JD Tech Now

요즘 스마트폰 사용자를 중심으로, 데이터를 무제한으로 테더링하여 사용하는 방법이 화제가 되고 있습니다. 이른바 "APN 우회"를 활용한 방식인데, 마치 폐쇄된 도로의 우회로를 찾아내는 것처럼, 제한된 환경 속에서 새로운 가능성을 열어주는 기법으로 주목받고 있습니다. 그렇다면, APN이란 무엇이며 이를 우회한다는 것은 어떤 의미일까요? 먼저 APN이 무엇인지 확인해봅시다.

1. APN이란 무엇인가? 

**APN(Access Point Name)**은 스마트폰이나 태블릿 같은 모바일 기기가 인터넷에 접속하기 위해 반드시 거쳐야 하는 "네트워크 관문"입니다. 통신사가 제공하는 모바일 데이터 서비스를 이용하려면, 기기가 어떤 방식으로 데이터를 전송하고 수신할지를 결정하는 APN 설정이 필요합니다.

이를 이해하기 위해 다음과 같은 비유를 생각해볼 수 있습니다:

비유: 공항의 게이트

APN은 마치 공항의 출입문(게이트)과 같습니다.

1. 비행기가 공항을 통해 목적지로 날아가려면, 특정 게이트를 통해 승객과 화물을 싣고 출발해야 합니다.
2. 이때, **게이트(APN)**는 비행기가 어떤 항공사 소속인지, 어떤 화물을 싣고 있는지, 어떤 노선을 통해 가는지를 결정하는 역할을 합니다.
3. 통신사마다 각기 다른 게이트 설정이 있으며, 이 설정을 기반으로 특정 항공편만 출입하도록 허가하거나, 화물 종류에 따라 별도의 요금을 부과할 수도 있습니다.

APN TEC

APN은 네트워크의 "종단점"과 유사한 개념으로, 데이터를 전송하기 위한 통신 경로를 설정합니다. APN은 크게 두 가지 주요 정보를 포함합니다:

1. PDN (Packet Data Network)의 주소:
   • 데이터를 전송할 네트워크의 주소를 나타냅니다.
   • 예를 들어, 인터넷에 연결하거나 MMS(멀티미디어 메시지)를 보내기 위한 경로를 정의합니다.
2. 특정 설정 정보:
   • 인증 방식: 통신사가 사용자를 인증하기 위한 사용자 이름과 비밀번호.
   • 프로토콜 설정: IPv4, IPv6 또는 둘 다를 사용하는지.
   • 게이트웨이 정보: 네트워크의 어떤 노드를 통해 데이터를 보낼 것인지.

APN의 구성요소

APN은 다음과 같은 구성 요소로 이루어집니다:

1. APN 이름:
   • 예: internet.kt.com 또는 lte.sktelecom.com.
   • 이는 기기가 연결하려는 통신사의 네트워크를 식별합니다.
2. MCC (Mobile Country Code)와 MNC (Mobile Network Code):
   • 통신사의 국가와 네트워크를 식별하는 코드.
   • 예: 대한민국의 KT는 MCC가 450, MNC가 08입니다.
3. APN 타입:
   • default: 기본 인터넷 데이터 연결.
   • mms: 멀티미디어 메시지 서비스.
   • supl: 위치 기반 서비스(GPS 지원) 데이터.
4. Proxy 및 Port:
   • 데이터를 중계하거나 보안을 강화하기 위해 사용되는 설정.

APN이 중요한 이유

APN 설정을 통해 통신사는 다음과 같은 작업을 수행합니다:

1. 데이터 요금 관리:
   • 예를 들어, 일반 데이터와 테더링 데이터를 별도로 관리하거나, 특정 데이터만 무료로 제공할 수 있습니다.
   • (비유: 같은 공항에서도 화물 운송과 여객 운송이 각각 다른 게이트를 이용하는 것처럼, 데이터 유형에 따라 다른 APN 경로를 설정함.)
2. 서비스 최적화:
   • 예를 들어, 동영상 스트리밍 서비스는 고속 데이터 경로를, 텍스트 전송은 저속 경로를 사용하는 방식으로 최적화합니다.
3. 보안 강화:
   • 데이터가 허가된 경로로만 전송되도록 하여 해킹이나 불법 접속을 방지합니다.

2. APN 우회란?

APN 우회란 통신사가 설정한 기본 APN의 제한을 피하고, 대안 경로를 통해 데이터를 사용하는 방법을 의미합니다. 일반적으로 통신사는 테더링 데이터를 제한하기 위해 별도의 APN을 할당하지만, 사용자가 APN 설정을 변경하거나 커스텀 APN을 활용하면 이러한 제한을 우회할 수 있습니다.

이는 마치 고속도로에서 통행료를 내지 않기 위해 작은 시골길을 찾아가는 것과 비슷합니다. 우회로를 찾으면 더 많은 자유를 누릴 수 있지만, 이는 통신사의 정책에 반하는 행위로 간주될 수 있습니다.

