User Authentication Vulnerability Analysis
Authentication
개체 (Entity)나 데이터 (Data)가 진짜임을 증명하는 것으로, 다양한 수단으로 인증할 수 있다. 아는 것 (비밀번호), 가진 것 (ID 카드, 보안 토큰, 휴대폰), 자신만의 정보 (지문, 홍채 등) 등
Password에 관한 고찰
사람이 기억할 수 있는 최대 길이는 7 -> 이러면 dictionary, bruteforce에 취약하여 강제적으로 복잡도를 올렸음.
shoulder surfing에 강하도록 유출되지 않는 PW를 만들 수 있는가? -> 사람의 인식력 (recognition, computation) 을 요구
-> 그래픽 패스워드
일반적인 망 분리 환경 구성도
국정원에서 명시
인터넷 되는 망 따로, 안되는 망(중요한 업무) 따로 하는 것
논리적 망분리 vs 물리적 망분리
물리적 PC 2대 두고, 네트워크도 랜선을 2개로 분리
stored XSS 네트워크 스캔이 될 수 있다
-> request할 때 어루 메시지가 달라서 내부망 스캔이 가능할 수 있음
불필요한 port, 웹 페이지를 제거한 상태여야 함.
kvm (keyboard, video, mouse) 스위치로 업무망, 인터넷망 전환 가능
numlock, toggle키
keyboard input 만으로도 할 수 있는 것들이 많다
visual base script -> notepad 열어서 입력한다음에 .vbs로 저장해서 실행
하면은,
host에서 device로 신호를 보낼 수 있음
Set objShell = CreateObject("WScript.Shell")
objShell.SendKeys "{capslock}"
업무망의 데이터를 kvm이 마음대로 읽어 출력하도록
CAPTCHA
컴퓨터와 사람을 구별하기 위한 완벽하게 자동화된 공개 튜링 테스트
