SomeNotes247

무난하지만 느리다 안드로이드 MTS(증권거래 앱)는 이것저것 참 많이 써봤다. 작년까지는 NH투자증권의 QV를 주거래 앱으로 사용했는데, 올해 중반부터 한투증권의 '한국투자 주식'으로 바꿨다. 수수료 무료 이벤트 때에 카카오뱅크 앱을 통해 비대면 계좌개설을 했다. 비대면 계좌개설은 정말 간단했다. 비슷한 시기에 미래에셋대우 계좌도 비대면 방식으로 개설했는데, 복잡한 과정으로 짜증이 났다. 심지어 투자성향 조사도 해야 했다. 이런 건 나중에 해도 될텐데. 카카오 계열의 간단함은 큰 장점이다. 앱 자체는 무난하다. 크게 뛰어난 점은 없지만, 딱히 문제도 없다. 구글 플레이의 평점이라면 4.3점 주겠다. MTS의 기능은 다 거기서 거기다. 체감적으로 느낄 수 있는 부분은, 같은 기능이라도 한번이라도 덜 클릭하여 이용할 수 있는 편리함과 반응 속도 정도이다. 가장 큰 감점 요인은 느린 반응 속도다. 전반적으로 반응이 느리고, 특히 초기 로딩과 로그인이 좀 답답하다. 사용에 지장을 줄 정도는 아니다. NH QV는 반응이 정말 번개같았기 때문에 아쉬움이 크게 느껴졌다. 편리성 면에서는 뉴스 쪽이 불만이다. 그림이 있는 기사에서는 자동 줄바꿈이 되지 않아서, 좌우 스크롤까지 해서 읽어야 한다. 기사 자체는 최대한 축소하고 글꼴만 키워야 읽기 편하다. 매번 이짓을 해야 하니 난감하다. '서랍 종목' 기능은 칭찬할 만하다. 현재가나 차트 화면에서, 관심 종목에 쉽게 접근할 수 있다. NH QV에서는, 화면을 옆으로 밀어서 관심 종목 내의 항목을 순서대로 넘겨볼 수 있었다. 각각 장단점이 있기 때문에, 결국 사용자의 습관에 달린 문제다. 안드로이드의 ActiveX 한국투자 주식 앱을 설치하면 보안 앱과 생체인증 앱이 함께 설치된다. 안드로이드판 액티브엑스라고나 할까. 이들은 사용자가 임의로 실행하는 앱이 아니기 때문에, 앱 런처에는 보이지 않는다. 주식 앱을 삭제해도 저절로 지워지지 않는다. 설정의 앱 목록...

오늘 한 언론 매체에, 이메일을 통해 윈도우 10 업데이트를 가장한 악성코드가 퍼지고 있으니, 열지 말고 바로 삭제하라는 기사가 떴다. 핵심은 이 부분이다. 그러나 잘못된 점이 있다. "이 이메일은 첨부 파일을 실행하지 않고 단지 메일 내용을 읽어보는 것만으로 PC가 랜섬웨어에 감염될 수 있다. 메일 안에 첨부한 'jpg' 형태 그림 파일에 악성코드가 숨어 있기 때문이다. 그림이 표시되는 순간 PC가 깃허브(GitHub)라는 사이트에서 자동으로 '사이보그(Cyborg)'라는 랜섬웨어를 내려받아 실행한다." (참1) 이메일을 열어 보는 것만으로 해킹당하고 악성코드가 실행되는 것은 물론 가능하다. 이메일에는 자바 스크립트 같은 실행 가능한 내용이 포함될 수 있기 때문이다. 또한 이메일 클라이언트 앱에 취약점이 있을 경우, 특별하게 조작된 메시지를 통해 이를 악용할 수도 있다. 그런데 이번 사이보그 랜섬웨어 유포 작전은 그런 것이 아니었다. .exe 실행파일인 악성코드를 그냥 .jpg 그림파일로 이름을 바꾼 것이다. 이것은 실행되기 어렵다. 형식만 그림일 뿐 사실은 실행파일이기 때문에, 그림이 표시되지 않는다. 사용자가 속아서 더블클릭하더라도, 윈도우는 이를 그림인 줄 알고 그림 앱에서 열기 때문에, 코드가 실행되지 않는다. 이것을 실행하려면 명령 프롬프트 창에서 직접 실행하거나, 바로가기(.lnk) 파일을 통해 이 과정을 대신하는 방법 밖에 없다(관1). 바로가기를 사용하는 것이 가장 속기 쉬운 방법일 것이다. 관련 자료 파일 확장명 위장한 악성코드 참고 자료 "윈도10 업데이트 설치하세요" 이메일, 절대 열어보지 말고 바로 삭제하세요 Fake Windows Update Spam Leads to Cyborg Ransomware and Its Builder Attacker Mistake Botches Cyborg Ransomware Campaign

