Upload
others
View
2
Download
0
Embed Size (px)
Citation preview
© AhnLab, Inc. All rights reserved.
보안의 3요소
ConfidentialityA set of rules or a promise that limits access or places restrictions on certain types of information.
IntegrityA concept of consistency of actions, values, methods, measures, principles, expectations, and outcomes.
AvailabilityThe probability that an item will operate satisfactorily at a given point in time when used under stated conditions in an ideal support environment.
Confidentiality
IntegrityAvailability
“
“
“
© AhnLab, Inc. All rights reserved.
보안의 3요소 : Confidentiality
허용되지 않은 것을 보이지 않게 하거나, 알아볼 수 없게 또는 접근하여 이용하지 못하게하는 것
방화벽, 암호화, 백신, 접근제어(SSO, EAM, IAM), DRM, …
관련 이슈
암호화 vs 접근제어Black List, White List, Heuristic, BehaviorRule & ExceptionSensing & Defensing WL
ALL
BL
Heu
Beh
“
“
© AhnLab, Inc. All rights reserved.
보안의 3요소 : Availability
가용성, 사용성, 편리성 …
만족스럽게안정적으로동작해야함
불편하여만족스럽지못한것은보안이아님
보안을강화하면불편하다는 얘기는적절하지못한표현
보안을스스로허무는가장큰이유
관련 이슈
DDoS
국내인터넷뱅킹/결제
외울수없는복잡하고긴패스워드
CPU 성능다잡아먹는 RSA 연산
무슨기능을하는지알수없는보안제품메뉴판
사용되지않은보안기능들
“
“
© AhnLab, Inc. All rights reserved.
보안의 3요소 : Integrity
온전히 하나가 되는 것, 겉과 속이 같고 처음과 끝이 같고. 정직함
데이터무결성, 균일한보안, SI, 여러가지재료를잘연동하여빈틈없는하나로하는
만든것
관련 이슈
제품사놓고적용하지않기
서비스와보안이무관
보안제품간무관
파라미터변조공격
“
“
© AhnLab, Inc. All rights reserved.
The age of IoT
10
원래 있었던 것들을 연결하기 시작
Healthcare : Withings Nike Fuel Pick N Play
“
© AhnLab, Inc. All rights reserved.
The age of IoT
11
기존 모바일/컴퓨터에 물건을 만들어 붙인다
PayPal BeaconMATTEL Apptivity Echoss도장
“
© AhnLab, Inc. All rights reserved.
The age of IoT
12
그런데 인터넷 업체들이 왜 Things에 투자를 하는 것일까요?
페이스북의오큘러스인수 구글의 Nest 인수 아마존의 HW 제조
“
© AhnLab, Inc. All rights reserved.
Data DeliveryData Delivery
Data ScienceData Science
New ValueNew Value
© AhnLab, Inc. All rights reserved.
IoT 공략
19
Data를 보호하기 위해 통신 보호뿐 아니라 단말의 보호까지도 고려 해야 한다.
서버/단말에 대한불법접근
정보의조작/탈취
장비역공학
“
© AhnLab, Inc. All rights reserved.
기본적인 IoT 공격
21
IoT에 대한 공격은 기존의 인프라나 단말에 대한 공격 이외에 다음이 추가됨
공격 표면 분석
프로토콜 분석
펌웨어 획득/분석
“
© AhnLab, Inc. All rights reserved.
먼저고민해야하는것(1/3)
환경 개선
http://en.wikipedia.org/wiki/Broken_windows_theory
오물속에서오물이묻지않기를기대할수없다
건축도환경을고려하고그에적합하게하듯환경개선은 Architecture에큰영향을미친
다.
“
© AhnLab, Inc. All rights reserved.
먼저고민해야하는것(2/3)
Attack Surface(AS) Reduction
http://resources.infosecinstitute.com/attack-surface-reduction/일반적으로보안차원에서접근하나
업무/제품/서비스 자체에서불필요한기능을없애고
설계자체를변경하여근본적으로 AS가줄어들도록하는것이중요
Aggregate Attack Surface Model
“
© AhnLab, Inc. All rights reserved.
먼저고민해야하는것(3/3)
사람에 대한 이해와 고려 필요
가장취약한것이사람이지만가장정확한것도사람
사람의취약성제거에집중하기보다
사람의능력 (오감, 사고)활용과한계감안에치중하는것이더욱효과적
http://blog.daum.net/sonddolmang/26
“
© AhnLab, Inc. All rights reserved.
복합기술
하늘 아래 완벽한 것은 없다.
- 부족한것을 2가지이상결합하여부족함을해결
- 기밀성희생없이가용성강화. 가용성희생없이기밀성강화
사례
- Anti-KeyLogging E2E
키보드보안의약점과보안채널의약점을단순나열이아닌결합을통하여각각의
약점을보완하고더욱강한보안을이룸
- FIDO(Fast Identity Online)
생체(기계에 대한사용자인증) + Public Key(서버에 대한인증)
기밀성과가용성을높여실질적인보안강도를높임
“
“
© AhnLab, Inc. All rights reserved.
APP 사전 점검
2010 년도
2011 년도
2012. 2월
2012. 3월
2012. 4월
2012. 5월
2012. 6월
2012. 7월
2012. 8월
요약 16 4429 3582 5396 1095 1483 2206 13955 17651
16
4429 35825396
1095 14832206
13955
17651
02000400060008000
100001200014000160001800020000
Android Malware
• AhnLab 2012.8.23.
