내 맘대로 보는 세상

아래 기사를 읽어보면 이 바이러스에 감염된 후에는 시스템 시간이 2090년 1월 1일로 수정되며, 제대로 컴퓨터 사용이 불가능할 정도로 시스템을 망가뜨린다는 듯…

http://www.idg.co.kr/news...ommonView.do?newsId=53573

포멧을 해도 다시 바이러스에 감염되는 증상을 보였다고 한다.

그런데 우선 첫째, 하드를 깨끗이 비우고, 윈도우를 다시 설치한 뒤 아무 것도 안했는데 다시 바이러스에 감염된다는 상황을 이해할 수 없다.

저런 상황을 만들어 내려면 바이러스가

1. 컴퓨터를 키면 감염된 바이오스가 네트워크를 통한 부팅을 통해 하드에 있는 윈도우에 바이러스를 감염시킨다.
2. 컴퓨터를 키면 감염된 바이오스가 무조건 하드디스크에 있는 윈도우에 바이러스를 감염시킨다.

위와 같은 식으로 동작해야만 할 것 같은데, 바이오스용 롬에 저렇게 복잡한 코드가 들어갈만큼 여유가 있는지는 모르겠다. 그리고 그런 공간이 있다고 해도 바이오스의 종류에 상관없이 문제 없이 돌아가는 코드를 삽입하는 것이 가능한 건지 의문이 생긴다.

만약 위의 경우가 아니라면 아래와 같은 상황일 것으로 보이는데…

3. 같은 네트워크에 있는 다른 감염된 PC가 새로 설치된 윈도우의 보안 허점을 이용해서 바이러스를 감염시킨다.

이 상황이라면 미리 서비스팩이라거나 보안 업데이트를 받아놓고, 네트워크에서 언플러그된 상태로 윈도우를 재설치한 후 미리 받아놓은 보안 업데이트를 적용하기 전에는 네트워크에 물려선 안될 것으로 보인다.

뭐 절대 아니라곤 생각하지만 만약 1번이나 2번 같은 경우, 시스템에 윈도우가 아닌 리눅스가 깔려있다면 과연 무슨 일이 벌어질까? ;)

혼자 열심히 상상의 나래를 펼치다 엠파스 뉴스를 보게 되었는데, 이 뉴스에 따르면 2090 바이러스도 autorun.inf를 이용해서 전파되는 특성을 가지고 있다고 한다.

http://news.empas.com/iss...p_ch/6681/20090210n22288/

autorun을 이용해 전파되는 바이러스를 막기 위해 모든 usb 메모리들이 쓰기 보호된 (내용은 비어있는) autorun.inf를 담고 팔린다면 이런 문제를 피해갈 수 있을텐데… ‘USB 메모리에 빈 autorun.inf를 쓰기 보호된 파일로 담아두세요!’ 정도의 계몽 캠페인이라도 하나 벌여야겠다.

autorun을 이용해서 전파되는 바이러스를 처음 봤을 때 참 기발하다는 생각을 했다. 그만큼 강한 전파력을 자랑하기도 했고, 하지만 한편으로는 남에게 피해를 끼치기 위한 방법을 발견해내는데 자신이 가진 재능을 낭비하는 사람들이 안타깝기도 했다.

저러다가 자기가 만든 바이러스에 당해봐야 정신 차릴텐데…

오랫만에 일찍 학교에 나온 김에 아침부터 서핑을 즐기다가, 제가 아침에 공개한 글과 관련된 좋은 내용의 글을 발견해서 살짜쿵 번역을 해봤습니다. ‘국내 CA 시스템 = 공인인증 시스템’ 이라고 이해하시면 되겠습니다. 약간의 의역이 있고, 오역도 있을 수 있습니다. -_-a

읽다보면 참 부끄러운 부분이 많아요.

원문: http://web.archive.org/we...ean-home-brew-on-the-web/

–
Vladimir씨는 SEED에 관련된 기술적인 문제를 얘기하기 위해 한국의 인터넷 뱅킹을 이용해본 경험을 이야기 했습니다. 그가 한국 사이트에서 겪었던 문제들 덕분에 그 문제에 대해 기술적인 부분을 설명할 기회가 왔네요. (이 글을 읽기 전에 Vladimir씨가 쓴 “It’s gone to SEED”를 먼저 읽으시기 바랍니다.)

1997년에 SEED가 처음 나왔을 당시엔 암호화를 위해선 ActiveX나 NSPlugin(브라우져 전쟁 이후에 사라졌음)를 이용할 수 밖엔 없었습니다. 이 플러그인들은 국내 전용의 CA들로부터 개인 인증서를 발행하고, 관리하는 역할과 돈을 보낼 때 계좌번호 같은 “중요한 텍스트” 들에 “전자 서명을 더하는” 역할을 담당했습니다. INISafeWeb 또한 이런 플러그인들 중 하나입니다. (한국에는 금융/전자상거래 및 전자 정부 사용 등의 서비스를 위한 국내 전용 CA들이 8개 정도 있습니다. 이런 서비스를 이용하기 위해서는 같은 기능을 하는 ActiveX를 최소 3개 이상 설치해야만 합니다. 참 웃긴 일이죠.)

