TIL - 보안 공부 그외

kyoungyeon·2023년 8월 7일

TIL

목록 보기

85/110

Studylog

보안요소

무결성 : 적절한 권한을 가진 사용자가 인가된 방법으로 정보를 변경한다

기밀성 : 인가된 사용자가 정보자산에 접근한다

가용성 : 인가된 사용자가 원할때 언제든지 서비스에 접근한다

부인방지 : 어떤 사실이 있다는것을 인정하지 않는 행위 방지 / 어떠한 행위에 대해 증명하는 것

인증 : 인가된 사용자 임을 증명 하는것, 확인하는 행위

데이터 베이스 : 구조화된 정보, 데이터의 조직화된 모음
데이터 보안 : 보안사고로 부터 자료 손실을 방지하고 보호한다

트래픽이 집중되는것을 분산시키기 위한 스위칭 '기술'
- 설치 위치, 기능에 따라 ALB, NLB 가 있음

ATTK : ZeroDay, Ol day, OnedAy
- Zero : 패치없음
- Ol : 패치, 취약점 분석 오래됐는데 설치안함
- One : 취약점 발견후 패치가 나왔으나 검증성 때문에설치 안함
응용 프로그램 기능 (L7)을 위협 악의적 행위 수행하는 프로그램 ?
Malware, malicious SW
IT 사각에서 인프라?
- IT 서비스 기반이 되는, 정보 기술 구성요소의 집합
  ~~추상적이군요~~
- logical, physical factor, network
- 단 : 인력, 프로세스, 문서 제외
인프라 구성요소
hw,OS,middleware, network
- 단, OS != middleware
Infra Type(2)
Onpremise ->(migration) -> Cloud
Unix Type(2)
BSD, SYSTEMV
- 추가 공부 필요
Redhat 계열 OS kinds
페도라, CentOS, RHEL
- 창립 목적

사유 유닉스에 반대하며 freeware 소프트웨어 재단을 설립하고 유닉스 복제본 (GNU)를 만들었다. = GNU-GPL (General Public License)
다만 이런 활동이 부진해지자 "리누스 토발즈" 가 리눅스 개발함.

쉘 분류 (2)
CLI/ GUI

리눅스

쉘 기능
명령어 해석
- 커널과 사용자 사이의 인터페이스
리눅스 표준쉘 : Bourne Shell
= BASH/Bourne-Again Shell
리다이렉션 두가지
Overwrite / Append

   - 쉘 변경 명령어
    = chsh
  -  사용자 로그인 쉘 확인할 방법
  cat /etc/passwd
 
명령어 와 명령어를 연결할 때 사용 :   | 파이프
명령어를 동시에 여러개 사용 :     ; 세미콜론, && 엠퍼센트
파일 목록 : ls
파일 복사 / 디렉토리 복사 : cp -r
파일 삭제[, 하위 디렉토리 포함 강제 삭제 : rm -rf

/root/.bashrc 파일 수정 과정

vi /root/.bashrc
alias l ='ls'
alias ll ='ls -l'
alias la ='ls -a' // wq 저장후 exit

vi .bashrc  //  수정..
source .bashrc // 변경 bashrc 파일적용

-  모든 파일 삭제
rm
-  디렉토리 파일만 삭제 가능
rmdir
- 일반 파일 혹은 디렉토리 파일
test
- 디렉토리 파일
test/

리눅스에서 사용할 수있는 런 레벨
init 0 : 시스템 종료
inti 6 : 시스템 재부팅
절대경로 /상대경로
절대 경로 : 완전 경로 바뀌지 X
상대 경로 : 현재 위치한 디렉토리로부터의 경로로 위치에 따라 변경

그외

NAT Network Address Translate
공인 - > 사설 ip
사설 ip -> 공인 ip

Q

왜 개인키는 비대칭이여야 하나요?
- 개인키가 비대칭이 아니라 비대칭키는 구조상, 송신자와 수신자간에 다른 키가 교환이 되는데 복호화 할 때 쓰는 키, 인증 과정에 중심을 둔 개인키 인 것.
개인키는 대칭키 불가능한 건가요?
- 위 내용과 유사한 질문 , 하지만 개인이 갖고있는 키를 의미하는 거면 대칭키 방식을 선택시 Data 보안을 중시하기 때문에 비밀키를 송신자와 수신자가 가질수 있다.
어떤 case?
비대칭키 : Diff-Helman ,RSA, ECC, DAS ( BlockChain ,TPM)
대칭키 : SEED,DES ,ARIA,AES, IDEA, MAC(메시지인증코드)

A

대칭키 = 암호화 복호화시 키가 동일시.
- 1개 키 , 수신, 송신자 둘다 같은키가 있어야 암호화 복호화가 가능
- 대칭시켜서 키가 열린다
비대칭키 = 암호키 복호키 다를 경우,
- 2개의 키 사용, 비밀키(개인키) 와 비밀키를 토대로 만든 공개키 쌍
- 공개키 : public = public에게 공개된 키 정보를 암호화 함
- 비밀키 : private = 사용자만 안다!

