패스워드 패턴화로 사이트마다 서로 다른 로그인 정보 사용

by ·4 Comments

어제 회사에서 일하고 있는데 갑자기 학교 후배가 전화를 하더니 지금 네이트온을 쓰는중이냐고 했습니다. 우리 회사는 네이트온 접속을 차단하고 있기 때문에 네이트온에는 거의 접속을 안하고 그날 근무중이라서 당근 안쓰고 있었는데요.. 지금 내가 200만원을 네이트온으로 요구했다고 내가 한거 맞냐는겁니다..ㅎㅎ 드뎌 나한테도 이런 일이 생기는구나… 했습니다.

5분 후에는 태국에서 일하는 학교 선배가 국제전화로 전화를 해서 “나한테 반말로 200만원 달라고 한게 너 맞어?” 라고 했어요.. 일이 걷잡을 수 없이…ㅡㅡ; 급하게 아이폰으로 네이트온에 접속해서 (회사가 스마트폰을 통한 네이트 접속을 차단하지는 않았네요) 로그인해 있던 분들께 다 설명을 하고 네이트 패스워드를 바꿨습니다.

아무래도 3월에 있었던 네비게이션 업체의 개인정보 유출 사건으로 제 패스워드가 빠져나간것 같은데요.. 일반적으로 사용자 패스워드는 DB에 암호화해서 저장하는게 상식인데 도무지 이 업체는 패스워드를 평문으로 DB에 넣어놔서.. 이런 일이 생긴듯 합니다.

어쨌든 세상 사람들이 모두 착하다면 이런 일이 없겠지만.. 어쩔 수 없다면 사이트마다 패스워드를 다르게 해야 하는데, 사실 기억력에는 한계가 있기 때문에 사이트마다 수십 수백개의 다른 사이트의 패스워드를 다 기억하는건 불가능이죠.. 그래서 생각한게 “패스워드의 패턴화”인데요.. 다음과 같은 방식으로 패스워드를 패턴화 하는겁니다.

[KEYWORD] + $ + YY + [FIRST 2 LETTERS OF THE URL] + [THE LAST LETTER OF THE URL]

위의 패턴을 설명하자면

  • [KEYWORD]: 자기 자신만의 키워드
  • $: 특수문자
  • YY: 연도값
  • [FIRST 2 LETTERS OF THE URL]: 사이트 주소의 처음 2글자
  • [THE LAST LETTER OF THE URL]: 사이트 주소의 마지막 1글자

만약, 나만의 키워드가 blue 이고, 2010년에 네이버 사이트의 비밀번호를 설정한다면
blue$10nar
이렇게 되겠죠…

daum.net 이라면
blue$10dam

옥션이라면
blue$10aun

시간이 지남에 따라 연도값이 바뀌고, 나만의 키워드를 다른 단어로 교체하거나… 아니면 전혀 새로운 패턴을 만들어서 적용시킬 수도 있구요.. 이런 식으로 패스워드를 자신만의 패턴으로 쉽게 유추하도록 공식만 세워 두면 수많은 사이트의 패스워드를 일일이 기억할 필요도 없고 사이트마다 서로 다른 패스워드를 쓰기 때문에 개인 정보 유출 위험이 그만큼 감소되겠죠. 저는 이미 요즘 많이 쓰는 모든 사이트의 패스워드를 이렇게 패턴화시켜놨습니다. (그런데 네이버와 네이트 패스워드는 같다는…)

대부분의 사람들이 사이트에 가입할 때마다 동일한 ID+PW 조합을 쓰는데 이는 보안상 쥐약인건 다 알면서도 수많은 사이트의 인증 정보를 일일이 기억하지 못하기 때문에 위험성을 알면서도 그렇게 쓰죠..  제가 보기에 이건 쉬우면서도 꽤 괜찮은 방법 같은데.. 이런 방법 많이들 적용하셨으면 좋겠네요..

PS. 아이디어가 순식간에 떠올라서 패스워드 패턴화 서비스에 대한 특허를 생각해봤는데 특허 검색해보니 이미 2004년에 한 일본인이 국내에도 패스워드 패턴화에 대해 특허를 출원해서 2007년에 특허를 받았군요..;;

이번 인터넷대란의 원인은 Slowris DDOS공격인듯…

by ·3 Comments

오늘 2009년 7월 7일 네이버 메일을 비롯하여 청와대, 조선일보, 한나라당, 옥션 등 각 분야 1등이라고 할 수 있는 사이트들이 오후 6시~7시를 시작으로 접속 불가능한 현상이 6시간째 지속되고 있습니다.

