| 언제나 공사중!

보안서버 설치-> 호스팅 업체는 죽으라는 이야기?

Category : 컴퓨터와 생활 ..... 작성일 2007/03/09 18:08

얼마전에 정부에서 개인 정보를 다루는 사이트에 대해서 보안서버를 설치하라는 소리를 했다. 그리고 최근에는 없는 사이트는 검열에 들어가겠다고 했다. 근데, 여기서 문제. 아주 심각한 문제를 발견했다. 국내에 사이트가 몇개라고 생각되는가?

보안서버를 설치해야 하는 사이트가 몇개라고 의심되는가? 법에 포함되는 모든 서버를 지정해야 한다면, 내 생각에 128*255*255*255 개는 넘을 것으로 예상된다. 왜 갑자기 이 이야기를 하느냐고? 자... 다음 문서를 보자.

Configuring Server Bindings for SSL Host Headers (IIS 6.0)

Windows 2003에 있는 IIS 6.0에서 다중 SSL을 설치하는 방법이 나와있는 문서다. 근데 여기서 잘 봐야 한다. 주의해서 봐야할 부분은 바로 처음에 있는 다음 부분.

Important
You must configure secure bindings for all SSL-enabled Web sites that use the wildcard server certificate to prevent unauthorized use of the certificate.

왜 위의 내용이 중요한가하면 바로 wildcard server certificate라고 되어 있다. 위 말의 뜻을 풀어보자면,

CASE A
IP : 1.1.1.1
- 가상서버1: a.test.com
- 가상서버1:b.test.com
- 가상서버1:c.test.com
인증서 : *.test.com

위의 CASE A의 설정을 가진 서버가 존재한다면 *.test.com 인증서를 사용하여 가능하다는 뜻이다. 하지만, 다음과 같은 CASE B 서버의 경우에는

CASE B
IP : 1.1.1.1
- 가상서버1:www.testA.com    인증서1 : www.testA.com
- 가상서버2:www.testB.com    인증서2 : www.testB.com
- 가상서버3:www.testC.com    인증서3 : www.testC.com

적절한 인증서를 찾지 못한다는 결론이 나온다. 그리고... 실제 테스트 해보니 다중 인증서 설치는 되나 다중 인증서를 찾아 적용하는 작업은 진행이 안된다. 자체 서버를 가지지 못하고 호스팅을 받는 회사는 SSL을 통한 보안 서버의 구축은 불가능하다. 호스팅을 받으면 ActiveX를 통해 보안서버를 구축하는 길을 찾던지, 자체 IP를 받던지하는 두개의 길만이 남았다.

왜 이것이 안될까? 이걸 알려면 HTTPS의 구조를 보면 된다. 결론부터 말하면 HTTPS는 Host Header 부분이 없다. 따라서 가상 호스트로 등록될 수 없고, 그 결과 웹서버는 인증서 검색에서 에러가 발생할 수 밖에 없다. (왜냐.. 헤더를 검색하는 방법이 없으니까...)보다 자세한 HTTPS에 대한 내용은 RFC 2660을 참고해봐라.

이것이 왜 큰 문제인가 하면 ActiveX로 보안서버를 구축하는 경우 대부분은 SSL을 도입하는 것보다 더 큰 비용이 들고, 이 ActiveX는 현재 Windows Vista 및 윈도우 with IE가 아닌 환경이라면 문제발생 소지가 크다(알겠지만 ActiveX는 표준 기술도 아니고 이제는 버려야할 기술이다) 설령 서버를 따로 나간다 할지라도 그 모든 회사에 부여될 IP가 넉넉하게 있기나 할까? 전 세계의 IP를 한국에서 모두 소탕해버리는 결과를 낳는건 아닐까?

이 법을 만든 애들이 기술적 제한 사항을 생각하지 않고 얼마나 생각없이 만들었는지, 얼마나 모르고 만들었는지 바로 티를 내는 그런 법 아닌가!

PS. IIS 5.0에서는 아예 되지도 않는다.
PS2. 아파치라고 예외는 아니다.

Trackback(0) : Comment (15)

트랙백 주소 :: http://www.daegul.com/trackback/2511315

댓글을 달아 주세요

정호씨ㅡ_-)v 2007/03/09 21:21 수정/삭제 댓글쓰기 댓글주소

분명 저거 한 사람들은 전산전공한 사람이 아닐거라는;;;
- 데굴대굴 2007/03/11 10:49 수정/삭제 댓글주소
  
  나름데로 공부(전자는 -에서 +로 간다)를 한 사람들일지도 모릅니다. -_-a
문스랩닷컴 2007/03/09 21:27 수정/삭제 댓글쓰기 댓글주소

아마 공무원시험으로 대체(?)했을 듯;;;;
- 데굴대굴 2007/03/11 10:50 수정/삭제 댓글주소
  
  공무원 시험보면 SSL 설치 안해도 되는건가요? (털썩)
아르 2007/03/09 22:34 수정/삭제 댓글쓰기 댓글주소

SSL인증서 팔아서 돈 좀 만져보겠다는 하위기관의 개수작이라고 들었는데...ㅡ,.ㅡ...
- 데굴대굴 2007/03/11 10:53 수정/삭제 댓글주소
  
  제 블로그에서 태그에 있는 "보안서버"를 클릭해보시면 관련 글이 몇개 있긴 있습니다만... ^^
  
  개수작까지는 아니고, 헛짓거리 정도는 되는거 같던데요. 근 4~5년 정도 관련 법을 몇개 보면서 드는 느낌은 '대충 이렇게 하면 되지 않을까?'라는 생각을 합리적인 검토없이 만드는게 법!이 아닐까라는 의심이 들고 있습니다.
toice 2007/03/10 09:19 수정/삭제 댓글쓰기 댓글주소

정말 아무렇게나 만든 티가 나네요 -_-;;;;
- 문스랩닷컴 2007/03/11 06:23 수정/삭제 댓글주소
  
  마자요. 대굴님
  홈페이지 공사 언제 끝나나요?
  
  ㅋㅋ.
- 데굴대굴 2007/03/11 10:56 수정/삭제 댓글주소
  
  toice// 생각을 검토는 저쪽 안드로메다에 버리고 구체화하지 않은 법이 얼마나 많은 사람을 피곤하게 만드는지 생각좀 했으면 좋겠습니다.
  
