4월부터 공인인증 기반 스마트폰뱅킹 '스타트'
글쓴이: cleansugar / 작성시간: 일, 2010/03/21 - 2:05오후
http://news.mt.co.kr/mtview.php?no=2010032110421673170&type=1
김기창 교수님에 따르면 부인 방지는 무의미하다고 합니다.
그렇다면 외국은 잘 쓰고 있는데 이유가 뭐냐 이거죠.
크래킹 때문에 컴퓨터 안에 인증서 내장하지 말라는 게 지침인데 스마트 폰에는 내장해야 됩니다.
공인인증서 정말 짜증나네요.
공인 인증서는 일종의 정부가 개인 영역에 침투한 교두보입니다.
공인인증서를 기반으로 감시와 통제가 됩니다.
억지로 사용하면 정치, 사회, 경제적으로 손해를 입게 됩니다.
이런 짓 안해도 은행이나 쇼핑몰 마음대로 하게 두면 알아서 잘 합니다.
기업 입장에서는 결제가 간편할수록 수익에 도움이 됩니다.
현재는 송금하려면 공인 인증서 관리자, 키보드 보안, 방화벽 깔고 프로그램 실행하고 USB 꼽고 선택하고 인증서 암호 입력하고 은행 코드 암호 입력하고 이래야 되는데 이게 뭡니까 대체.
경쟁력를 저하시키는 규제입니다.
궁금한 게 있는데요 비밀키와 공개키 생성이 서버에서 생성되나요 클라이언트에서 생성되나요?
제가 알기에 한국의 공인인증서는 그냥 키위탁이라서 진정한 PKI가 아닌 거 맞나요?
그리고 공개된 기술이면서 클라이언트 소스는 왜 공개되지 않는건가요?
만일 키쌍이 서버에서 생성된다면 공인 인증서는 금고 열쇠를 정부가 보관하겠다는 제도고 공인 인증서 프로그램은 넓은 의미의 악성 코드입니다.
Forums:
아 제가 키로거를
아 제가 키로거를 이야기한 이유는 제가 생각하기에 공인인증서 개인키 풀려면 패스워드 입력하는데 이거 탈취할려면 키로거 있어야 하지 않나요? 이거 없이 되면 더 좋구요.
결국
언제나 논의는 이렇게 흐르는 듯하네요.
SSL+OTP가 위험하다는 분들께서는 (1) 유저는 바보다, 주소창 첫부분도 확인못한다. (2) SSLstrip은 성공한다는 전제로 말씀하십니다. 그러면서, 고객 컴퓨터는 뚫리지 않았다(개인키는 유출되지 않았다)고 전제하고 PKI가 안전하다는 주장을 펴지요.
인증서가 무용지물이라는 주장을 펴는 분들은 (1) 유저의 컴퓨터는 뚫린 경우가 많다 (2) 공격자도 고객의 개인키/개인키 암호를 가지고 있으므로, 공격자스스로가 유저로 행세하며 거래할 수 있다는 입장입니다.
국내 인터넷 뱅킹 보안 기법이 안고 있는 '자기 모순'은, 한편으로는 유저 컴퓨터가 뚫렸다고 전제해야 한다고 주장하다가(그러니 3종 플러그인 설치해야 한다), 다른 한편으로는 유저 컴퓨터는 뚫리지 않았다(고객 개인키는 고객만 가지고 있으므로 공격자는 속수무책이다)고 전제해야 한다는 것이지요.
네트워크를 이용한 공격이 host자체에 대한 공격보다 쉽다는 주장도 제기되는 것 같네요. 그래서 SSL strip 이 쉽다는 것 같은데...
SSLstrip 이 가능한것과 마찬가지로, Plugin strip 도 가능합니다. 위의 tj님 글에도 언급되었지만, Fake 플러그인을 준비한 중간자(MITM)가 끼어들어 (1)고객에게는 고객의 인증서 개인키와 인증서 암호를 중간자에게 단순히 POST하는 플러그인을 내려주고, 나머지 플러그인 오브젝트 태그는 모두 제거한 페이지를 제시하고, (2) 고객이 입력하는 정보와 고객으로부터 전달받은 인증서 개인키/암호를 공격자가 사용하여 은행과 교신하는 방법입니다.
고객에게는 액티브액스 보안경고창이 하나 뜨게 되는데, 이것을 No할 한국 고객은 아마 없을 것입니다. 봇넷 등 말웨어에 감염된 PC는 전세계적으로 수천만대에 달한다는 추산이 있는 듯. 개인 PC의 4분의1이 감염되었을 것이라는 추산도... (위키피디아 botnet 편)
http://openweb.or.kr
http://openweb.or.kr
자기 모순을 얘기하시는데요,
공인인증서는 고정 암호를 사용자가 대개 어느 웹사이트나 똑같은 걸 쓰기 때문에 뚫리기 쉽다고 하시더니, 주소창 https 확인이나 보안 경고창 확인은 확실히 할 것이다라고 주장하시는 건 모순이 아니라고 생각하시는지요?
그리고, 로컬 PC 보안이라면 우리 나라만큼 각 기관에서 나서서 PC 백신 깔고 거래시 백신 프로그램이 돌고 해서 악성 코드 탐지해내는 나라 없습니다. 저 위에도 제가 썼지만 대체 온라인 뱅킹 사고 비율이 우리 나라가 현저히 낮다는 건 계속 무시하시는 건가요?
로컬 PC가 아무리 보안이 잘 되어 있어도 피싱과 MITM 공격은 어쩔 수 없습니다. 이게 왜 같은 레벨의 보안인가요? 집 문 잘 걸어 잠글 순 있는데 집 앞 길목에서 기다리고 있으면 어쨌거나 외출할 일 생기면 위험한 거랑 똑같은 겁니다.
그리고 고객으로부터 전달받은 인증서 개인키/암호요..? 교신되는 내용은 개인키로 서명한 signature 입니다. 그것으로는 뭘 할 수가 없어요. 로컬에 개인키가 있어야 교신 성립이 되죠. 그러면 또 개인키 획득이 쉽다고 하겠죠? 길목만 지키면 되는 것과 직접 PC에 침입하는 건 장벽 자체가 다르죠. 어쨌거나 장벽 하나가 더 있는 겁니다. 그건 보안 레벨이 상승하는 걸 뜻하구요.
제가 보기엔 윗분의
제가 보기엔 윗분의 글을 충분히 이해 못하신 것 같군요...
http://openweb.or.kr/?page_id=1279
제가 보기엔..
제 글이나 윗분 글이나 충분히 이해하거다 다 읽어보지도 않으신 것 같군요...
다 읽었습니다만,
다 읽었습니다만, 아주 일부분 때문에 썼습니다;;;
전반적으로 오해가 있었면 길게 글을 썼겠죠.
"로컬에 개인키가 있어야 교신 성립이 되죠."
마지막 문단에서 공인인증서로 MITM을 막을 수 있다고 말씀하신게 아닌가 생각해서 말이죠.
물론 막힐 수도 있습니다만, 그게 충분한 효과가 있는지는 의문이 안생길 수가 없네요.
단지 MITM 만이라면 막을 수 있습니다.