Read the rest of this entry »

컴퓨터 공학을 전공하다보면 실습을 해야할 일이 잦은데, 무료로 나와있는 편리한 개발툴이 많지 않다보니 불법 소프트웨어를 사용하는 일이 잦은 형편입니다. 아무래도 Visual Studio 등의 비싼 가격도 이런 현실에 한 몫해온 것이 사실이죠.

물론 Visual Studio Express Edition 이란 이름으로 MFC 등이 빠진 버젼을 학생들에게 무료 배포하곤 했지만, OpenGL 이라거나 MFC 등을 실습해야 하는 경우에는 이것으로 커버하기가 쉽지 않았던 것이 사실입니다.

하지만 대학생들에 한해서는 더 이상 불법 소프트웨어로 실습할 필요가 없어졌습니다.. Microsoft 에서 개발 툴들을 대학생들에 한해 무료 배포하기 시작했거든요.

http://www.microsoft.com/...sdn/dreamspark/index.aspx

위 URL 을 참고해보시면 알겠지만, Visual Studio 2005/2008 Professional Edition 에 국한되는 것이 아니라 Expression Studio 라거나 Windows Server 2008 Standard Edition, SQL Server 2008 Developer/Express Edition 까지 포함하고 있습니다. 용도에는 맞지는 않더라도 Windows Server 2008 를 사용하면 OS 마저 무료로 사용할 수 있겠습니다.

물론 우분투에서 gcc 와 eclipse, mysql 등을 사용하는 것도 좋은 선택일 수 있겠지만, 라이센스나 추가 비용을 걱정하지 않고 실습 할 수 있는 또 하나의 적법한 환경이 생겼다는 점은 상당히 고무적이네요.

요 며칠동안 현재 인터넷 뱅킹과 관련된 이슈들을 정리해서 하나의 포스트를 작성하고 있다.

현재 문제점은 보안 채널을 제공하는데 INISafeWeb/XecureWeb 등의 activeX[1] 를 사용한다는 것과 공인인증서(비밀키)를 이용한 서명을 activeX 로만 구현해 놓았다는 것이 아닐까 싶다.

https 를 통해 128bit secure channel 을 구성할 경우 지저분한 프로그램이 깔릴 필요가 없고, 현재 사용 중인 대부분의 브라우져에서 웹페이지를 안전하게 접근하는 것이 가능해진다. 또한 보안채널을 이용할 때와 이용하지 않을 때 모두 동일한 방법을 통해 웹페이지를 코딩하는 것이 가능하기 때문에 웹 개발자/코더 입장에서도 훨씬 편하게 작업할 수 있을 것이다. 게다가 비싼 플러그인도 라이센스할 필요가 없으므로 원가 절감 효과까지 누릴 수 있다.

공인인증서를 이용한 서명의 경우의 경우는 여전히 activeX/plugin 인터페이스가 필요하겠지만 ‘공인인증서를 사용한 전자서명 인터페이스(api)’ 를 표준화 하게 되면, 공인인증서를 사용하는 사이트들을 이용하게 되더라도 각각에 대해 다른 플러그인을 설치할 필요가 없기 때문에 사용자 입장에서 더욱 편리하게 이용할 수 있을 것이다. 또한 플러그인이 할 일은 대폭 줄어들어 비밀키를 읽어 전자서명 하는 용도 정도로만 사용될 뿐이므로 구현 또한 쉬워질 것이라고 생각된다.

SEED 등 전자 서명에 필요한 모든 알고리즘은 openSSL 에 이미 구현되어 있고, 이를 이용하면 UI 정도의 작업만이 필요하게 된다. API 가 표준화 되고, 구현체가 opensource 로도 나오게 되면 멀티 플랫폼을 지원하는 건 시간 문제일 뿐이다.

개발자의 생산성을 비약적으로 향상시킬 방안이 있어도, 그 기술을 쓰는 개발자의 단가가 비싸다는 이유로 기각되곤 한다. 이는 혁신의 상실일뿐더러 기회의 상실이다. ‘보이지 않는 손’의 위업이라 해버리면 그만이지만, 정책이란 이러한 상실을 지키기 위한 것 아니었던가.

from: zdnet – 대한민국 개발자의 우울, 자기 책임론에서 구조 개혁론으로

http://www.zdnet.co.kr/it...,39030292,39161841,00.htm

공인인증서를 이용하기 위한 API 표준화, 그리고 보안 채널을 제공하기 위한 방법으로 https 를 이용하도록 마이그레이션 하는 것 이 두 가지 모두 생산성을 비약적으로 향상시킬 수 있는 방법이고, 더불어 최소한의 비용으로 드라마틱한 접근성 향상을 가져올 수 있는 방법이 될 것이다.

언제까지 이런 ‘혁신의 상실’ 을 반복하고만 있을 것인지 이를 보고 있는 난 너무나 답답하다.

[1] activeX 는 Microsoft Internet Explorer 를 확장시키기 위한 기술로 특정 프로그램을 설치한 뒤 jscript 를 통해 그 프로그램을 조작할 수 있는 방법을 제공하게 된다. 단 Microsoft Windows 에서만 사용이 가능하다.