SlideShare una empresa de Scribd logo
1 de 21
Descargar para leer sin conexión
웹 서비스를 위한
보안서버 구축방향
FlyHigh all rights reserved 2
Certi-Gate
PK와 PKI는 다릅니다.
신뢰하는 3자(TTP)
가 없으면 조작에
대한 대처가 어렵
습니다.
FlyHigh all rights reserved 3
Certi-Gate
제대로 된 암호기술은 매우 중요합니다.
제대로 된
Algorithm을 사용
해야 합니다.
알려진 것 중에 현
재 써도 되는 것은
많지 않습니다.
FlyHigh all rights reserved 4
웹 보안은 그렇게 쉽지도 어렵지도 않습니다.
그러나 바르게 사용할 때, 보안은 이루어집니다.
HTTPS
Cipher Suite Certificate
Browser Web Server
FlyHigh all rights reserved 5
HTTPS
HTTP over TLS
SSL 1.0
SSL 2.0 - 1995
SSL 3.0 – 1996
TLS 1.0 - 1999
TLS 1.1 - 2006
TLS 1.2 – 2008
TLS 1.3 - draft
MD5
SHA
사용금지
주의
FlyHigh all rights reserved 6
TLS
Protocol
FlyHigh all rights reserved 7
Cipher Suite
ClientHello
지원하는 TLS version
Random number
Cipher suite 목록
[session ID]
ServerHello
결정된 TLS version
Random number
선택한 Cipher suite
[session ID]
FlyHigh all rights reserved 8
Cipher Suite
안전한 Cipher Suite
Value Description DTLS-OK Reference
0x00,0x9E TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 Y [RFC5288]
0x00,0x9F TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 Y [RFC5288]
0x00,0xA2 TLS_DHE_DSS_WITH_AES_128_GCM_SHA256 Y [RFC5288]
0x00,0xA3 TLS_DHE_DSS_WITH_AES_256_GCM_SHA384 Y [RFC5288]
0xC0,0x2B TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 Y [RFC5289]
0xC0,0x2C TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 Y [RFC5289]
0xC0,0x2F TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 Y [RFC5289]
0xC0,0x30 TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 Y [RFC5289]
0xC0,0xA2 TLS_DHE_RSA_WITH_AES_128_CCM_8 Y [RFC6655]
0xC0,0xA3 TLS_DHE_RSA_WITH_AES_256_CCM_8 Y [RFC6655]
0xC0,0xAC TLS_ECDHE_ECDSA_WITH_AES_128_CCM Y [RFC7251]
0xC0,0xAD TLS_ECDHE_ECDSA_WITH_AES_256_CCM Y [RFC7251]
0xC0,0xAE TLS_ECDHE_ECDSA_WITH_AES_128_CCM_8 Y [RFC7251]
0xC0,0xAF TLS_ECDHE_ECDSA_WITH_AES_256_CCM_8 Y [RFC7251]
FlyHigh all rights reserved 9
Cipher Suite
구조
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
키교환 암호 모드 무결성
순방향 비밀성
(Forward Secrecy)
앞 알고리즘명의
뒤에 ‘E’가 붙은
놈만
현실적으로
AES만 안전
GCM/CCM만
안전
SHA256 이상만
안전
없으면 SHA
없으면 CBC없으면 3DES
RC4
TLS_DHE_DSS_WITH_AES_128_CBC_SHA
TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA
IE 7,8
(Windows XP)
FlyHigh all rights reserved 10
Cipher Suite
내 브라우저는? https://www.ssllabs.com/ssltest/viewMyClient.html
FlyHigh all rights reserved 11
인증
서버 인증서
FlyHigh all rights reserved 12
인증
Algorithm
SHA1은 더 이상 써서는 안 되는 …
인증서와 Cipher Suite에서 SHA1은 사용하면 안됨
특히 인증서는 조금만 공들이면 위조 가능
대신 SHA256은 XP SP2이하에서는 지원 안됨
그런데 어차피 XP에서 지원되지 않는
AES256을 쓰면서 SHA1을 사용하는 것은
납득불가
FlyHigh all rights reserved 13
인증
사용자 인증서
FlyHigh all rights reserved 14
인증
사용자 인증서
ActiveX나
NPAPI 없이도
사용자 인증 가
능
FlyHigh all rights reserved 15
HTTPS에 대한 공격
SSL Strip/SSL Proxy과 방어
Strict-Transport-Security: max-age=15768000 ; includeSubDomains
HPKP(HTTP Public Key Pinning)
FlyHigh all rights reserved 16
HTTPS에 대한 공격
주요 공격 패턴
암호취약점 : CBC, Padding Oracle, MD5, 3DES, RC4, DH512
프로토콜 취약점 : Downgrade, non-HSTS, …
제품 취약점 : protocol handling, decoding 오류,
FlyHigh all rights reserved 17
HTTPS에 대한 공격
주요 취약점
취약점 내용 대상
취약한 키 유도 MD5 ~SSL 3.0
Cipher Suite Downgrade handshake ~SSL 3.0
POODLE Attack CBC + Downgrade SSL 3.0
RC4 Attack SSL/TLS
Truncation attack 로그아웃 차단 SSL/TLS
FREAK attack
Logjam attack
OpenSSL
512-bit DH
무기수출통제정책
SSL/TLS
Heartbleed bug
BERserk attack
OpenSSL
일부 제품의 ASN.1
decoding 오류
SSL/TLS
Timing attacks on
padding
Padding Oracle Attack ~TLS 1.1
AES_GCM만 안전
https://en.wikipedia.org/wiki/Arms_Export_Control_Act
FlyHigh all rights reserved 18
HTTPS 성능과 Mixed Contents
30~40%는 느려진다. 특히 CPU의 부하가 크다
가속장비 사용 : 컨텐츠 관리 …
Image를 http로 처리 : 모든 브라우저에서 허용함, iFrame 랩핑
의도하지 않은 정보유출
http://www.securitee.org/files/mixedinc_isc2013.pdf
FlyHigh all rights reserved 19
HTTPS 성능과 Mixed Contents
보안을 위해서 하는 것이면 조금 더 주의하자
의도하지 않은 정보유출
HSTS는 별 효과 없음. iFrame랩핑 금지(경고가 뜨지 않기도 함)
CSP(Content Security Policy) : 원하지 않는 컨테츠 유입 차단
FlyHigh all rights reserved 20
HTTPS
잘 못 사용하면
보안에 아무런 도움이 되지 않습니다.
Thank you.
W e M a k e Y o u F l y H i g h