  문스랩닷컴// 제 블로그도 아무렇게나 만들긴 했습니다만, 그래도 불편한 정도는 아니죠. 최소한 저런 법보다는 잘 만들어졌다고 자부하고 있습니다. -_-a
- toice 2007/03/12 10:42 수정/삭제 댓글주소
  
  저는 저 법을 얘기한건데 문스랩닷컴님은 다른 말씀을..;;
- 데굴대굴 2007/03/12 13:22 수정/삭제 댓글주소
  
  toice// 저 분 원래 저런 분이니 그려러니 하시는 것이..... (뭐, 저도 그다지 다른건 아닙니다만....-_-)
2007/03/15 17:45 수정/삭제 댓글쓰기 댓글주소

비밀댓글 입니다
- 데굴대굴 2007/03/15 18:00 수정/삭제 댓글주소
  
  제 글을 보셔도 되고 링크 시킨 글도 잘 보세요. Important에 wildcard server certificate라는 단어 안보이십니까? wildcard가 *를 뜻한다는건 알고 계시겠죠?
  
  네트워크 프로토콜에 대해서 공부해보셨다면 RFC 2660을 끝까지 읽어보시길.... SSL은 패킷의 IP를 암호하는거지 Host Header 이후의 부분만 암호화하는게 아닙니다.
  
  참고로 현재 보안서버를 설치하라고 배포되는 문서(PDF문서)에 있는 것도 제가 말한 wildcard server certificate부분만 빠져있습니다.
Cooolguy 2007/03/16 11:14 수정/삭제 댓글쓰기 댓글주소

네, 다시 확인해보니 말씀하신 내용이 맞네요. 좋은 지적 입니다.
- 데굴대굴 2007/03/16 20:19 수정/삭제 댓글주소
  
  국가에서 시책으로 내놓는거면 부디 정상적인 내용을 싣어줬으면 하는게 제 바램을 뿐입니다. 가이드라인과는 조금(?) 차이가나니 원.... 나중에 뒤통수 맞기 싫어요. -_-a

인증서.. 오히려 더 위험?

Category : 컴퓨터와 생활 ..... 작성일 2007/02/08 14:49

CA, SSL, 보안, 인증서

오늘 점심 먹고 잽싸게 들어와서 기사를 쭉 훓고 있는데, ZDNet에 아주 관심있는 기사가 올라왔더군요. 바로 다음 기사들 입니다.

내용은 아주 단순한 내용입니다. 국내 보안 소프트웨어 업체가 불필요한 인증서를 발급했으고, 이로 인하여 루트 인증서를 발급했기에 안전하지 못한 인증서로 인하여 보안상 문제가 될 가능성도 있고, 추가로 루트 인증서의 발급은 국내법에 어긋난다는 내용이지요.

여기에 나온 인증서를 보는 방법은 일단 은행권 사이트에 가신 후에 공인인증서 관리쪽에 가셔서 인증서 관리를 누르시면 창이 하나 뜰겁니다. 여기 보시면 "개인", "중개 인증기관", "신뢰된 루트 인증기관" 탭이 있는데, 이 중에서 문제가 되는건 바로 "신뢰된 루트 인증기관"입니다.

제가

알기론 국내법상 루트 인증서를 발급하기 위해서는 국가의 허가를 받아야하는 것으로 알고 있는데, 이를 우회하여 설치하였으니 문제가 되는 것이죠. 이 인증서가 우리가 쓰는 서버인증서와는 조금 다른 ActiveX기반의 SEED 인증서이기에 회피할려면 [사설 인증서]라고 얼버무리면 얼마든지 회피는 가능합니다만, 어찌되었든 이 인증서를 인식하기에는 사설 인증서가 아닌 공인인증서 레벨이므로, 논란이 계속 있을 것 같네요.

PS1. 제 PC에 있는 인증서를 보니 "한빛은행 CA"도 "신뢰된 루트 인증기관"에 등록되어 있군요.
PS2. 이런 기사를 볼 때마다 한국의 IT가 얼마나 비 정상적으로 대충 구현되었는지 알게되서 씁쓸해지는군요. 피휴.....

Trackback(0) : Comment (19)

트랙백 주소 :: http://www.daegul.com/trackback/2511286

댓글을 달아 주세요

Lane 2007/02/08 15:15 수정/삭제 댓글쓰기 댓글주소

뭐 대략은 알려져 있던 내용들인거 같은데, 액티브 엑스라는 자체가 어차피 위험에 항상 노출이 될 수 밖에 없다고 하더라구요.
우리나라 인터넷은 한 번 확 갈아 엎을때가 왔어요.
- 데굴대굴 2007/02/08 15:17 수정/삭제 댓글주소
  
  우리나라 인터넷을 확 갈아 엎을때 무엇을 팔면 때돈을 벌 수 있을까요? 쟁기나 트랙터를 파는게 효과적이지 않을까요?
眞心 realmind 2007/02/08 16:38 수정/삭제 댓글쓰기 댓글주소

ActiveX 라는 것 자체가 원래 표준화되지 않은 것이고,
보안상으로도 취약한 부분이 많은데..
다른 나라는 그렇지 않은데 우리나라만 유독 마소에 빠져서 ActiveX로 다 도배하고 덕분에 마소에서 헤어나오지 못하고 있죠..
문제가 생각보다 심각하죠..
- 데굴대굴 2007/02/09 09:03 수정/삭제 댓글주소
  
  마소에 종속된건 둘째 치고, 기본적인 부분부터 지키지 않은 업체의 잘못은 더 심각한 사항입니다. 믿지 못할 업체를 신뢰한다고 해버렸으니, 최악의 경우 해당 업체가 문제를 일으키는 경우 최.다.날.아.가.는.겁.니.다.
nagne 2007/02/08 16:45 수정/삭제 댓글쓰기 댓글주소

우리나라는 사건이 터지지 않는한 보험을 아깝게 생각하는 경향이 있죠..
- 에드 2007/02/08 19:10 수정/삭제 댓글주소
  
  요즘은 뉴스나 신문에 보도되지 않으면 터져도 가만히 있다죠...오픈웹 소송도 이쪽에 관심있는 분들은 많이들 아시겠지만 다른 사람들은 모르니까 정통부에서 그따위로 하는가 봅니다.
  한 번 방송 타야되는데...
- 데굴대굴 2007/02/09 09:06 수정/삭제 댓글주소
  
  nagne// 국내 보험은 조금 별로더군요. 어떻게하면 안줄까. 어떻게하면 적게 줄까만 생각하니까요. 하도 적게줘서 가입 안하면 별 쓸데 없는 다양한 혜택을 붙여서 팔고요. 이 부분에서는 확실하게 OX로 구분지어주는 외국계 보험사가 잘됩니다. 실제로 이 부분 때문에 외국계 보험사가 점차 커가는 것이기도 하고요.
  