PC에 멀웨어나 페이크 플러그인 설치하는 공격과 조합되면 못 막겠죠.
제가보기에
제가보기에 youknowit님이 말씀하신
부분은 tj님이 말씀하신
이 것 같은데요, 이 경우에는 인증서 파일과 패스워드를 그냥 통채로 뺄수있겠네요. 파일하고 스트링 전송하는 ActiveX야 윈도우 프로그래밍 해본사람은 하루만에 다 만들테니 보안장벽으로써의 의미는 거의 없다고 보여지네요.
이렇게 따져보면, MITM에 한해서는 인증서가 보안카드나 OTP보다도 열악한 것 같은데요?
인용부에서도 볼 수 있듯이...
'Fake 플러그인을 준비한 중간자(,MITM)'+'성공적으로 fake 플러그인을 설치했을 때'라면 공인인증서를 가로챌 수 있겠죠.
그런데 OTP는 그냥 중간자(MITM)라면 가로채죠.
비슷한듯...
PKI 무력화: MITM + '성공적으로 fake 플러그인 설치'
SSL+OTP 무력화: MITM + '성공적으로 SSL strip 공격'
fake 플러그인 설치가 쉬우냐, ssl strip 공격이 쉬우냐를 왈가왈부하는 것은 별로...
그러니, 공인인증서 사용을 "강제"할 것까지 있느냐?는 것이 제 생각이랍니다.
http://openweb.or.kr
http://openweb.or.kr
좀 이상한데요.
PKI 무력화 : MITM+URL변조+성공적으로 fake 플러그인 설치
SSL+OTP 무력화 : MITM+SSL strip
여기서 MITM 은 필연적으로 URL 변조를 통한 fake 웹페이지나 SSL strip 공격을 포함해야 합니다. 그렇지 않으면 의미가 없으니까요. 그런데 왜 SSL+OTP만 그게 한번 더 장벽이라고 하시는지요.
어짜피 진짜 은행
어짜피 진짜 은행 사이트에서도 yes 눌러 설치해야하는 플러그인인데
피싱사이트에서 yes 눌러서 플러그인 설치하는거랑 사용자입장에서 장벽차이는 거의 없어보이는데요,
만약 이부분이 주요 이견이면 어짜피 여기서 말로 떠들어서는 해결이 안나는 부분이니 입장만 확인하고
나중에 여건이 되면 일반인들 대상으로 피싱사이트 fake ActiveX yes 얼마나 누르나 실험해보면 되겠네요.
암호를 다르게 적고
암호를 다르게 적고 기억하는 것도 좋겠지만, 단순히 https를 확인하는게 더 쉽지 않나요?
----
내 블로그: http://unipro.tistory.com
내 블로그: http://unipro.tistory.com
가짜 플러그인을 이용하는 공격도 있을 수 있습니다
youknowit님이 말씀하신것 처럼 중간자가 가짜 플러그인을 이용한 공격을 할 수도 있습니다. 거기에 속아 개인키를 도둑 맞을 수도 있을 겁니다.
하지만 플러그인에 코드사인한 주체가 정상적인지 확인하는 사람(접니다.. -_-)도 있습니다. 저는 ActiveX 설치의 허락을 묻는 팝업이 가지는 의미가 전혀 없다고는 보지 않습니다. 실제 사이트 이용과 주소줄의 글자하나 말고는 아무런 차이도 없는 경우와 설치와 실행 여부를 묻는 보안창이 연달아 뜨는 상황은 다르지요.
그리고 가짜 플러그인이라도 코드사인이 되어 있을테니까(코드사인 안된 ActiveX는 기본 보안수준에서 설치 불가입니다) 나중에 코드사인 인증서를 발급받은 사람을 고소하는 분풀이는 할 수 있을 겁니다.
하지만 지금 야이기되고 있는 것이 공인인증하고 비밀번호 방식(OTP)의 1:1비교는 아니지 않습니까? 둘다 각자의 장점과 약점이 있습니다. 그렇기때문에 혼합해서 사용하자는 것이지요.
현재 쓰는 공인인증 + 보안카드(혹은 OTP) 방식이 OTP 만 쓰는 방법보다 더 안전하다는 것은 부정할 수 없는 사실입니다.
1 + 1 > 1 ...당연한 것 아니곘습니까?
그런데 몇몇 분들은 공인인증 없이도 인터넷 뱅킹을 할 수 있게 하자는 주장을 뒷받침하기 위해서
공인인증이 사실은 아무런 보안성도 제공하지 않는다
라는 납득하기 힘든 주장을 하셨고 저는 그것이 잘못됨을 지적하고 싶습니다.
ps. 공인인증이 없는 경우 보안성이 떨어지는 것을 인정하면서 공인인증을 제외한 경우의 새로운 보안등급을 만들자(channy님 의견)는 의견이라면 혹시 생산적인 토론이 가능할지 모르겠습니다. '현재 1 ~ 3 등급으로 분류된 보안등급에 새롭게 공인인증이 제외된 경우에 적용되는 4등급을 추가하고 일일 이체한도를 수십~수백만원 수준으로 제한하자' 이런 주장이라면 기술적인 이슈가 아니라 정책적인 이슈가 되겠지요.
ps2. 아.. 저는 새로운 보안등급을 만드는 것에 대해서도 반대입니다. 위에서 누누히 주장한 '신뢰할 수 있는 인프라'를 우회할 방법을 만드는 것은 너무 큰 대가라고 생각하니까요.
My Passion for the Vision!
My Passion for the Vision!
음...
오픈웹은 전자 결제에 있어, 결제 방식을 국가에서 강제로 제한하는 걸 완화하고..
기업들이 고객이 원하는 형태의 다양한 전자 결제 방식을 지원할 수 있도록 하는데 초점을 맞춰야 합니다.
또한 기존의 방식을 지원함에 있어서, 표준이 아닌 변칙적인 방식을 통해 특정 브라우저에서만 지원되고 있음을 지적해야지..
이를 위해 다른 방식을 제안하거나 기존의 보안 업체를 직접 공격해서는 실익이 없습니다.
실질적으로 모든 웹 환경에서 전자 결제가 이루어지면 좋겠다는 데에는 이견이 적기 때문에..
별다른 반박 논리를 만들기 쉽지 않습니다.
기껏해야 현재 방식이 더 많은 보안 기능을 제공한다 / 기존 환경을 대체하기에는 많은 사회적 비용이 지출된다 정도인데..
우선은 계속해서 많은 사례들을 제시함으로써 충분한 대안이 있음을 보이고...
당장 바꾸라는게 아닌 '강제하지 말라' 는 선에서 우선 물꼬를 터야 합니다.
다른 방식이 더 좋다고 주장하는 순간부터 이미 빌미를 잡히게 되고 본래의 논의 보다는..
곁가지 논쟁으로 치닫게 되어 결과적으로 물타기가 되어 버립니다.
기술의 변화, 시스템의 변화는 고객이 요구하는 순간부터 서서히 변화할 것입니다.
지금까지는 법에 의해 어쩔 수 없다고 버텨왔겠지만...
그 장벽이 사라지는 순간부터 서서히 시장이 변화할 것입니다.