통신사 정책과 APN

통신사들은 APN 설정을 기반으로 데이터 사용량을 제한하거나, 특정 서비스에 대해 요금을 부과합니다. 예를 들어:

• 테더링(핫스팟) 데이터를 일반 데이터와 별도로 제한하려면, 테더링에 별도의 APN을 할당합니다.
• 데이터 무제한 요금제라도 일부 동영상 스트리밍 서비스는 속도를 제한하는 방식으로 APN을 설정합니다.

APN 우회는 기본적으로 통신사의 제한을 피하고 데이터를 무제한 또는 별도 요금 부과 없이 사용하는 방법입니다. 이를 위해 APN 설정을 조작하거나, 통신사에서 제공하지 않은 커스텀 APN을 추가로 설정하는 방식이 사용됩니다.

APN 우회 기본 원리

1. 통신사의 APN 구조 이해:
   • 통신사는 데이터를 일반 데이터, 테더링 데이터, MMS 데이터 등으로 분리 관리하기 위해 여러 APN을 사용합니다.
   • 예를 들어, 테더링은 별도의 APN 경로로 트래픽을 처리하고, 이 경로에 데이터 제한을 두거나 속도를 제한할 수 있습니다.
   • APN 우회는 일반 데이터 APN을 사용하여 테더링 데이터를 처리하거나, 다른 APN을 사용해 제한을 피하려는 시도입니다.
2. 우회 방식:
   • 기본 APN 수정: 기존의 통신사 APN을 수정해 데이터를 무제한으로 사용하는 방식.
   • 커스텀 APN 추가: 새로운 APN 프로파일을 추가하여 통신사 정책을 우회.
   • VPN과 조합: 데이터를 APN에서 암호화된 VPN으로 라우팅하여 통신사가 트래픽의 성격을 파악하지 못하도록 함.

한마디로 통신사들이 무제한 데이터를 모바일에서 사용하는 네트워크로 apn을 설정해놨기에 테더링 핫스팟으로 뿌려지는 인터넷에는 무제한 데이터가 할당되지 않아서 인터넷을 사용할 수 없습니다.

통신사가 이를 막아둔 것이죠.

이러한 정책은 무분별하게 악용햐여 스마트폰을 공유기처럼 사용하는 사용자를 제제할 수 있지만 같은 통신사의 요금제를 이용하는 개인 사용자는 조금 억울할 수 있습니다.

아래는 apn 우회를 방법론 적으로만 설명하고있습니다. 

APN 우회 방법 (안드로이드와 아이폰)

1. 안드로이드에서 APN 우회 설정

안드로이드는 APN 설정을 직접 수정할 수 있는 기능을 제공하며, 방법은 다음과 같습니다:

1. APN 설정 메뉴 접근:
   • 설정 → 네트워크 및 인터넷 → 모바일 네트워크 → APN (접속 이름) 메뉴로 이동.
2. 새 APN 추가 또는 기존 APN 수정:
   • 새 APN 추가: 우회에 사용할 새로운 APN을 추가.
   • 기존 APN 수정: 통신사에서 제공한 기본 APN 정보를 일부 수정.
3. APN 설정 정보 입력:
   • 일반적으로 데이터 우회를 위해 사용하는 정보:
     • 이름: 임의로 설정 가능 (예: Custom APN)
     • APN: internet 또는 default
     • 인증 방식: 기본 설정(없음) 또는 PAP/CHAP
     • MMSC, MMS 프록시: 비워두기
     • APN 타입: default,supl 또는 internet
4. APN 저장 후 활성화:
   • 새로 추가하거나 수정한 APN을 선택해 활성화.
5. 테더링 데이터 우회:
   • 테더링 사용 시에도 동일한 APN이 적용되도록 설정하거나, VPN을 병행해 트래픽을 숨기는 방식 사용.

2. 아이폰에서 APN 우회 설정

아이폰은 기본 설정에서 APN을 수정할 수 없는 경우가 많으므로, 프로파일(Profile) 파일을 설치하는 방식으로 접근해야 합니다.

1. 프로파일 생성:
   • APN 설정을 포함한 구성 프로파일을 생성하기 위해 Apple Configurator 또는 프로파일 생성 사이트를 사용.
   • 필요한 APN 정보:
     • APN: internet
     • 사용자 이름/비밀번호: 비워두기 또는 통신사 기본값.
     • APN 타입: default 또는 internet.
2. 프로파일 설치:
   • 생성된 프로파일 파일(.mobileconfig)을 이메일이나 iCloud Drive를 통해 아이폰으로 전송.
   • 아이폰에서 프로파일을 열고 설치.
3. 설치 후 활성화:
   • 설정 → 일반 → 프로파일에서 새로 설치한 프로파일을 확인.
   • 데이터 트래픽이 새로운 APN 경로를 통해 작동하는지 테스트.

하지만 현재 apn 우회에 대한 방법은 거의 다 막혀있는 상태입니다.

현재는 프록시서버를 거쳐 모바일 데이터를 표준 데이터로 사용하는 방법은 있는 상태입니다.

해당 기술에 대한 이론과 방법론은 다음 글에서 작성하도록 하겠습니다.

궁금하신 사항은 댓글에 남겨주세요

댓글에 남겨주신 내용은

추후 정리해서 올려드리겠습니다

이웃 신청하시면 업로드 시 알려드릴게요!

