BankingSecurity
오랫만에 홈쇼핑으로 주문을 하나 하려 했더니, 11월 부터 제도가 바뀌어서 끝짱나게 복잡한 절차를 거쳐서 신용카드용 공인인증서를 따로 등록해야 거래가 가능하게 되어 있었습니다.
일단, 괴로운 것은, 인터넷 홈쇼핑을 쓰는 목적이, 가게에 가지 않고도 물건을 선택하고 배송받을 수 있다는 점인데, 이건, 홈쇼핑을 위해서 은행에 한 번 갔다와야 하고, 또 다른 기관 홈페이지에서 공인인증서를 다운로드 받기도 해야 했습니다. 즉, 바쁘고 귀찮아서 돌아다니지 않으려고 홈쇼핑을 하는데, 공인인증서를 받는 답시고 굳이 은행에 한 번 돌아다니고 와도 , 아직도 물건 주문은 시작조차 되지 않은 것입니다. 차라리, 그냥 바로 매장에서 물건을 사면, 한 번 갔다 오면, 바로 물건을 사갖고 들어올 수 있었을 텐데 말입니다.
이런 제도의 변경이 귀찮음을 폭발시켜서 11월 이후 인터넷 홈쇼핑 업체들의 매출을 떨어뜨리지는 않았을까 약간 우려됩니다.
그보다, 우선, 공인인증서를 발급해주는 홈페이지의 디자인과 구성도 좀 난잡한데다가, ActiveX 자체가 불확실한 상황에서 여러겹의 ActiveX를 켜켜이 꼬아놓은 것을 돌려야만 공인인증서 발급을 받을 수 있게 해놓은 것도 해괴합니다.
( 문제의 http://www.yessign.or.kr/ . 한국의 금융결제원 사이트 이름을 왜 "예스 사인" 이라는 이상한 broken english로 지었는지도 의문입니다.)
이번의 이러한 변화들은 주로 키스트로크를 저장했다가 몰래 인터넷으로 전송해서 괴롭히는 프로그램을 방어하고자 하는 것입니다. 그래서 1. 파이어월을 깔고 있고, 2. 키스트로크 캡쳐 방지 프로그램도 데몬형식으로 돌립니다.
그런데 파이어월이야 일단 키스트로크를 저장한 다음에 나중에 파이어월이 꺼져 있을 때 해커가 접속해서 들어오면 그만입니다. 나중에는 아예 부팅되는 순간에 다른 모든 프로그램에 앞서서 키스트로크부터 전송하고 시작하는 지능적인 트로이가 생길지도 모릅니다.
스트로크 캡쳐 방지 프로그램 역시 꽤 무의미해 보입니다. 지금은 어찌어찌해서 막고 있겠지만, 메모리 덤핑 리버스 엔지니어링을 좀 해서 키스트로크 캡처 방지 프로그램 자체를 속이는 프로그램을 돌리면 그만입니다. 아니면 아예, 윈도우의 키보드 드라이버 자체를 트로이로 교환하는 트로이를 올린 뒤에, 다음번 부팅 때 부터 깔끔하게 키스트로크를 저장하는 수도 있습니다.
제가 결론적으로 지적하고자 하는 바는 다음입니다. 보안 문제에 있어서, 새롭게 설치되는 트로이의 활약을 어떤 방어 장치로 완벽하게 막을 방법을 궁리한다는 것은 꿈과 같습니다. 트로이가 들어오지 못하도록 막는 것이 가장 좋은 방책입니다.
그런데, 요즘 가장 널리 퍼진 트로이의 유입경로는 ActiveX 입니다. ActiveX 를 아주 제한적으로 이용하는 것만이 트로이를 막는 첫걸음인데, 보안장치, 공인인증서 프로그램이란 것 자체가 많은 숫자의 ActiveX를 정신없이 설치하고 무조건 yes, yes, yes를 클릭해서 돌도록 되어 있습니다. 모순이 아니겠습니까?
가끔 현금자동인출기의 CCTV에 비밀번호를 타이핑하는 모습이 그대로 찍히도록 설계되어 있는 것들이 있었습니다. 어떤 사람들은 이 감시용 CCTV 선을 끌어와서, 몰래 다른 비디오테입에다 녹화시킨 후에 흥겨운 남의 돈 뽑아쓰기의 향연을 펼칠 수 있었습니다.
