조선일보가 가입자 이메일을 몰래 열어볼 수도 있습니다

오래 전에 warpdory님의 이 내용을 다른 곳에서 보고, 저도 그런 방식으로 비밀번호를 사용하고 있습니다.

그런데, 그 규칙이라는게 한 두세개의 패턴만 보면 잘 알 수 있는 그런 방식이 될 수 밖에 없지 않나요? 싸이트 주소를 보고 만드는 규칙이 있는건 참 좋은데, 그 규칙이 아무래도 쉬운 녀석이다보니, 이런 종류의 불안감도 생기더라구요.

http://lordmiss.com
MCP, NUS, Singapore

대부분 사이트 비밀번호 관리는 MD5등 역방향 추적 불가능한 해쉬함수한테

사용자가 입력한 비밀번호를 입력값으로한 해쉬값을 최종 DB에 넣습니다.

때문에 관리자가 DB에 있는 비밀번호 읽어봐야 사용자가 입력한 비밀번호의 해쉬값인데

역추적이 어렵다는 점때문에 일반적으로 어떤 비밀번호인지 알수가 없습니다.

로그인시 입력한 비밀번호는 MD5등으로 변환된 해쉬값 데이타와 DB에 저장된 해쉬값 데이타를 비교하므로써 이루어 집니다.

그래서 흔히 말하는 이 "비밀번호 찾기"는 새로운 비밀번호 예를 들면 숫자나 알파뱃 랜덤 생성후

그거로 패스워드를 삼아 이메일 전송해주고 최종 DB에는 MD5등으 이용한값으로 저장합니다.

보안 자체가 허술한 사이트에서 갑자기 암호화로 바꾸었네 의심하실 하등의 이유 없습니다.

비밀번호 찾기에서는 보안 이슈가 될만한 것이 몇가지 있습니다.

(1) 개인 PC가 안전하여 form submit하기전에 아이디와 비밀번호 가로채기가 가능한가?
(2) form submit시 비밀번호는 MD5로 미리 변환되는가?
서버 로그에서 비밀번호 찍어도 알수없어야 합니다.
(3) form 내용 전체가 암호화 되는가?
네트워크 구간에서 가로채도 알 수 없어야 합니다.
(4) 비밀번호가 담긴 이메일도 비밀번호를 지켜줄 적절할 보안 대책이 있는가?

이쯤에서 그러면 다른 사이트 왜 이리 허술하게 비밀번호 관리하냐고 하신다면,
보안에는 비용이 들며 사용자 편의성이 떨어지는 문제가 있다고 말씀드리고 싶네요.
만찬가지로 자신이 사장님 혹은 회장님 되어서 회사 웹사이트 운영한다고 쳐도,
다소 보안이 희생되어도 비용및 사용자 편의성때문에 허접하다는 사이트처럼 운영하실 가능성이 높다고 생각합니다.
나는 안 그래야지 하기가 참 어렵습니다.
보안 담당자는 마치 경계병 같습니다. 크래커는 저격수 같구요.
경계병도 사람인지라 약간 군기 빠질때도 있는데, 저격수(?)들은 그거 안 놓치거든요.

결론적으로 보안 신경안쓰는 사이트에서
비밀번호 알아내서 악용하네 마네 의심하지 마시구요.
가입하신곳의 관리자가 악용할수도 있지만 그 악덕 관리자 말고도 악용할 놈들은 널려있으니 스스로 지키시기 바랍니다.

참고 : http://kldp.org/node/116117

개인후기) MD5로 패스워드 저장할려고 프로그램 다 짰는데.. 어캐깨는지 잘 이해가 안가지만
간단히 깨지는것 같아서 한숨만 나와요....ㅠ.ㅠ