로그인 보안 취약점 발견,개인정보 유출 위험 노출돼
상태바
로그인 보안 취약점 발견,개인정보 유출 위험 노출돼
  • 이상현 기자
  • 승인 2016.08.18 16:52
  • 댓글 43
이 기사를 공유합니다


지난달 25일 교내 일부 사이트에서 치명적인 보안 허점이 발견되었다. 단일서비스인증 기반 로그인 서비스를 제공하는 교내사이트에서 비밀번호를 입력하지 않고도 IAM KAIST에 등록된 아이디만으로 로그인이 가능했던 것이다. KLMS, KDS 등의 교내 사이트에서 발견된 취약점은 발견 당일 18시 10분경에 해결되었다.

이번 취약점은 전산학부 김강인 학우가 최초로 발견했다. 김 학우는 페이스북 페이지 ‘카이스트 대신 전해드립니다 2(이하 카대전)’에 제보를 올리기 위해 IAM 계정을 이용하는 카대전 사이트에 로그인하던 도중 아이디만 입력했는데도 로그인이 완료되는 현상을 발견했다. 당시 김 학우는 자신의 코드에 문제가 있거나, 서버 캐시 메모리에 저장되어 있던 로그인 정보가 전송되어발생한 문제라고 생각했다. 캐시 메모리는 임시 데이터를 저장하고 있는 공간으로, 로그인 정보가 캐시 메모리에 남아있어 같이 전송되었을 경우 사용자 입력 없이도 로그인되는 상황이 생길 수 있다. 이에 김 학우는 서버를 초기화하는 등 문제를 해결하려 시도했지만 고쳐지지 않았다. 이상함을 느낀 김 학우는 단일 서비스 인증 서버에 아이디만 포함한 정보를 전송한 결과 로그인되는 것을 확인했고, 보안 취약점의 원인이 학교 서버 측에 있다고 결론 내렸다.

김 학우는 학교 측에 해당 사이트들의 서비스를 일시적으로 중지해달라는 요청을 보냈지만, 해당 서비스는 한나절 이상 노출되었다가 중지되었다. 자칫 잘못하면 각각의 서비스들에 저장되어있는 학우들의 개인정보 유출로 이어질 수 있는 상황이었다.

학교 측 IT 개발팀의 조은지 직원은 클라이언트 사이드 스크립트를 변조해 패스워드 없이 로그인했을 경우 서버 측에서 별도로차단하는 로직이 존재하지 않아 문제가 발생했다고 밝혔다. 클라이언트 사이드 스크립트는 웹 브라우저 등의 클라이언트에서실행되는 프로그램으로, 소프트웨어를 제어하기 위해 사용된다. 클라이언트 사이드 스크립트는 사용자가 임의로 조작한 뒤 실행할 수 있어, 서버에 취약한 데이터를 필터링하는 로직이 없다면 이번과 같은 보안 취약점으로 이어질 수 있다. 조 직원은 현재는 패스워드 없이 로그인을 시도할 경우 에러 페이지로 연결되도록 조치를 완료한 상태라고 밝혔다.

조 직원은 앞으로는 취약점 분석진단을 수동으로 하는 것에 초점을 두고 시스템 보안에 신경을 써서 우리 학교구성원들이 신뢰할 수 있는 시스템을 제공하도록 노력하겠다고 전했다.

 


댓글삭제
삭제한 댓글은 다시 복구할 수 없습니다.
그래도 삭제하시겠습니까?
댓글 43
0 / 400
댓글쓰기
계정을 선택하시면 로그인·계정인증을 통해
댓글을 남기실 수 있습니다.
Melaniegossy 2016-10-24 02:35:34
XRumer 12.0.19 is the BEST

Mistyendow 2016-11-07 16:41:53
XRumer 12.0
is a modern multifunctional software for mass posting/inviting/liking/registering on the:
+ Facebook
+ forums
+ blogs
+ soc.nets
+ different CMS's
with a totally automatic captcha breaking.

AntontalZone 2016-11-12 03:18:00
Обеспеченные партнеры и клиенты для фирм ООО и ИП Вашего региона и города.

Предлагаем базы данных фирм России, Украины, Белоруссии и Казахстана.

Пишите на новую почту для заказа новой базы данных фирм: baza-gorodow(собачка)yandex.ru

Стоимость базы фирм 1 города от 700 руб. По стране 1 категория 2000 рублей!

БАЗЫ СОБИРАЕМ СРАЗУ ПОСЛЕ ЗАКАЗА - БЕЗ ПРЕДОПЛАТЫ!
ПРЕДОСТАВЛЯЕМ СКРИНЫ ДЛЯ ПРОСМОТРА И ДЕМО ВЕРСИИ БАЗ!

как найти клиентов фотографу

Спектр применения баз фирм огромный:

1. Вы можете использовать их для обзвона потенциальных клиентов
2. Для рассылки писем по email
3. Для смс - рассылки
4. Для почтовой рассылки на юридические адреса фирм
5. Для поиска партнеров и новых клиентов в социальных сетях на страничках фирм
6. Для написания Вашего предложения на сайтах фирм и т.д.

Если не хотите больше получать информацию, то напишите на почту адреса Вашего
сайта, внесём его в Блек лист.

Принимаем заказы на новые базы данных на новую эту почту: baza-gorodow"@"yandex.ru (уберите кавычки!)

vkatyama 2016-11-12 23:00:20
Как вы думаете, реально ли начать зарабатывать
от 5,000 рублей в день без вложений?

== > realno.zarplatt.ru < == смотрите как это сделать очень просто

Вы можете получить 100 процентную гарантию успеха,
потому что последние 2 года с помощью пошаговой системы заработка
зарабатывает более 1000 наших последователей.

Средний доход каждого от 5,000 до 20,000 рублей в день.

Вы можете стать обладателем пошаговой системы заработка
и начнете зарабатывать от 5000 рублей в день БЕЗ ВЛОЖЕНИЙ.

Проверено 10-ти летней практикой

На протяжении 10-ти лет я со своими партнерами внедряем эту
систему в разных бизнесах, и уже помогли с ее помощью заработать
частным предпринимателям несколько сотен миллионов рублей.

Используют десятки тысяч компаний

Эту систему использует огромное количество компаний, но только
избранные применяют ее правильно и получают результат. Вы можете
помочь им избежать ошибок и разделить с ними прибыль.

Плюс ко всему вы получите кучу безумных бонусов.
Один из которых это Книга по запуску своего бизнеса с 0 до 2,500,000 рублей


Без сотрудников и офиса;
Без холодных звонков;
Без стартового капитала.

== > realno.zarplatt.ru < == получите свои бонусы

Эта книга совершит прорыв в вашем понимании бизнеса, вы сможете
повторить шаги Ивана и добавить ту систему, которую получите прямо
на этой странице. И это даст вам безумный результат.

Мудрая пословица гласит: Не откладывай на завтра то, что можно сделать сегодня

TermoPlenka 2016-12-07 17:01:38
Продам термоплёнку на окна. Новинка 2016 года.
Характеритики теплосберегающей пленки с напылением:
ширина-1.10 м
длина - 6 м
пленка- 6.6 кв.м.(на 3 окна)
+рулон двухстороннего прозрачного скотча
Цена 60 грн.
Александр (alexandr_sheva/шабака/mail.ru) (067)-585-58-47

주요기사
이슈포토