Más contenido relacionado

Destacado

[2008 CodeEngn Conference 02] graylynx - 정적 링크된 Stripped ELF 바이너리 상에서의 함수 탐지 기법
[2008 CodeEngn Conference 02] graylynx - 정적 링크된 Stripped ELF 바이너리 상에서의 함수 탐지 기법[2008 CodeEngn Conference 02] graylynx - 정적 링크된 Stripped ELF 바이너리 상에서의 함수 탐지 기법
[2008 CodeEngn Conference 02] graylynx - 정적 링크된 Stripped ELF 바이너리 상에서의 함수 탐지 기법GangSeok Lee
 
2015 safe net-네트워크암호화 솔루션_시온
2015 safe net-네트워크암호화 솔루션_시온2015 safe net-네트워크암호화 솔루션_시온
2015 safe net-네트워크암호화 솔루션_시온시온시큐리티
 
구성도 샘플1
구성도 샘플1구성도 샘플1
구성도 샘플1doojung7
 
Massage Businesses Regulation in Los Angeles
Massage Businesses Regulation in Los Angeles Massage Businesses Regulation in Los Angeles
Massage Businesses Regulation in Los Angeles thai_entrepreneur_usa
 
Lie Group Formulation for Robot Mechanics
Lie Group Formulation for Robot MechanicsLie Group Formulation for Robot Mechanics
Lie Group Formulation for Robot MechanicsTerry Taewoong Um
 
2006년 SSL VPN 포탈 보안 강화(안)
2006년 SSL VPN 포탈 보안 강화(안)2006년 SSL VPN 포탈 보안 강화(안)
2006년 SSL VPN 포탈 보안 강화(안)Sihyoung Jurn
 
[14.10.20] 아! 그거...모르겠습니다 - TLS(devrookie)
[14.10.20] 아! 그거...모르겠습니다 - TLS(devrookie)[14.10.20] 아! 그거...모르겠습니다 - TLS(devrookie)
[14.10.20] 아! 그거...모르겠습니다 - TLS(devrookie)해강
 
CloudFront(클라우드 프론트)와 Route53(라우트53) AWS Summit Seoul 2015
CloudFront(클라우드 프론트)와 Route53(라우트53) AWS Summit Seoul 2015CloudFront(클라우드 프론트)와 Route53(라우트53) AWS Summit Seoul 2015
CloudFront(클라우드 프론트)와 Route53(라우트53) AWS Summit Seoul 2015WineSOFT
 
