[보안/은행] '인터넷뱅킹' 첫 해킹사건, 거액 빠져나가

보안카드의 번호 역시 키보드로 입력했기 때문에 알 수 있었겠죠.. 기사에 언급된것처럼 낮아도 1/30 확률이니까요.
인증서는 다른 경로로 빼낸걸까요? 보안이란 역시 사람이 구멍인가봅니다..

결국 가장 낮은 수준인 script kiddie의 해킹조차도 막을 수 없었다는 얘기네요. 이번 기회에 ActiveX 플러그인의 보안 문제가 사회적으로 좀 환기되었으면 합니다.

이부분 언급하신게 참 위험한 발언이신데요;;;;
보안은 겨우 한두명이라고 평가할 항목이 아닌걸로 생각됩니다.....

키로거에 대해 자세히 몰라서 그러는데요,
이걸 근본적으로 차단하는게 가능한가요?

제 지식으로는 키보드(H/W) -> 키보드 드라이버 -> 커널(?) -> 응용프로그램 으로 키 입력이 전달되는데 크게 키보드 자체가 암호화되는 경우(혹은 키보드에 암호모듈을 연결하는 경우) 그리고 키보드 후킹을 방지하는(active-x형태로 설치되는 키보드 보안 프로그램들처럼) 두 가지 방법이 있는걸로 알고 있습니다.
그런데 하드웨어를 이용한 방법의 경우는 결국 후킹이 가능한게 아닌가요?
그리고 후킹을 감지하는 경우도 잘 알려진 후킹 모듈을 탐지할 수는 있지만 100% 막을수는 없다고 하는 글을 본 적이 있는데 혹시 잘 아시는 분이 계시면 설명 부탁드립니다..

아무 생각도 않고 깐 게 문제가 아니라,
그만큼 ActiveX라는 기술이 엄청난 위험성을 가지고 있음에도 불구하고,
하도 homepage들이 남발하는 바람에 일반사람들 입장에서는 ActiveX랑 보안은 별 상관없이 느끼고 있을 겁니다.
이점이 문제인데, MS에서는 기술 및 개발의 편이성만을 강조하지 위험성에 대해서는 거의 이야기가 없죠 -_-;;;

거기다가 은행들이 보안을 이유로 ActiveX를 설치하라고 강제하고 있죠 -_-;;;
그리고 더 많은 다른 site들이 자신들의 편의성을 위해서
ActiveX의 설치를 강제하고 있는 상황에서
(가끔 AciteX에 sign도 안한고 배포하는 회사들도 있더군요-_-;;;)

라고 무시할 만한 수준의 문제가 아니라고 생각됩니다.

MS에서 좀 더 안전한 ActiveX 기술로 버전업하던가,
아니면 사용자들에게 ActiveX의 기술의 위험성을 확실하게 전해서
조금이라도 믿을 수 없는 ActiveX는 설치하지 않도록 해야 하지 않을까요?

재미있는 논리군요 : D
근데 kldp에서 그런논리를 펴봤자 동조해줄 사람이 있을까요?:D

에라 모르겠다 달려라 달려~

정작 이 사건에 중요한 역할을 한 키로거에 대해서 말씀해주실 분은 없나요? :(

얼마전에 http://www.atfile.com 이 크래킹 되어서 어떤 파일이든 다운로드 받으려고 하면 무슨 키로그 프로그램이 다운 받아지기도 ㅤ했었고... 별 생각없이 실행시키면 .. 바로 노출되는 그런 일이 있기도 했었죠.

보통 pc 방 가면 키로거가 몇개씩은 깔려 있더군요...
전번에도 저쪽 자유게시판 쪽에 썼었는데... 출장와서 급히 메일 보낼 게 있어서 pc 방에 들어가서 체크해 보니깐 지워도 지워도 안 지워지길래... 일단 전화로 떼워놓고 나중에 처리한 적도 있습니다. 거의 20분 이상을 지워도 남아 있더군요... 몇번 리부팅 해도 남아 있고...

제 경우는 pc 방에 가더라도 최소한 3,4 가지 이상의 스파이웨어 제거 프로그램/백신 등등으로 치료하고, 그래도 혹시 모르기 때문에 로그인 해야 하는 게임 같은 건 안합니다. 그냥 워크래프트 3 컴퓨터랑 하거나 하면서 시간 떼우기나 좀 하는 거죠.