이런 동시 다발적인 장애가 우연은 아닌것 같고.. 매우 상징적인 사이트들만 장애가 발생한 것으로 봐서 인위적인 공격에 의한 것 같습니다.

2~3주 전 아파치 웹서버가 DDOS에 취약점이 있다는 메일을 받았는데…
대략 내용은… 패킷을 천천히 보내면서 마치 정상적인 커넥션을 맺은 상태로 서버가 인식을 하게 한 상태에서..
미완성 HTTP헤더를 전송하는 방법으로 커넥션이 계속 대기 상태가 지속되게 하는 방법이라고 합니다.

아무래도 이전의 DDOS 공격과는 정 반대의 패턴으로 진행되는 공격에 별 힘도 써보지 못하고 그냥 무너지는것 같은 느낌이.. 2003년 인터넷 대란과 마찬가지로 이번 사태도… 7.7인터넷대란이란 이름으로 역사에 기록되지 않을까…–;




아래 글은 http://hackaday.com/2009/06/17/slowloris-http-denial-of-service/ 포스트 내용이고 그 아래는 제가 번역한 내용입니다.

[RSnake] has developed a denial of service technique that can take down servers more effectively. Traditionally, performing a denial of service attack entailed sending thousands of requests to a server, these requests needlessly tie up resources until the server fails. This repetitive attack requires the requests to happen in quick succession, and is usually a distributed effort. However, [RSnake]’s new technique has a client open several HTTP sessions and keeps them open for as long as possible. Most servers are configured to handle only a set number of connections; the infinite sessions prevent legitimate requests from being handled, shutting down the site. This vulnerability is present on webservers that use threading, such as Apache.


A positive side effect of the hack is that the server does not crash, only the HTTP server is affected. His example perl implementation, slowloris, is able to take down an average website using only one computer. Once the attack stops, the website will come back online immediately.

RSnake는 서버를 더 효과적으로 다운시킬 수 있는 DOS 공격 테크닉을 개발했다. 전통적으로 DOS 공격은 수천개의 request를 서버에 전송함으로서 진행했지만 이번 공격 방법에서는 서버가 죽을 때까지 서버의 리소스를 꽁꽁 묶어버린다. 이 반복적인 공격은 request가 짧은 순간에 연속적으로 보내져야 가능하며 보통 분산된 작업(여러 사람의 참여?)이 되어야 한다. 그러나 RSnake의 새 기법은 HTTP 세션을 일단 열어 놓고 가능한 오랜 시간동안 유지시키는 방법이다. 대부분의 서버는 설정상 제한된 수의 커넥션만 처리하도록 설정되었다. 이 “무한 세션”은 정상적인 request가 처리되는 것을 막고 해당 사이트를 다운시켜버린다. 아파치와 같이 쓰레드를 사용하는 웹서버의 경우 이 공격에 대해 취약점이 존재한다.

이 해킹의 긍정적인 side effect는 서버 자체를 다운시켜버리는 것이 아니라 HTTP 서버에 대해서만 영향을 가한다는 것이다. 이 기법에 대해 Perl로 작성한 예제인 slowloris 를 사용하면, 일반적인 웹사이트를 단 한대의 컴퓨터를 사용하여 다운시켜버릴 수 있다. 공격을 중단하면 해당 웹사이트는 즉각 정상으로 회복될 것이다.


번역문을 사용하려면 출처를 밝혀주시길


Slowris 관련 링크:
http://hackaday.com/2009/06/17/slowloris-http-denial-of-service/
http://ha.ckers.org/slowloris
http://isc.sans.org/diary.html?storyid=6622
공격코드 http://ha.ckers.org/slowloris/slowloris.pl 



 

옥션에서 IE8로 1시간 만에 쇼핑 성공 T_T

by ·5 Comments

SD 메모리카드와 메모리카드 리더기를 사야 해서 늘 그러는것처럼 옥션에 들어갔다.
아.. 그런데 어제 Internet Explorer 8 브라우저를 설치하고 나서 처음 옥션에서 물건을 구입해보는 것이다.
따따따쩜옥션쩜… 키보드로 입력하며.. 뭐.. 같은 IE인데 큰 문제는 없겠지.. 했는데..
결과부터 말하자면 1시간만에 구입 성공.
일단 사야할 물건을 고르는데는 5분도 채 걸리지 않았다.

먼저 메모리카드 리더기를 장바구니에 담고..
SD 메모리를 사야했는데,
같은 판매자에게 구입하면 배송비를 절약할 수 있기 땜에 그 판매자의 스토어에 들어갔다.
여기서부터가 험난하다..