-

조금이라도 도움이 되셨다면

공감&댓글 부탁드리겠습니다

감사합니다!

컴퓨터 보안은 누구에게나 중요한 문제입니다.

하지만 보안 점검을 꾸준히 수행하는 것은 쉽지 않죠.

오늘 Python 스크립트를 활용해 간단하게나마 컴퓨터 보안을 자동으로 점검하는 방법과,

이를 Windows, macOS, Linux에서 매달 자동으로 실행되도록 설정하는 과정을 자세히 설명해보겠습니다.

먼저 체크리스트를 만들어야합니다.

전문적으로 모든 컴퓨터 내부를 살펴보고 보안관리를 하는것이 아니라

우선 가볍게 간단하게 매달 돌려볼 수 있는 보안 점검 리스트를 만들어 봅시다.

자동으로 스캔할 수 있는 항목

1. 운영 체제 및 소프트웨어 업데이트
   • 운영 체제가 최신 상태인지 확인 (Windows Update 상태 등).
   • 설치된 소프트웨어의 버전 확인.
2. 바이러스 및 악성코드 방지
   • 안티바이러스 소프트웨어의 실시간 보호 상태 확인 (Windows Defender 등).
   • 마지막으로 시스템이 스캔된 날짜 확인.
3. 네트워크 보안
   • 현재 연결된 네트워크의 암호화 상태 확인 (WPA2/WPA3 여부).
   • 활성 네트워크 어댑터 확인.
4. 파일 및 데이터 관리
   • 백업 디렉토리 또는 외장 하드 드라이브 상태 확인.
   • 다운로드 폴더의 최근 파일 검토(예: 잠재적으로 위험한 파일 확장자 탐지).
5. 브라우저 및 인터넷 사용
   • 브라우저 플러그인 설치 상태(Ad-blocker 확인).
   • 저장된 비밀번호 사용 여부.
6. 기타
   • 사용하지 않는 네트워크 어댑터(Wi-Fi, Bluetooth)가 비활성화되었는지 확인.

1. Python으로 보안 점검 스크립트 작성하기

먼저, 컴퓨터 보안을 점검할 수 있는 Python 스크립트를 작성합니다. 이 스크립트는 운영 체제의 상태를 확인하고, 네트워크 보안, 다운로드 폴더의 위험 파일 등을 간단히 분석합니다.

import os
import subprocess
import platform

# 운영 체제 확인 및 업데이트 상태 확인
def check_os_updates():
    os_name = platform.system()
    if os_name == "Windows":
        print("Windows 업데이트 상태 확인 중...")
        subprocess.run("powershell -Command Get-WindowsUpdate", shell=True)
    elif os_name == "Linux":
        print("Linux 패키지 업데이트 상태 확인 중...")
        os.system("sudo apt list --upgradable")
    elif os_name == "Darwin":
        print("MacOS 업데이트 상태 확인 중...")
        os.system("softwareupdate -l")
    else:
        print(f"운영 체제 {os_name}는 지원되지 않습니다.")

# 바이러스 및 실시간 보호 상태 확인 (Windows 전용)
def check_antivirus_status():
    os_name = platform.system()
    if os_name == "Windows":
        print("Windows Defender 상태 확인 중...")
        subprocess.run("powershell -Command Get-MpComputerStatus | Select-Object AMServiceEnabled, RealTimeProtectionEnabled", shell=True)
    else:
        print("현재 OS에서는 이 기능을 지원하지 않습니다.")

# 네트워크 어댑터 상태 확인
def check_network_security():
    print("네트워크 어댑터 상태 확인 중...")
    os_name = platform.system()
    if os_name == "Windows":
        subprocess.run("netsh wlan show interfaces", shell=True)
    elif os_name in ["Linux", "Darwin"]:
        os.system("nmcli device status")
    else:
        print(f"운영 체제 {os_name}는 네트워크 확인을 지원하지 않습니다.")

# 다운로드 폴더에서 위험 파일 탐지
def scan_download_folder():
    print("다운로드 폴더 내 파일 검사 중...")
    download_folder = os.path.expanduser("~/Downloads")
    if os.path.exists(download_folder):
        for file in os.listdir(download_folder):
            if file.endswith((".exe", ".bat", ".cmd", ".vbs")):
                print(f"주의: 위험 가능성이 있는 파일 발견 - {file}")
    else:
        print("다운로드 폴더를 찾을 수 없습니다.")

# 메인 실행
if __name__ == "__main__":
    print("컴퓨터 보안 스캔 시작...")
    check_os_updates()
    check_antivirus_status()
    check_network_security()
    scan_download_folder()
    print("보안 스캔 완료.")

2. 운영 체제별 스케줄링 설정

Python 스크립트를 매달 실행하려면 각 운영 체제에 맞는 스케줄링 도구를 사용해야 합니다.

