정보보안기사 필기 - 10(접근 통제 보안 위협 및 대응책)

- 패스워드 크래커

• 사전 공격(dictionary attack) : 공격자들은 패스위드의 해시된 값 혹은 패스워드 파일을 수집하며 수집한 후에 소프트웨어 툴 자체에 이미 포함된 단어와 수집한 패스워드가 일치할 때까지 비교작업을 수행합니다.
• 무차별 공격(brute-force attack) : 성공할때까지 가능한 모든 조합의 경우의 수를 시도해보는 해킹방법입니다. 
• 레인보 테이블(rainbow table) : 하나의 패스워드(패스워드 후보 단어)에서 시작해 특정한 변이 함수로 변이된 형태의 여러 패스워드를 생성합니다. 그리고 변이된 패스워드의 해시를 고리처럼  연결하여 일정 수의 패스워드와 해시로 이루어진 체인을 무수히 만들어 놓은 테이블로 공격에 활용합니다.

- 사회공학 공격

• 피싱(phishing) :개인정보와 낚시의 합성어로 개인정보를 낚는다는 의미를 가지고있습니다. 공격자는 위조된 홈페이지의 링크를 금융기관 등의 웹사이트에서 보낸 이메일로 위장하여 사용자에게 메일로 보냅니다.  사용자는 로그인을 시도하게됩니다. 이때 로그인 정보는 공격자에게 넘어갑니다. 사용자가 URL을 주의깊게본다면 쉽게 알아차릴 수 있습니다. 
• 파밍(pharming) : 공격자는 진본 웹사이트처럼 유사한 위조 사이트(농장)을 꾸며놓고 사용자의 DNS 서버를 변조시킵니다. 사용자는 일반 은행 도메인을 입력하여 접속을 하게되어 정상적인 DNS 서버로부터 ip를 받아 은행 사이트로 가야하지만 비정상적인 DNS서버로부터 공격자의 서버 ip를 건네받아 공격자의 서버로 요청을 보냅니다. 공격자의 서버는 위조 사이트를 넘겨주고 사용자는 위조사이트에서 로그인 시도를 하게됩니다. 이때 로그인 정보는 공격자에게 넘어갑니다. 사용자가 주의깊게 살펴본다고해도 쉽게 알아차릴 수 없습니다.
• 스미싱(smishing) : SMS를 통해 사용자를 속여 트로이목마 등 악성 프로그램 설치를 유도하고. 악성 프로그램을 통해 개인정보를 빼내거나 소액결제등을 수행하여 금전적인 손해를 입히는 신종 휴대폰 사기수법입니다.

 

- 은닉 채널(covert channel)

은닉채널은 엔티티가 허가되지 않은 방식으로 정보를 받는 방법입니다. 예를들어 스테가노그래피가 있습니다. 은닉채널을 찾아내고 뿌리뽑는 일은 어려운 일입니다.

 

- 방사(Emanation)

공격자가 컴퓨터 장치로부터 방출되는 전기적 신호를 가로채는 방법입니다. 대응책은 아래와 같습니다.

• 템페스트 : 차폐 물질을 사용하여 전기적신호 방출을 억제하는 기술의 표준입니다.
• 백잭 잡음 : 일정한 범위의 무작위적인 전기 신호가 의도적으로 방출되게하는 방법입니다.
• 통제 구역 : 전기적 신호가 새어나가지 않게 하기위해 벽면에 물질을 사용하는 방법입니다.