[보안/은행] '인터넷뱅킹' 첫 해킹사건, 거액 빠져나가

그럼 액티브엑스 말고 뭘 쓰면 됩니까? 국내 수십개 수백개의 은행 증권회사 금융권들이 윈도용이랑 리눅스용이랑 따로따로 개발하느라 돈 낭비 하느니 걍 리눅스에서 액티브엑스 돌아가게 만들면 되는데, 쉬운 문제를 왜케 어렵게 생각들을 하는지...

아니 그럼 MS에서 스펙을 공개를 안하는데 지금까지 나온 액티브엑스들은 대체 누가 무슨수로 만든겁니까? 어떤 바보같은 프맹이 "MS에서 스펙을 공개를 안하기 때문에 못만든다"고 무책한 헛소리를 하면 나머지들도 전부 똑같이 합창을 하는 어이없는 씨퓨에이션...

Anonymous wrote:

Anonymous wrote:

아니 그럼 MS에서 스펙을 공개를 안하는데 지금까지 나온 액티브엑스들은 대체 누가 무슨수로 만든겁니까? 어떤 바보같은 프맹이 "MS에서 스펙을 공개를 안하기 때문에 못만든다"고 무책한 헛소리를 하면 나머지들도 전부 똑같이 합창을 하는 어이없는 씨퓨에이션...

MS 에서 리눅스에서 사용해도 된다 라고 했나요? 정말이요?

뭐가 "정말이요"죠? 언제는 안된다고 한적 있습니까? 이런 프맹 수준의 질문은 질답 게시판에서 해주세요.

gogoonee wrote:

atie wrote:

생뚱맞은 소리겠지만, 인터넷 뱅킹에서 타인 구좌로 이체를 허용하는 자체가 문제가 아닐까요?

가만.. 그럼 조회만 하신단 건가요? 그건 현재도 됩니다. 인증서 없이.

이체는 안하시고 입금, 출금만 하시겠다.
스캐너 좋은게 필요합니다.

돈 읽어들여서 액수를 판별하고 은행 구좌에 입금되면 스캐너가 물고 있던 돈을 파쇄!!!

출금은... 출금은.... 출금은....

:oops:

한 미국 은행 이야기입니다.

이 은행의 인터넷 뱅킹은 내 구좌로만 이체하는 것이 가능합니다. 입출금이 자유로운 구좌에서 신용카드 구좌로 결제 금액만 이체를 하는거죠. 따로 결제를 해야되는 업체들에 대해서는 은행이 미리 정해둔 목록에서 선택을 하거나 은행에 미리 통보를 해서 이체가 가능하도록 등록을 해 놓고 사용을 합니다.

별도의 인증서가 필요없으며, SSL이 적용된 사이트에 사용자 ID와 비밀번호만을 가지고 사용을 합니다. 리눅스여서 사용이 안되는다는 이야기는 나올 필요조차 없는거죠. 그리고, 설령 ID와 비밀번호가 누출이 되었다고 하더라도 도용하는 사람이 금전적인 혜택을 보기 위해서 별반 할 것이 없고요.

"오프라인에서 해결해야 할 것은 오프라인에서 해야만 한다" 것이 보안의 첫번째가 아닐까 하는 생각입니다.

해커들이 미치지 않았다면 자기들 신분까지 노출시켜 가면서 비싼돈 들여서 악성 프로그램을 공인인증받을리가 없겠죠? 공인인증업체들은 순전히 인증받아주고 그댓가로 먹고사는 회사들입니다.

Anonymous wrote:

해커들이 미치지 않았다면 자기들 신분까지 노출시켜 가면서 비싼돈 들여서 악성 프로그램을 공인인증받을리가 없겠죠? 공인인증업체들은 순전히 인증받아주고 그댓가로 먹고사는 회사들입니다.

위 말은 공인인증받은 active-x 는 신뢰해도 된다라는 말인가요?
그렇다면, 악성프로그램에 대해 공인인증기관이 책임을 져 주겠죠.

한 미국 은행 이야기입니다.