	대칭키	비대칭키
키관계	암호화 키=복호화 키	암호화 키!=복호화 키
암호화	비밀키	공개키
복호화	비밀키	개인키
비밀키 전송	필요	불필요
키 길이	짧	길
인증	곤란	용이
암호화 속도	빠름	느림
경제성	높다	낮다
전자서명	복잡	단순
주 용도	고용량 데이터 암호화(기밀성)	키 교환 및 분배, 인증,부인방지 (기능 다양)
장점	- 암복호 키 길이 짧다 - 구현이 용이 - 암복호화 빠르다 - 암호화 강도 전환 용이 - 암호화 기능 우수 - 각종 암호 시스템의 기본으로 활용	- 사용자 수 증가에 따른 키 개수 상대적으로 적음 - 키 전달 교환에 적합 - 인증과 전자서명에 이용 - 대칭키보다 확장성 높음 - 여러분야 응용 가능 - 키 변화 빈도 적음
단점	- 키 교환 원리가 명시되지 않음 - 키분배가 어렵다 - 관리할 암,복호화 키 많다 (N : N(N-1)/2 ) - 확장성 낮다 - 전자서명 불가능 - 부인 방지 기능 없음	- 키 길이가 길다 - 복잡한 수학연산(이산수학, 타원곡선 이론) 이용 암호화 복호화 속도 느림 - 중간에 인증과정 없어서 중간자 공격에 취약 - 전자서명,인증서 등 해결
예	[Feistel] : Seed,Des [SPN] ARIA, AES, IDEA 메시지 인증코드 MAC	공인인증서 DiffHelman ,RSA,ECC, DAS BlockChain TPM

송수신간의 data를 푸는 알고리즘, 값들을 '키'라고 표현한 게 상당히 직관적이고 멋지다😀

TPM이 뭔지 몰라 찾아본 자료
- 놀랍게도 HW
- 메인보드에 붙은 작은 칩
- cpu와 별도 작동
- BitLocker,Window 서비스와 연동함
- replica처럼, 위변조 여부를 비교하는 기준이 된다고 한다.

참고1

키확장자에 따른 암호화 키 파일
대칭비대칭키
암호키

ETC

Status

장기 목표가 생김

0 남들만큼 건강하세요
- 크로스핏 기록상 일반인의 딱 반 정도 체력이 올랐다.

1 공부, 운동 규칙적으로 잡기 (운동 1시간 포함 )
- 저녁 4 시간 + 아침 1시간
일주일 정도 해보니, 회사를 다니며 저녁 공부는 3~4시간 정도가 가능할 때가 있는데, 아침은 전혀 못 하고 있다.

가능한 이유를 생각해 보니

조건 1 : 아직 수습이라 24시간 대기 발령, 출동, 파견이 없다
조건 2 : 난 80% 받는 수습이라 칼퇴근해도 별말 없으시다.
뭐 식대가 월급 포함인데 이 정도는 당연히..
조건 3 : 회사 사업이 초기 단계라 아직은 바쁘지 않다 등..

즉 , 반대 조건의 경우 저녁 공부도 못할 수 있다.

아침이 불가능한 이유?

기상과 무관하게, 일어나서 에너지를 쓰는 게 너무 힘들다
할 수 있는 것 : 최소한의 청결와 화장, 인강 듣기, 스팀 다림질(이건 좀 좋아함).
결론
- 출퇴근 시간이 왕복 2시간 정도 되는데, 이때 아침 못한 공부를 해야 할 것 같다.
- 회사에 일찍 출근.. 코딩 연습 시간이 필요할 것 같다.
- 퇴근 후 바로 저녁 운동 , 집에 도착하고 정리하면 9시.
  == 컨디션에 따라 4~5시간 정도 할 수 있다.
  ~~몸이 아프면 못 함, 운동도 못 감~~

3 맞춤뻡
한글 맞춤법 좀 공부하자.

