Recent Posts
Recent Comments
관리 메뉴

PC Geek's

SHA-1 해시 알고리즘의 실용적 공격 - 구글 / 웹사이트에 https 적용하는 문제 본문

모바일, 통신/웹브라우저

SHA-1 해시 알고리즘의 실용적 공격 - 구글 / 웹사이트에 https 적용하는 문제

태그
, , , ,

SHA(Secure Hash Algorithm, 안전한 해시 알고리즘) 함수들은 서로 관련된 암호학적 해시 함수들의 모음이다. 이들 함수는 미국 국가안보국(NSA)이 1993년에 처음으로 설계했으며 미국 국가 표준으로 지정되었다 - 한국어 위키백과

얼마 전에, 구글이 시험해서 충돌하는 사례를 보였다네요.

http://clien.net/cs2/bbs/board.php?bo_table=news&wr_id=2318372

"충돌 공격을 실증해 보이기 위해 SHA-1 해시가 같은데 콘텐츠는 다른 2개의 PDF도 공개"

그래서, SHA-1을 쓰지 말고 SHA-256, SHA-3 같은 알고리즘으로 바꿔야 한다고.

다운로드 웹사이트들 중에는 아직 MD5체크썸을 제공하는 곳도 있는데..


Security researchers announce “first practical” SHA-1 collision attack

by Natasha Lomas 

https://techcrunch.com/2017/02/23/security-researchers-announce-first-practical-sha-1-collision-attack/


올 1월, 구글 크롬 웹브라우저에서 SHA-1 인증서 지원 삭제.

모질러 파이어폭스는 중단 예정.


https://namu.wiki/w/SHA

주요 웹브라우저(구글 크롬, MS에지, 모질라 파이어폭스)는 2015년부터 SHA-1관련 기능을 웹브라우저에서 퇴출하기로 예고했는데, 올해부터 본격적으로 하면서 웹사이트 운영자들이 따라오도록 저런 걸 시연한 모양입니다. 깨진(?) 사례가 처음 나온 때는 2005년이라는데, 이번 구글이 보인 것은 요즘 기계 성능과 알고리즘을 가지고 의도를 가지고 깨려 들면 할 수도 있다는 시연 성격이라고 하네요. 이렇게 위험하니 어서 더 높은 보안성을 제공하는 알고리즘으로 넘어가라는..



그리고 보안관련 이야기 하나 더.

네이버와 다음은 포탈 홈페이지에서는 로그인하지 않은 상태에서는 문제될 것이 없다고 말했습니다. 그게 받아들여졌는 지 지금은 없네요.

구글의 담당자는 자기 회사 제품 광고를 마지막에 달았군요.

로그인하지 않은 상태라도 민감한 정보가 오갈 수는 있습니다. 특히 구글 검색 엔진 홈에서 검색할 때라든가. 그렇긴 한데.. 전 잘 몰라서 그냥 그랬어요.

웹브라우저에서 피싱, 파밍 웹사이트를 구별해주는 건 좋지만,
가끔 지나친 갑질같아보이는 걸 해서, 맹신하진 않습니다.
왜 그런 지 알려주지 않으면서 우리 판단에 너 여기 들어가면 안 돼! 하고 막아버리는 짓..
특히 그게 웹브라우저 오류일 때는 참 갑질이란 비유가 딱입니다.

다만, 추세는 그게 맞다고 합니다.
아래 기사에 이 사건에 대한 자세한 내용이 있습니다.
  • 중간에서 트래픽을 가로채 보거나 위변조하는 것을 막아야 하므로, 보안을 위해 https를 쓰는 것은 세계적인 추세.
  • 웹사이트는 https를 적용한 정도로 세 단계로 나눌 수 있음
  • https를 적용하지 않은 웹사이트(이런 데는 불안하다), 비로그인 사용자에게는 적용하지 않고 로그인 사용자에게는 적용한 웹사이트(네이버 다음 포함, 전세계 대부분), 모든 접속에 https를 사용한 웹사이트. 
  • 크롬은 https가 적용된 웹페이에 대해 안전하다고 표시함. 
  • 대표적인 국내 포털인 네이버와 다음은 두 번째 단계지만, 홈페이지에 로그인 창이 있음. 이것이 문제가 되어 안전하지 않다고 표시된 것. (로그인창을 https를 적용한 별도 웹페이지로 빼고, http만 적용한 홈페이지에는 로그인 링크만 만들면 안 뜨는 게, 연초에 크롬이 인정한 방식) https를 적용하지 않았다고는 해도 https의 핵심이 되는 보안전송기술은 적용돼 있는 웹페이지라서 로그인창이 들어 있어도 문제없음. 하지만 크롬은 그런 변형을 인정하지 않고 안전하지 않은 페이지란 표시를 고집함.
  • 논란 끝에, 국내 포탈들은 크롬 웹브라우저로 접속했을 때만 로그인 웹페이지를 따로 빼서 크롬이 그 메시지를 표시하지 않도록 했음.
  • https는 보안성을 높인 접속 방식인 만큼 에너지를 더 먹음. 하지만 이건 별 수 없는 거고..
  • https는 인증서를 발급받아야 하므로, 상업 서비스를 하는 기업체들은 돈이 들어감. 
    ( 인증서 발급 기관, 회사는 국내에도 몇 군데가 있음. 아니면 외국 서비스를 직구할 수도 있고 그걸 대행해주는 데도 있는 모양. 개인과 비영리조직 웹사이트는 무료로 발급받아 자기 웹서버에 적용하는 방법이 있다고)

그런데, SSL/TLS 인증서에 사용되는 암호화 방식과 앞서 기사의 SHA-1 공격 이야기는 상관이 없을까?하는 생각이 들어 조금 검색해 보니, 모 회사의 서비스 판매 페이지에 뜬 공지사항에 SHA-1 -> SHA256 관련 얘기가 있군요. 그래서 첫 번째 기사를 요약하며 그 얘기가.. 위 동아일보 기사의 다른 뉴스에 설명이 있습니다.

[IT동아 강일용 기자] 
"https를 이용하지 않는 홈페이지는 안전하지 않다고 경고하겠다는 구글이 이번에는 https 기술을 쓰더라도 구형 암호화 기술을 이용하면 위험하다고 경고하고 나섰다."

"구글은 최신 버전 크롬을 통해 보안 취약점이 실제로 발견된 SHA-1을 활용해 암호화된 홈페이지는 '더 이상 쓸모가 없는(obsolete)' 기술을 활용해 암호화된 페이지라고 표시하고 있다. 반면 SHA-256을 활용해 암호화된 홈페이지는 '강력한(Strong)' 기술을 활용해 암호화된 페이지라고 표시한다. 특정 홈페이지에 접속한 후 크롬 개발자 메뉴 > 시큐리티 > 인증서 확인 항목에서 이러한 문구를 발견할 수 있다."


이 글과 같은 분류 글목록으로 가기 / 최신글목록으로 가기
0 Comments
댓글쓰기 폼