다양한 기록

암호화에는 단방향 암호화와 양방향 암호화 두 가지 방식이 존재하는데, 각각에도 종류가 있고 목적도 다릅니다. 양방향 암호화 (비밀성) - 대칭 키 암호화 - 퍼블릭 키 암호화 평문(plain text) / 복문(cyper text) 입력 중 하나가 키가 되고 키를 이용해서 평문을 복문으로, 복문을 평문으로 변환하는게 양방향 암호화 대칭 키 암호화 방식 암호화하는 키와 복호화하는 키가 같으면 대칭키 암호화 키를 가진 사람만 복호화 가능, 키는 비밀이고 알고리즘은 오픈 DES(Data Encryption Standard)는 키가 58비트. 작아서 Broken된 알고리즘 취급 AES(Advanced Encryption Standard)는 128비트를 많이 쓰고 더 길게도 가능. 길게하면 속도가 문제 나라마다 ..

Software Security Threat 역공학, 코드 탬퍼링, 딜리션, 포크 밤, 프라이버시, 버퍼 오버플로우, 루팅... 굉장히 다양한 공격에 대해 막아야 함 STRIDE에 대응되는 보안 속성 AINCAA Spoofing (위조) Authentication (인증) Tampering (변조) Integrity (무결성) Repudiation (부인) Non-repudiability (부인 방지) Information disclosure (노출) Confidentiality (비밀성) Denial of Service (서비스 거부) Availability (가용성) Elevation of Privilege (권한 상승) Authorization (권한 부여) 각 대응되는 속성을 공격자는 뚫으려 할 ..

보안 위협 (Security Threat) - 회사, 혹은 개인의 자산에 CIA에 악영향을 끼치는 액션 혹은 무대책 노출, 변경, 손실, 대미지, 접근 불가를 야기. 보안 위협의 세가지 요소 Target Event Agent 이 세가지가 합쳐져서 위협 Target은 공격 대상. 취약점을 가지는 자산(조직에서 가치있는 무언가.. 많은 경우 데이터) 자산은 많은 경우 와이파이를 통해 인터넷에 연결됨 Event는 타겟의 취약점을 악용하는 행위. 악의적, 비악의적(실수) Agent는 무언가를 할 수 있는 객체, 사람, 조직. 고의를 가지거나 비고의적(실수:귀찮아서 업데이트를 안했다거나) 필수가 아님. 자연재해로 데이터센터가 파괴되면 에이전트는 없을 것, 하지만 가용성에 문제는 생김 에이전트 없는 위협 - 취약점..

CVE Common Vulnerability and Exposure = Common Vulnerabiliy Enumeraion 원래는 Exposure였는데 CWE 까지 생기면서 Enumeration이 됨 .org 도메인 => 공익 목적 목적: 취약점에 대한 공통 이름을 붙이고 사전을 만들자 식별이 굉장히 중요하고, 정의도 해야함 CVI ID를 가짐 => 자동화, 협업사 간 논의, 공유에 도움이 됨 ** 2013년까진 4자리였다.(취약점이 많아도 10000개는 안된다) 그 이후 넘어섰다 (디지털 대전환) 예) CVE-2014-0106 (Heartbleed) SSL 에 문제가 있어서 TLS를 사용하는데, 이것과 관계된게 하트블리드 ** TLS가 SSL 3.0 예) CVE-2023-23836 (SolarWin..

시큐리티(보안) : 위험(위협, 리스크, 취약점)이 없는 상태 컴퓨터 시큐리티 : 허용되지 않은 접근(read, write, append, execute), 사용, 중단(분열, 혼란, 붕괴), 파괴(삭제), 변조로부터 정보를 지키는 것 자산(Asset) : 지키고자 하는 무언가. 하드웨어, 소프트웨어, 정보, 데이터 등 혹은 조직에서 가치있는 무언가 자산의 식별: IP와 포트. 랜 환경에서는 맥 어드레스, 데이터베이스에서는 프라이머리 키 Threat (위협) 공격하고는 다르게, 가능성만 있어도 위협이다. 그냥 위협으로 끝날 수도 있음 - 위협 소스가 특정 정보 시스템 취약점을 성공적으로 악용할 가능성 Attack (Cyber Attack) 실제로 발생한 경우 - 위협을 이행/완수하기 위해 취약점을 악용하..

Domain Name Server IP를 사람이 이해하기 쉬운 주소로 변환해주는 시스템입니다. 일례로, 저는 구글 서버 IP를 모릅니다. 하지만 www.google.com 하면 접속이 된다는 것은 알 수 있습니다. 기본적으로 DNS는 분산 데이터베이스로, 계층화되어 있습니다. UDP를 사용하는데 DNS는 가해지는 부담이 큰 시스템이라 TCP를 쓰기엔 힘들어서 문제가 있으면 클라이언트 측이 알아서 재접속하도록 책임을 전가한다고 볼 수 있습니다. 중앙 집중화를 하지 않는 이유도 부담이 커서입니다. 현재 인터넷 구조 특징 상 DNS가 스톱되면 거의 대부분의 시스템이 정지되기에 안정성이 중요합니다. DNS 발전 과정 초기: 직접 IP 입력하기 발전: 클라이언트 컴퓨터에 파일 형태로 관리 현재: DNS 서버 DN..

메일을 보내는 사람(호스트): 유저 에이전트 클라이언트: 메일을 보내는 메일 서버 서버: 메일을 받는 메일 서버 TCP 사용, 25 포트 - 핸드셰이킹 - 메시지 전달 - 종료 커맨드/리스폰스 상호작용 - 커맨드: ASCII text (7비트 아스키 코드, 1비트는 패리티 비트) 즉, 문자로 명령이 간다. - 리스폰스 status code, phrase 앨리스가 밥에게 메시지를 보내는 경우 1. 앨리스가 유저에이전트를 통해 밥에게 메일을 보내면, 2. 유저에이전트는 앨리스의 메일 서버로 메시지를 보내고 메시지 큐에 쌓인다. 3. 클라이언트 측은 SMTP를 열어 밥의 메일 서버에게 TCP 커넥션을 한다.(핸드셰이킹) 4. 클라이언트가 밥에게 메시지를 보낸다. 5. 밥의 메일 서버는 밥의 메일 박스에 메일을..

Cookie HTTP 프로토콜은 stateless, 상태 정보를 저장하지 않습니다. 그렇기에 필요한 정보가 있다면 쿠키에 저장할 수 있습니다. 서버가 클라이언트에 쿠키를 설정하고, 클라이언트가 다음 HTTP 요청을 할 시 저장해둔 쿠키를 다시 전송합니다. 그렇다면 이 이용자가 누구인지 확인하는게 더 편하게 이루어질 것입니다. 만약 쿠키가 없는 클라이언트가 접속하고자 한다면 처음 온 사용자라고 인식할 수 있습니다. 인증, 쇼핑 카트, 추천, 유저 세션 상태 등을 위해 사용합니다. 즉, state를 저장할 수 있습니다. 쿠키는 다르게 표현하면 state를 전달하는 http 상의 메시지라 할 수 있습니다. 웹 캐시 (프록시 서버) 물리적으로 거리가 멀면 통신하는데 시간이 걸릴 수밖에 없습니다. 그래서 방문한 ..