Chrome, Firefox, Edge and Safari Plans to Disable TLS 1.0 and 1.1 in 2020 구글 크롬, 애플 사파리, 마이크로소프트 엣지, 인터넷 익스플로러, 모질라 파이어폭스를 포함한 모든 메이저 웹 브라우저들이 TLS 1.0 (20년 됨), TLS 1.1 (12년 됨) 통신 암호화 프로토콜에 대한 지원을 곧 종료할 것이라 밝혔습니다. 초기에 SSL(Secure Sockets Layer) 프로토콜로 개발 된 TLS(Transport Layer Security)는 클라이언트와 서버 간의 통신 채널을 보호하고 암호화 하기 위해 사용하는 업데이트 된 암호화 프로토콜입니다. 현재 TLS는 1.0, 1.1, 1.2, 1.3(최신)로 총 4개 버전이 있습니다. 이들 중 구..

국내외 보안동향 2018. 10. 17. 17:40

해커들, 계정 없이도 FreeRADIUS에 로그인 가능해FreeRADIUS allows hackers to log in without credentials 최근 RADIUS 서버인 FreeRADIUS에서 TLS 재개 인증 우회 취약점이 발견되었습니다. 이 취약점은 CVE-2017-9148로 등록 되었으며, 재개 된 TLS 연결을 처리할 때 내부 인증을 건너 뛰는 TTLS 및 PEAP 구현에 존재합니다. FreeRADIUS의 TTLS 및 PEAP 구현은 재개 된 TLS 연결을 처리할 때 내부 인증을 건너뜁니다. 하지만 이 기능에는 치명적인 문제가 존재합니다. 초기 연결이 내부 인증이 성공적으로 완료될 때까지 서버는 TLS 세션의 재개를 절대 허용해서는 안됩니다. 불행하게도, 영향을 받는 FreeRADIUS..

국내외 보안동향 2017. 5. 31. 17:35

SWEET32 : TLS 64bit 생일공격(CVE-2016-2183) 발견! 개요 SWEET32 취약점은 공격자는 블록암호 SSL/TLS 중 특정한 설정환경에서 collision을 발생시킬 수 있는 취약점입니다. 기존의 64bit 블록암호 중에서 CBC 모드를 사용한다면 collision을 발생시킬 수 있습니다. 3DES 대칭암호의 암호스위트를 지원하는 SSL/TLS 프로토콜 모두(예 ECDHE-RSA-DES-CBC3-SHA) 해당 취약점의 영향을 받는 것으로 나타났습니다. Redhat Enterprise Linux6,7이 내장하고 있는 OpenSSL 버전 중, DES암호의 우선순위는 AES-256, AES-128 다음으로 AES-128, AES-256사용을 중지해야만 DES 암호가 활성화 됩니다. R..

국내외 보안동향 2016. 8. 29. 09:52

XMPP프로토콜로 통신하는 새로운 안드로이드 랜섬웨어 발견!Global XMPP Android Ransomware Campaign Hits Tens of Thousands of Devices 최근 XMPP 프로토콜로 통신하는 새로운 안드로이드 랜섬웨어가 발견되었습니다. 사용자가 Flash 플레이어로 위장한 앱을 다운로드 받으면서 감염은 시작됩니다. 사용자가 해당 APP을 설치하는 과정 중에 APP이 요구하는 권한들에 동의하며, 그렇기 때문에 악성앱들은 감염 디바이스 상의 모든 데이터들을 암호화 할 수 있는 것입니다. 감염에 성공한 후 악성앱은 사용자에게 NSA를 사칭하여 ‘저작권을 침해했다’라는 경고와 함께 48시간 내에 벌금을 지불하지 않으면 3배가 될 것이라는 경고창을 띄웁니다. 이 랜섬웨어의 특이한..

국내외 보안동향 2015. 9. 8. 13:53

TLS용 디피-헬만 설정 가이드Guide to Deploying Diffie-Hellman for TLS 이전 포스팅을 통해 암호화 통신을 다운그레이드시킬 수 있는 새로운 암호화 취약점인 Logjam에 대해 소개해드렸습니다. Logjam 취약점이란?중간자 공격(MITM)을 통해 사용자와 웹, 또는 이메일 서버 간의 암호화 통신을 다운그레이드시킬 수 있는 취약점입니다. ▶자세히 보기 Logjam 취약점은 TLS 프로토콜 자체의 기본 설계상의 취약점이므로 TSL를 사용하는 웹 브라우저와 메일 서버들은 해당 취약점에 노출될 가능성이 매우 큽니다. 이에 따라, TLS용 디피-헬만을 안전하게 설정하는 세 가지 방법을 소개해드립니다. 1. 수출용 암호 스위트를 비활성화하라.현재 사용되고 있는 브라우저들이 수출용 스..

국내외 보안동향 2015. 5. 27. 14:24

새로운 암호화 취약점 Logjam, 인터넷 사용자들을 위험에 빠트려LogJam — This New Encryption Glitch Puts Internet Users at Risk 한 보안 연구팀이 암호화 통신을 다운그레이드시킬 수 있는 새로운 공격을 발견했습니다. 이는 Logjam이라 명명되었으며, 중간자 공격(MITM)을 통해 사용자와 웹, 또는 이메일 서버 간의 암호화 통신을 다운그레이드시킬 수 있습니다. Logjam 은 취약한 암호화 기법을 통해 HTTPS 연결에서 OpenSSL을 포함한 SSL/TLS 클라이언트를 다운그레이드시킬 수 있다는 점에서 FREAK 취약점과 매우 비슷합니다. 그러나 FREAK은 실행과 관련된 취약점이며 Logjam은 TLS 프로토콜 자체의 기본 설계상의 취약점이란 점에서..

국내외 보안동향 2015. 5. 21. 15:32

POODLE 취약점이 또 다시 발생... 주의! 지난 10월, 구글의 보안 연구원들은 sslv3 poodle 취약점을 발견했으며, 이와 관련된 취약점은 이미 패치되었습니다. 그러나 패치가 이루어 진지 두 달이 지나기 전, TLS 프로토콜에서 POODLE 취약점(CVE-2014-8730)이 또 다시 발생하여 주의가 필요합니다. POODLE 취약점은 암호화 표준인 SSL v3.0에서 발생하는 취약점으로, 공격자는 해당 취약점을 악용하여 브라우저와 HTTPS 사이에서 MITM공격을 할 수 있습니다. 현재 어플리케이션에서 가장 많이 사용하는 것은 TLS 1.0이고, 그 뒤를 SSL3.0이 따르고 있습니다. 그러나 주요 브라우저들은 이미 TLS 1.2를 지원합니다. TLS1.0은 SSL3.1로 표시되고, TLS ..

국내외 보안동향 2014. 12. 19. 13:16