(마지막 변경 UNIX clock : 1135842168 / Common clock 2005.12.29, 8:42 am )
다음글 InternetOpinion
일단, 괴로운 것은, 인터넷 홈쇼핑을 쓰는 목적이, 가게에 가지 않고도 물건을 선택하고 배송받을 수 있다는 점인데, 이건, 홈쇼핑을 위해서 은행에 한 번 갔다와야 하고, 또 다른 기관 홈페이지에서 공인인증서를 다운로드 받기도 해야 했습니다. 즉, 바쁘고 귀찮아서 돌아다니지 않으려고 홈쇼핑을 하는데, 공인인증서를 받는 답시고 굳이 은행에 한 번 돌아다니고 와도 , 아직도 물건 주문은 시작조차 되지 않은 것입니다. 차라리, 그냥 바로 매장에서 물건을 사면, 한 번 갔다 오면, 바로 물건을 사갖고 들어올 수 있었을 텐데 말입니다.
이런 제도의 변경이 귀찮음을 폭발시켜서 11월 이후 인터넷 홈쇼핑 업체들의 매출을 떨어뜨리지는 않았을까 약간 우려됩니다.
그보다, 우선, 공인인증서를 발급해주는 홈페이지의 디자인과 구성도 좀 난잡한데다가, ActiveX 자체가 불확실한 상황에서 여러겹의 ActiveX를 켜켜이 꼬아놓은 것을 돌려야만 공인인증서 발급을 받을 수 있게 해놓은 것도 해괴합니다.
( 문제의 http://www.yessign.or.kr/ . 한국의 금융결제원 사이트 이름을 왜 "예스 사인" 이라는 이상한 broken english로 지었는지도 의문입니다.)
그래서, 보안은 철저한가?
이 고생을 해서 온갖 난리를 치고 나면 과연 더 안전한 이용을 할 수 있는가하면, 저는 그 문제에 대해서도 우선은 아니다. 라고 하고 싶습니다.이번의 이러한 변화들은 주로 키스트로크를 저장했다가 몰래 인터넷으로 전송해서 괴롭히는 프로그램을 방어하고자 하는 것입니다. 그래서 1. 파이어월을 깔고 있고, 2. 키스트로크 캡쳐 방지 프로그램도 데몬형식으로 돌립니다.
그런데 파이어월이야 일단 키스트로크를 저장한 다음에 나중에 파이어월이 꺼져 있을 때 해커가 접속해서 들어오면 그만입니다. 나중에는 아예 부팅되는 순간에 다른 모든 프로그램에 앞서서 키스트로크부터 전송하고 시작하는 지능적인 트로이가 생길지도 모릅니다.
스트로크 캡쳐 방지 프로그램 역시 꽤 무의미해 보입니다. 지금은 어찌어찌해서 막고 있겠지만, 메모리 덤핑 리버스 엔지니어링을 좀 해서 키스트로크 캡처 방지 프로그램 자체를 속이는 프로그램을 돌리면 그만입니다. 아니면 아예, 윈도우의 키보드 드라이버 자체를 트로이로 교환하는 트로이를 올린 뒤에, 다음번 부팅 때 부터 깔끔하게 키스트로크를 저장하는 수도 있습니다.
제가 결론적으로 지적하고자 하는 바는 다음입니다. 보안 문제에 있어서, 새롭게 설치되는 트로이의 활약을 어떤 방어 장치로 완벽하게 막을 방법을 궁리한다는 것은 꿈과 같습니다. 트로이가 들어오지 못하도록 막는 것이 가장 좋은 방책입니다.
그런데, 요즘 가장 널리 퍼진 트로이의 유입경로는 ActiveX 입니다. ActiveX 를 아주 제한적으로 이용하는 것만이 트로이를 막는 첫걸음인데, 보안장치, 공인인증서 프로그램이란 것 자체가 많은 숫자의 ActiveX를 정신없이 설치하고 무조건 yes, yes, yes를 클릭해서 돌도록 되어 있습니다. 모순이 아니겠습니까?
가끔 현금자동인출기의 CCTV에 비밀번호를 타이핑하는 모습이 그대로 찍히도록 설계되어 있는 것들이 있었습니다. 어떤 사람들은 이 감시용 CCTV 선을 끌어와서, 몰래 다른 비디오테입에다 녹화시킨 후에 흥겨운 남의 돈 뽑아쓰기의 향연을 펼칠 수 있었습니다.
- 사이트에서 추천해 주는 데로 하지 않고, 자세히 잘 살펴보면, 더 편한 이용 방식이 있는지도 모르겠습니다만, 하여간 추천하는 왕도를 따라온 결과는 이상과 같이 좀 답답합니다.
(마지막 변경 UNIX clock : 1135842168 / Common clock 2005.12.29, 8:42 am )
다음글 InternetOpinion