  에드// 오픈웹쪽의 진행은 한달에 한번은 언론에 나왔으면 좋겠어요. ZDNet말고 TV나 신문쪽에 대문짝만하게 말이죠. 그래야 무엇이 문제이고 어떻게 해야하는지 쉽게 진행될듯...
별바람 2007/02/08 22:20 수정/삭제 댓글쓰기 댓글주소

이젠 정말 필요한곳에만 액티브X를 쓰는 지혜가 필요할듯 싶은데..그저 암담할뿐입니다.
- 데굴대굴 2007/02/09 09:10 수정/삭제 댓글주소
  
  업체들 나름데로 죄다 필요하다고 생각했나봅니다;;;;;
Hee 2007/02/08 22:40 수정/삭제 댓글쓰기 댓글주소

흠...대한민국은 IT선진국.....이라고 하더군요..
쩝...
- 데굴대굴 2007/02/09 09:12 수정/삭제 댓글주소
  
  어떤 부분에서 어떤 것을 잘하기 때문에 선진국인지는 모르겠지만, 언론에서는 선진국이라고 하긴 하더군요. 수치화된 데이터와 함께 이런 단어를 사용하면 더 잘 믿을텐데 말이죠...
련 2007/02/08 22:54 수정/삭제 댓글쓰기 댓글주소

고운님..쌩긋^^*
여전히 어려운 아 머리넘아포!! 허헛!!..
머리아픈건 접어두고,이른 봄비가 내린하루 울님 어찌 지내셨는지요?!!
싱숭생숭 갈팡질팡 아주 말두못해요!!.ㅎㅎ 달님이 구름에가려져 보이지 않네요!!..
지금 이곳에 있으신지 모르겠습니다. 더없이 편안한밤이 되시기를....
^^
- 데굴대굴 2007/02/09 09:13 수정/삭제 댓글주소
  
  저 달님본지 꽤 됐습니다. 대신 아침 햇님은 이번주에 거의 메일 봤네요. ^^ 아침형 인간이 꽤나 몸에 무리를 주긴 주나봐요.
문스랩닷컴 2007/02/09 13:29 수정/삭제 댓글쓰기 댓글주소

서버 인증서 필요함 얘기하세요.

사설로 만들어 드리죠.

ㅎㅎ

공인이 깨지면 전체가 위험해지지만,

사설 10240비트로 만들면 안깨지지 않을까요?

ㅋㅋ
- 데굴대굴 2007/02/09 13:47 수정/삭제 댓글주소
  
  그럴바에야 그냥 서버를 해킹해서 인증서를 내보내기로 받아 제가 외부에서 사용하도록 하지요..
꿈실이 2007/02/09 17:34 수정/삭제 댓글쓰기 댓글주소

무분별한 남용들이 언제나 가장 큰 문제인 것 같아요. 저같은 무지한 사용자들은 그저 설치하라면 설치하는 법 밖엔 모르는데 말이죠. 윗분들 말씀대로 또 언제나처럼 소잃고 외양간 고치겠군요.
- 데굴대굴 2007/02/11 15:54 수정/삭제 댓글주소
  
  소읽고 외양간 고칠수 있으면 다행이겠지요. 가끔은 고치지도 못하고 그냥 냅두기도 하잖아요.
백진영 2007/02/10 00:09 수정/삭제 댓글쓰기 댓글주소

엑티브처럼 보안성 취약하고 귀찮고 (일단설치해야되니까..)
지저분하고 거기다 최악의 호환성.. (오로지 익스플로러에서만 되는..)
을 가진 프로그램을 한국에서 집중적으로 사용되는 이유는-_-

사실 프로그래밍하기가 편해서입니다 .....
보통 외국같은곳에선 엑티브를 아예안사용하거나 보통 자바를 쓰는데..
엑티브가 사용자에겐 불편해도 프로그래머한탠 편하죠 참 어이없죠..
- 데굴대굴 2007/02/11 15:55 수정/삭제 댓글주소
  
  프로그래밍 편하다는데에는 동감입니다. 신경 쓸 것 없이 있는거 그냥 쓰기만 하면 만사 OK니까요. 하지만, 이런 제한적 기술을 집중적으로 사용한 것에 대해서는 누군가 책임을 져야겠지요.

보안 서버 설치 안해도 된다(?)

Category : 컴퓨터와 생활 ..... 작성일 2006/12/26 15:36

SSL, 개인정보보호, 보안서버

적어도 이 글은 현 상황을 꽤나 열심히 분석하여 쓴 것임을 미리 알려드리며.....

제가 작성한 두 글..

를 읽고나면 현실적인 대책으로 정말로 보안서버라는 것을 설치하고 싶지 않으실 겁니다. 그래서 나름데로 준비를 해봤습니다. 법에서 말하는데로 설치를 해야한다는 쪽으로 말이죠. (그러나 전 이럴 때 거짓말쟁이인거 아시죠?)

일단 이것을 주도하는 곳이 어딘지를 찾아보니 "한국정보보호산업협회"라는 곳이군요. OR.KR이지만 국가 기관은 아닌듯 싶군요. 주된 사업을 벌이는 곳이 "협회"라고 하여서 적지 않게 실망하였습니다. 그래도 중요한 내용은 "처벌 받을 가능성은 얼마나 있고 그 대상에 내가 들어가는가?"라는 것이죠. 그렇다면 일단 문서로 정리된 것을 찾아봅시다. 제가 찾은 보안서버 FAQ라는 문서는 한국정보보호산업협회의 FAQ쪽에서 찾았으며, 해당 문서의 위치는 http://www.kisia.or.kr/secureserver/faq.php 입니다. (귀찮으신 분은 제 블로그에서 여기를 누르시면 동일한 파일을 받으실 수 있습니다) 다운로드 받아서 쭉 읽으면서 뭔가 이상하다는 것을 느꼈습니다. 제가 FAQ문서를 읽으면서 이상하다고 느낀 부분은 다음과 같습니다.