Ssl 하드웨어 가속기를 이용한 성능 향상
Ssl 하드웨어 가속기를 이용한 성능 향상Ssl 하드웨어 가속기를 이용한 성능 향상
Ssl 하드웨어 가속기를 이용한 성능 향상knight1128
 
AWS Summit Seoul 2015 - AWS를 통한 클라우드 보안 이해하기
AWS Summit Seoul 2015 - AWS를 통한 클라우드 보안 이해하기AWS Summit Seoul 2015 - AWS를 통한 클라우드 보안 이해하기
AWS Summit Seoul 2015 - AWS를 통한 클라우드 보안 이해하기Amazon Web Services Korea
 
[Sencha 엔터프라이즈 웹애플리케이션 세미나] MVC 아키텍트를 적용한 모니터링 관제시스템 구축 _인젠트
[Sencha 엔터프라이즈 웹애플리케이션 세미나] MVC 아키텍트를 적용한 모니터링 관제시스템 구축 _인젠트[Sencha 엔터프라이즈 웹애플리케이션 세미나] MVC 아키텍트를 적용한 모니터링 관제시스템 구축 _인젠트
[Sencha 엔터프라이즈 웹애플리케이션 세미나] MVC 아키텍트를 적용한 모니터링 관제시스템 구축 _인젠트미래웹기술연구소 (MIRAE WEB)
 
9월 웨비나 - AWS에서의 네트워크 보안 (이경수 솔루션즈 아키텍트)
9월 웨비나 - AWS에서의 네트워크 보안 (이경수 솔루션즈 아키텍트)9월 웨비나 - AWS에서의 네트워크 보안 (이경수 솔루션즈 아키텍트)
9월 웨비나 - AWS에서의 네트워크 보안 (이경수 솔루션즈 아키텍트)Amazon Web Services Korea
 
프로젝트에서 Sw아키텍트의 역할 20140717
프로젝트에서 Sw아키텍트의 역할 20140717프로젝트에서 Sw아키텍트의 역할 20140717
프로젝트에서 Sw아키텍트의 역할 20140717Young On Kim
 
딥프레스 구축 제안서
딥프레스 구축 제안서딥프레스 구축 제안서
딥프레스 구축 제안서Hooney Jo
 
품질관리 기본교육자료 #
품질관리 기본교육자료 #품질관리 기본교육자료 #
품질관리 기본교육자료 #Woongseok Yun
 
KGC 2016: HTTPS 로 모바일 게임 서버 구축한다는 것 - Korea Games Conference
KGC 2016: HTTPS 로 모바일 게임 서버 구축한다는 것 - Korea Games ConferenceKGC 2016: HTTPS 로 모바일 게임 서버 구축한다는 것 - Korea Games Conference
KGC 2016: HTTPS 로 모바일 게임 서버 구축한다는 것 - Korea Games ConferenceXionglong Jin
 
로봇과 인공지능, 그리고 미래의 노동
로봇과 인공지능, 그리고 미래의 노동로봇과 인공지능, 그리고 미래의 노동
로봇과 인공지능, 그리고 미래의 노동Terry Taewoong Um
 
Introduction to Machine Learning and Deep Learning
Introduction to Machine Learning and Deep LearningIntroduction to Machine Learning and Deep Learning
Introduction to Machine Learning and Deep LearningTerry Taewoong Um
 
IoT Introduction and Security
IoT Introduction and SecurityIoT Introduction and Security
IoT Introduction and SecurityJongseok Choi
 

Destacado (20)

[2008 CodeEngn Conference 02] graylynx - 정적 링크된 Stripped ELF 바이너리 상에서의 함수 탐지 기법
[2008 CodeEngn Conference 02] graylynx - 정적 링크된 Stripped ELF 바이너리 상에서의 함수 탐지 기법[2008 CodeEngn Conference 02] graylynx - 정적 링크된 Stripped ELF 바이너리 상에서의 함수 탐지 기법
[2008 CodeEngn Conference 02] graylynx - 정적 링크된 Stripped ELF 바이너리 상에서의 함수 탐지 기법
 
2015 safe net-네트워크암호화 솔루션_시온
2015 safe net-네트워크암호화 솔루션_시온2015 safe net-네트워크암호화 솔루션_시온
2015 safe net-네트워크암호화 솔루션_시온
 