PC방에 키로거 같은게 깔려있을거라고 생각을 하긴 했는데..

예상보다 많이 깔려 있나보군요...
피씨방에서 인터넷 뱅킹 같은것은 안하지만...
웹메일 같은것은 사용하기도 합니다. 예라잇.. 내 메일 볼테면 봐라 하는 심정으로요... ㅡ.ㅡ; 위험한 생각이긴 하죠.. ^^

키로거 같은건... 메시지 후킹 정도만 하기 때문에 만들기 쉬울것 같은데.. 키로거 같은것을 우회하는것은 쉽지 않은 것 같습니다.

activeX같은걸로 디바이스 드라이버로 메시지 후킹하는 모듈이 윈도 커널내부에 설치될수도 있다고 하더군요.... 키보드 차원의 보안프로그램도 키로거가 하는것과 비슷하게.. 디바이스 드라이버 처럼 설치가 되어서 여러가지 꽁수(그게 뭔지는 모릅니당 ㅡ.ㅡ)를 통해서 구현한다고 하는군요..
정작 궁금한 것은 그 꽁수가 무었이냐 하는 것일텐데.. 아는게 없군요..

뭐.. 제가 그냥 하려는 말은 "디바이스 드라이버"프로그래밍만 전문적으로 하시는 분의 이야기로는 '얼마전에도 대형 소프트 회사에 그런 프로그램을 짜서 납품하기는 했는데.. 그 방법이라는게 근본적인 해결책은 되지 못한다'라고 말한 사실입니다. 그냥 후킹을 조금더 어렵게 만들어놓은 수준이다라고 말씀하시더군요...

사용하는 OS가 윈도가 되었던 리눅스가 되었던 보안이라는게 아무래도 사용하는 사람이 구멍이 되는 경우가 다수겠죠??
그나마 sp2이후에 activeX설치를 물어보고 설치하도록 되어있으니 많이 나아진거 같기는 합니다. 단 주의를 기울이는 사람들에 한해서!!

예전에 MS 기반에서 게임 보안 일을 잠깐 했었습니다. 대략 타 프로세스 메모리 임의 열람방지, 키로그 방지 기능 등을 작성했었습니다.

키로그는 크게 두가지 부류가 있는데, 윈도우 메시지 후킹 방식이랑 디바이스 드라이버 방식이 그 두 가지 입니다. 윈도우 메시지 후킹이 좀 더 윗단에 속하고 드라이버가 밑단이죠.. 몇 년 전 악명을 떨쳤던 백오리피스 등은 메시지 후킹 방식에 속합니다.

제가 키보드 드라이버 부분을 직접 담당한 건 아니지만, MS 기반은 구조가 아주 유연해서 키보드에서 프로세스로 키가 처리되는 과정과정마다 (서너개 정도의 레이어로 기억) 뭔가를 삽입해서 중도에 훔쳐볼 수 있었던 것으로 기억합니다. 문제는 무슨 모듈인가가 끼어 있어도, 이것이 도대체 키로깅을 하는 놈인지 다른 프로그램에서 키로그를 막으려고 하는 것인지 특수한 키보드 드라이버인지.. 알 수 없어서, 함부로 막을 수 없었던 것으로 기억합니다.

간단히 뭔가 비정상적인 게 설치되어 있는 경우, 실행을 중지하게끔 하면 되긴 하지만, 만일 그것이 키로그 프로그램이 아니었다면, 사용자 입장에선 난리나는거죠.. 멀쩡한 컴터인데 안된다고... 즉 설치된 것이 무엇무엇이다, 그것을 제거하려면 어떻게 해야 한다..이런 것까지 말 해 줄 수 있어야 실행을 중지시키는 정책을 적용할 수 있는데.. 그것이 완전히 case by case 라서 쉽지가 않죠.. 이렇게 보안이란 것이 사용자 편의성과 상충되는 측면이 있어서, 개발사 입장에서 의심간다고 해서 함부로 막을 수 없는 이런 애로 사항;;;이 있었습니다. (더군다나 사용자가 일반 대중들인 게임이나 인터넷뱅킹 같은 분야는 더욱 그러하겠죠..)