--> 정보보호진흥원에서 연락이 온다면 개선 권고만을 할 뿐 권고를 듣고 하지 않아도 됩니다. 즉, 강제사항이 아니라는 사항입니다. 권고는 어디까지나 권고일 뿐이니까요. 더군다나, 해당 FAQ의 1번에 있는 것은 "한국정보보호진흥원"(KISA)에 대한 이야기이지 "한국정보보호산업협회"(KISIA)는 아닙니다. 설령 한국정보보호산업협회가 한국정보보호진흥원의 하위기관이라 하더라도, 업무가 어디까지인지는 명시되어 있지않군요. 한국정보보호산업협회라는 기관의 정체성부터 한번 따져봐야 할 것입니다. 어쩌면 보안서버 파는 업체들이 모여서 만든 협회일 수도 있으니까요. ("블로그 열심히하는 사람들 협회"라는 것을 만들면 블로그를 하는 사람들이 강제적인 힘이라도 얻을 수 있나요? 예를 들면 1인 1블로그를 해야한다는 식의...)

--> 어디까지나 있을 수 있습니다."수"라는 말이 있으므로 없을 수도 있습니다. 말장난하자는 것 처럼 보이시겠지만, 기관에서 문서에 사용된 이런 말 한마디한마디는 상당히 중요합니다. 몇 명의 직장이 달려있기도 하기 때문에 공문서에 실수가 있어서는 안됩니다. 누가 뭐라고 해도 공문서로 올라간 이상 명확하게 표현되어야만 하는 것이지요. 위 말을 바꿔서 기업 입장에서 말하자면 보안서버를 도입할 수도 도입 안할 수도 있는겁니다.

--> 관련 법규가 시행되고 있다고 하지만, 정보통신부에서 행정조치 여부를 결정하지 않았습니다. 바꿔 말하면 법을 시행하지 않고 있다는 것입니다. 있는 법을 왜 시행하지않고 있을까요? 그건 관련 법이 애매모호하기 때문이 아닐까요? 아니면 법적 조치나 규제 부분에 심각한 문제가 있다거나요. 저는 그렇게 생각이 들었습니다. 그래서 기사를 찾아봤습니다. 밑에 쭉 읽어보세요. 링크 걸어뒀으니....

그리고 "시행할 가능성도" 있지만, "시행 안할 가능성도"있는겁니다. 개인적으로 시행되기를 바라면서 열심히 조사를 진행했습니다.

--> ID/PW/주민번호가 바로 그 대상이였군요! 근데 누가누군지 모르는 ID/PW가 개인정보에 속하나요? 예를 들면 MSN이나 gmail같은 사이트는 본인여부를 안묻는데, 한국에 진출했으니 한국법에 따라 보안서버를 사용해야 하는 것이겠군요? (물론 이들은 이 법 때문에 설치한 것이 아닙니다)

이들이 말한 법규쪽 내용을 찾아보니 친절하게 다음과 같이 되어있습니다.

※ 관련 법규 보기

자.. 그럼 이제 위에 언급된 법적인 부분을 한번 잘 뜯어서 생각해봅시다

※ [정보통신망이용촉진및정보보호등에관한법률]을 보면...

※ [정보통신망이용촉진및정보보호등에관한법률 시행규칙]을 보면...

※ [개인정보의 기술적 관리적 보호조치 기준]을 보면...

위 내용중 보안서버와 관련된 내용이 어디에 있습니까? 정말로 궁금합니다.

위에서 언급한 법을 보고나면 한가지 의문이 드셔야 정상입니다. 바로 의문으로 개인정보에 속하는 부분이 과연 어디까지인가?라는 부분입니다. 법에 개인정보에 포함되는 것을 명.확.하.게 명시하지 않은 의도는 무엇입니까? 주민등록번호야 유일하므로 개인식별코드로 사용 가능하고, 이를 개인정보에 넣는 것은 당연합니다. 그러나 사용자가 마음데로 지정할 수 있는 ID/PW/E-mail만의 정보도 개인정보에 포함되는 겁니까? 참고로 하나 더 말씀드리면 국가 기관 중에서도 보안서버 도입 안된 곳 엄.청.나.게. 많습니다.

※ 자.. 그러면 한번 정통부에서 온 문서를 봅시다. (길어서 감췄음)

이 문서는 정말 최고입니다. 국무회의의 내용은 실태 조사를 해보니 보안서버 도입이 널리 퍼지지 않았으니 홍보를 부탁한다는 것입니다. 그것과 보안 서버의 도입 여부를 절묘하게 붙였군요.

그래서, 다시 문제를 바꿔서 개인 정보가 어디까지인지, 어떤 부분인지 확인을 해봅시다. 개인정보에 해당하는 내용이 없도록 사이트 변경을 한다면 보안서버를 도입할 필요성이 없어지니까요. 근데 말이죠..... 개인정보보호법을 찾다보니 .... 최근 "디지털 타임즈"에서 나온 기사 중에 이런 제목의 기사는 있더군요.

`개인정보보호법` 해 넘긴다

위 기사를 보면 뭔가 한방 먹었다는 느낌 안드십니까? 통합할 수 있는 법도 제대로 없는 상태에서 애매한 중소기업만 맘고생시켜서 처벌한다고 협박해서 몇몇 업체가 배부를 수 있도록 한거라는 생각은 안드십니까? 도대체 개인정보의 범위는 어디까지이며, 그 법에서 말하는 보호 수단으로 보안서버를 도입해야 하는지에 대한 정보는 전혀 없이 진행하는게 어느나라 법입니까?