이 은행의 인터넷 뱅킹은 내 구좌로만 이체하는 것이 가능합니다. 입출금이 자유로운 구좌에서 신용카드 구좌로 결제 금액만 이체를 하는거죠. 따로 결제를 해야되는 업체들에 대해서는 은행이 미리 정해둔 목록에서 선택을 하거나 은행에 미리 통보를 해서 이체가 가능하도록 등록을 해 놓고 사용을 합니다.

atie wrote:

한 미국 은행 이야기입니다.

이 은행의 인터넷 뱅킹은 내 구좌로만 이체하는 것이 가능합니다. 입출금이 자유로운 구좌에서 신용카드 구좌로 결제 금액만 이체를 하는거죠. 따로 결제를 해야되는 업체들에 대해서는 은행이 미리 정해둔 목록에서 선택을 하거나 은행에 미리 통보를 해서 이체가 가능하도록 등록을 해 놓고 사용을 합니다.

그거는 인터넷 뱅킹 실시되기 10년도 전부터 국내 은행에서도 다들 하고 있었습니다. 인터넷 뱅킹의 개념부터 정립을 하셔야 할듯. 아니 대체 내 구좌의 돈을 원하는 다른 구좌로 자유롭게 이체를 할 수 없다면 뭐하러 인터넷 뱅킹을 하는겁니까?

악성인지 아닌지 판별하는 건 아주 쉽습니다. 그렇지 않다면 악성 프로그램 판별 프로그램이 전세계에서 우후죽순으로 막 생겨날 이유가 없겠죠?

Anonymous wrote:

atie wrote:

한 미국 은행 이야기입니다.

이 은행의 인터넷 뱅킹은 내 구좌로만 이체하는 것이 가능합니다. 입출금이 자유로운 구좌에서 신용카드 구좌로 결제 금액만 이체를 하는거죠. 따로 결제를 해야되는 업체들에 대해서는 은행이 미리 정해둔 목록에서 선택을 하거나 은행에 미리 통보를 해서 이체가 가능하도록 등록을 해 놓고 사용을 합니다.

그거는 인터넷 뱅킹 실시되기 10년도 전부터 국내 은행에서도 다들 하고 있었습니다. 인터넷 뱅킹의 개념부터 정립을 하셔야 할듯. 아니 대체 내 구좌의 돈을 원하는 다른 구좌로 자유롭게 이체를 할 수 없다면 뭐하러 인터넷 뱅킹을 하는겁니까?

그렇다고, 모든구좌로 이체할 수 있도록 할 필요도 없죠.
경우에 따라서는 몇개정도로 압축되는 사람도 있을 것이고, 타인과 거래를 많이 한다면 그 수가 많아지겠지만, "모두"가 될 필요는 없겠죠.

Anonymous wrote:

chronon wrote:

이 사건에서 중요한 부분은 키로거가 사용자가 모르는 사이에 설치될 수 있었다는 사실입니다.

뭐가 중요한 부분이죠? 내가 아는 사이에 바이러스가 컴터에 감염되고 악성 프로그램이 침투하는 경우도 있나요? :lol: :lol: "저는 악성 프로그램인데 설치하실래요?"같은 친절한 프로그램은 없습니다.

말장난은 하지 마시구요.

이 사건이 이슈가 되는건, "키로거에 의해 보안이 뚫린 것" 입니다.
그 키로거가 ActiveX인지는 그럴수도 있고 아닐수도 있으니, 토론의 대상이 아닙니다.
백이면 백 ActiveX로 만들어지는 인터넷 뱅킹의 보안모듈이 키로거를 검출하지 못한 것이 바로 포인트죠.
보안모듈을 왜 ActiveX로 만들까요? 아까 제가 언급한 대로 극히 플랫폼 종속적인 단점이 있는데도 말이죠.
클라이언트의 시스템을 통제하여 클라이언트의 신뢰성을 확보하기 위함이 아닌가요? 단순히 공인 인증서 사용과 암호화만이 목적이던가요?
즉, ActiveX로서 가장 크게 가치가 있어야 할 클라이언트 통제에서 실패한 겁니다.
앞으로도 이와 유사한 사태가 계속 일어난다면, 인터넷 뱅킹에서 ActiveX를 이용할 이유가 없어지는 거죠.