구성도 샘플1
구성도 샘플1구성도 샘플1
구성도 샘플1
 
Massage Businesses Regulation in Los Angeles
Massage Businesses Regulation in Los Angeles Massage Businesses Regulation in Los Angeles
Massage Businesses Regulation in Los Angeles
 
Lie Group Formulation for Robot Mechanics
Lie Group Formulation for Robot MechanicsLie Group Formulation for Robot Mechanics
Lie Group Formulation for Robot Mechanics
 
2006년 SSL VPN 포탈 보안 강화(안)
2006년 SSL VPN 포탈 보안 강화(안)2006년 SSL VPN 포탈 보안 강화(안)
2006년 SSL VPN 포탈 보안 강화(안)
 
[14.10.20] 아! 그거...모르겠습니다 - TLS(devrookie)
[14.10.20] 아! 그거...모르겠습니다 - TLS(devrookie)[14.10.20] 아! 그거...모르겠습니다 - TLS(devrookie)
[14.10.20] 아! 그거...모르겠습니다 - TLS(devrookie)
 
CloudFront(클라우드 프론트)와 Route53(라우트53) AWS Summit Seoul 2015
CloudFront(클라우드 프론트)와 Route53(라우트53) AWS Summit Seoul 2015CloudFront(클라우드 프론트)와 Route53(라우트53) AWS Summit Seoul 2015
CloudFront(클라우드 프론트)와 Route53(라우트53) AWS Summit Seoul 2015
 
Ssl 하드웨어 가속기를 이용한 성능 향상
Ssl 하드웨어 가속기를 이용한 성능 향상Ssl 하드웨어 가속기를 이용한 성능 향상
Ssl 하드웨어 가속기를 이용한 성능 향상
 
HTTPS, 원격제어
HTTPS, 원격제어HTTPS, 원격제어
HTTPS, 원격제어
 
AWS Summit Seoul 2015 - AWS를 통한 클라우드 보안 이해하기
AWS Summit Seoul 2015 - AWS를 통한 클라우드 보안 이해하기AWS Summit Seoul 2015 - AWS를 통한 클라우드 보안 이해하기
AWS Summit Seoul 2015 - AWS를 통한 클라우드 보안 이해하기
 
[Sencha 엔터프라이즈 웹애플리케이션 세미나] MVC 아키텍트를 적용한 모니터링 관제시스템 구축 _인젠트
[Sencha 엔터프라이즈 웹애플리케이션 세미나] MVC 아키텍트를 적용한 모니터링 관제시스템 구축 _인젠트[Sencha 엔터프라이즈 웹애플리케이션 세미나] MVC 아키텍트를 적용한 모니터링 관제시스템 구축 _인젠트
[Sencha 엔터프라이즈 웹애플리케이션 세미나] MVC 아키텍트를 적용한 모니터링 관제시스템 구축 _인젠트
 
9월 웨비나 - AWS에서의 네트워크 보안 (이경수 솔루션즈 아키텍트)
9월 웨비나 - AWS에서의 네트워크 보안 (이경수 솔루션즈 아키텍트)9월 웨비나 - AWS에서의 네트워크 보안 (이경수 솔루션즈 아키텍트)
9월 웨비나 - AWS에서의 네트워크 보안 (이경수 솔루션즈 아키텍트)
 
프로젝트에서 Sw아키텍트의 역할 20140717
프로젝트에서 Sw아키텍트의 역할 20140717프로젝트에서 Sw아키텍트의 역할 20140717
프로젝트에서 Sw아키텍트의 역할 20140717
 
딥프레스 구축 제안서
딥프레스 구축 제안서딥프레스 구축 제안서
딥프레스 구축 제안서
 
품질관리 기본교육자료 #
품질관리 기본교육자료 #품질관리 기본교육자료 #
품질관리 기본교육자료 #
 
KGC 2016: HTTPS 로 모바일 게임 서버 구축한다는 것 - Korea Games Conference
KGC 2016: HTTPS 로 모바일 게임 서버 구축한다는 것 - Korea Games ConferenceKGC 2016: HTTPS 로 모바일 게임 서버 구축한다는 것 - Korea Games Conference
KGC 2016: HTTPS 로 모바일 게임 서버 구축한다는 것 - Korea Games Conference
 
로봇과 인공지능, 그리고 미래의 노동
로봇과 인공지능, 그리고 미래의 노동로봇과 인공지능, 그리고 미래의 노동
로봇과 인공지능, 그리고 미래의 노동
 
