내 비밀번호가 자꾸 털리는 이유87
- ddart
- 등록일 2023-01-18 23:29
- 조회수 31193
|
||
파워링크 
등록안내
등록안내
|
 0
 1
 흑염
잡넘들이 어디 한군대 적접 DB 털거나 구매한 아이디/비번 정보로 규모점 되는 사이트나 게임회사 등에 하루종일 로그인 시도 합니다
그렇게 추려진 접속되는 계정들은 직접 털어 먹는등 악용 or 재판매... 로그인 서버등에 부하걸릴 정도거나 그들이 발생시키는 트레픽이 일부 도움되는 측면이 있으면 알고도 안막는 회사점 됩니다 orz
2023-01-19
|
|
1
1
ddart
인터넷 초창기라면 모를까 요즘은 대형사이트에선 몇차례이상 로그인시도하면 대부분 기본적으로 접속 차단됩니다.
직접적인 무작위 대입은 불가능함. 개인정보가 공공재이고 위와같은 다 알려진 로그인도용문제가 하루이틀일이 아닌데 2차인증기능을 제공안하는 사이트들에서 금전도용사고나면 이제는 안전불감증에 걸린 회사책임인것 같습니다.
2023-01-19
|
|
0
2
넷꾼
생각하신게 아니고
말씀하신 건 현실인데요...
한가지 다른점은, 일단 말씀하신 내용은 서버의 계정하나를 뚫어서 암호파일(암호를 암호화한후 결과저장된 파일)을 얻어야만 가능한 얘기에요. 우리가 로그인하는것처럼 웹 접속해서 암호가 맞는지 확인하면 시간이 오래걸려서 못해요. 웹서버에서 몇번 틀리면 연결끊기도 하구요. 그래서 이 암호가 맞는지 틀리는지 확인을 해야하는데 계정하나는 뚫어야만 하죠. 직접 그 암호파일(해시거친 파일)을 이용해 계산 연산해서 해시값이 같은지 보는거죠.
2023-01-19
|
|
|
2
1
ddart
위 글내용은 모든 사용자의 비번해시값이 저장된 개인정보 DB자체가 누출되어 범죄자손에 들어간다는 내용입니다. DB에 저장된 해시값을 들여다보고 손쉽게 이용자 비번을 해독한다는 내용이구요. ^^
2023-01-19
|
|
|
1
0
ddart
@Daνe 길이가 길어질수록 기하급수적으로 시간이 오래걸리는건 맞는데 비번을 아주 길게쓰는 사람은 드물고 10자리 이내비번은 그리 오래걸리지 않더군요. 전체 사용자의 80~90% 는 털수 있다네요.
2023-01-19
|
|
|
0
0
앨시에더리
@무늘여시오 일단 DB가 털리고 DB내에 있는 해시값을 획득했다는 가정하에 하는 말인듯 합니다. 그럼 맘껏 넣어볼 수 있죠. 애초에 사이트에서 로그인으로 비교해 보는건 말이 안되구요.
2023-01-19
|
|
|
0
0
묘묘바라기
@ddart 지금 하시는 얘기들은 뭘 보고 얘기하시는거에요??
2023-01-19
|
|
|
0
0
앨시에더리
@묘묘바라기 뭔가 증거를 보고 하는 말은 아니고, 비번이 털리는 일반적인 경우를 말하는 거 같네요.
2023-01-19
|
|
|
0
0
나무그루터
@무늘여시오 DB의 내용 획득하면 여러번 할 수 있습니다. 위 글쓴이도 DB 획득 기준으로 이야기 한 것 같은데요??? 그러면 무제한 할 수 있지 않나요? 무제한 안해봐도 이미 평소에 많이 쓰는 패스워드의 rainbow table 도 가지고 있을텐데요.. 반복작업 안해도 상당히 바로 알 수 있을듯 합니다.
2023-01-19
|
|
|
0
0
바영
6~7년동안 메이플 안하다가 들어갔는데 다른사람이 그 계정을 키우는 듯한 흔적이 있었고 아이템도 싹바꼈던 경험 있네요 ㅋㅋ 충격이였응
2023-01-19
|
|
|
1
0
ddart
저의 매우 복잡한 비번 처음 털린곳이 넥슨이에요. 넥슨 직원이 DB유출시킨거라고 그때 강한 의심이 들었음.
