|
2014-01-12 11:27
조회: 5,101
추천: 60
[보안지식]OTP는 과연 안전할까?저는 보안업계에 종사하고 있는 사람입니다.
이 글은 OTP에 대해 지나친 과대 망상을 가지고 계신 분들이 많이 보여서 쓰게 됐습니다.
OTP 해지가 안된다면 그냥 곧바로 해커 본인이 그 OTP번호로 로그인 하는 것이죠.
요약쟁이들을 위해 요약
OTP는 안전하지 않다. 한번 로그인 성공한 OTP번호는 사라지는 것이 아니고 지속적으로 유효하다.
OTP 제한시간이 초과된다고 해서 그 OTP번호가 사라지는 것도 아니다. 제한시간이 넘어서도 더 오래 지속될 수 있다.
가장 중요한 교훈은 스스로 조심해야 한다.
번외편 정보보안전문가가 알려주는 보안 점검법! 스스로 체크해보시길 바랍니다.
맞다(3), 조금 맞다(2), 모르겠다(1), 아니다(0) - 내 비밀번호를 1명 이상 알고 있는가?(가족, 친지 모든 경우 포함)
- 내 비밀번호는 특수문자가 2개 이하이다.
- 내 비밀번호는 나와 연관된 단어나 숫자가 포함되어 있다.(전화번호,생일,이름,가족이름,핸드폰번호)
- 내 비밀번호는 대문자가 없다.
- 나는 비밀번호를 변경한 지 한 달이 넘었다.
- 내 비밀번호는 타 사이트에도 동일하게 쓰이고 있다.
- 보안이 확인 되지 않은 타 컴퓨터에서 로그인 하고 비밀번호를 변경하지 않았다. (PC방, 다른 장소)
- 나는 사이트 회사에서 제공하는 로그인 접속 내역을 1주일에 1회 이상 확인하지 않는다.
- 나는 보안서비스(OTP, PC 등록, 보안코드 등)를 2개 이상 사용하지 않고 있다.
- 내가 로그인하는 PC에는 1주일에 1회 이상 백신으로 전체검사를 실시하지 않는다.
Special - 내 비밀번호는 전에 해킹당한 적 있는 비밀번호와 유사하거나 같다. (맞다 30점, 조금 맞다 20점, 아니다 0점)
24~30점 - 해킹 고위험군 15~23 - 해킹 준위험군 4~14 - 해킹 주의군 0~3 - 정상
필자는 0점!
필자의 추천 비밀번호 예제 : @JU4yZL!xaS&dZP9 (16자, 절대로 막 쓴 것이 아니고 철저한 보안 규칙에 의해 형성된 최적의 비밀번호입니다. 이거를 쓰라는 것이 아니고 이런 형태가 좋다는 뜻이란 것을 명심)
필자가 생각하기에 위와 같은 OTP 취약점을 차단하기 위해서
한 번 로그인 성공 후 게임을 실행하여 OTP 입력 창까지 간 계정에 대해서는
다른 PC 에서 5분 정도 접속을 못하게 막으면 위와 같은 취약점은 어느 정도 해결 될 것 같지만
넥슨에서 해줄 리가 없겠지요. 그냥 스쳐지나간 짧은 생각이었습니다.
EXP
5,126
(81%)
/ 5,201
^^ㅎ
|
세상에서가장