[동아의 헛발질] 스마트폰 보안방패 ‘SSL인증’마저 해킹에 속수무책
- 작성일
- 11-05-02 11:58
스마트폰으로 무선 인터넷인 와이파이(Wi-Fi)에 접속하는 과정에서 웹사이트 접속을 위한 ID, 비밀번호와 e메일 내용 등 개인정보가 ‘해커’에게 고스란히 넘어갈 수 있다는 사실이 실험을 통해 국내에서 처음 확인됐다.
===============================================================================================================
오늘 동아일보 일면에 대문짝만하게 나온 기사입니다.
잘 모르시는 분들이 보시기에는 또 해킹에 의해서 보안시스템(정확하게는 SSL)이 무너졌나 싶으시겠지만
사실 그런 건 아닙니다.
물론 SSL 이라는 보안시스템이 무너진 것이 사실이라면 이건 굉장히 충격적인 일입니다.
하지만 이건 SSL이 무너진 건 아닙니다.
위 기사에 대해서 간단하게 설명드리면 피싱사이트를 생각하시면 됩니다.
즉, 가짜 국민은행 사이트를 국민은행 도메인과 유사하게 만들어놓고
이용자들이 실수로 그 사이트가 진짜 국민은행 사이트라고 생각하여 접속게 합니다.
그리고 이용자는 자신의 진짜 국민은행 아이디와 비번을 입력하게 됩니다.
그렇게되면 가짜 국민은행 사이트를 만든 사람은 별다른 노력없이 이용자의 국민은행 아이디와 비번을 간단하게 획득하는 것이죠.
하지만 이 경우에 국민은행 사이트가 해킹되었다고 표현하지는 않습니다.
/
추가로 적자면 가짜 국민은행까지 만들지 않더라도 무슨 무슨 이벤트 사이트 혹은 다운로드 사이트라고 조촐하게 만들어놓고
이용자들의 가입을 유도하여 아이디와 비밀번호를 생성하게 합니다.
대개의 이용자들은 하나의 아이디와 비번으로 수많은 사이트들을 이용하기 마련이고
그런 헛점을 이용해서 획득된 아이디와 비번으로 이용자의 네이트온 같은 것에 접속을 시도하고 사기를 치는거죠.
흔히 말하는 네이트온 해킹은 네이트가 해킹되었다기보다는
이런 식으로 이용자가 자신의 아이디, 비밀번호의 관리를 허술하게하는 바람에 생기는 경우가 대부분입니다.
/
물론 정확하게 설명하면 분명한 차이가 있지만 동아일보 기사에 나오는 방식도 전반적인 개념은 이와 같습니다.
기사중에 가짜 무선접속 장치(AP)라고 적힌 부분은 흔히 Rouge AP라고 불리는 것으로
이와 같은 방식을 이용한 해킹기법은 이미 십수년전에 개발되어 이용되어왔습니다.
결론은 인터넷의 중요한 보안시스템인 SSL이 이와같이 간단한 방법으로 붕괴된 것도 아니고
이미 십수년전에 개발된 해킹기법을 가지고 거기에 스마트폰만 덧붙여 새로운 것인양 덧칠했다는 겁니다.
물론 기사의 내용은 사실이며 개인이 보안을 위해서 신경써야하는 것은 맞습니다.
하지만 일면에 대문짝만하게 그것이 마치 새롭게 발견된 사실인양 적어놓는 것은... 결국 동아일보가 낚인 거다... 라는 겁니다.
기사 내보내기전에 안연구소 같은 데나 다른 보안센터에 전화라도 해서 물어봤다면... 이딴 식으로 기사를 내보내지는 않았겠죠.
하긴... 흔히 말하는 대중지들이 전문영역을 다루는 방식은 다 이딴 식이긴 합니다...