2023-01-19
|
|
|
0
0
포르쉐911
저는 심지어 지정pc인데도 털린적 있습니다 ㅋㅋ 눈 똑바로 뜨고 게임 하고있는데도 제가 보는 앞에서 템 다 떨구고 나가진적도 있구요... 그때부터 반중감정 격하게 생기더라구요
2023-01-19
|
|
|
0
1
흑염
저는... 네이버 계정 털렸을때가 가장 충격이였습니다
여러 카페에서 성인용품, 비아xx, 불법 도박 광고로 강퇴... + 개인 블로그도 비슷한 테러당함 ㅜ
2023-01-19
|
|
|
0
0
쓰라지
무섭다.... 전 은행쪽은 완전 다르게 쓰긴 하는데... 내가 가입한 사이트들 한번에 다탈퇴 시킬수 있음 좋겠네요
2023-01-19
|
|
|
0
0
상어밥
전문가신가요?.. 글쓰시길래 저도 여쭤봅니다.. 보통 비대칭 암호화방식으로 암호화해서 저장하는데.. 암호화할때 들어가는 키 없이 복호화가 가능한건가요?? 암호화 값 하나 복호화하는 시간이 수초만에 가능한건지 궁금하네요
2023-01-19
|
|
|
0
3
잠팅쓰
1. 왠만한 하드웨어로는 영 대소문자, 숫자, 특수문자가 모두 섞인 10자리의 비밀번호를 브루트포스로 푸는건 힘듭니다.
2. 사실 그런건 레인보우테이블이라고 미리 해시의 결과를 저장해둔 DB가 있습니다. 3. 레인보우 테이블 문제를 회피하기 위하여 해시를 저장할때 salt라는 기법을 사용합니다. 원래의 비밀번호가 12345라고 하면 시스템에서 사람마다 다른 SALT키 (에를 들어 assdsdkSDBjasdl123j$wlkejrwek!)를 붙입니다.(솔트는 DB에 Plain Text로 저장되어 있긴 합니다.) 그리고 비밀번호를 12345assdsdkSDBjasdl123j$wlkejrwek!에 대해서 해시를 해서 저장하게 됩니다. 길이가 엄청 길어졌으므로 브루트포스나 레인보우테이블에 대해서 비교적 안전해집니다.
2023-01-19
|
|
|
0
0
ddart
salt값이 별 의미가 없는게 로그인때 검증하려면 어딘가 솔트값을 기록해둬야하는데 그게 DB에 plain text로 함께 들어가있다면
DB가 털리고 해시알고리즘종류만 알면 똑같이 salt값 적용해서 해시값내면 되지 않을까요? salt값을 숨겨야하는데 그러면 전사용자 salt값을 같게해서 숨겨야하는데 이렇게 하면 티나니까 어쩔수 없이 사용자별로 다르게 해서 plain text로 db에 함께 기록하나보군요. 결국 db털리면 무용지물.
2023-01-19
|
|
|
0
0
Senior9324
해시함수 돌리는 리소스를 너무 과소평가하시는 것 같네요. 성능이 좋아졌다 한들 현재 기준 11자리 영문 대소문자, 숫자, 특수문자 포함된 비밀번호 뚫는데 몇백년은 걸립니다. 11자리만 딱 했으면 이미 만들어놓은 레인보우 테이블로 뚫을 수도 있지만, salt가 붙으면 레인보우 테이블이 없기 때문에 값을 공개해도 못 뚫습니다.
2023-01-19
|
|
|
0
0
잠팅쓰
전혀요..
사용자 A와 B의 비밀번호가 모두 password!라고 가정했을때.. 이 비밀번호를 브루트포스로 뚤어낼때 1일을 시간이 걸린다고 가정을 합시다. salt가 없다면 A사용자의 비밀번호를 1일에 걸쳐 뚫어내면 B사용자의 비밀번호도 자연스럽게 알게됩니다. salt가 있다면 A사용자의 비밀번호 해독에 1일이 걸리고 B사용자의 비밀번호를 해독에도 또 다시 1일이 걸립니다.
즉, 회원수가 100명이고 비밀번호의 카디널리티가 5라고 가정하면.. SALT가 없다는 전제하에 모든 사용자의 비밀번호를 찾아내는데 걸리는 시간이 5일이고 SALT가 있다면 100일이 되어버리니까요.(SALT가 있다면 비밀번호의 카디널리티의 추정이 불가능해지기도 하고요)
아마도 한명의 비밀번호를 풀어내는데 걸리는 시간은 SALT가 있으나 없으나 똑같다까지 생각하신것 같은데(사실 DB와 함께 비밀번호 해시 로직도 취득했다면 맞는 이야기긴 합니다.) 수백 수천 수만명의 비밀번호를 푸는 것이라면 SALT가 있고 없고에 따라 소요시간이 엄청나게 차이납니다.
2023-01-19
|
|
|
0
0
ddart
@Senior9324 얼마전에 해외사이트에 문자조합별 비번뚫는데 걸리는 시간 봤는데 10자리가 하루이내로 나왔던거같습니다. 레인보우테이블을 이용한건지 안한건지 모르지만 사용문자조합별이라니까 테이블을 이용안한 수치같던데.
2023-01-19
|
|
|
0
0
캡틴크런치
@ddart 데이터가 전송되는 구간(네트워크)의 암호화와 DB 저장된 데이터의 암호화를 구분해서 처리하기도 합니다. 네트워크 구간은 SSL로 전송되는 구간에 비밀번호는 별도 암복호화하고 방화벽,웹방화벽등이 있는 내부영역에서 해시값 비교하면 예전과 같이 시간을 들여서 푸는 것도 쉽지는 않습니다.