기술은 변화하기 마련이고, 부족한 기술은 다른 기술과 복합되어 상호 보완적으로 사용되기 마련입니다.
인증서 방식이 유출의 가능성을 줄이기위해 방화벽/키보드 보안을 도입한 것 처럼..
SSL+OTP 도 잠재적인 위험을 막기 위해 다른 보완책이 들어설것입니다.
여기에서 개별 방식의 우수성/위험성을 지적하고 논쟁을 해봐야..
본래의 주제와는 멀어지고 말꼬리 잡기식 논쟁만 이어지다가 흐지부지 끝날겁니다.
되면 한다! / feel no sorrow, feel no pain, feel no hurt, there's nothing gained.. only love will then remain.. 『 Ｍｉｚｚ 』
되면 한다! / feel no sorrow, feel no pain, feel no hurt, there's nothing gained.. only love will then remain.. 『 Ｍｉｚｚ 』
강제 규정
말씀하신 뜻은 잘 알겠습니다. 그런데, 강제 규정을 폐지해 달라는 요구에 대해서 정부가 "공인인증서가 가장 안전하므로 강제해야한다"고 하니, 어떻게 대응해야 할지 참 어렵군요. ㅠㅠ
공인인증서가 "그렇게 안전한 것이 아니다" (그러니 강제규정을 완화해 달라)라고 말하는 순간, 보안업계를 공격하는 것처럼 인식되고(그만큼 국내 보안업계는 PKI에 올인해 왔다는 반증인듯).
http://openweb.or.kr
http://openweb.or.kr
개인키가 파일로 저장되서 문제다!?
안녕하세요. 초보 리눅서입니다
잘부탁해요 ^^
궁금한게 있읍니다만...
개인키(PrivateKey, 당근 일반적으로 암호와 되워져있습니다만..)는
개인키의 암호 (비빌번호기반의 암호시스템으로 구성된, 이방법이야 PKCS#5,8에 공개돼있으니..) := 대칭키(Symmetric)값 을 알아야 풀수 있는데. 이게 정말 그렇게 쉬운건가요 ? 모 피싱이나 꽁쑤(아 이게 무섭긴하죠)쓰는 사회공학적인 방법 말고,(하긴 이래서 대다수가 풀릴수도 있다곤 하나.. 모 그렇다면 어떤방식을 써도 어쩔수 없는 상황인것같기도하고..) 수학적인 연산으로 쉽게 될꺼같지가 않구요.
이.. 개인키가 파일형태여서 문제다.. 라는건 모 그다지(사실 문제긴 하나...).. 허나 사실 이 개인키를 웹브라우저(예로 익스플로러) 에 저장해 놓아도(:=표준을 지킨다!). 모 그냥 '인증서가져오기' 메뉴를 선택 하면 쉽게 꺼내올수있고.. 혹은 cryptoAPI로 슬쩍 꺼내오면 되니깐(모 윈도비스타 이상에선 관리자권한 내놔!~어쩌긴하지만) 역시 보안강도에 대해선 마찬가지 아닌가 생각도 들고.. 그냥 파일형식의 구조보다 조금 낳은 수준?(아주 조큼?) 뭐 그렇네요 ^^
개인키의 보관 형식에 대한 논의는 이미 행안부/KISA에서도 슬슬 보안토큰이나 HSM같은 다양한 대안을 논의/진행중(강제적으로 바뀐다는!)이기도 하구요...
여하튼
웹표준을 지켜서 웹브라우저의 지정된 장소에 넣나..
파일형태로 C:\어쩌구\NPKI에 저장돼 있나..
기술적인 관점에서 둘의 보안강도는 동일하지 않나요? 이건 웹표준을 지킨다 아니다를 떠나 다같이 고민해볼 문제인듯 싶어서요.. 근데 잠시 또 생각해보니 오픈웹의 관점은 여기서도 사용자 편의에 따르면 후자인 경우 별도의 플러그인이 필요하니깐 문제의 소지가 있다고 하는것같은데. 아 이점은 동의합니다. 결국 기술적 이슈에서 후자가 밀릴수 있단 거군요
(자문자답?) , 다시 원점으로 간것같은 기분인데 행위의 부인방지를 위하여 '전자서명'을 해야 하느냐? 하는 큰 관점(개인적인 고민, 관심사...)에 대해서 여전히 고민이 많습니다.
안녕하세요. 초보 리눅서입니다
잘부탁해요 ^^
공인인증서 개념 정리합시다. OTP라는 대안에 대한 정리는 나중에.
공인인증서 : 개인키와 공인인증서 파일 쌍
공인인증서 저장장소 : 스마트카드(카드 형태/USB형태/USIM 형태), 브라우저 또는 레지스트리, HDD 또는 USB 디스크(NPKI 또는 GPKI)
암복호화 처리 위치 : 스마트카드 내의 CPU/Memory, PC 또는 스마트폰 내의 CPU/Memroy(VM 방식 포함)
암호화 및 서명 데이터 전송 프로그램 : 웹브라우저, ActiveX 클라이언트
현 우리나라 공인인증서 체계 운영 방식(일반적인 PKI와 혼용해서는 안됨. 일반적인 PKI의 운영 방식은 도입자가 알아서 선택하므로 논의에서 제외)
공인인증서 : 표준 준수
공인인증서 저장 장소 : HDD 또는 USB 디스크
암복호화 처리 위치 : PC 또는 스마트폰 내의 CPU/Memory
암호화 및 서명 데이터 전송 프로그램 : ActiveX 클라이언트/서버
공격 방법 :
1. RSA 1024비트 개인키로 암호화된(서명) 데이터를 위장 : 712비트까지 가능한 것으로 보고되었으나 1024비트는 현재 안전
2. 공인인증서 파일 유출 : 공인인증서 저장장소가 브라우저 또는 레지스트리, HDD 또는 USB 인 경우 100% 성공(PC의 관리자 권한을 빼앗는 공격이 ActiveX이든, 바이러스이든, PC의 Service Daemon의 취약점이든, 사회공학적인 방법이든 모든 경로가 열려있고, 다양한 성공 사례가 있으므로 발생 확률과 난이도에 대한 논쟁은 무의미)
3. PKCS#5의 PBKDF2 알고리즘에 의해 보호되는 개인키 패스워드 공격 : 성균관대 논문에서 성공 보고됨. 공격 2가 성공되고, 개인키가 파일 형태로 복사된 상태로 존재하고 PBKDF2 프로그램으로 Dictionary 기반 BruteAttack 하면 100% 패스워드 찾아냄. 이유는 PBKDF2에는 패스워드 입력 Trial Error 횟수 제한이 없기 때문)
4. 키로깅 방식의 개인키 패스워드 유출 공격 : 100% 성공, 이유는 키로깅 방지 소프트웨어가 지속적으로 업데이트되는 원인이 지속적인 방지 우회기술이 발견된 것을 사후 감지하고 대응하는 것으로 반증. 그러나 공격 2가 실패하면 의미없으며, 공격 2가 성공한 경우에만 의미있음.