Trackback(3) : Comment (18)

트랙백 주소 :: http://www.daegul.com/trackback/2511252

Subject: KISA, 사이트 검열이 시작된다.
Tracked from 아르리스크 덴 2006/12/26 15:40 삭제
당신은 커뮤니티에 관심이 있는가?커뮤니티라는 건 어떤 특정한 주제를 정해서 사이트를 오픈하면 그 주제에 관심을 갖는 유저들이 모여들어 서로 글을 쓰고 답변을 받고 정보공유를 하면서 친목까지 도모하는 단체을 뜻하는 것이다.일종의 동아리 또는 동호회를 인터넷으로 옮겨놨다고 생각하면 될 것이다. 흠, 한참 하이텔, 천리안, 나우누리, 유니텔등이 전성기를 누리고 있었을 시기였는데, 인터넷에 php 기반으로 이루어진 제로보드라는 게 나타났다. 하지만 PC통신..
Subject: 보안서버, 가격은 천차만별...성능은 비슷
Tracked from NTFAQ Korea 2007/01/13 14:36 삭제
얼마전 부터 실시된 보안서버 구입을 필수로 한국정보보호진흥원에서 진행하고 있다. 요즘 12월 말까지 구축을 하라고 여러번 전화를 받았는데 해야 할지 NTFAQ 사이트 고민입니다. 한국정보보호 진흥원 자료구축 : 보안서버전문협의회 및 세부 자료 아래 기사는 보안서버 가격정보와 기능에 대해서 언급한 내용이다. 일반적으로 보안서버는 인터넷상에서 개인정보를 암호화해 전송하는 기능을 제공하는 서버로서 개인정보보호에 도움이 되는 장치로 알려져 있다. 개인정보가..
Subject: 보안서버와 관련한 정보통신망 이용촉진 및 정보보호 등에 관한법률
Tracked from 旻世아빠의 i+DEA OCEAN 2007/01/25 10:42 삭제
회사에서 SSL 보안서버 인증서 설치건으로 골치아파서 인터넷을 뒤지다가 다음 글을 읽게 되었습니다.참고로, PHP 스쿨 포럼에서 퍼왔습니다. 원문참조 : http://www.phpschool.com/gnuboard4/bbs/board.php?bo_table=talkbox&wr_id=455279&sca=&sfl=mb_id%7C%7Csubject&stx=kkpara&page=4 ======================..

댓글을 달아 주세요

아르 2006/12/26 15:40 수정/삭제 댓글쓰기 댓글주소

에전에 쓴 글중에 관련 내용이 있어서 트랙백 쏘고 갈게요 '';
- 데굴대굴 2006/12/26 15:51 수정/삭제 댓글주소
  
  트랙백 내용도 참으로 어의 없는 내용이군요. 어쩐지... 이상하다 싶었더니만...
- 아르 2006/12/26 16:01 수정/삭제 댓글주소
  
  뭔가 좀 잘못된 것 같습니다. 정보통신윤리의원회도 그렇고 한국문화정보보호진흥원이라는 곳도 그렇고... 이상한 움직임이 계속 보이는 것 같습니다. 마치 원숭이한테 총을 쥐어준 것 같은 느낌이 드네요.
- 데굴대굴 2006/12/26 16:25 수정/삭제 댓글주소
  
  통합된 상위 법의 부제와 실행 기관의 미비로 인한 여러 기관의 실적쇼에 놀아나는 우리 자신이 어제 오늘 일이었나요? 뭐 그려러니 하고 살아야죠.
아쿠아 2006/12/26 16:43 수정/삭제 댓글쓰기 댓글주소

트랙백 타고 읽고 갑니다.
역시나 ㅎㅎㅎㅎㅎ;
낚일뻔했네요.이늠의 나라는 ㅡ;
- 데굴대굴 2006/12/27 01:06 수정/삭제 댓글주소
  
  요즘은 세상이 하도 험해서 일단 의심부터 하고 봐야한다니까요. ;;;
nagne 2006/12/27 04:54 수정/삭제 댓글쓰기 댓글주소

세상사 다 그런게지요..
- 데굴대굴 2006/12/27 14:02 수정/삭제 댓글주소
  
  사칭이나 사기죄를 덮어씌울수 있지 않을까 하는 생각이..ㅡ.ㅡ
영민C 2006/12/27 09:21 수정/삭제 댓글쓰기 댓글주소

어흑...
- 데굴대굴 2006/12/27 14:02 수정/삭제 댓글주소
  
  아흥~
JK 2006/12/27 11:45 수정/삭제 댓글쓰기 댓글주소

머지, 이 황당함은...--;
한국정보보호산업협회에서 긴 낚시대를 잔잔한 호수에 던져놓은 느낌...
- 데굴대굴 2006/12/27 14:05 수정/삭제 댓글주소
  
  예전에 DB 암호화 이야기 나왔을 때도 이런 스토리로 진행되었죠. 안하면 법에 어긋난다는 식의 비슷한 사건이 있었죠. 그래서.... 정부가 하는 말은 일단 안 믿고 법이 있는지 여부부터 확인하는 습관을 기르는게 좋습니다. 기관이라는 법이 없는데 실행하게 되면 권력남용이 될 것이고 개인이 한다면 사기니까요.
문스랩닷컴 2007/01/14 11:34 수정/삭제 댓글쓰기 댓글주소

대굴님의 의견 잘 봤습니다만, 저의 견해는 약간 다른쪽으로~.

기존에 웹서버들이 무조건 개인정보 수집하던 관행에 제동이 걸렸으면 하는 바램입니다. 쇼핑몰이나 국가기관/은행과 같이 개인정보가 필요한 경우에는 입력해야겠지만, 조그만 회사의 사이트에 메일링 리스트를 가입하려고 해도, 사이트를 가입해야 하며, 이때 모든 정보 약 10여가지(뭔지 아실듯)를 입력받는 그런 곳이 대부분입니다.

이런 곳은 보안서버 구축하라고 하면 DB를 날리지 않을까요?
- 데굴대굴 2007/01/15 00:03 수정/삭제 댓글주소
  
  저는 보안서버를 구축하라는 것 자체에는 뭐라고 하지 않습니다. 그것을 무분별하게 남발하는 국가 정책에 테클을 걸고 싶을 뿐입니다. 정상을 넘어선 한도치 이상에는 제가 아니여도 누군가 테클을 걸어야 한다고 생각했을 뿐입니다. 어디부터 어디까지인지 명확하게 정해주지도 않고 막연하게 지정하기만 한다면, 그건 지금과는 다른 또 다른 혼란을 가져올 뿐입니다. 그렇기 때문에 보다 명확한 구제와 법률을 원할 뿐입니다.
  