2023-01-19
|
|
|
0
0
salt 를 누가 고정값으로 써요... salt는 기본적으로 유니크한 값으로 선택합니다. 이걸 통일한다는 것은 레인보우 테이블을 그걸로 만들라는거죠.
쇼핑몰 같은 경우에서는 고객번호나 주민번호 또는 이메일로 선택하거나, 모바일 디바이스에서는 IMEI 같은 남들과는 구분되는 값을 선택해야 안전하죠. 어느정도 겹쳐도 됩니다만 이메일 정도로만 해도 쉽지 않아요.
해시 만들때 Hash(salt, password) 로 해시된 값을 산출해내기 때문에 매 입력마다 가져올 수 있습니다. 그리고 해시함수 쓸때 해시가 단방향 고성능(키 기반의 암호화 대비)이기 때문에 한번만 돌릴지 여러번 돌릴지는 알 수 없습니다. (키스트레칭 기법) SHA512 로 몇번 돌리고 SHA256 으로 감싸서 내보내기도 하고.. 걍 설계자 마음이에요.
SHA256 이상에서 salt가 첨가된 암호는 salt를 모르면 못푼다고 봐야합니다. (양자가 나오면 다른얘기입니다만 그것도 AI처럼 나와봐야 알 수 있습니다.) 128은 깨진게 맞습니다만 256 이상은 아직도 먼 얘기입니다. 불안하시면 아주 조금 더 느리고 길어지지만 512 쓰시면 됩니다.
그럼 소스랑 DB 다 털리면 어떡하냐고 하실분들 있으실텐데.. 그정도면 보안상에서는 집이랑 키가 다 털렸다고 얘기할 수 있습니다. 소스랑 데이터가 있는데 그걸 못만들어내면 더 이상한거죠. 그래서 고객관리DB를 분리해야 한다는 법도 있어요. (금고를 어디에 두냐의 개념인거죠) 이건 관리의 영역입니다.
추가로 대칭키든 비대칭키든 해시와는 다른 암호화 방식입니다. 키는 여러분들이 쓰시는 인증서와 관련이 있습니다.
2023-01-19
|
|
|
0
0
ddart
암호화 기술 그자체에 대한 보안성은 이미 작성하신대로 다 알려져 있는거고
지금 논하는거는 그럼에도 불구하고 비번이 털렸다는 데 촛점을 맞추고 어떻게 어떤구멍으로 털어갔을까를 추론하고있는겁니다 백날 암호화기술가지고 생각해봐야 이미 털린게 달라지지않으니 지금 비번인증 방식과정과 사이트 DB 관리방식에 뭔가 구멍이 있을거라 보는게 합리적이지 않을까요. 비번이 이미 털려서 도용당하고 있는데 암호화 기술이 안전하니 회사보안이 완벽하다고 다들 어떻게 확신하시죠
2023-01-19
|
|
|
0
0
@ddart 비번인증 방식은 말씀하신대로 알려진 기술로만 써도 어느정도의 안전성은 보장한다고 얘기할 수 있습니다. 본인이 가정하는 그 방법이 논리가 부족하니까 다들 기술로써 반박하는거 아닐까요? 글에서 salt 가 없는 해시함수를 쓰는것과 그에 대해 반박이 나오니 레인보우 테이블이니, sha256에 대한 신뢰성이니 이런거요. 보안에서는 창이 갑입니다. 방패가 을이죠. 찌르는 사람은 몇번 찔러봤는데 방패가 뚫렸어요. 라고 얘기할 수 있지만 찔린 사람은 큰 피해를 입습니다. 그래서 다들 알려진 검증된 기술을 동원하는거고요. 키스트레칭에 솔트면 패스워드에 관해서는 거의 다 했다고 봐도 됩니다. 물론 더 할 수 있습니다만 비용이 많이 듭니다. 돈의 문제가 아니라 그 뒤는 응답시간 같은 사용자 경험에 손해가 생기기 때문에 돈 투자한거에 비해 욕만 먹을 가능성이 높죠.
뭐 비번이 털렸든, DB가 털렸든 이정도 규모의 해킹 사태는 회사측의 잘못이 맞습니다. 이게 비번이든 DB든 회사가 책임을 져야죠. 저는 글쓴님이 본인의 생각을 강조하기 위해서 사용하신 기술적인 부분에서 말씀을 드린겁니다.
2023-01-19
|
|
|
0
0
[* 비회원 *]
개인정보들 탈탈 털린지 오래..
2023-01-19
|
|
|
|
 |
|
| △ 이전글▽ 다음글 | -목록보기 |
|
현재 문제되는 지마켓 상품권 도용은 2차인증서비스를 제공안하는 등 보안관리를 허술하게 했으니 전적으로 지마켓 책임같습니다.
책임질려고 할것같진 않지만.