2.1 Windows에서 작업 스케줄러(Task Scheduler) 설정

1. Python 스크립트 파일 저장
   위 코드를 C:\Scripts\security_scan.py로 저장합니다.
2. 작업 스케줄러 열기
   • Windows 검색창에 "작업 스케줄러(Task Scheduler)"를 입력하고 실행합니다.
3. 새 작업 만들기
   • **작업 만들기(Create Task)**를 클릭.
   • 이름: "Monthly Security Scan".
   • 설명: "매월 자동으로 Python 보안 스크립트를 실행".
4. 트리거 설정
   • 트리거 탭에서 **새로 만들기(New)**를 클릭.
   • 매월 실행되도록 설정(예: 매월 1일 오전 9시).
5. 동작 설정
   • 동작 탭에서 **새로 만들기(New)**를 클릭.
   • 프로그램/스크립트에 python을 입력.
   • 인수 추가에 스크립트 경로를 입력:
     makefile

      

C:\Scripts\security_scan.py

저장 후 테스트

• 작업 저장 후 "실행" 버튼으로 정상 실행 여부를 확인합니다.

2.2 macOS에서 launchd 사용

1. Python 스크립트 파일 저장
   • 위 코드를 예를 들어 /Users/사용자/Scripts/security_scan.py로 저장.
2. 플리스트(PLIST) 파일 생성
   • 플리스트 파일을 생성합니다

nano ~/Library/LaunchAgents/com.security.scan.plist

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>Label</key>
    <string>com.security.scan</string>
    <key>ProgramArguments</key>
    <array>
        <string>/usr/bin/python3</string>
        <string>/Users/사용자/Scripts/security_scan.py</string>
    </array>
    <key>StartCalendarInterval</key>
    <dict>
        <key>Day</key>
        <integer>1</integer>
        <key>Hour</key>
        <integer>9</integer>
    </dict>
    <key>RunAtLoad</key>
    <true/>
</dict>
</plist>

3. 플리스트 로드 및 테스트

launchctl load ~/Library/LaunchAgents/com.security.scan.plist
launchctl start com.security.scan

2.3 Linux에서 cron 사용

1. Python 스크립트 파일 저장
   • 위 코드를 /home/사용자/Scripts/security_scan.py로 저장.
2. 크론 편집
   • 크론 편집기를 엽니다:

crontab -e

0 9 1 * * /usr/bin/python3 /home/사용자/Scripts/security_scan.py

테스트

python3 /home/사용자/Scripts/security_scan.py

3. 실행 결과 로그 저장

결과를 파일로 저장하려면 스크립트 또는 스케줄 설정에 로그를 추가하면 됩니다.

스크립트에 로그 추가

import logging

# 로그 설정
logging.basicConfig(
    filename="security_scan.log",
    level=logging.INFO,
    format="%(asctime)s - %(message)s"
)

logging.info("보안 스캔 시작...")
# 기존 점검 함수 호출
logging.info("보안 스캔 완료.")

스케줄 설정에서 로그 추가

• Windows: >> C:\Scripts\security_scan.log 2>&1
• macOS/Linux: >> /path/to/security_scan.log 2>&1
  

오늘 우리는 위 과정을 통해 Python 스크립트를 작성하고,

매달 자동으로 실행되도록 설정하는 방법을 배웠습니다.

이러한 자동화를 통해 보안을 효율적으로 관리하고, 중요한 문제를 미리 예방할 수 있습니다.

문의사항은 댓글로 남겨주세요!

궁금하신 사항은 댓글에 남겨주세요

댓글에 남겨주신 내용은

추후 정리해서 올려드리겠습니다

이웃 신청하시면 업로드 시 알려드릴게요!

-

조금이라도 도움이 되셨다면

공감&댓글 부탁드리겠습니다

감사합니다!

SQL 인젝션

SQL 인젝션은 웹 애플리케이션의 입력값을 조작하여 악의적인 SQL 구문을 삽입,

데이터베이스에 비정상적인 접근을 시도하는 공격 방법입니다.

이를 통해 공격자는 민감한 데이터 탈취, 데이터베이스 수정,

관리 권한 획득 등의 피해를 발생시킬 수 있습니다.

국내 은행사의 개인정보 탈취사건,

대형 어플의 개인정보 유출 등도 이에 해당합니다.

이번 실습에서는 SQL 인젝션을 통해 로그인 우회 및 데이터 탈취를 시도하고,

이를 방어하는 방법을 학습합니다.

1. 실습 환경 구축

SQL 인젝션을 실습하기 위해 안전한 환경을 구축하는 방법을 설명합니다.

1.1 가상 머신 설치

개념 설명

가상 머신(Virtual Machine)은 하나의 컴퓨터에서 여러 운영체제를 실행할 수 있게 해주는 소프트웨어입니다. 이를 통해 실제 시스템을 손상시키지 않고 다양한 실험을 할 수 있습니다.

설정 방법

1. VirtualBox를 다운로드하고 설치합니다.
2. Ubuntu ISO 이미지를 다운로드합니다.
3. VirtualBox에서 새로운 가상 머신을 생성하고 Ubuntu를 설치합니다.

1.2 LAMP 스택 설치

개념 설명

LAMP 스택은 웹 서버를 구축하기 위한 필수 소프트웨어의 조합으로, Linux, Apache, MySQL, PHP로 구성됩니다.