Introduction to Machine Learning and Deep Learning
Introduction to Machine Learning and Deep LearningIntroduction to Machine Learning and Deep Learning
Introduction to Machine Learning and Deep Learning
 
IoT Introduction and Security
IoT Introduction and SecurityIoT Introduction and Security
IoT Introduction and Security
 

Similar a 웹 서비스를 위한 보안서버 구축방향

HTTPS를 이용한 챗봇 웹 어플리케이션
HTTPS를 이용한 챗봇 웹 어플리케이션HTTPS를 이용한 챗봇 웹 어플리케이션
HTTPS를 이용한 챗봇 웹 어플리케이션Lee Geonhee
 
[2017 Incognito] Hack the AIR;카페에서 ARP 스푸핑을 통한 세션 탈취
[2017 Incognito] Hack the AIR;카페에서 ARP 스푸핑을 통한 세션 탈취[2017 Incognito] Hack the AIR;카페에서 ARP 스푸핑을 통한 세션 탈취
[2017 Incognito] Hack the AIR;카페에서 ARP 스푸핑을 통한 세션 탈취NAVER D2
 
2015.8.12 웹 보안 이슈와 보안 공학의 중요성
2015.8.12 웹 보안 이슈와 보안 공학의 중요성2015.8.12 웹 보안 이슈와 보안 공학의 중요성
2015.8.12 웹 보안 이슈와 보안 공학의 중요성Chanjin Park
 
20201217 ssl and http2
20201217 ssl and http220201217 ssl and http2
20201217 ssl and http2sonhyungsoo
 
Kgc2014 one daylearnunitycryptography-f
Kgc2014 one daylearnunitycryptography-fKgc2014 one daylearnunitycryptography-f
Kgc2014 one daylearnunitycryptography-fSeungmin Shin
 
Sha 2 기반 인증서 업그레이드 이해
Sha 2 기반 인증서 업그레이드 이해Sha 2 기반 인증서 업그레이드 이해
Sha 2 기반 인증서 업그레이드 이해InGuen Hwang
 
HTTP와 HTTPS의 차이 그리고 SSL에 대한 설명
HTTP와 HTTPS의 차이 그리고 SSL에 대한 설명HTTP와 HTTPS의 차이 그리고 SSL에 대한 설명
HTTP와 HTTPS의 차이 그리고 SSL에 대한 설명Seongho Lee
 
[컴퓨터보안] TLS와 HTTPS
[컴퓨터보안] TLS와 HTTPS[컴퓨터보안] TLS와 HTTPS
[컴퓨터보안] TLS와 HTTPSDonghyeongKang1
 
암호화 기초
암호화 기초암호화 기초
암호화 기초학섭 오
 
Flask, Redis, Retrofit을 이용한 Android 로그인 서비스 구현하기
Flask, Redis, Retrofit을 이용한 Android 로그인 서비스 구현하기Flask, Redis, Retrofit을 이용한 Android 로그인 서비스 구현하기
Flask, Redis, Retrofit을 이용한 Android 로그인 서비스 구현하기Manjong Han
 
04 alibaba cloud의 ‘차별화된 게임 솔루션’(메가존 알리바바 클라우드 ᄌ...
04 alibaba cloud의  ‘차별화된 게임 솔루션’(메가존 알리바바 클라우드 ᄌ...04 alibaba cloud의  ‘차별화된 게임 솔루션’(메가존 알리바바 클라우드 ᄌ...
04 alibaba cloud의 ‘차별화된 게임 솔루션’(메가존 알리바바 클라우드 ᄌ...Alibaba Cloud Korea
 
암호화 이것만 알면 된다.
암호화 이것만 알면 된다.암호화 이것만 알면 된다.
암호화 이것만 알면 된다.KwangSeob Jeong
 
HSTS, Tunneling에 대해 알아보자 .pdf
HSTS, Tunneling에 대해 알아보자 .pdfHSTS, Tunneling에 대해 알아보자 .pdf
HSTS, Tunneling에 대해 알아보자 .pdfHo Jeong Im
 
[132] 서비스 오리엔티드 블록체인을 위한 스케일링 문제 해결
[132] 서비스 오리엔티드 블록체인을 위한 스케일링 문제 해결[132] 서비스 오리엔티드 블록체인을 위한 스케일링 문제 해결
[132] 서비스 오리엔티드 블록체인을 위한 스케일링 문제 해결NAVER D2
 
