주노야님의 이글루

英의회 해킹한 6세 소녀... 대단하네...

이 기사를 Google에서 검색해 보니 Daum 미디어다음에 <아이뉴스24> 기사로 올라와 있더군요. 기사 내용만 보면 정말 6세 소녀가 아주 능숙하게 해킹을 한 듯 한데, 어떤 동기로(기사에는 전혀 나와 있지 않음, 보안에서 '동기'(motivation), '자원'(resource), '전문성'(expertise)은 위협원(threat source)를 판단하는데 중요한 요소임) 6살짜리가 무장경찰이 지키는 의회내 의원 컴퓨터에 키로거를 장착했을까 하는 의문이 들었습니다. 그래서, 또 Google을 뒤졌습니다.

영문 기사를 찾아볼 수 있었는데, 결론은 BBC TV 프로그램인 'Inside out' 제작진이 의도적으로 의회 보안 취약성을 드러내기 위해 시도한 듯 하네요.

기사 내용으로 추측컨대, 일단 제작진이 인터넷에서 키로거를 구입해서 6살 애한테 15초만에 설치하는 방법을 연습시키고 설치 위치를 알려주고 보냅니다. 그리고, 제작진이 머 인터뷰 한다는 등의 이유로 공격대상 하원의원을 방에서 밖으로 나오도록 유인합니다. 기사 내용에는 60초동안 붙잡아 두었다고 하네요. 그동안 6세 꼬마애가 들어가서 15초만에 키로거 설치하고 유유히 나옵니다.

사용한 키로거는 키보드 입력값 6개월치를 저장할 수 있는 용량이라는 군요.

제작진은 6세 꼬마애를 이용하면 키로거를 의원 컴퓨터에 설치가능하고, 키로거를 설치해도 경고음이 울리지 않는 등 의회 전산 보안 시스템에 문제가 있다는 것을 폭로하기 위해 제작한 듯 합니다.

낚시성 기사라 해도 좀더 정확한 메세지를 전달했으면 하는군요.

IBM developwork에 실린 아마추어 해커 안윤호님의 글을 읽다가 글 속에 포함된 링크를 추적(?) 하다보니 LISP&Scheme의 중요성을 알게 되었습니다.

에릭 레이몬드도 고급 해커가 되고자 한다면 LISP을 배워야 한다는군요.

비록, Java, C++ 등 언어에 비해 그 인기도, 활용도는 현저히 낮은 듯 하지만 그렇다고, LISP이 단지 교육용(?)으로만 활용되지는 않으며 실질적인 돈을 벌어다 주는 프로젝트에서도 얼마든지 활용될 수 있다고 하는군요. Google의 스케일러블한 검색엔진도 LISP의 기본개념에서 시작된 듯 하네요.

LISP&Scheme을 통해 진정한 컴퓨터 사이언스의 진면목을 배울 수 있으며, 생각하는 힘을 길러주기 때문에, 피터 노빅도 scheme 배우기를 추천하고 있으며, 조엘 스폴스키는 LISP&Scheme을 사용한 학부코스를 통해 진정한 프로그래머로 발전할 사람과 그렇지 않을 사람을 조기에 솎아낼 수 있으며, 자신은 recursive 알고리즘을 몇초만에 가지고 놀고, 화이트보드에 글을 쓰듯이 포인터로 linked-list를 작성할 수 있는 사람이라면 언제든지 고용할 생각이 있다고 하네요. 

이러한 이유로 깊은 내공을 보유하기 위해 LISP&Scheme을 탐구해 볼 가치가 있다고 생각됩니다.

이제 동영상 강의(그런데 잘 접속이 되지 않는 듯...)와 책을 통해 깊은 내공의 세계로 들어가 봐야 겠습니다.^^;;

RFID로도 바이러스, 웜 등을 주입하여 시스템에 피해를 입힐 수 있다.
관련 홈페이지가 있는데, 주소가 들어있는 USB를 회사에 두고 오는 바람에,
그리고, 지금 그 사이트를 찾아보기 귀찮아서, 올릴 수는 없지만,
대충 내용을 보면,
RFID 리더기가 RFID 칩의 데이터를 읽어들일 때 length 체크를 하지 않는 취약성이 있다면,
이를 이용하여 칩의 데이터를 초과 읽히게끔 하여 buffer overflow를 일으켜,
해킹할 수 있거나,
SQL injection 공격 코드를 RFID 칩 데이터에 주입하여 공격하는 방법이 있다.

요즘 Microsoft Press에서 나온 Threat Modeling을 읽고 있는데, 읽어보면 볼수록 "Common Criteria"에서 정의하는 "Protection Profile"과 유사하다는 생각이 든다.

결국, 하나의 베이스되는 개념을 다른 Scope에 있는 사람들이 다른 표현을 한 것이 되는건가?

그래도, "Protection Profile"은 작성 가이드라고 해봐야 ISO/IEC TR 15446이 고작이지만,
'Threat Modeling'은 아주 상세하게 나와 있으므로 여기에 점수를 더 주고 싶다.

얼마전 국정원 주관의 사이버 안전의 날 행사에 다녀왔다. 오전 메인 행사장 중간쯤에 앉아 있었는데, VIP석이나 행사 진행요원이나, 기타 요리조리 듬성듬성 보이는 얼굴들 중에서 익숙한 얼굴들이 많이 보였다. 보안 분야에 몸담은지 이제 근 2년 가까이 되어 가는데, 그동안 보아왔던 얼굴들을 계속 보게 된다. 이제 국내 보안계(?)의 scope가 보이는 것인가?