  최소한의 법규가 있고, 그것을 지키라고 한다면 그 자체를 뭐라고 하지 않을것입니다. 하지만, 막연하게 지키시오라고만 하고 그 범위를 지정하지 않는다면 수많은 사람이 피해를 볼 것입니다. 해야한다면 명확하게 지키도록 정비를 하는 것이 바로 국회가 할 일 아닌가요? 그렇기 때문에 답답해서 떠든 것입니다.
  
  저 역시 분명하게 지정되기는 바라는 사람중 한명입니다만, 벌써 몇년째 같은 법을 가지고 놀아나는지 모르겠군요. (기억이 맞다면 2002년~2006년 동안 같은 내용으로 매번 당하고 있습니다. 물론 매번 타이틀은 바꾼체로 말이죠.)
민세아빠 2007/01/18 16:08 수정/삭제 댓글쓰기 댓글주소

먼저 데굴데굴님의 글을 읽고 동감하는 바가 컸습니다. 참고로, 보안서버 설치에 있어서 우리가 알아야할 것이 하나 더 있습니다.
그것은 가장 대중적인 리눅스 플랫폼에서 돌아가는 Apache 웹서버의 경우, OpenSSL과 mod-SSL이 연동해서 설치되어 있는 경우가 많다는 것입니다.
따라서 이경우 서버를 운영하는 유저/회사의 의지와 능력에 따라 SSL 서비스를 즉시 개시할 수 있으며, 매년 갱신해야할 유료 인증서를 구지 구매하지 않아도 보안서버 서비스를 제공할 수 있습니다.
- 데굴대굴 2007/01/18 17:13 수정/삭제 댓글주소
  
  OpenSSL을 사용해 웹서버에 사설 인증서를 적용하는 경우 이 인증서가 맞고 유효한가에 대한 적법을 거쳐야 합니다. 이 과정에서 운영에 대한 문제가 발생하죠. 정말 이 회사가 이런 보안 솔루션을 가지고 있을 정도로 안전한가라는 궁금증이죠. 사용자가 이를 신뢰한다면 문제가 없겠지만, 사용자가 인증서를 못 믿겠다고 하면 에러난 것 처럼 보일 것이니, 다시 문제의 원점으로 돌아갈겁니다.
  
  아마 외국의 수 많은 18금 사이트를 가보시면 아시겠지만, 대부분 이런 곳은 공인이 아닌 사설 인증서를 사용하기에 엄청난 인증서 설치 클릭이 있습니다. 더구나 이 인증서 중에서는 SSL만이 아닌 ActiveX 코드 사이닝까지 포함하는 경우가 있더군요. 이건 더 큰 재앙을 갖고옵니다. 이런게 현실인데, 과연 사람들이 사설 인증서를 신뢰할 수 있을까요?
민세아빠 2007/01/22 16:08 수정/삭제 댓글쓰기 댓글주소

여러 경로로 정보를 검색해 본 결과, 일단 데굴~님;)의 지적도 일리가 있다고 생각합니다. 사이트운영자가 사설인증서와 연동해서 SSL서버를 구현해서 법령의 요건을 충족한다고 해도, 사용자가 그것을 부정해버리면 결국 그건은 운영상의 장애물로 등장하겠죠.
- 데굴대굴 2007/01/22 17:41 수정/삭제 댓글주소
  
  쩝... 사실 명확하게 법을 따져서 말하면 사설 인증서를 쓸 수 없습니다. 아니, 사용하면 바로 법을 어기고 있는겁니다. "http://open.unfix.net/전자서명법과-공인인증서in-progress/" 에 있는 내용을 쭉 보시다 보면 "4. 정통부의 처분이 전자서명법에 위반되는 이유"에 바로 "전자서명법 제4조"가 나와있습니다. 이 내용은 [공인인증 업무를 취급할려는 자는 허가받아야 한다]는 것인데, OpenSSL을 사용하여 사설 인증서를 발행하여 실제 웹서버에 올리는 경우 공인 인증 업무를 진행하는 것이므로, 법에 위반이 됩니다. 이걸 사설 업무라고 우기는 것은 거의 불가능 할 것으로 보입니다.
  
  업체쪽에서 SSL을 잘 팔기 위해서는 적어도 다른 법을 가지고 나오는게 맞다는 느낌이 더 강하게 들고 있습니다. (그러나 대부분이 반쪽짜리 법이거나 권고 수준이기에 강제력이 많이 떨어집니다) 적어도 지금 당장은 아니고 조금 더(개인적인 생각으로는 약 1년이나 2년 정도가 되지 않을까 싶습니다만..) 두고 봐도 괜찮다는게 제 생각이죠.
  
  오히려 제가 볼 때는 현재의 결제처리 방식(IE 전용의 플러그인 방식)이 폐기되버리면, 그때는 안전한 통신을 위해 SSL을 도입할 수 밖에 없는게 제가 보는 순서가 아닐까 싶습니다. 현재의 결제처리 방식은 신기하게도 결제업체쪽에서 모든 정보를 다 안전하게 처리해주고 있으니까, 이것이 변경되면 그때는 한동한 불만이 뜨겠지만, 그래도 조금만 지나면 구입 안할 수 없게 되지 않을까 싶군요. 근데 생각해보니, 이런 경우라 할지라도 무통장 입금만 가능하다는 곳이 나오면.. 그때는 또 이야기가 달라지겠네요. ^^;

정책적으로 설치해야 되는 보안 서버.. 과연 필요있나? #2

Category : 컴퓨터와 생활 ..... 작성일 2006/11/14 14:48

SSL, 보안, 보안서버

전에 SSL의 도입시 비용에 대한 문제를 언급했습니다. 그러면 조금 시선을 바꿔서 이 SSL이란 것이 "실제 해킹을 막는데 도움이 되는가?" 라는 문제를 생각해봅시다. 한마디로 현실에 도입시 효용성에 대해서 알아보자는거죠.

문제가 되었던 리니지의 사건을 생각해봅시다. 당신이 지금 옆에 있는 사람의 주민등록번호를 안다고 가정 했을 때, 그 사람 명의로 리니지의 가입을 못하게 되어 있다고 생각하지 않습니다. 바꿔서 이야기하면, 이름과 주민등록번호만 알면 얼마든지 가입을 하고 쓸 수 있다는 소리죠. 그런데, 이 정보가 어디에서 유출되었을까요? 가입했던 사이트들 중에서는 이미 해킹을 당했다가 겨우겨우 치료한 곳도 있습니다. 그런 상황이라면 주민등록번호와 이름 정보들이 해킹 당했을 때, 이미 누군가 손에 넣었다는 이야기가 되겠지요. 또는 회사내부에서 사용자의 정보를 팔아넘긴 사람이 있을 수도 있고요.

