해커원 버그바운티 절반의 실패 경험기

HackerOne (http://hackerone.com)은 온라인 버그바운티 플랫폼으로써 170여개의 기업이 참여하고 있다. 현재까지 45,000개 이상의 취약점이 HackerOne을 통해 보고 되었다고 하니, 해커들이 이 플랫폼을 얼마나 적극적으로 활용하고 있는지를 대략이나마 가늠할 수 있다. 해커원 버그 바운티 현황…버그가 많이도 나왔다   사실 시스템 해킹을 공부하는 입장에서 HackerOne 은 크게 매력적인 플랫폼은 아니다. 참여하고 있는 대부분의 기업들이 웹 어플리케이션(Web Application)을 바운티 범위 (Scope)로 잡고 있기 때문에 대부분의 보고된 취약점 역시 웹 취약점에 한정되어 있다. 그럼에도 불구하고 나는 매일같이 이 사이트를 들락날락 거리면서, 여러 해커들이 찾은 신선한 아이디어를 낼름낼름 공짜로 공부하는 즐거움을 느낄 수 있었다. 이번 블로그 포스팅은 나의 첫번째 해커원 버그바운티 도전/실패 경험 그리고 외국 보안 담당자와 우리나라 보안 담당자의 미묘한 차이에 대해 이야기 해보고자 한다.   무슨 취약점을 찾아 볼 것인가? 회사에서 모의해킹을 할 때에는 주어진 대상과 찾아야 하는 취약점이 명확한 경우가 많다. 그러나 해커원에 등록되어 있는 수 많은 기업들 중에서 어느 하나를 집어 취약점을 찾으려고 하니 뭔가 방법적인 면에서 비효율적이라는 생각이 들었다. (언제 무슨 취약점이 나올지도 모르는 상황에서 끝도없이 테스트만 해보는건 너무 무모하므로…) 따라서, 최근 해커원에서 보고된 취약점 카테고리를 하나 선정한 후에 다른 사이트에서 동일한 취약점이 있는지를 점검해보는 방식으로 진행하기로 했다.   아마존 S3버킷 Access Control Misconfiguration 취약점 SQL 인젝션이나 XSS 같은 경우는 개인적으로 식상하기도 하고 관심사에서 멀어진 취약점이라 처음부터 고려를 하지 않았다. 최근

Continue Reading

구글의 BeyondCorp 2부 – 새로운 보안 모델로의 이동

앞서 1부에서는 구글의 BeyondCorp 프로젝트의 시작 배경과 기본적인 아키텍쳐 구성에 대해 알아보았다. 구글의 BeyondCorp 1부 – 보안네트워크의 새로운 패러다임 ☞ http://noplanlife.com/?p=1500 기존의 Perimeter 보안 모델에서 완전히 새로운 방식의 보안 네트워크 모델로의 전환은 굉장히 모험적인 일이었을 것이라 예상된다. 특히, 기업의 네트워크를 구축하는데 있어 가장 중요하게 생각되는 것이 바로 “가용성”과 “안정성”인 만큼 보수적인 시각으로 아키텍쳐를 구성하는 것이 일반적이다. 그럼에도 불구하고 구글은 완전히 새로운 모델을 구축하고 안정화시키는데 성공했다. 데이터 센터간의 서버 수십대 이전 작업만해도 굉장히 치밀한 계획이 필요한 것을 생각해보면, 전체 네트워크를 이와같이 변경한것이 얼마나 대단한지를 알 수 있다. 2부에서는 구글이 새로운 네트워크 모델로 어떻게 이전(Migration) 했는지에 대해 다룰 것이다. 또한 1부에서 BeyondCorp 각각의 구성 요소들을 소개했다면 2부에서는 이 모델이 전체적으로 동작하는 흐름에 대해 알아볼 것이다.   BeyondCorp의 TrustLevel(보안 등급) 정책 앞서 1부에서 다루었다시피 BeyondCorp는 접속자의 디바이스, HR데이터베이스 등 다양한 정보를 수집한다. 이렇게 수집된 데이터는 상관분석 (Correlation)과 신뢰도 평가(Trust Evaluation)과정을 거친 후, 최종적으로 보안등급이 부여되어 Access Control Engine에 전달된다. 아래 2개의 예시 상황을 통해 보안 등급 평가가 어떤 것인지를 알아보자. 예시 ① – (높은 보안 등급이 요구되는) 핵심 시스템에 접속할 때 아래 사항을 만족해야 한다. – 접속 디바이스의 디스크 암호화 (Disk Encryption)가 설정되어 있어야 함 – 모든 관리 에이전트 (보안 Configuration, OS Patch Status 정보 수집)가 정상적으로 동작함 – 가장 최신 버전의 OS가 설치된 상태임 (최신 패치

