포럼 >
재테크포럼
▼▲
>
분류
▼▲
내 비밀번호가 자꾸 털리는 이유 87
북마크
주소복사
공유하기
4파워링크등록안내
(어떻게 내 비번이 뚫릴까 개인적으로 추론을 한거지 제가 직접 경험한 내용이 아님을 미리 밝힙니다 ^^)
여러분이 각 사이트에 회원가입하면 아이디, 비밀번호와 개인정보는 해당사이트가 운영하는 서버내 DB에 저장이 됩니다.
인터넷 초창기엔 비밀번호를 그냥 일반 텍스트로 저장해 관리하는 안전불감증 회사들도 있었는데
요즘에 이런 회사는 거의 없고 대부분의 회사가 비번을 해시함수를 이용해 알아볼수 없는 긴문자열의 해시값으로 DB에 저장하고
사용자가 로그인할때 입력한 값을 해시값으로 변환한후 DB에 저장된 해시값과 일치하는지를 확인해 비번인증을 합니다.
해시값 인증방식의 문제는 해시함수의 역함수는 없지만 로그인 검증과 마찬가지로
비밀번호를 무작위로 정한후 해시값을 구한다음 저장된 해시값과 비교해 일치하면 원래 비밀번호를 알아낼수 있습니다.
컴퓨터에게 비번으로 입력가능한 알파펫,숫자,특수문자 조합의 무작위비번의 해시값 비교작업을 일치할때까지 반복하라고 시키면
아무리 복잡하고 긴 비번도 언젠가는 일치하는 비번을 찾아낼수 있습니다.
랜덤방식이 아닌 사람들이 흔히들 비번을 정하는 패턴을 이용해서 찾으라고 시키면 더욱더 빨리 찾아내겠죠.
요즘엔 하드웨어 성능도 올라가서 비교적 안전하다고 생각되는 긴 길이의 비번마저 24시간내에 모두 다 해독가능하다고 합니다.
뉴스에서 국내 대형포탈, 금융회사, 커뮤니티의 개인정보 유출되었다는 소식을 그동안 참 많이도 들어보셨을겁니다.
이게 개인정보 DB가 털렸다는 말이고, 개인정보는 DB내 한 위치(하나의 테이블)에 이름, 아이디, 비번해시값, 주민번호, 전화번호, 이메일등등 모두다 함께 저장되어 있습니다.
한국인 주민번호는 이제 공공재라는 말 들어보셨죠?
주민번호가 유출되었다는 말은 다른 개인정보도 모두 함께 털렸다는 말입니다.
이렇게 많은 사이트에서 털린 한국인 개인정보가 국내와 중국블랙마켓에 버젓이 올라와 암암리에 빈번하게 거래가 됩니다.
한가지 웃긴건 해커가 사이트 해킹을 통해 털어간것보다 내부자가 유출시킨게 훨씬 더 많다고 합니다. (넥슨 이놈들 왠지 의심되더라더니...)
이렇게 블랙마켓에서 사들인 한국인 개인정보로 위에서 설명한 방식으로 비번을 풀면 (이용자의 80~90%는 쉽게 풀린다고함)
해당사이트는 그냥 뚫린거고, 여러 사이트 DB를 구매할수 있다면
개개인마다 자주사용하는 아이디패턴, 비번패턴으로 개개인마다 유력한 몇몇가지 조합을 생성해낼수 있습니다.
이걸 악성 소프트웨어에 감염된 대규모 좀비PC들과 같은 봇넷을 이용해 원하는 사이트에 최소한의 로그인 시도로 로그인 인증에 성공할수 있고
이렇게 인증에 성공한 아이디/비번 리스트를 따로 추려서 나중에 범행에 이용하면 됩니다.
특수문자조합 11자리 비번썼던 제 구글, 네이버 모두 다 털렸습니다. 중국에서 접속시도했으니 역시나..
이메일
카카오톡
라인
밴드
X(트위터)
페이스북
87
ddart
1
1
|
금전가치가 있는 걸 서비스하는 사이트는 전부 이용자들에게 휴대폰 2차인증을 사용을 선택할수 있게 해야 사이트나 회사책임이 면제되겠죠.
현재 문제되는 지마켓 상품권 도용은 2차인증서비스를 제공안하는 등 보안관리를 허술하게 했으니 전적으로 지마켓 책임같습니다. 책임질려고 할것같진 않지만. |
흑염
0
1
|
잡넘들이 어디 한군대 적접 DB 털거나 구매한 아이디/비번 정보로 규모점 되는 사이트나 게임회사 등에 하루종일 로그인 시도 합니다
그렇게 추려진 접속되는 계정들은 직접 털어 먹는등 악용 or 재판매... 로그인 서버등에 부하걸릴 정도거나 그들이 발생시키는 트레픽이 일부 도움되는 측면이 있으면 알고도 안막는 회사점 됩니다 orz |
ddart
1
1
|
인터넷 초창기라면 모를까 요즘은 대형사이트에선 몇차례이상 로그인시도하면 대부분 기본적으로 접속 차단됩니다.
직접적인 무작위 대입은 불가능함. 개인정보가 공공재이고 위와같은 다 알려진 로그인도용문제가 하루이틀일이 아닌데 2차인증기능을 제공안하는 사이트들에서 금전도용사고나면 이제는 안전불감증에 걸린 회사책임인것 같습니다.
|
넷꾼
0
2
|
생각하신게 아니고
말씀하신 건 현실인데요...
한가지 다른점은, 일단 말씀하신 내용은 서버의 계정하나를 뚫어서 암호파일(암호를 암호화한후 결과저장된 파일)을 얻어야만 가능한 얘기에요. 우리가 로그인하는것처럼 웹 접속해서 암호가 맞는지 확인하면 시간이 오래걸려서 못해요. 웹서버에서 몇번 틀리면 연결끊기도 하구요. 그래서 이 암호가 맞는지 틀리는지 확인을 해야하는데 계정하나는 뚫어야만 하죠. 직접 그 암호파일(해시거친 파일)을 이용해 계산 연산해서 해시값이 같은지 보는거죠.
|
ddart
2
1
| 위 글내용은 모든 사용자의 비번해시값이 저장된 개인정보 DB자체가 누출되어 범죄자손에 들어간다는 내용입니다. DB에 저장된 해시값을 들여다보고 손쉽게 이용자 비번을 해독한다는 내용이구요. ^^ |
ddart
1
0
|
@Daνe 길이가 길어질수록 기하급수적으로 시간이 오래걸리는건 맞는데 비번을 아주 길게쓰는 사람은 드물고 10자리 이내비번은 그리 오래걸리지 않더군요. 전체 사용자의 80~90% 는 털수 있다네요. |
앨시에더리
0
0
|
@무늘여시오 일단 DB가 털리고 DB내에 있는 해시값을 획득했다는 가정하에 하는 말인듯 합니다. 그럼 맘껏 넣어볼 수 있죠. 애초에 사이트에서 로그인으로 비교해 보는건 말이 안되구요. |