각 구성 요소 설명 및 기능

1. Linux: 운영체제(OS)로, LAMP 스택의 기본 플랫폼을 제공합니다.
2. Apache: 웹 서버 소프트웨어로, 클라이언트로부터 HTTP 요청을 처리하고 응답을 보냅니다.
3. MySQL: 관계형 데이터베이스 관리 시스템(RDBMS)으로, 데이터를 저장하고 관리합니다.
4. PHP: 서버 사이드 스크립트 언어로, 동적인 웹 페이지를 생성합니다.

설치 방법

1. 터미널을 열고 다음 명령어를 실행합니다:

sudo apt update
sudo apt install apache2 mysql-server php libapache2-mod-php php-mysql

1.3 DVWA 설치

개념 설명

DVWA(Damn Vulnerable Web Application)는 의도적으로 취약점을 포함하고 있어 보안 연습에 사용되는 웹 애플리케이션입니다.

설치 방법

1. DVWA를 다운로드하고 Apache 웹 루트 디렉토리로 이동합니다:

sudo apt install git
git clone https://github.com/digininja/DVWA.git /var/www/html/dvwa
sudo chown -R www-data:www-data /var/www/html/dvwa

    2. MySQL에서 DVWA 데이터베이스를 설정합니다:

sudo mysql -u root -p
CREATE DATABASE dvwa;
CREATE USER 'dvwa'@'localhost' IDENTIFIED BY 'password';
GRANT ALL PRIVILEGES ON dvwa.* TO 'dvwa'@'localhost';
FLUSH PRIVILEGES;
exit;

    3. DVWA 설정 파일을 수정합니다:

sudo nano /var/www/html/dvwa/config/config.inc.php

설정 파일 내용:

$_DVWA = array();
$_DVWA[ 'db_server' ] = 'localhost';
$_DVWA[ 'db_database' ] = 'dvwa';
$_DVWA[ 'db_user' ] = 'dvwa';
$_DVWA[ 'db_password' ] = 'password';

    4. Apache 서버를 재시작합니다:

sudo systemctl restart apache2

2. Lord of SQL Injection 실습

2.1 사이트 소개

개념 설명

Lord of SQL Injection은 다양한 SQL 인젝션 문제를 제공하여 실습할 수 있는 웹사이트입니다.

접속 방법

1. 브라우저에서 Lord of SQL Injection에 접속합니다.
2. 제공된 문제를 하나씩 풀어가며 SQL 인젝션을 연습합니다.

2.2 예시 문제 해결

시나리오 설명

SQL 인젝션은 사용자가 입력한 데이터를 이용해 악의적인 SQL 쿼리를 실행하는 공격 방법입니다. 이번 실습에서는 로그인 우회 공격을 시도합니다.

로그인 폼에 ' OR '1'='1을 입력하여 SQL 인젝션 시도

SELECT * FROM users WHERE username = '' OR '1'='1' AND password = '';

모든 사용자 계정에 접근할 수 있습니다.

3. SQL 인젝션 방어 방법

3.1 입력값 검증

개념 설명

사용자 입력값을 철저히 검증하여 악의적인 데이터를 걸러냅니다.

방어 방법

숫자 입력 필드에는 숫자만 입력되도록 검증합니다:

if (!is_numeric($_POST['id'])) {
    die("Invalid ID");
}

3.2 Prepared Statements 사용

개념 설명

SQL 인젝션 공격을 방어하는 가장 효과적인 방법 중 하나는 'Prepared Statements'를 사용하는 것입니다. Prepared Statements는 SQL 쿼리를 안전하게 실행할 수 있게 해주며, 사용자 입력을 쿼리의 일부로 직접 삽입하지 않고 별도로 처리합니다.

Prepared Statements의 작동 원리

• 쿼리 분리: 사용자의 입력을 쿼리 구조에서 분리합니다. 이렇게 하면 입력값이 쿼리의 구조를 변경할 수 없으므로, 악의적인 쿼리 실행이 방지됩니다.
• 파라미터 바인딩: 사용자 입력을 쿼리에 파라미터로 전달합니다. 이 파라미터는 데이터베이스에 의해 안전하게 처리되어 쿼리에 포함됩니다.

방어 방법

PHP에서 Prepared Statements를 사용하는 예시:

$stmt = $conn->prepare("SELECT * FROM users WHERE username = ? AND password = ?");
$stmt->bind_param("ss", $username, $password);
$stmt->execute();

궁금하신 사항은 댓글에 남겨주세요

댓글에 남겨주신 내용은

추후 정리해서 올려드리겠습니다

이웃 신청하시면 업로드 시 알려드릴게요!

-

조금이라도 도움이 되셨다면

공감&댓글 부탁드리겠습니다

감사합니다!

로그인 기능은 웹 애플리케이션에서
사용자 인증을 담당하는 중요한 부분입니다.
보안을 강화하지 않으면 사용자의 계정이 탈취되거나
시스템에 무단 접근이 발생할 수 있습니다.
이번 글에서는 안전한 로그인 기능을 구현하기 위해
필수적으로 적용해야 할 보안 설정과
방법을 세세하게 살펴보겠습니다.
 