주민등록번호와 이름을 알고 있으므로 이제 온라인 게임사이트에 가입&플레이는 할 수 있겠군요. 하지만, 실제 게임을 원할하게 하기 위해서는 아이템을 사거나 기간을 연장하는 등의 결제가 필요합니다. 그렇지만, 은행권을 통해 결제를 하기 위해서는 실제 방문해서 처리해야 하므로 사용자의 실제 인증이 거쳐야 합니다.

자.. 그러면 위의 경우를 말고 현실적으로 해킹이 발생하는 것이 대해서 조금 더 생각해봅시다.

나는 X라는 사람입니다. 제 동료인 A라는 사람의 이름은 알지만 주민등록번호를 모릅니다. 그리고 그 사람의 ID와 비밀번호를 압니다. 이 ID와 비밀번호는 게임을 위한 것입니다.

이제 인터넷에서 A라는 사람을 어떻게 구분할겁니까? ID와 비밀번호로 구분이 가능한가요?

그리고.. 조금만 더 현실적인 해킹을 생각해봅시다.

제가 온라인게임 사이트를 가서 로그인을 할려고 합니다. 그랬는데, 옆에 있는 사람이 와서 키보드를 계속 보고 있네요? 저는 별 신경 안쓰고 로그인을 했습니다. 그 사람이 갑자기 옆에 있는 컴퓨터를 키더니 제 ID와 비밀번호를 치는겁니다.

자... 위 과정들은 모두 현실에서 일어나고 있는 해킹입니다. 특히 최근 해킹으로 문제가 되는 경우는 맨 마지막 경우입니다. 맨 마지막의 경우 중요한 것은

"어디에 접속해서 키보드를 어떻게 쳤다"

라는게 중요한겁니다. 힘들게 비싼 보안 장비가 있는 서버를 해킹할 필요도 없습니다. 사용자 PC에 키보드 치는 것을 모니터링 하고 이걸 E-mail이나 메신저로 받을 수 있도록만 세팅하면 됩니다. 어떻게 이런 일이 가능하냐고요? http://www.download.com/ 에서 "key logger"라는 검색어로 찾아보시고 한번 아무거나 설치해서 어떻게 되는지 직접 확인해보십시오. 정말로 쉽.습.니.다. 맨 마지막 방법을 사용할 때 단지 필요한 것은 이 프로그램을

"어떻게 사용자 PC에 설치하게 만드는가?"

가 관건입니다.

PC에 설치하게 만드는 방법은 꽤나 다양하죠. 브라우저나 OS의 취약점을 이용해서 원격에서 강제 설치하게 만든다거나, 정상적인 소프트웨어처럼 보이게 하거나, 바이러스처럼 만들던가 하는 방법들 말이죠.

취약점은 사실 윈도우 업데이트만 열심히 해주면 90%이상 사전 예방 가능합니다.
정상적인 소프트웨어처럼 보이게 하기 위해 ActiveX로 설치하게 만들기도 합니다.
백신은 사용자의 실수로 설치된 것을 치료할 수 있는 가장 확실한 방법입니다.

결국 요즘의 문제는 사용자들의 PC가 불안하기 때문입니다. 불법 소프트웨어를 사용해서 백신이나 윈도우 업데이트도 못하고 있는 사용자들이 이런 부분에 쉽게 걸려드는거죠.

여태까지 쭉 길게 썼는데, 위 과정 중에서 보안서버가 어느 과정에서 보호해줄까요? 답을 아시는 분들도 많겠지만, 모르시는 분들을 위해.. 적어두겠습니다. (마우스로 긁으면 보입니다)

답 : 위 과정 중에는 아무곳도 관련이 없습니다.

Trackback(0) : Comment (7)

트랙백 주소 :: http://www.daegul.com/trackback/2511220

댓글을 달아 주세요

nagne 2006/11/14 17:14 수정/삭제 댓글쓰기 댓글주소

키로거는 요즘 게임이나 인터넷 뱅킹에서 사용하는 키프로텍터류의 프로그램이 막아주는거 아닌가요? 저도 예전에 개인PC의 키로거 무력화를 위한 기법등을 연구했던 적이 있는데.. 최근에는 거의 막힌걸로 알고 있습니다만.. 그것도 아닌가? 으헉.. 역시 뚫으려는 자는 막는자보다 고지를 선점하는군요..
- 데굴대굴 2006/11/15 09:15 수정/삭제 댓글주소
  
  게임에서 키보드 보안쪽은 못씁니다. 반응이 느려져서 쓸 수가 없어요. 그리고 현재의 대부분 보안 프로그램쪽은 패턴기반이기 때문에 조금만 변경해도 못잡습니다. 그렇기 때문에 같은 이름에 계속 .A, .B가 붙어서 새로운 버전이 등장하게 되죠. 최근 1~2년 사이에는 이런게 수준이 올라가서, 공격자들은 아예 이런것에 걸리지 않도록 루트킷을 사용합니다.
련 2006/11/15 18:02 수정/삭제 댓글쓰기 댓글주소

앗! 또 왜계어다.
이누님의 상태가 정상적이지 못하므로..외계어를 제되로 이해할수 없으니...고운님의 포스트 열심이 맹근 마음만 이쁘게 느끼고 가요오!!...
이렇게 멍..하니..슬픔에 젖은채로....
- 데굴대굴 2006/11/15 20:27 수정/삭제 댓글주소
  
  상태가 충분히 좋지 않음이 여기까지 전해져 옵니다. -_-a
련 2006/11/15 22:50 수정/삭제 댓글쓰기 댓글주소

아고, 이누님은 넘 어지러워요..!!
그래도, 이련 누님은 의리에 살고 인정에 사는 여인
동생이든 친구이든,인간관계 저버리지 않고 지키려 노력하는데,상대쪽이 그러질 않더라구요.
모두가 제가 덕이 부족한탓!!..안경누님을 상상하면서,곤꿈꿔요^^*ㅎㅎ
누님집에 새포스트 올렸어요 필안받아도 한줄끄적여주오! ㅎㅎ
- 데굴대굴 2006/11/15 23:30 수정/삭제 댓글주소
  
  련님이 덕이 부족한게 아니라 상대방이 덕을 모르는거죠. -_-a
  요즘 수면 부족이지만 불면증도 함께이기에 몸이 말이 아니네요. 무리하면 안되는데... 꿈에서라도 안경미소녀누님이 위로해줬으면 좋겠습니다. ㅠ.ㅠ
- 련 2006/11/16 00:53 수정/삭제 댓글주소
  
  아프지 말아욧!!!
  아프면 서럽쟎앙,이누님 몇일동안 정말 서러워서... 흑흑흑!!!

