공임나라 ㅅㅂㄹ들 개인정보 유출됐네요35
- CMiii
- 등록일 2022-04-01 13:52
- 조회수 23012
|
||
파워링크 
등록안내
등록안내
- 49E47BD0-9F34-40FE-B8AD-C053690049FD.png
|
 1
 2
아쿠아빠
암호화는 의무사항이라서 해야됩니다.
저 말은 암호화를 안했다는 얘기가 아니라 암호화를 했음에도 암호화 키를 털린 경우 복호화가 가능하기 때문에 동일한 비번 쓰는 다른 사이트의 2차 피해를 막기 위해 변경하라는 얘기입니다. 비단 이건은 공임나라만이 문제가 아니라 어느 사이트가 털려도 2차 피해 방지 차원에서 모든 거래 사이트의 비번은 다 바꾸도록 권장 합니다. 대표적으로 저렇게 탈취한 계정으로 가장 많이 이용되는게 중고나라 등에서의 사기죠. |
|
|
0
7
아쿠아빠
@0초보0 보통은 입력된 암호를 해시함수로 변경해서 저장하는 로직들을 많이 쓰는데요. 여기서 문제가 생깁니다. 사용자 암호 123456을 SHA 해시함수로 해싱하고 나오는 결과물은 언제나 똑같습니다. 예를 들자면 "8d969eef6ecad3c29 어쩌고 저쩌고" 이런 값으로 언제나 똑같습니다. 구글링만 해봐도 사용자들이 많이 쓰는 암호의 패턴을 SHA256으로 해싱한 그 결과값이 리스트화된 파일이 돌아다닙니다. 거기서 ctrl+F로 조회해보면 1초도 안되서 알수 있습니다. 저 해시 값을 알고 비교해보면 사용자 암호를 역으로 알수 있다는 것이지요. 그래서 암호화를 복잡도 있게 작성하라고 하는 겁니다. 그렇기 때문에 사이트 별로 고유한 암호화 키 값 즉 현재일시를 더한다던가 회원의 고유 일련번호를 더한다던가 합니다. "123456" + 현재일시 를 해싱하면 그 사이트에서 무엇을 뒤에 더했는지를 모르면 털려도 해커가 원래의 비밀번호를 알 방법이 없게 됩니다. 그런데 키 정확하게는 솔팅이라고 하죠 그것마저 털렸다? 그런것을 방지하기 위해 해싱을 두번하는 방법도 쓰죠. 솔팅까지 해서 나온 결과를 다시 한번 더 해싱 해버리는 것이죠. 다만 이것에는 역으로 복호화 시 시간 소요가 되기도 하기 때문에 잘 안합니다. 거의 일반적인 사이트 들에서는 솔팅해서 SHA256으로 해싱하는게 다 입니다. |
|
|
0
0
뚜기뚜밥
@멤버Yuji 단방향 암호화는 복호화 개념이 당연없죠. 다만 아쿠아빠님은 너무 쉽게 쓰는 암호에 대해서 추정이 가능하다는거같습니다. 예를들어 qwerasdf1234 등등.. 디폴트 암호처럼 쓰는거요. 금융피해사례가 많이생겨서 우리나라 사람들은 그런일은 많이 없는듯하구요. 일반적으로 저희가 쓰는 암호는 DB가 털렸다고 한들, 해시 암호화만 잘되어있으면 크게 문제되진 않습니다. 평문으로 저장이 되어있다던지(위법) 그런경우에는 획득한 계정,비밀번호로 다른 사이트도 접속해볼 수 있으니(크리덴셜 스터핑) 더 문제가 크겠죠. 관리가 안되는 소규모 사이트들의 경우가 제일 많고 유출자체도 인지못하는 경우도 있으니..
3개월마다 비밀번호를 바꾸라고하지만 다들 귀찮아서 혹은 외우기 어려워서 안바꾸기 때문에, 돈이 왔다갔다하는 은행이나 증권사 등 금융업무에 쓰는 비밀번호는 다른 사이트와 조금 차별화해서 쓰시는게 금융피해를 예방하는데 도움이 될듯합니다. |
|
|
0
0
아쿠아빠
암호화 여부와는 별개로 털렸다고 가정을 해보죠.
그런 후에 이용자가 타 사이트의 비번을 안바꿨어요. 그러면 그 2차 피해는 누가 보죠? 결국 본인이에요. 그 사이트가 안전하게 보관을 했다면 애초에 털리지도 않았겠죠. 그러니까 아예 다 못믿게 되는겁니다. 이미 털린 사이트가 안전하게 보관 했는지는 어떻게 믿겠어요. 2차 피해 본 다음에 소송을 거니 마니 해봐야 이미 거기에 낭비되는 시간과 정신적 대미지는 본인 몫이죠. 그러니까 한 사이트에서 유출이 되면 그게 암호화든 나발이든 무조건 같은 아이디와 비번 쓰는 사이트는 다 바꿔야 안전한겁니다. |
|
| 1 2 |
|
|
 |
|
| △ 이전글▽ 다음글 | 목록보기 |
|
이래서 사이트마다 비번을 다른거 써야합니다.
저는 금융/쇼핑/커뮤니티/등등 카테고리 나눠서 만드네요
제가 사용하는 모든사이트.비번 다르게.하는 방법은요. 먼저 모든사이트비번에 공통적으로 들어가는 문구 (예. angel 이라고하면) 네이버 angelnaver . 다음 angeldaum. 구글 angelgoogle. 공임나라 angelgongim . 이런식으로 만들면 다 틀려도 안까먹게되드라구요. 물륜 angel 이란 키워드 는 예구요. 저 키워드에 숫지대문지특수문자 로 키워드를.만들면 좀더 편합니다...
@니베아밀크 그것도 좋네요 참고할게요 ㅎㅎ
@뿜빰뿜뺨빰뿜빰뺨 제가 하는 방식은 위 방식에다가 + 시키는게
각 사이트마다 비번 조건 대/소문자+숫자+특수문자를 모두 포함시키는 공통 부분을 만들고(아 이건 쓰셨구나)
사이트 특정 문구는 한글로 씁니다. 그래야 외쿡애들이 못 알아먹을테니...
@니베아밀크
비번이나 아이디가 몇자 이상 이하 이런것때문에 힘들더라구요
저도 이런식으로 아기꺼 만들다 몇개하다 다 막혔어요
@니베아밀크 기존 비번 확인하고 사이트 돌며 싹 털듯한데요