5. PC 또는 스마트폰 내의 CPU/Memory 공격 : 다양한 성공사례 보고되었음. 공격 2와 동일한 효과.
6. 네트워크 MITM 공격 : 개인키로 암호화(서명)된 데이터와 인증서가 전달되는 것을 MITM(SSL Strip 포함) 으로 공격해서 위장또는 대체 불가능하므로 실패. SSL의 서버 및 개인사용자 상호인증체계 운영 시에만 실패.
현 우리나라 공인인증 운영 방식에 대한 공격 방법별 취약 현황
1번 공격 : 안전
2번 공격 : 취약
3번 공격 : 취약
4번 공격 : 취약
5번 공격 : 취약
6번 공격 : 검증 안됨. 공개적인 검증 사례 없음.
안전한 공인인증 운영방식
공인인증서 저장 장소 : 스마트카드/USB토큰/USIM
암복호화 처리 위치 : 스마트카드/USB토큰/USIM 내의 CPU/Memory
암호화 및 서명 데이터 전송 프로그램 : 사용자 공인인증처리 지원하는 SSL 지원 웹브라우저(상위 6위 내 브라우저)
안전한 공인인증 운영방식 제도화 문제점
1. 공인인증서 저장 장소 하드웨어 보급 : 스마트카드와 리더 단말기, USB토큰, USIM을 개인에 보급하는 문제. 현재 모든 신용카드는 스마트카드로 발급되고 있고 스마트카드 리더기기는 USB 타입으로 4cmx6cm 크기의 단순 기계로 상용 수출되고 있음(국산). USB 토큰은 대량 매입시 5천원 이내에서 상용 보급되고 있음(국산있음),USIM은 LGT를 제외한 모든 통신사가 지원. LGT도 단말 인증에만 사용하지 않을뿐 USIM 지원 단말은 보급 가능.
--> 결론적으로 1만원이하 수준의 OTP 기기 보급 비용 수준이면 즉시 시행 가능.
2. 암복호화 처리 위치 : 하드웨어 보급되면 해결
3. 암호화 및 서명 데이터 전송 프로그램 : PKCS#11 또는 CSP 프로그램 적용하면 모든 웹브라우저 지원됨. 개발 기간과 비용 문제.
결론 : 현재의 공인인증서 논쟁은 운영방식과 운영방식이 결합된 제도의 문제이며, 공인인증서를 취지와 보안성 유지에 맞게 운영할 수 있는 기술적 기반은 완비되어 있음. 시작만 하면 6개월 내에 서비스 가능 전망.
첨언 : 사용자가 조심하면 된다 또는 공격 방법은 있지만 실제로 공격 받을 가능성이 낮다 또는 실제 사고 사례와 피해 금액이 작아서 투자 가치가 없다 등등의 논쟁은 참아주시길 바랍니다. 실제 사고가 매년 이맘때쯤 발생하고 있고, 그 피해액도 이미 몇억 단위를 넘었습니다. 본인이 피해 당사자라고 가정해 보세요. 본인인증과 서명은 금전적 거래와 피해에 대한 당사자 책임이 뒤따르는 사적재산 보호의 영역입니다.
정리하면 1.
정리하면
1. 서버공인인증서만 사용 시 사회공학적 요소를 포함한 MITM공격 가능. (확률적으로 가능)
2. 서버공인인증서+개인공인인증서 까지 사용 시 사회공학적 요소를 포함한 MITM공격 가능하지 않음. (불가능)
3. PC침해시 공인인증 방식은 의미가 없습니다. (뭘 써도 의미가 없습니다)
4. 하지만 키보드보안, 안티바이러스, 방화벽 S/W들이 어느정도의 보안을 제공하는 것은 사실입니다. 고도로 타겟팅된 공격에서는 키보드보안 등을 100% 우회할 수 있겠지만 자동화된 공격에서는 키보드보안이 효과적으로 작동할 확률이 높습니다. 키보드보안이 100% 무용지물이라고 주장하시는건 안티바이러스제품도 무용지물이라 말하는 것과 같은 비약입니다.
5. 따라서 보안3총사 실행시켜놓고 공격 안당하길 비는건 은행이 취할 수 있는 당연한 조치입니다.
추가의견..
3. PC침해시 공인인증 방식은 의미가 없습니다. (뭘 써도 의미가 없습니다)
--> 앞에서 정리했듯이 용어를 정확히 표현하셨으면합니다. serialx님이 말씀하시는 공인인증 방식은 개인키와 공인인증서를 파일형태로 HDD나 USB 또는 스마트폰의 메모리에 저장하는 방식과 기타 모듈 접근입니다.
공인인증서 저장장소가 스마트카드/USB/USIM에 저장하고, 개인키에 대해서 forward lock 적용하면 PC 침해 시에도 개인키 유출에 대해서 보호됩니다.
4. 하지만 키보드보안, 안티바이러스, 방화벽 S/W들이 어느정도의 보안을 제공하는 것은 사실입니다. 고도로 타겟팅된 공격에서는 키보드보안 등을 100% 우회할 수 있겠지만 자동화된 공격에서는 키보드보안이 효과적으로 작동할 확률이 높습니다. 키보드보안이 100% 무용지물이라고 주장하시는건 안티바이러스제품도 무용지물이라 말하는 것과 같은 비약입니다.
--> 안티바이러스제품이 무용지물이라는 것도 다 아는 사실입니다. 특히 zero-day attack에 대해서는 무용지물입니다.
5. 따라서 보안3총사 실행시켜놓고 공격 안당하길 비는건 은행이 취할 수 있는 당연한 조치입니다.
--> 보안의 영역인 사용자 인증, 권한부여, 암호화, 취약점 관리 등은 각각 고유하고 배타적인 것들입니다. 각 영역에 대한 각각의 신뢰할 만한 대책을 개별적으로 논의하는 것에 있어서 타 영역의 보완적 조치를 논하는 것은 가장 최후의 일입니다. 논점이 흐려지는 이야기 도입은 도움이 안될 듯 합니다.
»
3. PC침해시 공인인증
3. PC침해시 공인인증 방식은 의미가 없습니다. (뭘 써도 의미가 없습니다)
--> 앞에서 정리했듯이 용어를 정확히 표현하셨으면합니다. serialx님이 말씀하시는 공인인증 방식은 개인키와 공인인증서를 파일형태로 HDD나 USB 또는 스마트폰의 메모리에 저장하는 방식과 기타 모듈 접근입니다.
공인인증서 저장장소가 스마트카드/USB/USIM에 저장하고, 개인키에 대해서 forward lock 적용하면 PC 침해 시에도 개인키 유출에 대해서 보호됩니다.
----> 그건 다 아는 사실이죠. 현재 상황(파일 형태로 저장하는 행위)에서 의미가 없다는겁니다.
4. 하지만 키보드보안, 안티바이러스, 방화벽 S/W들이 어느정도의 보안을 제공하는 것은 사실입니다. 고도로 타겟팅된 공격에서는 키보드보안 등을 100% 우회할 수 있겠지만 자동화된 공격에서는 키보드보안이 효과적으로 작동할 확률이 높습니다. 키보드보안이 100% 무용지물이라고 주장하시는건 안티바이러스제품도 무용지물이라 말하는 것과 같은 비약입니다.