Anonymous wrote:

Anonymous wrote:

chronon wrote:

이 사건에서 중요한 부분은 키로거가 사용자가 모르는 사이에 설치될 수 있었다는 사실입니다.

뭐가 중요한 부분이죠? 내가 아는 사이에 바이러스가 컴터에 감염되고 악성 프로그램이 침투하는 경우도 있나요? :lol: :lol: "저는 악성 프로그램인데 설치하실래요?"같은 친절한 프로그램은 없습니다.

말장난은 하지 마시구요.

말장난 아닙니다. :twisted: 사용자한테 물어보고 설치되는 키로거가 세상에 있습니까?

쓰레드가 이상하게 흘러가는군요.

http://hani.co.kr/section-005000000/2005/06/005000000200506031909279.html

기사에서 나와 있는 내용만 봅시다.
일단 기사의 내용은 문자 그대로 받아들이겠습니다. (일단 당장 믿을만한 것은 기사 밖에 없으니)

Quote:

이씨는 지난달 초 인터넷 포털의 한 카페에 ‘재테크’라는 제목으로 글을 올리고, 이 글의 제목을 클릭하는 순간 당사자의 컴퓨터에 해킹 프로그램이 설치되도록 했다.

카페의 글의 제목을 클릭하는 순간 프로그램이 설치되었다고 합니다.

윈도우즈에서 특별한 대화 상자가 뜨지 않고 프로그램이 설치될 수 있는 것은 제가 아는 범위에서 딱 세 가지입니다.

1. ActiveX 에서 특정 회사의 제품은 언제나 신뢰한다고 체크했을 때
2. '이런 형식의 ... 를 열때 항상 확인' 에 체크 표시를 없앴을 때
3. 그 외 IE 버그

이 사건에서 중요한 부분은 키로거가 사용자가 모르는 사이에 설치될 수 있었다는 사실입니다.
일단 키로거가 작동된 다음은 논외입니다.

fibonacci wrote:

이 사건이 이슈가 되는건, "키로거에 의해 보안이 뚫린 것" 입니다.
그 키로거가 ActiveX인지는 그럴수도 있고 아닐수도 있으니, 토론의 대상이 아닙니다.
백이면 백 ActiveX로 만들어지는 인터넷 뱅킹의 보안모듈이 키로거를 검출하지 못한 것이 바로 포인트죠.
보안모듈을 왜 ActiveX로 만들까요? 아까 제가 언급한 대로 극히 플랫폼 종속적인 단점이 있는데도 말이죠.
클라이언트의 시스템을 통제하여 클라이언트의 신뢰성을 확보하기 위함이 아닌가요? 단순히 공인 인증서 사용과 암호화만이 목적이던가요?
즉, ActiveX로서 가장 크게 가치가 있어야 할 클라이언트 통제에서 실패한 겁니다.
앞으로도 이와 유사한 사태가 계속 일어난다면, 인터넷 뱅킹에서 ActiveX를 이용할 이유가 없어지는 거죠.

으아 정말 돌아가시겠군요. :twisted: :twisted: :twisted: 프로그램을 ActiveX로 만드는건 웹으로 배포를 편하게 할려고 그러는 거라니까요? 뭔소린지 이해가 안되세요? 거꾸로 생각해 보세요. 액티브엑스 안쓸거면 고객들한테 일일히 CD 만들어서 발송해야 되는데, 그돈만 수백억원은 들겁니다. 대체 인터넷이 왜 필요한지 개념부터 정립하셔야겠어요.

아 이제는 내가 짜증이 나서 답글 못달겠네...

여기가 무슨 무개념 컨테스트 대회장도 아니고 참나... 윈도에 대해서 모르거나 액티브엑스에 대해서 모르면 제발 이러쿵 저러쿵 떠들지 맙시다. 누가 더 멍청한 소리잘하나 경쟁하는거 같습니다. 윈도 사용자들이 리눅스에 대해서 헛소리 늘어놓는것도 웃기지만, 리눅스 사용자들이 윈도에 대해서 헛소리 늘어놓는것도 가관이네요.