정책적으로 설치해야 되는 보안 서버.. 과연 필요있나? #1

Category : 컴퓨터와 생활 ..... 작성일 2006/11/10 10:09

SSL, 보안, 보안서버

국내에서 사이트를 운영하는 90% 이상의 분들은 이메일로 아마 보안서버를 설치하라는 안내문(?)을 받으셨을 겁니다. 근데 이거 정말 효과가 있을까? 라는 의문이 들더군요.

일단 여기서 말하는 보안서버라는게 하드웨어적/물리적으로 실제 해킹이나 정보 보호를 위해 사용되는 기술이 아닌 가장 기본적인 기술인 웹서버 통신의 암호화를 지칭합니다. 복잡하게 이야기 합니다만, 이 긴 문장에서 보여주는 마지막 단어의 말(=웹서버 통신의 암호화)을 생각해보시면 바로 아시겠죠. 개인 정보가 들어가 있는 모든 부분에 "암호화 통신"을 하도록 하는 것입니다. http://.... 로 통신하는 것을 개인 정보가 들어간 부분은 모두 https://....로 바꾸라는 소리죠. (또는 nProte???같은 소프트웨어 안전 장치를 도입하라는 이야기입니다)

그렇다면 이 암호화 통신을 하기위한 비용은 어찌 될까요? 간단하게 암호화를 위해 웹서버용 공인인증서(SSL)를 살려면....

싸게는 20만원대부터 비싼건 80만원대까지 있습니다.

그리고 이 SSL이라는 것은 도메인당 비용으로 지불됩니다. 예를 들어
www.mydomain.com 가 기본 페이지이고 id.mydomain.com 에서 사용자 로그인 정보를 관리하고 bbs.mydomain.com 에 사용자들 정보가 있다면, mydomain.com의 인증서(SSL)을 사야하는게 아니라 위에 나열되어 있는 3개의 도메인에 대해서 모두 구입을 해야합니다. 따라서 한개의 사이트를 운영하는데 비용은 최저 비용으로 계산 했을 때 60만원이라는 비용이 지불되어야 합니다.

뭐... 이 정도야 별거 아닐꺼라 생각하시겠지만, 법에서는 이익 창출로 사이트를 구분하지 않으므로 "별도의 특별한 이익을 내지 못하는 사이트라 할지라도 개인정보를 다루는 곳이라면 무조건 구매하고 설치해야 합니다"

참고로 개인정보에 포함되는 것은 사용자의 개인 정보(주민번호, 이름, 전화번호등..)가 있는 모든 페이지 입니다. 따라서 이것들이 있는 페이지를 찾아보면....

회원가입 페이지
로그인 부분
전자 상거래 시(신용카드 정보 및 개인 정보)
게시판(사용자 인증이 있다면..)

정도가 있습니다. 그렇다면 이 법의 적용을 받아야 되는 사이트들은...

회원제로 구성되어 있는 모든 사이트

라는 소리가 됩니다. 그리고 SSL은 매년 갱신하도록 되어 있기 때문에 매년 고정 비용이 나갑니다. 참고로 인증서를 발행해주는 조금 큰 업체는 모두 외국 업체입니다.

PS. 올해 초였던가 작년 초였던가.. 국내 어딘가에서 루트(root) 인증서 기관로 통과했다는 기사를 본 적있습니다. 지금의 법은 이 기업을 먹여 살리자는걸까요?

Trackback(0) : Comment (8)

트랙백 주소 :: http://www.daegul.com/trackback/2511219

댓글을 달아 주세요

toice 2006/11/10 13:41 수정/삭제 댓글쓰기 댓글주소

저는 지금 사용중인 계정이 보안서버인지 확인하라는 걸 본적이 있는 것 같아요, 그런데 역시 입장차랄까, 받는 입장에선 그저 조금이라도 보안에 도움이 된다면 비용이 들더라도 보안서버였음 하는 바램이 있을수 밖에 없네요
- 데굴대굴 2006/11/10 14:02 수정/삭제 댓글주소
  
  뭐.. 이 글에는 비용 문제만 썼지만, 이 다음글을 하나 더 쓰고 있는데.. 그건 실제적인 이야기거든요. 그거 읽어보시면 왜 제가 이상하다고 이야기하는지 느끼실듯...
루돌프 2006/11/10 15:13 수정/삭제 댓글쓰기 댓글주소

제 홈페이지는 완전비회원제입니다만,
아무도 안옵니다 -_-

아무것도 없으니 당연한거겠지만...ㅋㅋ
- 데굴대굴 2006/11/10 16:34 수정/삭제 댓글주소
  
  광고를 하면 사람 많이 갑니다. 아무것도 없으면 다시 가지는 않겠지만...
련 2006/11/10 22:55 수정/삭제 댓글쓰기 댓글주소

우리 고운님아!
이바보같은 누님이 아직 이슬픔을 이길수없으니...
조금만..조금만..쉬잇!!
건강하게 잘지내고 있어요...언제든 마음낳으면 놀러올테네...
아껴준마음 내어찌 잊을수있을까요?
이쁘고 고마운님의 마음을 마음으로부터 잊지 않겠네여! 예쁜주말 가슴에 꼭 안고요..씩씩하게..음..
- 데굴대굴 2006/11/11 19:42 수정/삭제 댓글주소
  
  어서 회복하시길....
2007/04/11 14:47 수정/삭제 댓글쓰기 댓글주소

비밀댓글 입니다
- 데굴대굴 2007/04/12 06:06 수정/삭제 댓글주소
  
  예 감사합니다. ^^