--> 안티바이러스제품이 무용지물이라는 것도 다 아는 사실입니다. 특히 zero-day attack에 대해서는 무용지물입니다.
----> 안티바이러스 제품의 작동 의미를 알고서 0-day 얘기를 말씀하시는건 말이 안되죠. 그런 논리대로라면 one-time pad 는 완벽한 보안 시스템입니다. <-- 이런게 도대체 현실적인 논의에서 무슨 의미가 있죠?
5. 따라서 보안3총사 실행시켜놓고 공격 안당하길 비는건 은행이 취할 수 있는 당연한 조치입니다.
--> 보안의 영역인 사용자 인증, 권한부여, 암호화, 취약점 관리 등은 각각 고유하고 배타적인 것들입니다. 각 영역에 대한 각각의 신뢰할 만한 대책을 개별적으로 논의하는 것에 있어서 타 영역의 보완적 조치를 논하는 것은 가장 최후의 일입니다. 논점이 흐려지는 이야기 도입은 도움이 안될 듯 합니다.
----> 개별적인 논의는 끝난 것으로 아는데.. 뭔가 더 할 얘기가 있나요? 결론은 "현재 보안 시스템은 충분히 선방하고 있다." 입니다. 그래서 정리하는 의미로 보안 3총사를 가장 마지막 엔드포인트 보안으로 은행권이 강제하는것도 현실적인 선에서는 충분히 납득 가능하다는 겁니다.
정리를
정리를 하겠습니다.
KLDP Textile 마크업 처리가 엉망이네요. 시간만 날렸습니다.
_왠지 보안 3총사가 정당화 되는 듯...
잡설이긴 하지만..
위 글에 따르면 보안 3총사의 존재의미가 정당화 되는 듯 한데요. 보안 3총사를 '의무사용'하도록 만드는 건 절대 반대입니다.
제 PC는 보안 3총사 없이도 잘 보호되고 있는데 믿음직스럽지도 않은 국산 보안 프로그램들 까는건 싫거든요. :)
키보드 보안 프로그램의 경우 커버 범위 같은건 세계적으로 인정받는 수준이라고는 하지만 다른 업체 프로그램끼리 충돌해서 브라우져가 죽으면 정말 짜증납니다. 안연구소 온라인 백신 같은건 카스퍼스키 같은 '진짜' 백신이 깔려있으면 아무런 의미도 없고... PC방화벽은 뭐래도 존재 의의가 없으니까요.
최근 방화벽이나 백신은 안깔아도 인터넷 뱅킹은 잘되는 경우가 많은데(openweb의 역할이 컸죠) 키보드 보안 프로그램의 경우 E2E 보안이다 뭐다 해서 인증 플러그인하고 연동해놓아 설치 안할 수가 없네요.
저는 HSM를 사용하고 있는지라 사실 PC가 침해당한다고 해서 왠만해서는 개인키가 노출되기 쉽지 않은데 강제 설치되는 키보드 보안 프로그램 때문에 시스템이 엉망이 되는 것은 참 짜증나는 일이더라고요.
그래서 제 PC 상에서 발생한 침해로 인한 금융사고는 직접 책임을 진다는 전제 조건에서 키보드 보안 프로그램도 설치 안할 수 있도록 제도가 개정되기를 바라고 있습니다. (키보드 보안 프로그램 관련된 건 법이 아니고 금융감독원 지침 입니다)
ps. 제 PC(정확히는 개인키)는 확실히 제가 지킬 수 있으니까 보안 3총사는 필요없다만, 중간 네트워크와 금융기관 시스템을 신뢰할 수는 없으니까 공인인증은 필요합니다. :)
My Passion for the Vision!
My Passion for the Vision!
또 SSL strip, MITM 드립인가요?
이 쓰레드 앞쪽에서는 브라우저 플러그인(ActiveX)을 쓸 수 밖에 없는 PKI 공인인증서 2번의 기능, 전자서명 '부인방지'에 대한
논의였는데요. SSL strip , OTP MITM 얘기로 논의가 흐려져버리네요.
현재 인터넷뱅킹에서 사용되는 공인인증서의 용도는 2가지 입니다.
1. 개인 신원인증
2. 전자서명(부인방지)
우선 SSL strip 은 개인용 클라이언트 SSL인증서를 사용하면 취약점이 없습니다.
지금 우리가 쓰고 있는 공인인증서가 바로 개인용 클라이언트 인증서입니다.
현재 인터넷뱅킹은 사용하는 공인인증서로 개인 신원인증을 하므로 SSL strip 취약점은 존재하지 않습니다.
그리고 공인인증서를 굳이 ActiveX 플러그인을 쓰지 않아도 브라우저 자체기능만으로 신원인증 기능을 포기하지 않고 쓸 수가 있습니다.
서버인증서로 서버를 인증하는 과정에 추가하여 개인인증서로 개인신원인증하는 과정을 SSL로 할 수 있습니다.
공인인증서를 변환해서 브라우저로 가져와서 SSL handshake 과정에서 클라이언트 인증서로 개인 신원인증을 할 수가 있는 거지요.
오픈웹의 주장은 공인인증서의 1.개인신원인증을 빼자는 게 아니라 2.전자서명(부인방지)를 빼자는 겁니다. (제가 이해하기로는...)
즉, SSL strip 얘기는 전혀 나올 필요가 없는 것입니다.
걸핏하면 나오는 SSL strip 드립이 이런 점을 모르고 하는 말인지
자신이 SSL strip 에 대해 잘 압시네 하고 자랑을 하고픈건지
아니면 일부러 논의의 촛점을 흐리려고 그러는 건지 당췌 알 수가 없군요.
또 OTP MITM 얘기도 나왔는데 세상에 MITM 에 취약하지 않을만 한게 어디 있습니까?
아주 General한 보안 취약성을 가지고 OTP만의 Specific한 취약성으로 주장하려드니 이건 말이 안되는 소리입니다.
보안업계 종사자나 보안기술에 밝다는 분들이 얘기하는 걸 보면 이런식의 기술적인 디테일을 가지고 트집을 잡아서
잘 모르는 사람을 기만하려 든다는 생각이 듭니다.
큰 것을 보지 않으려 하고 세세함에 집착하는 모습이 안타깝습니다.
----------------------------------------
Nothing left after Nirvana.
----------------------------------------
Nothing left after Nirvana.
제가 알기로는
youknowit님이 오픈웹의 김교수님입니다만, 지금 이 쓰레드에서 주장하시는 바는 생각하시는 것과 좀 다른 것 같은데요.
어떤 점이 다르다는 것인지요?
youknowit 님이 김기창 교수님인 것은 잘 알고 있습니다.
제가 쓴 윗 글이 오픈웹이 주장하는 바와 다르다고 하셨는데
어떻게 다르다는 건지 알려주시면 좋겠습니다.
----------------------------------------
Nothing left after Nirvana.
----------------------------------------
Nothing left after Nirvana.
인증서를 빼버리자는 주장이 아니라고 하셨는데..
공인인증서의 보안성은 SSL+OTP 보다 나쁘니 무용지물이며 부인방지 효과도 없다고 주장하시는데요, 그게 빼버리자는 것 아닌가요.