Continue Reading

구글의 BeyondCorp 1부 – 보안 네트워크의 새로운 패러다임

대부분의 기업은 보안 아키텍쳐를 설계할 때 전형적인 Perimeter Model 을 적용하고 있다. Perimeter Security Model은 외곽 경계, 즉 방화벽, IDS, IPS 등등의 보안 제품이나 서비스를 성벽을 쌓듯이 겹겹이 설치하여 자산을 보호하는 방식이다. 그러나, 이러한 Perimeter 방식은 몇가지 문제점을 안고 있다. 첫번째, 공격자의 방식이 진화하면서 어플라이언스 장비의 방어 효용성이 낮아졌으며, 둘째, 여러 장비가 있더라도 취약점은 항상 존재한다는 점이다. 따라서 공격자가 Perimeter 모델을 공격/또는 우회하여 내부로 진입할 수만 있다면 그 이후부터는 정상 유저와 공격자의 구분이 어려워 관리자 입장에서 탐지와 조치가  매우 어렵다. 또한 모빌리티 업무 환경이 확산되면서 “언제 어디서든 편하게 접속 가능하면서도” “안전한” 기업 네트워크 아키텍쳐의 필요성이 대두되었다. 이에 구글은 ’13년도 USENIX 컨퍼런스를 통해 기존 Perimeter 모델의 한계를 극복하면서도 사용자 Usability를 동시에 만족시킬 수 있는 새로운 보안 아키텍쳐 BeyondCorp모델을 발표하게 된다. 이번 포스팅에서는 구글이 새로운 보안 네트워크 아키텍쳐를 어떻게 설계하고 실제 환경에 적용했는지에 대해 자세하게 다루어 보고자 한다. [ Usenix 발표 영상 – Enterprise Architecture Beyond the Perimeter ] Google BeyondCorp 개요 앞서 언급한 것과 같이 기존 Perimeter 모델의 전형성을 탈피하고 보안성을 높이기 위해 구글은 BeyondCorp 프로젝트를 시작하였다. 이 프로젝트에서 추구하는 새로운 보안 네트워크 아키텍쳐의 방향은 다음과 같이 정리할 수 있다. 모든 엔터프라이즈 시스템  접속 시 Authentication, Authorization, Encryption 적용 사내/외 구분없이 어디서든 접속이 가능해야 함 (Cloud Based) VPN 접속 프로그램과 같은 별도의