취약점 아닌 악성코드 문제 2019.11.25일 CNBC에 따르면, 일부 앱을 Twitter나 Facebook 계정으로 로그인해 사용한 경우, 제3자에게 이들 계정 정보가 유출됐을 가능성이 있다고 한다. 문제의 앱에는 Giant Square, Photofy 등이 포함됐다. 문제의 앱에 트위터나 페이스북 계정으로 로그인(Login with Twitter, Login with Facebook)하는 사용자가 해당된다. 이들 앱에는 OneAudience, Mobiburn이 배포한 개발 키트(SDK)가 포함됐는데, 이 SDK가 악성코드를 포함하고 있었다. OneAudience와 Mobiburn은 개인 정보를 팔아 돈을 버는 회사다. 이들은 자사의 SDK를 채택하는 개발자에게 돈을 주고, 이 SDK를 통해 수집한 개인 정보를 광고 회사 등에 판매한다. 트위터와 페이스북은 구글과 애플에 이 문제를 알려, 악성 SDK를 포함한 앱들을 차단하도록 했다. 탈취 내용은 연결된 앱의 권한에 달려 연결된 계정으로 어떤 앱에 로그인하는 경우, 이 앱은 사용자가 허락한 범위 내에서 그 계정의 정보에 접근할 수 있다. 그러나 원칙적으로 그 앱에 포함된 광고 등 제3자 SDK는 연결된 계정의 정보에 접근할 수 없다(SDK 격리, isolation between SDKs within an application). 문제된 앱들은 이런 SDK 격리가 제대로 되지 않아, 제3자(이 사건의 경우 OneAudience와 Mobiburn)가 연결된 계정에 권한 없이 접근할 수 있었던 것이다. 한 앱에 여러 개의 SDK를 사용하는 것은 여러 가지 문제를 일으킨다(관2). 따라서 노출된 계정 정보의 범위는 사용자가 문제 앱에 허용한 정도에 따라 다르다. 대체로 user name, 이메일 주소, 사진, 트윗 등이 포함됐다. 트위터의 경우에는 access token도 포함됐다고 한다. 아마 문제 앱에서 바로 트윗을 작성할 수 있도록 하기 위해 이를 허용했을 것이다. 이 경우는 ...