네 맞습니다.
현재의 공인인증서는 개인신원인증과 전자서명 용도로 쓰이고 있는 데 전자서명(부인방지)이 꼭 필요한 것인지를 논의하자는 것이지
공인인증서의 개인신원인증 용도를 빼버리자고 한게 아니자나요.
공인인증서를 빼자는 말이 뭉뚱그려서 개인신원인증용도까지 같이 빼버리자는 게 아니라는 겁니다.
전자서명(부인방지)를 안 쓴다고해서 개인신원인증까지 못 쓰게 되지는 않습니다.
이 부분을 좀 명확히 했으면 좋겠습니다.
----------------------------------------
Nothing left after Nirvana.
----------------------------------------
Nothing left after Nirvana.
이 글타래를 자세히 훓어보시고 말씀하시는 건가요?
이 글타래의 글 중 전문성이 떨어지는 억지 주장도 존재하는 것이 사실이나 XX드립이란 표현으로 매도해 버리는 건 너무한 처사 아닌가요?
몇번이고 글타래 내에서 반복해서 설명했는데요... openweb(혹은 openweb에서 활동하시는 분 중 일부)의 최근 목표는
공인인증없이 온라인 금융거래를 가능하게 하자
입니다. 그리고 그에 대한 근거로 다음 두가지를 제시했었습니다.
1. 공인인증(PKI)을 추가적으로 이용해봐야 SSL + OTP 조합에 비해서 조금도 보안적으로 우수한 점이 없다
2. 공인인증(PKI)의 부인방지는 OTP에서 안되지만 현 상황에서 부인방지는 큰 의미를 부여할 수 없다
SSL strip은 1번 주장에 관련된 이야기 입니다.
'웃는 남자'님이 참여했던 것은 2번 주장에 관련된 것이고요.
충분히 의미 있는 이야기가 오가고 있는데 갑자기 'XX드립 하고 있네~' 식의 글을 다시니 불쾌하네요.
ps. 간만에 openweb에 다시 들어가보니 youknowit 님께서 공인인증 기술은 좋은 기술입니다 라고 글을 올리셨네요. 제가 지금까지 적은 글에서 "openweb의 주장"이라고 인용한 것은 그동안 openweb 쪽에서 지속적으로 제기한 "공인인증 무용론" (“공인인증 쇼”는 이제 그만…, 인증서의 10가지 위험 등)을 말하는 겁니다.
My Passion for the Vision!
My Passion for the Vision!
공인인증서의 용도부터 알아야죠.
쓰레드가 너무 길어서 자세히 훑어보지 못하는 점은 죄송합니다.
저도 짬짬히 쓰는 거라
제 말은 논의의 촛점을 명확하게 하자는거죠.
공인인증서의 용도부터 명확하게 짚어야 논의의 의미가 있는거죠.
제가 오픈웹에서 공인인증서의 개인신원인증 용도도 같이 빼버리자는 내용을 본 적은 없습니다.
개인신원인증을 빼버리자게 아닌데 밑도 끝도 없이 SSL strip , MITM 같은 얘기가 왜 자꾸 나오는 지 몰겠습니다.
항상 공인인증서 이슈로 논란이 생기면 SSL strip 꺼내는 분들이 있는데
그분들이야말로 공인인증서의 용도와 오픈웹의 주장을 제대로 파악하셨으면 좋겠습니다.
----------------------------------------
Nothing left after Nirvana.
----------------------------------------
Nothing left after Nirvana.
전자서명의 보안적인
전자서명의 보안적인 기능이 없음을 말씀하시고 싶은거군요?
그냥 상식적으로 생각만 해봐도 전자서명은 BHO나 XSS공격에 의한 DOM수정에 대한 최종적인 방어수단을 제공합니다.
전자서명이 아직 브라우저에서 표준적으로 구현이 불가능한건 인정합니다. 그렇다고 엄연히 존재하는 방어수단을 빼자는건 우리보다 무조건 미국이 좋으니 우리도 의료보험 없애자 라는 MB식 의견과 다를게 뭡니까?
표준이 없으면 가능한한 표준과 유사하게 구현을 하는게 엔지니어적인 생각이죠.
모질라 계열은 Netscape 시절부터 내려오는 CLABSignString 이라는게 있고,
IE는 원래대로 ActiveX이나 Java Applet으로 하면 되고, 나머지 브라우저도 플러그인으로 구현하면 문제될 게 있나요?
ActiveX도 잘 구현하면 unobstructive 하게 사용할 수 있죠.
우리가 좋아하는 구글 제품들도 설치만 해도 설치용 ActiveX를 같이 설치합니다.
( http://code.google.com/p/omaha/ )
플래쉬도 ActiveX이구요. ActiveX가 문제가 아니라 ActiveX남용이 문제인거죠..
크롬에서 플래시,
크롬에서 플래시, 실버라이트, 미디어플레이어같은 액티브엑스는 미리 테스트하고 잘 돌아가는 것만 화이트리스트로 열어둔 것이지, 임의의 액티브엑스 설치한다고 돌아가는 거 아니예요.
예전에 --allow-all-activex 옵션으로 실행해서 깔아봤는데 죽어 나가던데요. 이건 테스트/디버깅 목적일 뿐.
(그 사이 크롬이란 말을 편집해서 지워버리셨군요...)
아. 저는 크롬 사용시
아. 저는 크롬 사용시 ActiveX가 설치된다는 말이 아니라 크롬 설치시 Google Update라 불리는 ActiveX가 설치된다는 말을 하려 한것이었습니다.
이런 오해가 있을까봐 수정한건데.. 죄송합니다. :$
기술적으로 "할 수
기술적으로 "할 수 있다"의 얘기가 아니라 실제로 "한다"의 얘기를 해 봅시다. 기술적으로 구현할 수 있는데 실제로 합니까? 안 하잖아요. 구현을 못 하는게 아니라 안 하거든요.
왜 안하냐면 각종 플랫폼 별로 플러그인 개발 비용은 커 지는데, 사용자가 소수이니까 은행이 투자 의욕이 안 생기죠. 사용자가 꽤 생겨도 머뭇거리게 되고 하다 보면 사용자들이 기존 플랫폼으로 쓸 수밖에 없어요. 그럼 사용자가 늘어날 때까지, 은행이 투자 의욕이 생길 때까지 기다려야 되나요? (저는 특정 업체에 의존하는 부분 없이 독립적으로 표준만 가지고 정말로 이 클라이언트를 호환되게 구현할 수 있다면 받아들일 수 있다고 말했습니다.)
생각해 보니 안드로이드 등 플러그인 설치 못 하는 플랫폼도 없는 건 아니군요.
실제로 '안하기'
실제로 '안하기' 때문에 기존 보안장치를 없애자는 시도는 제가볼땐 당위성이 부족해 보입니다.
차라리 법적으로 다양한 플랫폼을 사용하는 사람들에 대해 플러그인을 제공하라.. 라고 강제성을 만들어버리던지
아니면 그냥 국가 차원에서 전자서명용 표준 Framework을 제작해서 배포하면 또 모르겠네요.