[NDC07] 게임 개발에서의 클라이언트 보안 - 송창규
[NDC07] 게임 개발에서의 클라이언트 보안 - 송창규[NDC07] 게임 개발에서의 클라이언트 보안 - 송창규
[NDC07] 게임 개발에서의 클라이언트 보안 - 송창규ChangKyu Song
 
SSL/TLS그리고 암호화
SSL/TLS그리고 암호화SSL/TLS그리고 암호화
SSL/TLS그리고 암호화Hyeok Oh
 
Bitcoin 2.0(blockchain technology 2)
Bitcoin 2.0(blockchain technology 2)Bitcoin 2.0(blockchain technology 2)
Bitcoin 2.0(blockchain technology 2)Wooseung Kim
 
[네이버D2SF] 안전한 서비스 운영을 위한 Ncloud 보안교육
[네이버D2SF] 안전한 서비스 운영을 위한 Ncloud 보안교육[네이버D2SF] 안전한 서비스 운영을 위한 Ncloud 보안교육
[네이버D2SF] 안전한 서비스 운영을 위한 Ncloud 보안교육NAVER D2 STARTUP FACTORY
 
알아두면 유용한 데이터 암호화 이야기
알아두면 유용한 데이터 암호화 이야기알아두면 유용한 데이터 암호화 이야기
알아두면 유용한 데이터 암호화 이야기Byeong Yeong Jeong
 

Similar a 웹 서비스를 위한 보안서버 구축방향 (20)

HTTPS를 이용한 챗봇 웹 어플리케이션
HTTPS를 이용한 챗봇 웹 어플리케이션HTTPS를 이용한 챗봇 웹 어플리케이션
HTTPS를 이용한 챗봇 웹 어플리케이션
 
[2017 Incognito] Hack the AIR;카페에서 ARP 스푸핑을 통한 세션 탈취
[2017 Incognito] Hack the AIR;카페에서 ARP 스푸핑을 통한 세션 탈취[2017 Incognito] Hack the AIR;카페에서 ARP 스푸핑을 통한 세션 탈취
[2017 Incognito] Hack the AIR;카페에서 ARP 스푸핑을 통한 세션 탈취
 
HTTPS
HTTPSHTTPS
HTTPS
 
2015.8.12 웹 보안 이슈와 보안 공학의 중요성
2015.8.12 웹 보안 이슈와 보안 공학의 중요성2015.8.12 웹 보안 이슈와 보안 공학의 중요성
2015.8.12 웹 보안 이슈와 보안 공학의 중요성
 
20201217 ssl and http2
20201217 ssl and http220201217 ssl and http2
20201217 ssl and http2
 
Kgc2014 one daylearnunitycryptography-f
Kgc2014 one daylearnunitycryptography-fKgc2014 one daylearnunitycryptography-f
Kgc2014 one daylearnunitycryptography-f
 
Sha 2 기반 인증서 업그레이드 이해
Sha 2 기반 인증서 업그레이드 이해Sha 2 기반 인증서 업그레이드 이해
Sha 2 기반 인증서 업그레이드 이해
 
HTTP와 HTTPS의 차이 그리고 SSL에 대한 설명
HTTP와 HTTPS의 차이 그리고 SSL에 대한 설명HTTP와 HTTPS의 차이 그리고 SSL에 대한 설명
HTTP와 HTTPS의 차이 그리고 SSL에 대한 설명
 
[컴퓨터보안] TLS와 HTTPS
[컴퓨터보안] TLS와 HTTPS[컴퓨터보안] TLS와 HTTPS
[컴퓨터보안] TLS와 HTTPS
 
암호화 기초
암호화 기초암호화 기초
암호화 기초
 
Flask, Redis, Retrofit을 이용한 Android 로그인 서비스 구현하기
Flask, Redis, Retrofit을 이용한 Android 로그인 서비스 구현하기Flask, Redis, Retrofit을 이용한 Android 로그인 서비스 구현하기
Flask, Redis, Retrofit을 이용한 Android 로그인 서비스 구현하기
 
04 alibaba cloud의 ‘차별화된 게임 솔루션’(메가존 알리바바 클라우드 ᄌ...
04 alibaba cloud의  ‘차별화된 게임 솔루션’(메가존 알리바바 클라우드 ᄌ...04 alibaba cloud의  ‘차별화된 게임 솔루션’(메가존 알리바바 클라우드 ᄌ...
04 alibaba cloud의 ‘차별화된 게임 솔루션’(메가존 알리바바 클라우드 ᄌ...
 