오늘은 프로그래밍 언어
파이썬(python)을 사용하겠습니다.

1. 비밀번호 보호

1.1 비밀번호 해싱 및 솔팅
비밀번호를 안전하게 저장하기 위해
해싱과 솔팅 기법을 사용합니다.

• 해싱: 비밀번호를 해시 함수(bcrypt, Argon2 등)를 사용하여 해시된 값으로 변환합니다. 해시는 단방향 함수이므로 원본 비밀번호를 추출할 수 없습니다.
• 솔팅: 각 비밀번호에 무작위 솔트 값을 추가하여 해시합니다. 동일한 비밀번호라도 솔트가 다르면 해시 값이 달라져서 무차별 대입 공격을 방지할 수 있습니다.

# bcrypt 설치
# pip install bcrypt

import bcrypt

def hash_password(password):
    salt = bcrypt.gensalt()
    hashed_password = bcrypt.hashpw(password.encode('utf-8'), salt)
    return hashed_password

def check_password(hashed_password, user_password):
    return bcrypt.checkpw(user_password.encode('utf-8'), hashed_password)

1.2 비밀번호 복잡성 규칙
강력한 비밀번호를 설정하도록 유도합니다.
최소 길이, 대문자, 소문자, 숫자, 특수문자를
포함하는 규칙을 설정합니다.

• 예시: 최소 8자 이상, 대문자 1자, 소문자 1자, 숫자 1자, 특수문자 1자 포함

import re

def is_password_strong(password):
    if (len(password) < 8 or 
        not re.search(r"[A-Z]", password) or 
        not re.search(r"[a-z]", password) or 
        not re.search(r"\d", password) or 
        not re.search(r"[!@#$%^&*(),.?\":{}|<>]", password)):
        return False
    return True

password = "Example1!"
if is_password_strong(password):
    print("Password is strong.")
else:
    print("Password is weak.")

2. 로그인 시도 제한

2.1 로그인 시도 제한
사용자가 일정 횟수 이상 잘못된 비밀번호를 입력하면
계정을 일시적으로 잠금 처리합니다.

• 예시: 5회 실패 시 15분 동안 계정을 잠금

from datetime import datetime, timedelta

login_attempts = {}

def record_login_attempt(username, success):
    if username not in login_attempts:
        login_attempts[username] = {'attempts': 0, 'last_attempt': None, 'lock_until': None}
    
    # 계정이 잠겨있는지 확인
    if login_attempts[username]['lock_until'] and datetime.now() < login_attempts[username]['lock_until']:
        return "Account is locked. Try again later."
    
    # 로그인 성공 시 시도 횟수 초기화
    if success:
        login_attempts[username]['attempts'] = 0
    else:
        login_attempts[username]['attempts'] += 1
        login_attempts[username]['last_attempt'] = datetime.now()
        # 5회 실패 시 계정 잠금
        if login_attempts[username]['attempts'] >= 5:
            login_attempts[username]['lock_until'] = datetime.now() + timedelta(minutes=15)
            return "Account is locked due to too many failed attempts."
    
    return "Login attempt recorded."

2.2 캡차(CAPTCHA)
여러 번 로그인 실패 후 캡차를 요구하여 봇에 의한
자동화된 공격을 방지합니다.
캡차는 reCAPTCHA 등 서비스를 이용할 수 있습니다.

<form action="/login" method="post">
    <!-- Other login fields -->
    <div class="g-recaptcha" data-sitekey="your_site_key"></div>
    <button type="submit">Login</button>
</form>
<script src="https://www.google.com/recaptcha/api.js"></script>

3. CSRF(Cross-Site Request Forgery) 토큰

3.1 CSRF 토큰 사용
로그인 폼에 CSRF 토큰을 포함하여,
서버가 해당 요청이 신뢰할 수 있는 출처에서 왔는지
확인합니다.
이를 통해 CSRF 공격을 방지할 수 있습니다.

from flask import Flask, request, session, render_template_string
import os

app = Flask(__name__)
app.secret_key = os.urandom(24)

def generate_csrf_token():
    if 'csrf_token' not in session:
        session['csrf_token'] = os.urandom(24).hex()
    return session['csrf_token']

@app.route('/login', methods=['GET', 'POST'])
def login():
    if request.method == 'POST':
        token = request.form.get('csrf_token')
        if not token or token != session['csrf_token']:
            return "CSRF token mismatch", 400
        # Process login
    return render_template_string("""
        <form method="POST">
            <input type="hidden" name="csrf_token" value="{{ csrf_token }}">
            <!-- Other login fields -->
            <button type="submit">Login</button>
        </form>
    """, csrf_token=generate_csrf_token())

4. 2단계 인증(Two-Factor Authentication, 2FA)

4.1 2단계 인증 도입
비밀번호 외에도 추가 인증 요소를 요구합니다.
예를 들어, SMS, 이메일로 전송된 인증 코드,
인증 앱(Google Authenticator 등)을 사용한 코드를 입력하도록 요구할 수 있습니다.

import random

def send_otp_via_sms(phone_number):
    otp = random.randint(100000, 999999)
    # Code to send SMS
    return otp

def verify_otp(user_input, actual_otp):
    return user_input == actual_otp

# 예시 사용법
otp = send_otp_via_sms("+1234567890")
user_input = input("Enter the OTP sent to your phone: ")
if verify_otp(user_input, otp):
    print("OTP verified successfully.")
else:
    print("Invalid OTP.")

