 접속 디바이스의 디스크 암호화 (Disk Encryption)가 설정되어 있어야 함 – 모든 관리 에이전트 (보안 Configuration, OS Patch Status 정보 수집)가 정상적으로 동작함 – 가장 최신 버전의 OS가 설치된 상태임 (최신 패치

Continue Reading

Site Footer

Sliding Sidebar

About Me

About Me

June Park