Anonymous wrote:

fibonacci wrote:

이 사건이 이슈가 되는건, "키로거에 의해 보안이 뚫린 것" 입니다.
그 키로거가 ActiveX인지는 그럴수도 있고 아닐수도 있으니, 토론의 대상이 아닙니다.
백이면 백 ActiveX로 만들어지는 인터넷 뱅킹의 보안모듈이 키로거를 검출하지 못한 것이 바로 포인트죠.
보안모듈을 왜 ActiveX로 만들까요? 아까 제가 언급한 대로 극히 플랫폼 종속적인 단점이 있는데도 말이죠.
클라이언트의 시스템을 통제하여 클라이언트의 신뢰성을 확보하기 위함이 아닌가요? 단순히 공인 인증서 사용과 암호화만이 목적이던가요?
즉, ActiveX로서 가장 크게 가치가 있어야 할 클라이언트 통제에서 실패한 겁니다.
앞으로도 이와 유사한 사태가 계속 일어난다면, 인터넷 뱅킹에서 ActiveX를 이용할 이유가 없어지는 거죠.

으아 정말 돌아가시겠군요. :twisted: :twisted: :twisted: 프로그램을 ActiveX로 만드는건 웹으로 배포를 편하게 할려고 그러는 거라니까요? 뭔소린지 이해가 안되세요? 거꾸로 생각해 보세요. 액티브엑스 안쓸거면 고객들한테 일일히 CD 만들어서 발송해야 되는데, 그돈만 수백억원은 들겁니다. 대체 인터넷이 왜 필요한지 개념부터 정립하셔야겠어요.

말씀은 active-x 는 웹으로 배포 한다는 역할 이외에는 없다는 것인가요?

Anonymous wrote:

fibonacci wrote:

이 사건이 이슈가 되는건, "키로거에 의해 보안이 뚫린 것" 입니다.
그 키로거가 ActiveX인지는 그럴수도 있고 아닐수도 있으니, 토론의 대상이 아닙니다.
백이면 백 ActiveX로 만들어지는 인터넷 뱅킹의 보안모듈이 키로거를 검출하지 못한 것이 바로 포인트죠.
보안모듈을 왜 ActiveX로 만들까요? 아까 제가 언급한 대로 극히 플랫폼 종속적인 단점이 있는데도 말이죠.
클라이언트의 시스템을 통제하여 클라이언트의 신뢰성을 확보하기 위함이 아닌가요? 단순히 공인 인증서 사용과 암호화만이 목적이던가요?
즉, ActiveX로서 가장 크게 가치가 있어야 할 클라이언트 통제에서 실패한 겁니다.
앞으로도 이와 유사한 사태가 계속 일어난다면, 인터넷 뱅킹에서 ActiveX를 이용할 이유가 없어지는 거죠.

으아 정말 돌아가시겠군요. :twisted: :twisted: :twisted: 프로그램을 ActiveX로 만드는건 웹으로 배포를 편하게 할려고 그러는 거라니까요? 뭔소린지 이해가 안되세요? 거꾸로 생각해 보세요. 액티브엑스 안쓸거면 고객들한테 일일히 CD 만들어서 발송해야 되는데, 그돈만 수백억원은 들겁니다. 대체 인터넷이 왜 필요한지 개념부터 정립하셔야겠어요.