5. 세션 관리

5.1 세션 타임아웃
일정 시간 동안 사용자의 활동이 없으면
자동으로 로그아웃 시킵니다.

from flask import Flask, session
from datetime import timedelta

app = Flask(__name__)
app.secret_key = os.urandom(24)

@app.before_request
def make_session_permanent():
    session.permanent = True
    app.permanent_session_lifetime = timedelta(minutes=30)

from flask import Flask, session

app = Flask(__name__)
app.secret_key = os.urandom(24)

@app.route('/login', methods=['POST'])
def login():
    # Authenticate user
    user = authenticate_user() # 가정한 함수
    if user:
        session.clear()
        session['user_id'] = user.id
        return "Login successful"
    return "Invalid credentials"

6. SSL/TLS를 통한 데이터 암호화

6.1 SSL/TLS 사용
로그인 페이지 및 API 통신에 SSL/TLS를 사용하여 전송되는 데이터를 암호화합니다.
이를 통해 중간자 공격(MITM)을 방지할 수 있습니다.

• SSL 인증서를 설치하고 HTTPS를 적용합니다.

server {
    listen 443 ssl;
    server_name your_domain.com;

    ssl_certificate /path/to/your_certificate.crt;
    ssl_certificate_key /path/to/your_private.key;

    location / {
        proxy_pass http://localhost:5000;
        # Other configurations
    }
}

7. 계정 잠금 및 경고

7.1 계정 잠금
여러 번 로그인 실패 시 계정을 잠그고,
사용자가 등록한 이메일로 경고 메시지를 보냅니다.

def send_account_lock_email(user_email):
    # Code to send email
    pass

def lock_account(username):
    # Lock account logic
    send_account_lock_email(username)

7.2 로그인 알림
새로운 디바이스나 IP 주소에서 로그인 시 사용자가 알림을 받도록 설정할 수 있습니다.

def send_new_login_alert(user_email, ip_address):
    # Code to send email alert
    pass

8. 입력 데이터 유효성 검사

8.1 입력 데이터 검증
모든 사용자 입력 데이터에 대해 유효성 검사를 수행하여 SQL 인젝션, XSS 등의 공격을 방지합니다.

from flask import escape

@app.route('/login', methods=['POST'])
def login():
    username = escape(request.form.get('username'))
    password = escape(request.form.get('password'))
    # Process login

9. 보안 감사 및 로그

9.1 보안 로그
로그인 시도, 실패, 비밀번호 변경 등의 보안 관련 이벤트를 로깅하여 나중에 분석할 수 있도록 합니다.

import logging

logging.basicConfig(filename='security.log', level=logging.INFO)

def log_security_event(event):
    logging.info(event)

# 예시 사용법
log_security_event("User login attempt")

9.2 감사 로그
의심스러운 활동을 감지하고 대응할 수 있도록 보안 감사 로그를 유지합니다.

def log_suspicious_activity(user_id, activity):
    logging.warning(f"Suspicious activity detected for user {user_id}: {activity}")

# 예시 사용법
log_suspicious_activity(123, "Multiple failed login attempts")

오늘은 안전한 로그인 기능을 위한 보안 설정을 알아봤습니다.
오늘 설정한 내용 아래에서 한번 더 볼까요?

이러한 보안 설정을 통해 로그인 기능의 보안을 강화하고,
사용자 계정 및 시스템을 보다 안전하게 보호할 수 있습니다.
최신 보안 권고사항을 참고하고,
자동화된 보안 도구를 적극 활용하여 시스템의 안전성을 높여주세요
 
보안은 한 번에 완성되는 것이 아니라 지속적으로 관리하고 업데이트해야 하는 부분입니다.
따라서 정기적인 보안 점검과 최신 보안 패치 적용을 통해 안전한 웹 애플리케이션을 유지하시기 바랍니다.
이 글이 안전한 로그인 기능을 구현하는 데 도움이 되었기를 바랍니다.
추가적인 질문이나 도움이 필요하다면 언제든지 댓글로 남겨주세요.
감사합니다!

SW 공급망보안 가이드라인 1.0은 기업들이 공급망 보안을 강화하기 위해

지켜야 할 주요 원칙과 실천 사항을 제시합니다.

이 가이드라인을 통해 기업들은 자신들의 공급망을 보다 안전하게 보호하고, 

잠재적인 위협으로부터 방어할 수 있습니다. 

이 문서에서는 가이드라인의 주요 내용을 세밀하게 해설하고, 

기업들이 각 원칙을 어떻게 적용해야 하는지 알아보겠습니다.