링크 클릭하지 말고 직접 접속 근래 "[Google 계정 보안 경고] 비밀번호가 유출됨"라고 하는 피싱(phishing) 문자가 많이 발견되고 있다. 당황한 나머지 클릭하지 않도록 조심하자. 이제는 안드로이드 스마트폰에서도 원격코드 실행 취약점이 많이 악용되고 있어서, 클릭만으로도 해킹당할 수 있다(관1). 일단 링크 주소부터 수상하다. hoops://google.seccerv.com/signinoptions로 돼 있는데, 이것은 google 도메인이 아니라 seccerv.com 도메인이다. 만약 hoops://seccerv.google.com으로 돼 있었다면 좀더 그럴듯 했을 것이다(관2). 보안 경고와 관련된 이메일이나 문자 메시지를 받았다면, 링크를 클릭하지 말고, 직접 구글 사이트에 접속해서 보안 점검을 해야 한다. 구글 사이트에서 [구글 계정 관리]를 클릭하면, 보안과 개인정보 보호를 비롯한 민감한 설정을 조정할 수 있다. [보안] 탭에서 [계정 보안 강화]를 시작한다. 뭔가 문제가 있으면, 이 페이지에 경고가 나타난다. 계정과 관련해 수상한 행동이 있었는지는, [최근 보안 관련 활동]을 검토하면 알 수 있다. 만약 수상한 행동이 발견되면, '알 수 없는 이벤트가 있나요?'를 클릭해서, 암호를 변경하고 기존 로그인은 모두 무효로 처리해서 계정을 보호할 수 있다. 관련 자료 안드로이드에 대한 드라이브 바이 다운로드 해킹 늘어난다 클라우드를 이용한 피싱

TLSI SSL/TLS로 암호화된 https 통신은 통신 비밀 보호에 훌륭한 역할을 한다. 반면에 보안 소프트웨어와 장비도 그 내용을 볼 수 없으므로, 해커에 악용될 경우 기밀 데이터를 외부로 유출하거나 악성코드를 전파하는 수단이 될 수도 있다. 따라서 기업 등 조직은 암호화 통신을 감시할 필요성이 있다. 이때 이용되는 것이 TLSI(TLS Inspector)다. TLSI에는 보통 forward proxy가 이용된다. TLSI는 이처럼 필요성이 있긴 하지만, 사실상 중간자 공격(MITM attack, Man-In-The-Middle attack)이기 때문에, 프라이버시와 관련해 위법 논란이 생길 수 있다. 또한 잘못 운영될 경우, 해커나 내부인에 의한 악용 위험이 있다. 이에 대해 NSA는 2019.11.18일, TLSI의 위험성과 대응 방안을 자세히 설명한 권고문을 발표했다. Forward Proxy 포워드 프록시는 TLSI에서 핵심 역할을 한다. end-to-end 암호화 통신을 일단 해독해서 검사한 다음, 다시 암호화해서 전달한다. 예를 들어보자. 내가 TLSI 시스템을 갖춘 회사의 컴퓨터로 네이버에 접속한다고 하자. 원래는 나(A)-네이버(B)로 이어지는 https 종단간 암호화 통신이 이루어져야 한다. 그러나 TLSI 때문에 나(A)-프록시 서버(C)-네이버(B)로 연결돼, 종단간 암호화가 일단 깨진다. 프록시 서버에서 암호화를 해제하여 악성 트래픽이 있는지 검사한 후, 다시 암호화하여 전달한다. 이런 구성을 TLS chain이라고 한다. 이런 프록시 서버가 잘못 설정되거나 운영될 경우, 암호화가 해제된 민감한 내용이 엉뚱한 곳으로 전달될 수 있다. TLS Chain TLSI는 앞의 예처럼 하나의 TLS session을 깨뜨렸다가 다시 TLS chain으로 잇는다. 이제 A-C, C-B는 각각 별개의 TLS 세션으로 보안 강도가 다를 수 있다. TLS 규격에는 여러 버전, 암호화 수단 등이 있기 때문이다. 따라서 이 중...