개념이해보다는 상대방 요지를 먼저 이해하려는 자세를 가지시면 논의가
더 바람직하게 흘러갈 것 같습니다.
프로그램 배포를 편하게 하고자 activeX를 쓴다는 것은 이해합니다만,
같은 방식으로 키로거등이 설치될 수도 있다는 것입니다.
따라서 보안프로그램의 설치 경로와 다른 프로그램들의 설치 경로를 구분하는
것이 매우 바람직하다는 것입니다.
예를 들어서, 글 올리신 분과 같은 사용자는 항상 주의하면서 구분해서
특정 activeX에 대해 설치하거나 혹은 설치하지 않을 지를 결정하면서
안전하게 지내실 수 있을 지 모르겠지만,
더 많은 분들은 그렇지 못하다는 것입니다.
내가 보고 싶은 아무개 사진이 떴는데 이 activex를 설치하시겠습니까?하는
창이 뜬다면 많은 순진한 분들께서는 보고 싶은 사진을 더 빨리 보고 싶어서
이 거추장스러운 설치화면에 yes라고 누를 것이라는 겁니다.
그렇다면 보안을 위한 보안경고는 아무런 의미가 없어지는 것입니다.
좀 불편하더라도 보안을 위해서라면 다른 방법을 생각해볼 수도 있어야 합니다.
굳이 편하게 프로그램을 배포하기 위해 보안성을 희생하면서
activeX를 써야한다면 뭐하러 귀찮게 공인인증서 발급받고,
보안카드를 사용하겠습니까?
저는 보안의 문제는 프로그램으로만 해결할 수는 없다고 생각하고,
사회적인 제도를 통한 보완이 필요하다고 생각합니다.
그런 점에서 모든 보안 문제를 activeX로만 해결할 수 있다고 생각하는 것은
매우 위험하다고 생각합니다. 이런 제 생각은 만약 firefox plugin으로
모든 보안 문제가 해결된다고 누군가 생각한다면 그런 입장에도 마찬가지로
적용됩니다만, 현실적으로 그렇게 생각하는 사람은 없지요.
그래서 ActitveX가 주요 논의대상이 된다고 생각합니다.

여러분들 제가 아무리 설명을 해도 대체 뭔소린지 이해를 못하시는데, 저는 그 이유가 모르겠거든요? 똑같은 프로그램을 CD에 담아 배포하는 거랑 웹으로 액티브엑스 컨트롤의 형태로 배포하는거랑은 배포방법만 차이나는 것뿐이지 안에 들어있는 프로그램은 똑같은 거거든요? 그니까 액티브엑스로 배포한다고 프로그램에 없던 보안 문제가 생길수도 없는거고 CD로 배포한다고 보안문제가 없어질 수도 없는 건데, 대체 어디가 개념이 어려워서 다들 이해를 못하는건지... 이러니까 맨날 KLDP에서 벌어지는 토론들이 씨알맹이도 없이 탁상공론만 펼쳐지는건가..

Anonymous wrote:

으아 정말 돌아가시겠군요. :twisted: :twisted: :twisted: 프로그램을 ActiveX로 만드는건 웹으로 배포를 편하게 할려고 그러는 거라니까요? 뭔소린지 이해가 안되세요? 거꾸로 생각해 보세요. 액티브엑스 안쓸거면 고객들한테 일일히 CD 만들어서 발송해야 되는데, 그돈만 수백억원은 들겁니다. 대체 인터넷이 왜 필요한지 개념부터 정립하셔야겠어요.

CD발송할 필요 없이 다운로드 링크 하나만 만들어도 됩니다. ActiveX란 기술을 써야 한다는 강박관념에 사로잡힌게 더 문제가 아닐까요?

Anonymous wrote:

초등학교 1학년한테 1+1이 왜 2인지 설명하는 것보다 더 어렵군요. :twisted: :twisted:
액티브엑스가 왜 필요하냐면요, 님처럼 다운로드링크 눌러서 받은 프로그램은 공인인증 절차도 없이 걍 설치가 되버리는데 더 보안 위험성이 높지 않나요? 이게 그렇게 이해가 안됩니까? 다들 윈도 쓴지가 오래되서 개념들을 상실하셨나...

신뢰하는 사이트의 링크에서 받는건데, 뭐가 문제가 되는가요?
ActiveX 컨트롤을 해당 사이트에서 받아서 설치하면 보안상 믿을만하고, 똑같은 사이트에서 ActiveX컨트롤이 아닌 다른 프로그램을 받으면 보안상 오류가 생긴다는 말인가요? 저는 님이 하는 말이 더 이해가 안가는데요?

저 "손님"은 왜 MS에서도 버려지고 있는 기술을 바락바락 우기는걸까요 :(

글들도 보니 전체적인 내용에 대한 기술적이고, 논리적인 반박보다는 꼬투리 잡기에 치중하고 계시는군요.