© AhnLab, Inc. All rights reserved.
Secure Coding
• History has proven that software defects, bugs and logic flaws are consistently the
primary cause of commonly exploited software vulnerabilities. Through the analysis of
thousands of reported vulnerabilities, security professionals have discovered that most
vulnerabilities stem from a relatively small number of common software programming
errors. By identifying the insecure coding practices that lead to these errors and
educating developers on secure alternatives, organizations can take proactive steps to
help significantly reduce or eliminate vulnerabilities in software before deployment.
머리속에서만만들어둔전제를코드로구현해야함
문제는머리속에많이들어있어야함
© AhnLab, Inc. All rights reserved.
주요취약점
Parsing이 들어가면 아무리 사소해도 보고 또 보고 …
심각한오류의대부분은파싱오류를이용하여공격함
한컴오피스 2014 공통요소 9.0.0.1329 버전→ 한컴오피스 2014 공통 요소 9.0.0.1463 버전 :: 보안 취약점 개선한컴오피스한/글 2014 9.0.0.1258 버전→ 한컴오피스 한/글 2014 9.0.0.1397 버전 :: 보안 취약점 개선한컴오피스한/셀 2014 9.0.0.1254 버전→ 한컴오피스 한/셀 2014 9.0.0.1388 버전 :: 보안 취약점 개선한컴오피스한/쇼 2014 9.0.0.1304 버전→ 한컴오피스 한/쇼 2014 9.0.0.1440 버전 :: 보안 취약점 개선한컴오피스 2010 SE+ 공통요소 8.5.8.1481 버전→ 한컴오피스 2010 SE+ 공통 요소 8.5.8.1486 버전 :: 보안 취약점 개선한컴오피스한/글 2010 SE+ 8.5.8.1416 버전→ 한컴오피스 한/글 2010 SE+ 8.5.8.1422 버전:: 보안 취약점 개선한컴오피스한/셀 2010 SE+ 8.5.8.1330 버전→ 한컴오피스 한/셀 2010 SE+ 8.5.8.1336 버전:: 보안 취약점 개선한컴오피스한/쇼 2010 SE+ 8.5.8.1474 버전→ 한컴오피스 한/쇼 2010 SE+ 8.5.8.1480 버전:: 보안 취약점 개선한글과컴퓨터오피스 2007 공통요소 7.5.12.685 버전→ 한글과컴퓨터 오피스 2007 공통 요소 7.5.12.692 버전 :: 보안 취약점 개선한글과컴퓨터한/글 2007 7.5.12.692 버전→ 한글과컴퓨터 한/글 2007 7.5.12.699 버전 :: 보안 취약점 개선한글과컴퓨터넥셀 2007 7.5.12.751 버전→ 한글과컴퓨터 넥셀 2007 7.5.12.757 버전 :: 보안 취약점 개선한글과컴퓨터슬라이드 2007 7.5.12.894 버전→ 한글과컴퓨터 슬라이드 2007 7.5.12.900 버전 :: 보안 취약점 개선한/글 2005 6.7.10.1105 버전→ 한/글 2005 6.7.10.1107 버전 :: 보안 취약점 개선한/글 2004 6.0.5.803 버전→ 한/글 2004 6.0.5.805 버전 :: 보안 취약점 개선한/글 2002 SE 5.7.9.3076 버전→ 한/글 2002 SE 5.7.9.3079 버전 :: 보안 취약점 개선한컴오피스 2014 한컴사전 9.0.0.1329 버전→ 한컴오피스 2014 한컴사전 9.0.0.1463 버전 :: 공통 모듈 업데이트한컴오피스 2014 한컴문서찾기 9.0.0.1329 버전→ 한컴오피스 2014 한컴 문서찾기 9.0.0.1463 버전 :: 공통 모듈 업데이트한컴오피스 2014 한컴개인정보탐색기 9.0.0.1329 버전→ 한컴오피스 2014 한컴 개인정보탐색기 9.0.0.1463 버전 :: 공통 모듈 업데이트…
Well-formedness & limit
“
© AhnLab, Inc. All rights reserved.
주요취약점
프로토콜 (구현)상 취약점
An advisory notice on the OpenSSL website reports that a man-in-the-middle vulnerability – referred to as CVE-2014-0224 – was uncovered by security researcher Masashi Kikuchi.“An attacker using a carefully crafted handshake can force the use of weak keying material in OpenSSL SSL/TLS clients and servers. This can be exploited by a man-in-the-middle (MITM) attack where the attacker can decrypt and modify traffic from the attacked client and server,” the advisory states.
CVE-2004-0079 : null check missCVE-2009-1386 : ChangeCipherSpec packet that occurs before ClientHelloCVE-2014-0224 : Early CCS InjectionMore precisely, when accepting CCS, you must verify the following three conditions (*):• the handshake proceeds to the proper phase, i.e., just before to receive Finished,• no fragments from the handshake remains,• and, the next message is Finished.
“
© AhnLab, Inc. All rights reserved.
기본에충실한구현
ASR : IP/MAC제한, 인증, 암호화, 난독화, 서비스 최소화ASR : IP/MAC제한, 인증, 암호화, 난독화, 서비스 최소화
상호인증 : 기기, 사용자상호인증 : 기기, 사용자
취약점 : 시큐어코딩, 프로토콜 점검, … 취약점 : 시큐어코딩, 프로토콜 점검, …