(그냥 오픈소스 프로젝트로 국가차원에서 발주하고 ActiveX 및 NPAPI 로 구현해서 배포하면 될 것 같은데요. 투명하고 좋네요)
제가볼땐 이런건 다분히 정치적인 이슈이고, 이러한 정치적인 방향을 엔지니어들이 올바르게 가도록 유도를 해야지 마냥 표준 아닌거 다 걷어내라라고 하는건 제가볼때 은행이나 정부 그 어느쪽도 납득하기 어려울거라 봅니다.
저는 그래서 없애야
저는 그래서 없애야 된다고 주장하지 않았고요.
마치 플랫폼 별로 플러그인만 만들면 구현하는데 전혀 문제가 없는 것 마냥 말씀하셔서 그렇지 않다고 말씀드린 겁니다.
말씀대로 정확하게 플러그인 동작과 통신 방법을 표준화하고 독립적인 구현을 통해 만든 클라이언트의 사용이 허용된다면 저는 받아들일 수 있고 오픈소스 프로젝트 개설한다고 말했습니다.
이제 드디어 정리가
이제 드디어 정리가 된 것 같습니다. 기술적인 이슈도 어느정도 합의가 된 것 같고 미래에 구현될(구현할 수 있는) 현실에 맞는 이상적인 인터넷뱅킹 모델도 어느정도 공감대가 형성되었다고 판단해도 될까요?
결국 문제는 정부에서 이런 논의를 알고 있느냐. 은행은 알고 있느냐. 그리고 이것을 어떻게 전달하고 설득할 것이냐가 아닐까 싶습니다.
언론사 다 휘어잡고 땅파는건 그렇게 잘 추진하는데 ㅄ같이 이런건 왜 추진하나 제대로 못할까요. (주어는 없습니다)
아이폰 국내 도입 사례를 모범으로 삼고 뭔가 공감대를 형성해야하지 않나 싶은데.. 항의전화도 좀 많이 해주고요.
제대로된 정보를 전달하는 언론 플레이가 필요한 시점인 것 같습니다.
serialx님이 구현해야될 모델을 다시 정확하게 요약 정의해 주세요.
마무리도 깔끔하게..
현재 시스템과
현재 시스템과 보안적으로 동일한 선에서 최대한 표준에 가깝게 구현을 하면 됩니다. 구체적으로 가볼까요?
* EV SSL을 사용하는 것을 권장합니다. 그리고 사용자들에게 주소창을 항상 확인하도록 합니다.
* 좀 불편하겠지만 http:// 로 접속하면 직접 https:// 로 접속하라고 사용자들을 강제 교육시킵니다. http:// 에서 https:// 로 자동 포워딩을 하지 _않습니다_. http:// 로 접속하는 뱅킹 서비스를 이용 못하도록 합니다. -.-
* SSLStrip등에 대한 보호책으로 ActiveX or obfuscated javascript 등의 다단계 보호 시스템으로 https 연결 체크를 수행합니다.
* 보안 3총사(키보드, 방화벽, AV)는 강제하되 오프라인 동의서 등으로 사용자 개별적으로 bypass 할 수 있도록 합니다. 대신 해킹 피해에 대해서 본인이 해킹당하지 않았고 은행 서버가 해킹당했음을 증명하는 책임은 본인에게 있도록 합니다. (책임소재를 분명하게 나누도록 합니다) (펀드 투자의 위험에 대한 동의서에 싸인 해보신 적 있나요? 그거랑 비슷한 느낌)
* 개인 공인인증서를 브라우저의 기능을 사용하여 구현합니다.
* 단, 한국 공인인증 기관의 CA를 등록하는 과정은 ActiveX를 거치든 설치파일을 실행하든 최초로 한 번은 수행하여야 합니다.
* 그리고, ActiveX등의 기법을 사용하여 브라우저의 클라이언트 공인 인증서를 다루는데에 대한 불편한 UX를 편하게 만들어주는 한국형 Frontend 를 제작해 사용토록 합니다. (하위 UX 호환성 유지)
* 물론, 인증서 관리 ActiveX를 안쓰고도 사용할 수 있도록 합니다.
* 전자서명은 별도로 국가 차원에서 표준화된 스펙 아래에서 오픈소스 프로젝트를 수주하여 플러그인을 제작합니다. ActiveX와 NPAPI 두가지를 지원하는 설치파일 및 소스를 배포합니다. 그리고 오픈소스 프로젝트를 널리 알려서 국제적으로 사용될 수 있도록 홍보합니다. (찾아보면 아시겠지만 외국에서도 우리처럼 Form Signing 에 대한 수요가 있습니다)
* 궁극적으로는 브라우저에 전자서명 기능이 기본 탑재되도록 각종 브라우저 메이커를 적극 로비합니다. (모질라 계열은 이미 지원합니다)
* 결론적으로 개인 공인인증서를 IE/Windows 이외의 타 플랫폼에서 사용하려면 보안3총사를 안쓰겠다는 동의서에 서명하고 개인 공인인증서와 NPAPI 등의 플러그인 기술을 지원하는 브라우저에서 이용을 하면 되겠습니다.
딴지 대환영입니다. 이런내용 위키에 정리해주실 분 없나요? ㅠㅠ; 외국에서는 많이들 하던뎅..
몇가지 궁금한 점이
몇가지 궁금한 점이 있습니다. 몰라서 물어 보는 것이니 오해 없으시길 바랍니다.
전자서명 기능이 모질라 계열에 구현되어 있다고 하셨는데요, 그렇다면 다음의 몇가지도 현재 가능한
것인가요?
1. 현재 사용하고 있는 공인인증서를 파이어폭스에 등록하고 사용할 수 있다.
2. ActiveX없이 파이어폭스에 등록된 공인인증서로 전자서명을 할 수 있다.
그런데 앞선 글에서는 "전자서명이 아직 브라우저에서 표준적으로 구현이 불가능한건 인정합니다."
라고 하셨는데요, 구현되어 있지 않다는 것인지, 구현되어 있는데 표준이 아니라는 것인지 불명확합니다.
만일 구현되어 있는데 비표준이라면 그것을 표준으로 만드는 것이 왜 불가능한가요?
또는 표준이 있거나, 만들 수 있는데 구현이 불가능하다면 왜 그런가요?
파이어폭스로 전자서명을 할 수 있다면, 공인인증서를 발급받고 나서는 Active X 없이 자바스크립트 수준으로만
인터넷 뱅킹을 구현하는 것이 가능하다는 말이 되는 것인가요?
만일 이렇게 구현된다면 굳이 여러 플랫폼마다 플러긴과 같은 기능을 사용하지 않아도 될것 같은데요.
저는 가급적이면 브라우저에서 제공하는 기능으로 인터넷 뱅킹을 구현했으면 하고 바라고 있습니다.
브라우저에서 제공하는 기능으로만 인터넷 뱅킹이 가능하다면 본질적으로 사용자 PC에 또다른
프로그램을 강제로 설치할 필요가 없을 것으로 생각합니다.
파이어폭스의 경우는
파이어폭스 플러그인으로 해당 솔루션이 이미 개발되어 있습니다.