암호화 이것만 알면 된다.
암호화 이것만 알면 된다.암호화 이것만 알면 된다.
암호화 이것만 알면 된다.
 
HSTS, Tunneling에 대해 알아보자 .pdf
HSTS, Tunneling에 대해 알아보자 .pdfHSTS, Tunneling에 대해 알아보자 .pdf
HSTS, Tunneling에 대해 알아보자 .pdf
 
[132] 서비스 오리엔티드 블록체인을 위한 스케일링 문제 해결
[132] 서비스 오리엔티드 블록체인을 위한 스케일링 문제 해결[132] 서비스 오리엔티드 블록체인을 위한 스케일링 문제 해결
[132] 서비스 오리엔티드 블록체인을 위한 스케일링 문제 해결
 
[NDC07] 게임 개발에서의 클라이언트 보안 - 송창규
[NDC07] 게임 개발에서의 클라이언트 보안 - 송창규[NDC07] 게임 개발에서의 클라이언트 보안 - 송창규
[NDC07] 게임 개발에서의 클라이언트 보안 - 송창규
 
SSL/TLS그리고 암호화
SSL/TLS그리고 암호화SSL/TLS그리고 암호화
SSL/TLS그리고 암호화
 
Bitcoin 2.0(blockchain technology 2)
Bitcoin 2.0(blockchain technology 2)Bitcoin 2.0(blockchain technology 2)
Bitcoin 2.0(blockchain technology 2)
 
[네이버D2SF] 안전한 서비스 운영을 위한 Ncloud 보안교육
[네이버D2SF] 안전한 서비스 운영을 위한 Ncloud 보안교육[네이버D2SF] 안전한 서비스 운영을 위한 Ncloud 보안교육
[네이버D2SF] 안전한 서비스 운영을 위한 Ncloud 보안교육
 
알아두면 유용한 데이터 암호화 이야기
알아두면 유용한 데이터 암호화 이야기알아두면 유용한 데이터 암호화 이야기
알아두면 유용한 데이터 암호화 이야기
 

