정보보호 한잔

안녕하세요, 실더입니다. 최근 프로젝트에서 TLS 인증서 적용을 다루다 중간 인증서(Intermediate CA)를 등록하지 않아도 "보안상 문제없이 작동은 한다"는 의견을 들었어요. 실제로 일부 환경에서는 보기엔 정상적으로 보이지만, 이는 보안의 큰 구멍을 만들 수 있습니다. 오늘은 PEM(서버 인증서) + Key만으로 TLS를 적용할 때 발생하는 문제, 특히 MITM(Man-in-the-Middle) 공격 시나리오를 구조적으로 분석해 보겠습니다. 실제로 SSL Labs 데이터에 따르면, 전 세계 사이트 20%가 체인 문제로 A 등급 미달인 상태입니다. (참고: NIST SP 800-52, SSL Labs 데이터)왜 중간 CA가 필요한가?TLS 인증서는 "신뢰 체인(Chain of Trust)"으로 작..

패킷스톰 사이트https://packetstormsecurity.com/공개된 투트킷과 탐지툴이 있는 사이트로 해킹 공부시 많은 도움이 되는 사이트중 하나입니다.하지만 해킹도구를 함부로 사용하는 경우 법적인 처벌을 받을 수 있다는 사실을 꼭 명심하고 본인이 만들어 놓은 해킹 환경에서 폐쇄적으로 공부할것이며 별도 상용 사이트에 사용하는 일이 없도록 주의하여야 합니다.

안녕하세요.Android OS 단말 중 일부 단말에서 지원하는 USIM Hot Swap 기능을 가진 단말에서 USIM 변경시 애플리케이션 단에서 확인하는 방법에 대해서 알아보려 합니다.USIM Hot Swap단말은 주로 2016년 이후 출시 단말에 탑재 되었으며 삼성은 갤럭시 s7이후, LG는 G5이후 일부 단말이 해당 기능을 지원하고 있습니다.USIM의 변경 여부를 확인하는 것은 인텐트의 엑스트라에 값 "LOADED"가있는 키 "ss"가 포함 된 이벤트로 제한할 수 있습니다. 하지만 변경 사항이 있는지 항상 확인하는 것이 더 안전합니다. ※ Hot, Warm, Cold 스왑 비교Hot swap: 점진적 변화에 대해 새로 런치하거나 현재 액티비티를 실행하지 않고 앱에 반영하는 방식으로 메소드 실행 내부의..

JSON Injection JSON(JavaScript Object Notation,제이슨) 속성-값 쌍으로 이루어진 데이터 오브젝트를 전달하기 위해 인간이 읽을 수 있는 텍스트를 사용하는 개방형 표준 포맷이다. JavaScript의 구문 형식을 따르지만, 프로그래밍 언어나 플랫폼에 독립적으로 C, C++, 자바, JavaScript, 펄, 파이썬 등 많은 언어에서 이용할 수 있다. 주로 다음과 같은 상황에서 공격이 발생 될 수 있다. 1. 신뢰할 수 없는 소스에서 데이터가 프로그램에 입력됩니다. 2. JSON 스트림에 데이터가 작성됩니다. JSON 문서와 메시지의 의미는 응용 프로그램이 확인되지 않은 입력에서 JSON을 구성하는 경우 변경될 수 있다. 상대적으로 양호한 경우 공격자는 JSON 문서 또는..