브라우저 표준으로 구현이 불가능하다는 얘기가 바로 각 브라우저 별 플러그인 방식으로 각각 개발해야 한다는 의미입니다.
제가 위에서
제가 위에서 ActiveX라고 표현해서 전달이 잘 안된 것 같네요.
제 말은 플러그인이 아닌 브라우저 자체의 기능으로 구현이 가능하냐는 말입니다.
제가 보기에는 ActiveX나 파이어폭스의 플러그인이나 본질적으로 제3자가 개발한
바이너리파일(물론 바이너리가 아닐수도 있겠습니다만)을 인스톨해야 한다는 점에서
별반 다르지 않은 것 같습니다.
웹브라우저만을 인스톨하고 나면 바로 사용가능한 기능으로 구현이 되어 있느냐는 뜻입니다.
플러그인으로 구현되어 있다는 것은 2번 기능이 안된다는 뜻으로 이해하겠습니다.
그리고 왜 구현이 불가능한지도 알려 주셨으면 좋겠습니다. 이쪽에 비전문가임을 감안해서
설명을 해주시면 고맙겠습니다.
다시 말해서 전자서명이라는 기능이 보안상 유리하다면 브라우저가 그런 기능을 가지고 있는
것이 문제가 되지 않는 것으로 보이는데, 왜 브라우저가 그 기능을 가지면 안되는 것인가에 대해서
궁금하다는 뜻입니다.
몇가지 좌표를
몇가지 좌표를 드리겠습니다.
1. keyword: crypto.signText, XAdES
2. https://bugzilla.mozilla.org/show_bug.cgi?id=29152
3. http://bozhobg.wordpress.com/2009/04/16/how-to-create-a-digital-signing-solution-with-only-javascript/
1.번에 대해서 좀더
1.번에 대해서 좀더 찾아보니, 공인인증서를 파이어폭스에서 인식하는 포맷 PKCS#12로 export하면
가능하다는 것 같은데, Windows XP에서 공인인증서를 export하려고 하니 PKCS#7 까지만 가능한 것 같고
PKCS#12는 지원이 안되는지 disable 되어서 나오는 군요. 그래서 export에 실패했습니다.
그렇다면 현재로서는 윈도우즈에서 공인인증서를 발급받고서 리눅스의 브라우저에 등록하는 것이 현실적으로
불가능 한 것이 아닌가요?
2.번의 경우는
대강 봐서 정확히는 모르겠지만, 이 버그리포트를 보아하니 자바스크립트로 formsigning 하는
기능이 동작한다는 것 같은데요.
이정도만 있으면 현재 인터넷 뱅킹에서 필요한 정보를 자바스크립트로만 구현해서 전자서명해서
보낼수 있는 정도 인지요?
만일 자바스크립트로만 구현하는 것이 가능하다면 정말로 은행 홈페이지의 스크립트만 바꾸면 인터넷뱅킹이 가능하다는 뜻이 되겠네요.
그러나 자바스크립트로만 전자서명기능을 구현하지 못한다면, 브라우저에 그 기능을 구현해 넣도록 압력을 행사하는 것이
좋은 방향으로 보이는데, 왜 브라우저에 그 기능을 넣지 못하는지 잘 이해가 가지 않습니다.
댓글돌이.
200플돌파!!
그냥 생각...
우리나라 인터넷 뱅킹 사고 대부분은 악성코드(바이러스 포함)때문인 것으로 알고 있는데
현재 공인인증체계가 아주 견고(?)해서 현재 인터넷 뱅킹 해킹하는 해커가 MITM을 안 하고
악성코드 배포에 의한 해킹을 하는지 MITM까지 갈 필요 없어서 인지는...???
개인적으로 악성코드로 컴퓨터가 장악되었으면 백약이 무효하다 생각됨.....
(백신으로 검출 안 되는 것도 있고 백신으로 가장한 악성코드도 있는 현실에서...)
제가 만약 인터넷 뱅킹 해킹당한다면 저도 현재 인터넷 뱅킹 해킹 당한 피해자들 처럼
제가 전자서명한 것이 아니라고 부인 할 것 같음
--
ActiveX가 없었다면 이렇게 악성코드와 부작용이 많을까 하는 생각.....
MS 자신도 아래 링크 처럼 ActiveX 문제점을 인지하고 있듯이
http://www.microsoft.com/korea/windows/compatibility/activex.mspx
개인적으로 MS에서 차후 MS윈도우에서는 좀 더 강력한 ActiveX에 대한 기능 축소가 필요하다고 생각됨
근데...
위쪽에 보면 SSL 은 안전하다.. 이런 가정하에서 많이들 말씀하시는데,
SSL 통신 도청을 위한 설비를 파는 업체도 있다고 합니다. 주 고객은 .. 각국 정부라는군요... 흠...
http://gizmodo.com/5501346/law-enforcement-appliance-subverts-ssl
http://www.eff.org/deeplinks/2010/03/researchers-reveal-likelihood-governments-fake-ssl
여기를 확인해 주세요.
저 기사대로라면 SSL 이 그다지 안전한 건 아닌 것 같습니다.
----------
저는 activex 든 ssl + otp 든 ... 안전하고 편하게 사용만 하면 좋은 end user 입니다.
---------
귓가에 햇살을 받으며 석양까지 행복한 여행을...
웃으며 떠나갔던 것처럼 미소를 띠고 돌아와 마침내 평안하기를...
- 엘프의 인사, 드래곤 라자, 이영도
즐겁게 놀아보자.
http://akpil.net
http://akpil.egloos.com
---------
귓가에 햇살을 받으며 석양까지 행복한 여행을...
웃으며 떠나갔던 것처럼 미소를 띠고 돌아와 마침내 평안하기를...
- 엘프의 인사, 드래곤 라자, 이영도
즐겁게 놀아보자.
[기고]공인인증서
[기고]공인인증서 논란, 무엇이 정말 문제인가?
http://www.boannews.com/media/view.asp?idx=20851&kind=1
___________________
http://blog.aaidee.com
재벌 2세가 재벌이 될 확률과
금메달리스트 2세가 금메달을 딸 확률이 비슷해지도록
자유오픈소스 대안화폐를 씁시다.
아이디의 아이디어 무한도전
http://blog.aaidee.com
귀태닷컴
http://www.gwitae.com
스마트폰, 보안문제
스마트폰, 보안문제 호들갑 원인 따로 있다
http://www.computertimes.co.kr/news/articleView.html?idxno=24803
"이처럼 잉카인터넷의 nPtotect가 비난과 비판의 글들이 쏟아지는 이유는 그동안 액티브엑스 기반의 인터넷 보안솔루션의 문제점들과 회사가 해킹당하는 등 보안업체로서는 상식적으로 이해가지 않는 점들이 너무나도 많았기 때문으로 지적받고 있다."
___________________
http://blog.aaidee.com
재벌 2세가 재벌이 될 확률과
금메달리스트 2세가 금메달을 딸 확률이 비슷해지도록
자유오픈소스 대안화폐를 씁시다.
아이디의 아이디어 무한도전
http://blog.aaidee.com
귀태닷컴
http://www.gwitae.com
페이지