이래저래 개발 과정에서 키로거를 하나 둘씩 테스트 했었는데,, 이상했던 점이 은행 인증서 프로그램이 간단한 메시지 기반 키로그도 막지 못하는 것이였습니다. 국내에서 제일 큰 모 은행 (제 주거래은행ㅡ.ㅡ;;)에서 테스트를 해 봤는데, 드라이버 이런 거 없이 메시지 후킹 방식 순수 win32api 로만 작성한 샘플 키로거에 바로 노출이 되더군요....

제 생각에는 이것도 위에서 말한 애로 사항 때문에 그러지 않았나.추측을 했는데.. 아무튼 그 다음부터는, 저는 믿을 수 없는 곳에서 절대로 비번 그냥 치지 않습니다. 굳이 쳐야 한다면, 노트패드 같은 거 열어서 비번 랜덤하게 쳐 준 다음 마우스로 한글자씩 복사-붙여넣기 식으로 해 주고요..

이상한 프로세스 검사하는 분도 계신데, 프로세스 목록도, ProcessNextA () 같은 win32API 간단히 변조해 주면, 맘껏 속일 수 있기 때문에, 근본적으로 믿지는 않습니다. 몇 년 전 유행했던(?) 백오리피스.. 이런 프로그램들은 개발은 중지된 것 같지만, NT 기반으로 완전히 넘어간 지금도 아직도 효력을 그대로 발휘하고 있구요..

시간이 없어서 횡설수설;;했는데, 아무튼 아직까지는 최선책은 중요한 작업은 믿을 수 있는 PC에서만 한다..인 것 같습니다...

그렇다면 플랫폼이 원도우즈이든 리눅스든, 혹은 맥이나 기타 비교적 소수의 사용자들이 사용하는 플랫폼의 대부분을 (전부 다가 아니라도...) 아우르면서 비교적 상당한 수준의 보안을 제공하는 기술적인 방법에는 어떤 것이 있을까요?

문득 포스팅된 글들을 읽다보니 생각이 났는데, 아무리 생각해봐도 별다른게 떠오르지 않네요. :oops: 그만큼 그동안 별생각이 없았다는 뜻이겠지만요... -_-

애플릿이 그 대안이 될까요? 아니면 요즘 거론되지 시작하는 X-Internet 정도면 될까요? 너무 궁금합니다. 그 대안으로는 어떤 기술이 있을까요?

간단하게 인터넷 뱅킹을 구현한다고 가정해본다면 말이죠.
먼저 SSL 은 일단 기본으로 들어가야 할테고...
보다 폭넓은 지식을 가진 분들의 의견을 구합니다. ^_^

글타래의 본론으로 돌아가서, 전산인으로서 할 소리가 아닌지도 모르지만, 그나마 가장 나은 최선책은 지장(指章)/b]과 [b]창구만 사용하는게 아닐까 합니다.

buff님 정보 감사합니다 :)
잠깐 검색을 해봤더니 키보드 입력을 가로채는게 여러 단계에서 가능하네요.
익스플로러를 쓴다고 가정했을때 키보드 입력은

키보드MCU -> I8042포트 드라이버 -> kbdclass드라이버 -> 시스템 메세지큐 -> 쓰레드 메세지큐 -> MSHTML.DLL 대략 이런 과정으로 전해진다고 합니다. (어떤 안티키로거 pt자료에서 슬쩍;;)

과정이 많으니 구멍도 많아서 막기가 쉽지않아보입니다. MSHTML.DLL을 통해서도 입력폼값을 가져올 수 있다네요. 흔히 인터넷 뱅킹을 할 때 설치되는 activex형태의 안티키로거들은 kbdclass단에서의 후킹을 막는 수준이 아닐까 생각해봅니다. 어떤 은행은 공인인증서창이 뜰 때 안티키로거가 작동하는데, 이 때 몇초~몇십초 정도 마우스 포인터와 키보드 포커스가 사라져버리는 현상이 생기기도 하더군요. 아무래도 신뢰가 가질 않는... ==3=3

결국 사용자 시스템에 설치된 해킹 프로그램은 activex 는 아니고
(아마추어가 인증서로 인증된 activex 를 만들기는 힘들겠죠..)

실행파일이 실행된 거군요... 뭐 막을 방법이 없네요..

