은행이나 카드사, 통신사의 인터넷 요금등의 고지서를 이메일로 받아보시는 분이 많을꺼라고 생각합니다. 그런데, 첨부를 열어보면 대부분(아니, 사실상 전부)의 경우 주민번호를 요구하는 ActiveX를 설치하는데, 이것 설치해서 주민번호를 입력 하시나요?
전 아무래도 피싱같아서 전화해서 보안 없이 보내달라고 하거나 무시하는 편인데, 어떻게들 하시나요?
제 생각에는 이메일이 plain text로 전송되기 때문인것 같습니다. 카드 사용내역도 나름 중요한 개인정보이기 때문에 평문으로 그냥 보내면 정보가 노출될 가능성이 너무 크니까요. 그래서 고객의 주민번호 뒷자리를 비밀키로 해서 이메일 내용을 암호화하고, 고객 PC에서 복호화해서 보여주려니 액티브엑스가 필요했던게 아닐까 싶습니다.
카드 명세서 보안 이메일은 실은 오히려 보안을 약화시킵니다.
두 가지 이유에서 그렇습니다.
첫째는 위에 여러분이 말씀하신 것처럼 피싱 가능성 때문에 그렇습니다. 공격자가 카드사와 유사한 메일을 만들어 뿌리면 주민번호 전체 혹은 뒷자리를 자동 수집하는 용도로 쓸 수 있습니다. 이는 특정 대상인이 아니라 무차별 수집용입니다.
둘째는 암호를 수동 설정할 수 없고 주민번호 뒷자리라는 것에서 기인하는데, 주민번호 뒤 7자리는 성별코드 한 자리, 지역코드+일련번호 다섯 자리, 검증 번호 한 자리이므로 사실상 다섯 자리 수입니다. 고로 단 10만 번(성별을 모를 경우 20만 번, 2000년대 출생자는 카드가 없을 것이므로 논외)의 전수 공격(brute-force)으로 특정한 보안 이메일의 암호(즉, 해당자의 주민번호 뒷자리)를 알아낼 수 있습니다.
따라서 서버-서버 구간이나 서버-클라이언트 구간에서 메일이 탈취되었을 경우 비보안 이메일이라면 그냥 카드 사용 내역만 공격자에게 노출되지만, 보안 이메일이라면 카드 사용 내역+주민번호 뒷자리가 노출됩니다.
위 내용의 전수 공격 횟수를 정정합니다. 주민번호의 검증 번호는 생년월일까지 계산에 들어가므로 생년월일과 성별을 모를 경우 전수 공격에 필요한 횟수는 200만 번, 성별만 알 경우 100만 번입니다. 생년월일과 성별을 알아야 10만 번이 됩니다(성공 기대값은 각각 절반). 단, 10만 번이든 100만 번이든 요새 개인 컴퓨터로도 금방 계산 가능한 것은 마찬가지입니다.
피싱의 먹이가 될
피싱의 먹이가 될 가능성이 있고, 스마트폰을 무시하는 처사네요.
___________________
http://blog.aaidee.com
재벌 2세가 재벌이 될 확률과
금메달리스트 2세가 금메달을 딸 확률이 비슷해지도록
자유오픈소스 대안화폐를 씁시다.
아이디의 아이디어 무한도전
http://blog.aaidee.com
귀태닷컴
http://www.gwitae.com
아무런 생각않고
아무런 생각않고 열어봅니다.
(좀 대충 살아도 된다고 생각되는데...)
그리고는 청구금액을 보며, 한숨을 쉽니다.
피싱이라 생각되면
피싱이라 생각되면 잘못된 주민등록번호를 먼저 입력해보면 되지 않을까요.
물론 13자리를 요구하는 경우에는 생성규칙에는 맞는 번호를 입력해야 겠지요.
설치되는 ActiveX부터
설치되는 ActiveX부터 의심되지 않나요? 얘네들이 왜 이걸 이렇게 만들었나 신기합니다.
이런 식이라면 메일 보내는 사람과 내용을 대충 비슷하게 만들어 불특정 다수에게 뿌리고 백도어가 담긴 ActiveX를 함께 배포하면 상당한 PC를 낚을 수 있을꺼 같은데...
아 이런, 바보 소리를
아 이런, 바보 소리를 했군요. 정말 그렇네요.
메일 본문에 사용자가 미리 입력해둔 문장을 보여주어 발신자를 증명한다거나...
하는 것보다도 ActiveX를 걷어내는게 근본적인 해결책이겠군요.
대체 왜 이용자의 PC를 못믿어서 키보드 보안을 강제로 설치하고,
대체 왜 이용자의 메일 계정을 못믿어서 주민번호를 다시 묻고... 그러는지 모르겠습니다.
이럴바엔 보안카드가 보관되어 있는 제 방을 못믿겠다고 경보기나 좀 달아줬으면 좋겠네요.
제 생각에는
제 생각에는 이메일이 plain text로 전송되기 때문인것 같습니다. 카드 사용내역도 나름 중요한 개인정보이기 때문에 평문으로 그냥 보내면 정보가 노출될 가능성이 너무 크니까요. 그래서 고객의 주민번호 뒷자리를 비밀키로 해서 이메일 내용을 암호화하고, 고객 PC에서 복호화해서 보여주려니 액티브엑스가 필요했던게 아닐까 싶습니다.
======================
BLOG : http://superkkt.com
======================
BLOG : http://superkkt.com
답변 채택했습니다.
답변 채택했습니다. 공감 +50 드리겠습니다.
--------------------------------
윈도위의 리눅스 윈도위의 윈도우 리눅스위의 익스플로러
--------------------------------
윈도위의 리눅스 윈도위의 윈도우 리눅스위의 익스플로러
그래도 ActiveX는 너무
그래도 ActiveX는 너무 무식한 방법입니다.