CVE-2019-2234 구글 픽셀 스마트폰의 카메라 앱이 다른 앱에 의해 악용되어, 사용자 몰래 사진과 동영상을 촬영할 수 있는 취약점이 발견됐다. 이는 2019.7월에 구글에 통보됐고, 구글은 그 달로 플레이 스토어를 통해 문제의 카메라 앱을 업데이트했다. 그리고 8월에 구글이 이 취약점을 더 조사한 결과, 다른 안드로이드 스마트폰들에도 해당되는 것을 확인하고, 각 제조사에 패치를 제공했다. 카메라 앱은 각 제조사들이 특화된 기능을 넣기 때문에, 제조사와 기종에 따라 많이 다르다. 어디까지가 영향권에 있는지 잘 모르겠다. 삼성 카메라 앱은 취약한 것으로 확인됐다. 카메라 접근 권한 필요 없다 안드로이드의 storage(저장 용량) 접근 권한은 전체 SD 카드의 내용을 읽고 쓸 수 있는 권한이다. 따라서 이를 가진 앱은 사진, 동영상 같은 미디어 파일에도 접근할 수 있다. 그런데 이 권한을 대부분의 앱들이 가지고 있다고 한다. 날씨나 음식 배달 같은, 저장소 접근 권한이 별로 필요치 않을 것 같은 앱들도 가지고 있다. 여기서 예로 든 앱이 특별히 문제가 있다는 것은 아니다. 과도한 권한은 언제나 지적되는 문제이고, 권한이 있다고 해서 반드시 실제로 악용하는 것은 아니다. 어쨌거나 이처럼 저장소 접근 권한이 있는 앱은 문서, 사진, 동영상 같은 민감한 자료에 접근할 수 있는 잠재적인 위험이 있다. 그런데 이번에 발견된 취약점은 여기에서 한 걸음 더 나아간 것이다. 기존 사진에 대한 접근은 물론, 아예 새로운 사진과 동영상을 몰래 찍을 수 있는 것이다. 사진과 동영상을 찍기 위해서는 별도로 카메라에 접근할 수 있는 권한을 얻어야 한다. 그런데 저장소 권한이 있는 앱은, 별도로 카메라 권한을 얻지 않고도, 취약한 카메라 앱을 제어해서 몰래 촬영을 할 수 있다는 것이 밝혀진 것이다. 이 취약점을 발견한 Checkmarx의 보고서에 따르면, 다음과 같이 악용될 수 있다. 폰이 잠겨 있는 상태에서도 사진과 동영상을 ...

Juice Jacking 최근 LA 당국이 여행객들에게 공항 등 공공장소의 충전 키오스크에서 USB 케이블로 스마트폰을 충전할 경우, 데이터가 유출되거나 악성코드에 감염될 수 있다고 경고했다. 또한 키오스크처럼 커다란 장치가 아니더라도, 일반 충전기나 USB 허브 등 소형 기기에도 해킹 모듈을 장착한 시제품이 개발되기도 했다. USB 케이블은 전력과 데이터를 모두 전송할 수 있기 때문에 가능한 것이다. 이런 형태의 해킹 수법을 juice jacking이라고 한다. 이런 일이 실제로 있었는 지는 확실치 않다. 미국 동부 해안 지역에서 몇 건 있었다는 말도 있고, 아직 확실한 증거는 없다는 전문가도 있다. 그러나 주스 재킹이 황당한 가설만은 아니라는 데는 이견이 없다. 조심해서 나쁠 건 없다. 잠금 상태로 충전 주스 재킹을 피하려면 보조 배터리나 충전기를 휴대하고, 공용 혹은 타인의 장치를 사용하지 않는 것이 최선이다. 어쩔 수 없는 상황이라면, 스마트폰을 잠금 상태로 유지한 채 충전하는 것이 차선책이다. 최신 운영체제에서는 잠금 상태에서 데이터 연결을 허용하지 않는다. 안드로이드의 경우에는, 내 기억으로는 안드로이드 5 롤리팝 버전부터, USB 케이블 연결 시 데이터 연결을 허용하겠냐는 알림이 나오기 시작한 것 같다. 그러나 이런 방어 매카니즘에 대해선 항상 우회 방법이 나오기 마련이므로, 역시 내 장비만을 사용하는 것이 가장 안전하다. 참고 자료 What you need to know about juice jacking LA warns of ‘juice-jacking’ malware, but admits it has no cases