1. SW 공급망 보안 관리 체계 구축

1. 보안 정책 수립
    * 정책 작성: 조직의 보안 목표와 원칙을 정의한 보안 정책을 작성합니다.
    * 승인: 최고 경영진의 승인을 받아 정책을 공식화합니다.
    * 배포: 모든 직원에게 정책을 공유하고 이해시킵니다.
2. 조직 구성
    * 보안 책임자 지정: 보안 담당 부서와 책임자를 명확히 지정합니다.
    * 역할 및 책임 정의: 각 부서의 역할과 책임을 문서화하여 명확히 합니다.
3. 교육 및 훈련
    * 교육 프로그램 개발: SW 공급망 보안에 대한 교육 프로그램을 개발합니다.
    * 정기 교육 실시: 모든 직원에게 정기적으로 교육을 실시하고 훈련을 제공합니다.

2. SBOM (소프트웨어 자재명세서) 관리

1. SBOM 생성 및 유지
    * SBOM 생성: 소프트웨어 개발 시 각 구성 요소의 SBOM을 생성합니다.
    * 업데이트: 소프트웨어 변경 시 SBOM을 업데이트하여 최신 상태를 유지합니다.
2. 보안 점검
    * 정기 점검: SBOM을 활용하여 정기적으로 소프트웨어의 보안 취약점을 점검합니다.
    * 취약점 대응: 발견된 보안 취약점에 대해 즉각적인 조치를 취합니다.
3. 자동화 도구 사용
    * 도구 도입: SBOM 생성 및 관리를 자동화할 수 있는 도구를 도입합니다.
    * 자동화 설정: 자동화 도구의 설정을 최적화하여 효율성을 높입니다.

3. 공급업체 보안 관리

1. 평가 기준 수립
    * 기준 정의: 공급업체의 보안 수준을 평가하기 위한 명확한 기준을 설정합니다.
    * 문서화: 평가 기준을 문서화하여 공급업체와 공유합니다.
2. 정기 평가
    * 평가 실시: 정기적으로 공급업체의 보안 상태를 평가합니다.
    * 결과 분석: 평가 결과를 분석하고 개선이 필요한 부분을 식별합니다.
3. 계약서 보안 조항
    * 보안 요구사항 포함: 공급업체와의 계약서에 보안 요구사항을 명시합니다.
    * 준수 확인: 계약 이행 과정에서 보안 요구사항의 준수 여부를 확인합니다.

4. 정보 공유 및 협력

1. 정보 공유 체계 구축
    * 내부 체계 마련: 내부적으로 보안 정보를 공유할 수 있는 체계를 마련합니다.
    * 정보 보호: 공유되는 정보의 기밀성을 유지하기 위한 보호 조치를 실시합니다.
2. 외부 협력 강화
    * 협력 관계 구축: 정부, 산업 협회, 관련 기관과 협력 관계를 구축합니다.
    * 정보 교류: 최신 보안 정보를 주기적으로 교류합니다.
3. 신뢰 기반 정보 공유
    * 신뢰 구축: 공급망 참여자 간 신뢰를 구축하여 안전하게 정보를 공유할 수 있도록 합니다.

5. 보안 사고 대응 계획

1. 사고 대응 팀 구성
    * 팀 구성: 보안 사고 발생 시 즉각 대응할 수 있는 팀을 구성합니다.
    * 역할 분담: 팀 내 각자의 역할을 명확히 분담합니다.
2. 대응 절차 수립
    * 절차 정의: 사고 발생 시 따라야 할 대응 절차를 명확히 정의합니다.
    * 절차 교육: 관련자에게 대응 절차를 교육하고 숙지시킵니다.
3. 모의 훈련
    * 훈련 계획 수립: 정기적으로 보안 사고 대응 모의 훈련을 계획합니다.
    * 훈련 실시: 모의 훈련을 실시하여 대응 능력을 점검하고 개선합니다.

6. 지속적인 개선

1. 정기 평가
    * 평가 계획 수립: 보안 관리 체계를 정기적으로 평가하기 위한 계획을 수립합니다.
    * 실시: 계획에 따라 정기 평가를 실시하고 결과를 분석합니다.
2. 피드백 수집
    * 피드백 요청: 내부 및 외부 이해관계자로부터 피드백을 수집합니다.
    * 반영: 수집된 피드백을 반영하여 보안 관리 체계를 개선합니다.
3. 최신 동향 반영
    * 동향 파악: 최신 보안 위협과 기술 동향을 지속적으로 파악합니다.
    * 업데이트: 파악한 동향을 보안 관리 체계에 반영하여 업데이트합니다.

이상으로 SW 공급망보안 가이드라인 1.0의 주요 내용을 해설했습니다.

기업들은 이 가이드라인을 기반으로 자사의 공급망 보안을 강화하고,

안정적인 운영 환경을 유지하기 위해 노력해야 합니다.

지속적인 보안 관리와 개선을 통해 잠재적 위협에 대비하고, 안정적인 공급망을 구축할 수 있습니다​.

궁금하신 사항은 댓글에 남겨주세요

댓글에 남겨주신 내용은

추후 정리해서 올려드리겠습니다

구독 신청하시면 업로드 시 알려드릴게요!

-

조금이라도 도움이 되셨다면

공감&댓글 부탁드리겠습니다

감사합니다!