사용자 삽입 이미지
사진에서처럼 SD메모리카드 카테고리를 아무리 클릭해도 물건 리스트가 안나온다.
물건 리스트를 iframe에 뿌려주는것 같은데 iframe 리사이즈가 작동하지 않아서 한참을 이리 저리 해보다가

사용자 삽입 이미지iframe 내부를 마우스 드래그해서 사야할 물건을 겨우 겨우 찾아냈다는..ㅡㅡ;

우선 하나를 장바구니에 담고..
2GB짜리 메모리 2개를 사야 했기에 장바구니에 가서 수량을 1개->2개로 변경 시도..

사용자 삽입 이미지그런데 역시 캡처 화면 처럼 키보드로 수량을 변경하고 “변경”버튼을 클릭해도 아무런 반응이 없다.
textbox에서 엔터를 치니 그냥 전체 화면이 refresh됨..
다시 장바구니에서 물건 삭제하고 SD메모리를 다시 장바구니에 담으며, 2개를 담으려 했다.
그런데 이번엔 요 판매자가 구매 수량 제한을 1개로 걸어놨어.. 정말..ㅡㅡ;
다른 동일한 제품을 다시 찾아서 장바구니에 2개를 담는다는 것이 요번엔 내 실수로 1개만 담아버렸다.
슬슬 짜증이 조금씩 밀려온다.. 귀찮아서 그냥 Firefox를 열어서 장바구니에서 수량만 1개에서 2개로 수정해서 성공~ㅋ

아~ 이제 됐다 하고 주문을 넣는다.
집 주소로 되어 있는 배송지 주소를 회사로 바꾸고 싶어서 우편번호 찾기를 눌러 회사 주소를 찾았다.
그리고….

사용자 삽입 이미지우편번호 검색 결과에서 특정 주소를 아무리 클릭해도 반응이 없따..
이것만은 정말 방법이 없었다. Firefox로 배송지 주소를 수정한다 해도 같은 페이지에서 신용카드 결재를 해야하는데 Firefox에서 카드 결재를 할 수 있으리란건.. ActiveX땜에 꿈도 못꾸는 일..
결국은~ 쩝.. 그냥 집에서 물건 받아보자..

결재 방법으로 신용카드 선택하고 결재 버튼 클릭..
수도 없이 브라우저 상단 노란줄을 클릭해야 했다.
이미 설치되어 있는 ActiveX임에도 불구하고 단지 얘를 실행시키는 것도 이제는 노란줄 클릭해서 화면 refresh를 시켜야 하나보다.
설치안된 ActiveX 설치하고, 실행시키려 또 노란줄 몇번 클릭하고 카드 정보 입력하고 가까스로 주문 성공…

여기까지 오는데 거의 50분이 걸렸다. 물건 고르는데 걸린 시간은 5분..
너무 오래 걸렸어.. 옥션에도 훌륭한 QA 조직이 있는걸로 알고 있는데..
IE8에 대한 테스트는 아예 하지를 않나보다.. 아직 IE8이 베타라서 그런가..
한 PC에 여러 버전의 IE를 깔 수 있는 것도 아니고, Firefox나 다른 브라우저에서 옥션 사이트는 정말 쓰레기처럼 보여지고, 카드 결제도 절대 불가능한데..
같은 MS 제품인데도 IE8을 쓰는 사람은 물건 사기가 이리도 힘이 든다. 흠.. 나야 개발자 출신이라 이렇게 오기로(?) 구입은 했지만 일반인은 그냥 쥐마켓이나 다른 쇼핑몰로 벌써 가버렸을듯.

아!!
근데 지난번 건대 새천년관에서 했던 IE8 런칭 행사때 옥션에서 나와서 IE8 기능을 옥션에서 활용하는 발표까지 했는데.. 뭐지..ㅡㅡ;

사용자 삽입 이미지

여담이지만.. IE8의 웹슬라이스, 액셀러레이터 같은 새로운 기능은 너무너무 이기적이다.
IE8의 독자적인 기능을 위해서 결국은 웹 페이지에 이 기능들을 사용할 수 있게 해주는 코드를 집어넣어야 하는 이상한 짓을 해야 한다.
웹을 IE8 제품에 종속되게 만드는 좀 이상한.. 정말.. 마이크로소프트의 모토는 Be Evil인가…

아..! Auction 직원분이 이거 보시면 QA팀에 전달하심 될듯 하네요..^^ 언능 고치셔서 저같은 royal customer 놓치지 마시길..