저는 인증서를 스마트 카드에 넣어놓는게 궁극의 해결책이 아닌가 생각합니다.
그리고 스마트 카드를 작동시킬때는 암호를 넣구요.

스마트 카드 빼돌리면 되잖냐. 잘때 빼가거나.
-->암호를 넣어야 구동되게 하면 되죠.

암호를 넣는다구? 그거 그럼 역시 키로거에 걸리잖냐? 나머진 스마트 카드만 빼돌리면 되네?

그래서 또 생각해볼 수 있는게 뭐냐먼 스마트 카드에 키패드가 달려있어 이 키패드로 인증서를 가동하는 거죠.(추가: 편집증 적인 분을 위한다면 키패드의 자판 배열이 다이나믹하게 바뀌는... 영화에서 보는 자주 어떤키가 눌렸다는 것을 알아내서 추측하는걸 막아보자?...) 태양광을 이용한 자그마한 계산기가 몇 천원에 팔리는 걸 보면... 비용 그리 비싸 보이지 않습니다.

**) 신용카드 슬쩍 빼가기만 하면 맘것 쓸수 있는 금융시스템이 수십년간 유지되는걸 보면 이번 건으로 뭔가 확 바뀔것 같지는 않습니다. :cry:

기업고객은 USB키를 인증서 대신에 쓰더군요.

설치하는 것이 귀찮지만 최소한 인증서가 복사, 도난 등의 사고를 당하는 것은 방지되는 것으로 알고 있습니다.

자세한건 모르겠구요.

자동차 사고로 죽는 사람이 많아 이 사고를 줄일 수 있는 방법이 없을까 많은 엔진니어들이 연구중입니다.

거기다 대고 한마디 해주세요. 한국 자동차 연구인 모임 같은데 있을겁니다.

아.. 그거군요. 어쩐지.. "클릭하는 순간 설치되도록 했다" .. '다운받아 설치하도록 꼬셨다' 군요.

생각해보니 플러그인이고 자바고 다 필요 없네요..

근데, 공인 인증서는 우리나라에서만 쓰는건가요?

공인인증서는 다른 나라들도 많이 씁니다.
다만, 우리나라처럼 광범위하게, 그리고 윈도즈용만 있는 경우는 별로 없습니다.

얼마전 뉴스를 보니 우리나라에서 공인인증서가 1000 만장 발행됐다더군요. 미국이 그 다음인데, 300 만장 정도라니깐.. 인구 비례로 보면 허벌나게 많이 발행된 것이지요.

ActiveX 보안 모듈이 스크립트 키드들이 쓰는 수준의 키로거를 제대로 걸러내지 못한다면, 국내 인터넷 상거래의 안전도가 아마존의 인터넷 쇼핑 혹은 HSBC의 인터넷 뱅킹보다 더 안전할 것이 없습니다.

보안모듈은 괜히 애꿎은 파폭이나 수상한 프로그램으로 생각하고 -_-; 집에서 인터넷 뱅킹할때 IE와 파폭을 같이 띄우면 뭐라뭐라 그러더군요.

그동안 과연 ActiveX 보안 모듈이 얼마나 대단하길래 이거 못쓰는 동네에서는 인터넷 뱅킹도 못하게 하는가... 의구심이 들었는데, 오늘 사건에서 단적으로 그 무용성을 드러내 주는군요.

키로거 검출도 잘 안되는 ActiveX 보안모듈의 무용성은 확실히 옳은 지적인데, 그걸 걸고 왜 MS를 공격하냐고 신경질 내는 Anonymous 님이 더 이상한거 아닌지...

ActiveX 기술 그 자체의 결함을 말한 것이 아닙니다. 현재 소위 "보안"이란 굴레 하에 국내 금융거래는 모두 IE와 ActiveX 보안모듈를 이용해야 하며, 그로 인해 Windows 사용자가 아니면 인터넷 뱅킹 심지어는 학교 포탈에도 접속못하는 일이 벌어지고 있죠. 그정도의 대가를 지불하고 사용하는 보안 모듈이 키로거도 검출못하는 사태가 일어났는데, 보안 모듈을 굳이 ActiveX란 극히 플랫폼 종속적 솔류선을 검토해야 하는 이유가 있냐는 것입니다. 암호화가 이유라면 굳이 ActiveX만을 이용해야 할 이유는 없습니다.