편향적인 생각은 좀 버리시고, MS 찬양론도 그만 좀 하시죠 :evil:

dasomoli wrote:

저 "손님"은 왜 MS에서도 버려지고 있는 기술을 바락바락 우기는걸까요 :(

글들도 보니 전체적인 내용에 대한 기술적이고, 논리적인 반박보다는 꼬투리 잡기에 치중하고 계시는군요.

편향적인 생각은 좀 버리시고, MS 찬양론도 그만 좀 하시죠 :evil:

오히려 ActiveX에 대해서는 "손님"께서 많은 분들이 가지고 계시던 오해를 잘 풀어주신 것 같았습니다.

오히려 ActiveX외의 기술에 대해서 SSL외엔 다른 기술적인 대안을 제시해주신 분이 별로 없는 것 같군요. (솔직히 저도 잘 모르겠고, ActiveX로 개발한 은행업체들이 바보이고 귀찮다는 이유만으로 ActiveX로 개발했을 거라는 생각은 안듭니다.)

Anonymous wrote:

Anonymous wrote:

Anonymous wrote:

근데 여기서 보면 보안모듈이 ActiveX로 만들었는데 키로거를 검출 못했기 때문에 ActiveX 기술 자체가 문제가 있다고 궤변을 늘어놓는 사람이 놀랄 정도로 많습니다.

누가 그렇게 말했나요? ActiveX로 만들어진 키로거 방지 프로그램이 제 역활을 못하고 있다고 말하고 있는데요? 컴퓨터 공부보다 한글 공부를 먼저 하셔야 겠네요.

님은 지금 본질을 호도하고 있는겁니다. 키로거 방지 프로그램이 ActiveX로 만들었는지 일반 애플리케이션으로 만들었는지는 문제의 요점과 아무 관련성도 없다니까요? 그니까 키로거 방지 프로그램 앞에 자꾸 ActiveX 어쩌고 수식어를 붙여서 ActiveX가 문제가 있는 것인야 연기 피우는 짓은 쓸데없는 노력입니다.

님이야 말로 쓸떼없는 피해의식을 가지고 있는겁니다. 요점은 키로거가 제대로 작동못하고 있다는것이지 ActiveX에대해 문제있는것 처럼 연기를 피우는게 아닙니다.
참고로 말하자면 ActiveX는 일반 프로그램이랑 다를바 없고 전 시스템을 장악할수 있습니다. 한마디로 일반 설치된 프로그램과 다를바가 없습니다. 또한 SP2에서는 테스트인증(베리사인등에 인증이 안된 ActiveX를 말함)된 ActiveX는 설치가 안되는 관계로 불량 ActiveX가 설치될 확률은 많이 줄은 상태입니다.
쓰레드들을 읽어보니 그냥 서로 헛다리 짚고 있다는 느낌이 강하군요. 서로 표현의 차이로 말이 엇갈리고 있는 경우도 종종 있어 보입니다.
그걸로 인해 오해와 꼬투리 잡기도 있는거 같고요.

chadr 씀:
Anonymous 씀:
이 번호가 10번이 될때까지 리로드합니다. 대부분의 인터넷 뱅킹은 페이지가 로드될때마다 보안카드 번호를 다른걸로 물어봅니다. 따라서 로그아웃했다가 다시 로그인하는 번거로운 일을 안해도 됩니다.

딴지는 아닙니다만.. 제가 주로 쓰고 있는 국*은행은 보안카드 번호가 돌지 않더군요..
어떤 번호를 입력하고 나면 다음 번호가 그 번호를 입력 하기 전에는 다른 번호로 안바뀌더라구요..
느긋~하게 일주일에 한번씩 시도해보세요.
그 중간에 원래 사용자가 사용했었으면 다시 번호가 바뀝니다.
수천만원 생기는데 그정도 못 기다리겠습니까

3. id/pw 를 알면 공인인증서를 발급받을 수 있다... 그러면 도대체 공인인증서의 존재 의의는 무엇인가?