기술 블로그 고민

보안 및 기술 블로그 다시 만들어야 할까.
하.. 공부랑 일을 같이하려니 머리가 ~~빠개짐~~ ..복잡하다

그 와중에 스터디 하나는 자연스럽게 해산됬는데 Java 언어라 좀 안심..?
기술만 기록하는, Dictionary 화된 블로그는 따로 만들어야 할 때가 온 것 같다
medium/ tistory 중 고민하고 있다.

(기존) Velog

실은 Velog가 최근 정체성을 잃은 것 같다는 고민이 들기 시작했다.
아니 처음부터 이랬나 싶은데.. 처음엔 새로운 공부와 환경에 대한 우울하고 힘든 마음에 하던 것 했을 뿐인데, 여기까지 왔다.
이젠 과시용인지, 남들 다 보는 일기장이 돼버린 건지. .

목표 : 기술 repo 만들기전의 hub같은 느낌으로가자

"나 혼자 openHub 만들었다~!"
사용처 : IT인으로써 기억하고 기록 해야 할 기억들, 차후에 정리할 내용을 미리쓰는 연습장으로 사용.

목표는 클 수록 좋은 것이다.

목표 : 보안 / Infra/ Error-handling 글 쓰기

기술 report.

나도 , 남들도 알아보기 편하게 만들자.

백서, 공식문서 처럼 써보기

(신규) Medium

목표 : 기술 report English ver (시간이 한참 걸릴듯..)
첫 개발 시작할 때 팠다가 포기하고 방치했다
- 한국인 진입/ 유입이 적은편.
- 요새 subscribe 화 된 면이 있다. 역시 medium을 하면 어느정도 수입이 난다는게 사실인가보다.
- 다른 업계 종사자로부터 보통 회사에서 선호한다고 듣기도 했다.
  
  이곳은 정말 전문가가 너무 많아서 오히려 부족한 나의 공부를 쓰기 좀 부끄럽고, 오점이 있을까 봐 부담이 된다.
실은 이런 것을 극복하라고 전문가가 조언해주었다...
이미 삽질은 블로그에서 한창 하고 있어서. 고민됨

(차기 후보) Tistory

~~고인 물~~ 전문가들이 기록용으로 쓰시는 걸 꽤 봐서 여기 쓰기 부담됨.
글을 읽다 보면 소름만 돋았다. 그야말로 한국판 Medium !
카카오톡 기반 플랫폼 ( 클라우드 특강에서 관계자가 추천함)
이상하게 여긴 좀 꺼려지는 면이 있는데, 일단 내가 daum을 안 쓴 지 꽤 됐고 검색엔진 또한 써본 지 오래됐다.
daum이 여성 친화적인 콘텐츠가 인기도 있고, 비중이 크다고 생각해서 현재로선 기술 블로그 플랫폼으로써 매력이 크게 느껴지진 않았다.

여긴 브런치가 더 유명하지 않나?
google에서 노출 빈도수 또한 ( 중요한 순간 도움을 꽤 받았음에도) 그닥 높지는 않은 것 같아서 고민중.

Naver (마지막) :

편견에 휩싸인 나..
네이버는 맛집 여행 홍보 블로그 아닌가요?

블로그로써 허들이 낮다고 생각함, 티스토리와 유사
근데 왠지 네이버는 <파워 블로거> 라는 이미지가 있다
내가 과연 it 파워 블로그가 될 수 있을까요? 😂😂
IT인으로서 어느새 상품 리뷰, 여행, 맛집 탐방기로 초기 취지나 성질이 변하지않을까??
그 외

노션

이쁘게 만들 때 쓰는 template 정석의 쓰임새.
실은 PPT 더럽게 만들기 싫을 때 쓴다..

개인적인 생각으론 PM 들이 쓰기 좋다고 생각함

실제로 Job description/ 신생기업 회사 정보를 점핏이나 코드쉽에서 볼 때 자주 보이는 형식이 노션 template였다.
덕분에 나의 포트폴리오에 최적화된 template♥️

(문 닫은) Git blog

예전 멘토님께 git Vlog를 추천받았는데…. 말이죠….

어느샌가 정신 산만하기만 하고 관리가 안 돼서 private 처리함.
다만 git 블로그를 보았을 때 한국인이 좋아하는 template에 있는지 비슷한 디자인이 자주 보였다.
코드와 file을 카테고리 다시 해야 함
활용도를 정해야 함
포트폴리오용인지, code PR용인지
git Jekyll, ruby 등 공부가 필요함