Continue Reading

SSL Strip 공격과 HSTS Bypassing

  MITM (Man-In-The-Middle) 공격은 공격자와 Victim이 동일한 네트워크에 연결되어 있어야 한다. 따라서 외부에서 공격하는 Remote Exploit Attack에 비해 “덜 흥미로운-less interesting”것으로 간주되곤 한다. 그러나 동일 네트워크라는 제약조건에도 불구하고 MITM 공격이 여전히 이슈가 되는 이유는, Victim  네트워크에 접근했을 때, 다음 단계 해킹을 위한 강력한 무기로 활용할 수 있기 때문이다. 일반적으로 SSL과 같이 전송 구간 암호화가 적용되어 있으면 MITM이 불가능하다고 여기기 쉬우나, 다양한 기법을 통해 통신 내용을 중간에 가로채는 것이 (혹은 변조하는 것이) 가능하다. 이번 포스팅에서는 SSL 을 우회하여 MITM 공격하는 방법을 상세하게 다룰 예정이며, 목차는 다음과 같다. SSL-Strip 기법의 기본 이론과 동작 원리 SSL-Strip 방어기법 (HSTS)과 우회 방법 HSTS Bypass 공격을 통한 계정 탈취 실습   SSL Strip 기본 이론과 동작 원리 Client-Server간 암호화 통신을 위해 SSL이 적용된 경우에는 공격자가 중간에서 통신을 가로채더라도 그 내용을 해독할 수 없기 때문에 MITM 공격이 불가능하다. 그러나 최초 서버와의 세션 연결시 HTTPS를 강제로 HTTP 통신을 하게끔 만들수만 있다면, 일반적인 MITM 공격으로 트래픽 내용을 훔쳐볼 수 있다. 이것을 SSL Strip 기법이며, 말 그대로 “SSL을 벗겨내서(Strip)” 강제로 HTTP통신을 하게끔 유도하는 기법이다. SSL Strip 공격은 2009년 BlackHat DC 컨퍼런스에서 Moxie Marlinspike에 의해 처음 소개되었다. (소개 자료는 http://www.thoughtcrime.org/software/sslstrip/) 아래 그림을 통해 SSL Strip 공격 흐름을 이해해보자. Victim(A) 이 가상의 은행 사이트 www.foobarbank.com 에 접속을 요청한다. 은행 서버(C)는 Victim에게 HTTPS를

Continue Reading

2015년 보안 관련 컨퍼런스 영상 모음

블랙햇, 데프콘 등 해외에서는 한 해(Year)에도 수십건의 보안 관련 컨퍼런스를 통해 보안 기술에 대한 정보들이 공유되고 있다. 그러나 현실적인 여건상 매번 해외 현지에 직접 가서 컨퍼런스 참석을 하기는 힘들 뿐더러 참석하더라도 세션이 분리되어 있는 경우 모든 PT를 듣는것은 현실적으로 불가능하다. 참으로 다행인것은 대부분의 컨퍼런스에서 영상작업을 하고 있고 유튜브나 Vimeo와 같은 채널을 통해 공개되고 있어 (물론 즉시 공개되는건 아님) 전세계 어디에서든 PT를 볼 수 있게 되었다. 아래는 2015년 전 세계에서 열린 보안 관련 컨퍼런스의 영상을 모아놓은 것으로써 우연히 Github (https://github.com/PaulSec/awesome-sec-talks) 에서 찾은 보석같은 자료이다 🙂 사실 컨퍼런스 발표자들이 겹치거나 주제가 일부 중복되는 경우도 보이긴 하는데 매년 보안 필드에서 이슈가 되는 (주목을 받는) 것들이 있다보니 생기는 자연스러운 현상이라 본다. 개인적으로 Best를 꼽으라면 USENIX 와 44CON 자료를 선택하고 싶다. 그럼 보안 컨퍼런스의 세계로 GoGo~!! Conference Location Date Chaos Communication Congress 2015 (32C3) Hamburg, Germany Dec 27-30, 2015 No Con Name 2015 [Spanish] Barcelona, Spain Dec 12, 2015 Passwords 2015 Cambridge, UK Dec 7-9, 2015 DefCamp 2015 Bucharest, Romania Nov 19-20, 2015 BSides Winnipeg 2015 Winnipeg, Canada Nov 14-15, 2015 BSides Charleston 2015 Charleston, SC, USA Nov 14, 2015 BSides Toronto 2015 Toronto, Canada Nov. 7, 2015 Saint Con 2015 Ogden, UT, USA Oct 27-30, 2015 BruCon 2015 Brussels, Belgium Oct 26, 2015 SkyDogCon

Continue Reading

Site Footer

Sliding Sidebar

About Me

About Me

June Park