웹 서비스를 위한 보안서버 구축방향

  • 2. FlyHigh all rights reserved 2 Certi-Gate PK와 PKI는 다릅니다. 신뢰하는 3자(TTP) 가 없으면 조작에 대한 대처가 어렵 습니다.
  • 3. FlyHigh all rights reserved 3 Certi-Gate 제대로 된 암호기술은 매우 중요합니다. 제대로 된 Algorithm을 사용 해야 합니다. 알려진 것 중에 현 재 써도 되는 것은 많지 않습니다.
  • 4. FlyHigh all rights reserved 4 웹 보안은 그렇게 쉽지도 어렵지도 않습니다. 그러나 바르게 사용할 때, 보안은 이루어집니다. HTTPS Cipher Suite Certificate Browser Web Server
  • 5. FlyHigh all rights reserved 5 HTTPS HTTP over TLS SSL 1.0 SSL 2.0 - 1995 SSL 3.0 – 1996 TLS 1.0 - 1999 TLS 1.1 - 2006 TLS 1.2 – 2008 TLS 1.3 - draft MD5 SHA 사용금지 주의
  • 6. FlyHigh all rights reserved 6 TLS Protocol
  • 7. FlyHigh all rights reserved 7 Cipher Suite ClientHello 지원하는 TLS version Random number Cipher suite 목록 [session ID] ServerHello 결정된 TLS version Random number 선택한 Cipher suite [session ID]
  • 8. FlyHigh all rights reserved 8 Cipher Suite 안전한 Cipher Suite Value Description DTLS-OK Reference 0x00,0x9E TLS_DHE_RSA_WITH_AES_128_GCM_SHA256 Y [RFC5288] 0x00,0x9F TLS_DHE_RSA_WITH_AES_256_GCM_SHA384 Y [RFC5288] 0x00,0xA2 TLS_DHE_DSS_WITH_AES_128_GCM_SHA256 Y [RFC5288] 0x00,0xA3 TLS_DHE_DSS_WITH_AES_256_GCM_SHA384 Y [RFC5288] 0xC0,0x2B TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 Y [RFC5289] 0xC0,0x2C TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384 Y [RFC5289] 0xC0,0x2F TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256 Y [RFC5289] 0xC0,0x30 TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 Y [RFC5289] 0xC0,0xA2 TLS_DHE_RSA_WITH_AES_128_CCM_8 Y [RFC6655] 0xC0,0xA3 TLS_DHE_RSA_WITH_AES_256_CCM_8 Y [RFC6655] 0xC0,0xAC TLS_ECDHE_ECDSA_WITH_AES_128_CCM Y [RFC7251] 0xC0,0xAD TLS_ECDHE_ECDSA_WITH_AES_256_CCM Y [RFC7251] 0xC0,0xAE TLS_ECDHE_ECDSA_WITH_AES_128_CCM_8 Y [RFC7251] 0xC0,0xAF TLS_ECDHE_ECDSA_WITH_AES_256_CCM_8 Y [RFC7251]
  • 9. FlyHigh all rights reserved 9 Cipher Suite 구조 TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256 키교환 암호 모드 무결성 순방향 비밀성 (Forward Secrecy) 앞 알고리즘명의 뒤에 ‘E’가 붙은 놈만 현실적으로 AES만 안전 GCM/CCM만 안전 SHA256 이상만 안전 없으면 SHA 없으면 CBC없으면 3DES RC4 TLS_DHE_DSS_WITH_AES_128_CBC_SHA TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA IE 7,8 (Windows XP)
  • 10. FlyHigh all rights reserved 10 Cipher Suite 내 브라우저는? https://www.ssllabs.com/ssltest/viewMyClient.html
  • 11. FlyHigh all rights reserved 11 인증 서버 인증서
  • 12. FlyHigh all rights reserved 12 인증 Algorithm SHA1은 더 이상 써서는 안 되는 … 인증서와 Cipher Suite에서 SHA1은 사용하면 안됨 특히 인증서는 조금만 공들이면 위조 가능 대신 SHA256은 XP SP2이하에서는 지원 안됨 그런데 어차피 XP에서 지원되지 않는 AES256을 쓰면서 SHA1을 사용하는 것은 납득불가
  • 13. FlyHigh all rights reserved 13 인증 사용자 인증서
  • 14. FlyHigh all rights reserved 14 인증 사용자 인증서 ActiveX나 NPAPI 없이도 사용자 인증 가 능
  • 15. FlyHigh all rights reserved 15 HTTPS에 대한 공격 SSL Strip/SSL Proxy과 방어 Strict-Transport-Security: max-age=15768000 ; includeSubDomains HPKP(HTTP Public Key Pinning)
  • 16. FlyHigh all rights reserved 16 HTTPS에 대한 공격 주요 공격 패턴 암호취약점 : CBC, Padding Oracle, MD5, 3DES, RC4, DH512 프로토콜 취약점 : Downgrade, non-HSTS, … 제품 취약점 : protocol handling, decoding 오류,
  • 17. FlyHigh all rights reserved 17 HTTPS에 대한 공격 주요 취약점 취약점 내용 대상 취약한 키 유도 MD5 ~SSL 3.0 Cipher Suite Downgrade handshake ~SSL 3.0 POODLE Attack CBC + Downgrade SSL 3.0 RC4 Attack SSL/TLS Truncation attack 로그아웃 차단 SSL/TLS FREAK attack Logjam attack OpenSSL 512-bit DH 무기수출통제정책 SSL/TLS Heartbleed bug BERserk attack OpenSSL 일부 제품의 ASN.1 decoding 오류 SSL/TLS Timing attacks on padding Padding Oracle Attack ~TLS 1.1 AES_GCM만 안전 https://en.wikipedia.org/wiki/Arms_Export_Control_Act
  • 18. FlyHigh all rights reserved 18 HTTPS 성능과 Mixed Contents 30~40%는 느려진다. 특히 CPU의 부하가 크다 가속장비 사용 : 컨텐츠 관리 … Image를 http로 처리 : 모든 브라우저에서 허용함, iFrame 랩핑 의도하지 않은 정보유출 http://www.securitee.org/files/mixedinc_isc2013.pdf
  • 19. FlyHigh all rights reserved 19 HTTPS 성능과 Mixed Contents 보안을 위해서 하는 것이면 조금 더 주의하자 의도하지 않은 정보유출 HSTS는 별 효과 없음. iFrame랩핑 금지(경고가 뜨지 않기도 함) CSP(Content Security Policy) : 원하지 않는 컨테츠 유입 차단
  • 20. FlyHigh all rights reserved 20 HTTPS 잘 못 사용하면 보안에 아무런 도움이 되지 않습니다.
  • 21. Thank you. W e M a k e Y o u F l y H i g h