잘은 모르나 메일 클라이언트에는 대부분 인증서와 같은 보안메커니즘이 있다고 알고있습니다.
혹시 메일 클라이언트의 보안 메커니즘에 대해 알고계신분 계신가요?
혹은 메일 서비스 업체에서 제공하는 보안 메커니즘에 대해 알고계신분 계신가요?
문제는 서버 <-> 서버
문제는 서버 <-> 서버 구간이 평문 전송인 것이 문제라면 문제라고 할 수 있습니다. 모든 SMTP가 ssl/tls 를 서비스 하고 있다는 가정을 할 수 없기 때문에 relay 서버는 목적지의 25번으로 평문을 발송할 수 밖에 없는 것이 문제라고 할 수 있지요.
저도 확인 방법이 Active X 인 것이 마음에 들지는 않지만, 이런 문제 때문에 어떻게 보면 묵인을 하고 있는지도 모르겠습니다. 다만.. 저 역시 평문 재발송 요청을 하고 있네요 ^^;
그냥...단순하게... 암호걸은 zip 파일 첨부는
그냥...단순하게...
암호걸은 zip 파일 첨부는 어떨까요.
메일 발송자가 액티브X 같은 이상한 방식을 사용하지 말고 그냥 단순하게....
명세서.pdf 파일을 zip 으로 암호 걸어서 압축하면 될텐데.
저는 보통 파일로 받고 있습니다.
KB카드를 사용중인데 기본설정은 ActiveX를 요구하는데
KB카드 홈페이지 가서 설정을 하면 청구서를 첨부파일로 html로 보내줍니다.
그거 다운로드해서 사용내역만 볼수 있게 하니 리눅스에서 편하게 내역을 관리하고 있습니다.
=================================
이제는 앞만 보며 전진해야만 할뿐.......
BLOG : http://khmirage.tistory.com/
==================================================================
정체된 일상.... 계기를 만들어야 하는데........
BLOG : http://khmirage.tistory.com/
문제점은
위에서도 말하셨지만 엑티브 엑스를 다운받게 만드는것이 문제점입니다.
http://openlook.org/blog/2007/04/14/cb-1164/
이글을 보시면 안써도 가능할것도 같은데 말이죠.. ㅎㅎ
안쓰면 ....뭐 해독할 다른 방법이 필요할까요? ㅎㅎ
역시 가능하긴 하군요..
암호화 툴이야 거기서 거기일테고..
근데 email 계정이 누구껀지도 쉽게 알 수 있을텐데 주민번호 뒷자리는 정말이지 안습이네요.
PGP를 이용해 email을
PGP를 이용해 email을 암호화 하는 방법이 있네요. 한번 써보고 다시 댓글 달겠습니다.
http://enigmail.mozdev.org/home/index.php
http://www.encryptedemail.org/how-to-encrypt-your-email-using-thunderbird-and-pgp/
삼성카드는 메일에
삼성카드는 메일에 첨부된 파일이 청구서가 아니라 청구서를 볼수 잇는 페이지로 가는 게이트웨이 입니다.....
(먼산)
그 파일이 없이는 청구서 페이지를 못 들어가더라구요.
어떤카드는 평문으로 못보내준다더군요.
어떤카드는 평문으로 못보내준다더군요. 정책상...(H카드였던가?)
흠...
대놓고 사기치기의 가장 첫번째 해당하는 내용이네요.
http://blog.daum.net/_blog/BlogTypeView.do?blogid=0Y8jn&articleno=8&categoryId=2®dt=20110315150145#ajax_history_home
쩝. 고객이 어떻게 당하든 기업 입장에서는 관심이 없는거죠.
카드 명세서 보안 이메일은 실은 오히려 보안을 약화시킵니다.
카드 명세서 보안 이메일은 실은 오히려 보안을 약화시킵니다.
두 가지 이유에서 그렇습니다.
첫째는 위에 여러분이 말씀하신 것처럼 피싱 가능성 때문에 그렇습니다. 공격자가 카드사와 유사한 메일을 만들어 뿌리면 주민번호 전체 혹은 뒷자리를 자동 수집하는 용도로 쓸 수 있습니다. 이는 특정 대상인이 아니라 무차별 수집용입니다.
둘째는 암호를 수동 설정할 수 없고 주민번호 뒷자리라는 것에서 기인하는데, 주민번호 뒤 7자리는 성별코드 한 자리, 지역코드+일련번호 다섯 자리, 검증 번호 한 자리이므로 사실상 다섯 자리 수입니다. 고로 단 10만 번(성별을 모를 경우 20만 번, 2000년대 출생자는 카드가 없을 것이므로 논외)의 전수 공격(brute-force)으로 특정한 보안 이메일의 암호(즉, 해당자의 주민번호 뒷자리)를 알아낼 수 있습니다.
따라서 서버-서버 구간이나 서버-클라이언트 구간에서 메일이 탈취되었을 경우 비보안 이메일이라면 그냥 카드 사용 내역만 공격자에게 노출되지만, 보안 이메일이라면 카드 사용 내역+주민번호 뒷자리가 노출됩니다.
(위 글 정정)
위 내용의 전수 공격 횟수를 정정합니다. 주민번호의 검증 번호는 생년월일까지 계산에 들어가므로 생년월일과 성별을 모를 경우 전수 공격에 필요한 횟수는 200만 번, 성별만 알 경우 100만 번입니다. 생년월일과 성별을 알아야 10만 번이 됩니다(성공 기대값은 각각 절반). 단, 10만 번이든 100만 번이든 요새 개인 컴퓨터로도 금방 계산 가능한 것은 마찬가지입니다.