[데일리시큐][CISO 조찬] 김승주 교수 “SKT 해킹, 보안 패러다임의 구조적 결함 드러낸 사건…망분리·암호화·데이터 보호 전면 재검토해야”

내용 요약

데일리시큐와 카스퍼스키가 공동 주최한 CISO 조찬세미나에서 고려대학교 김승주 교수는 SKT 해킹 사례를 분석하며, 이번 사고가 단순한 침해사고가 아닌 우리 보안 패러다임의 구조적 결함을 드러낸 사건이라고 지적했습니다. 이는 특히 데이터 처리 방식과 관련된 근본적인 취약성을 시사하며, 평문(Plaintext)과 같은 데이터 보안의 기본 원칙 준수 여부가 중요한 문제로 제기되었음을 알 수 있습니다.

핵심 포인트

• 보안 패러다임의 구조적 결함 지적: SKT 해킹 사건이 단순 침해사고를 넘어선, 우리 보안 시스템 및 접근 방식의 근본적인 문제점을 드러냈다는 점이 강조되었습니다. ️
• 평문(Plaintext) 데이터의 위험성: 본문에서 언급된 '평문'은 데이터 보안의 기본 중의 기본으로, 암호화되지 않은 평문 데이터의 사용은 심각한 보안 취약점을 야기할 수 있음을 강력히 시사합니다.

기술 세부 내용

1️⃣ Plaintext (평문)

• Plaintext는 암호화되지 않은, 즉 누구든지 읽을 수 있는 원본 형태의 데이터를 의미합니다. 이는 메시지, 파일, 비밀번호, 금융 정보 등 모든 종류의 데이터를 포함할 수 있습니다. 예를 들어, 웹사이트에 로그인할 때 입력하는 아이디와 비밀번호가 암호화 과정을 거치지 않고 그대로 전송되거나 저장된다면, 이는 Plaintext 상태로 처리되는 것입니다.
• Plaintext의 위험성:
  • ️‍♂️ 데이터 유출 시 즉각적인 피해: 데이터가 Plaintext 상태로 저장되거나 전송되다가 유출될 경우, 공격자는 추가적인 해독 과정 없이 즉시 내용을 파악할 수 있습니다. 이는 개인 정보 유출, 금융 사기, 기업 기밀 탈취 등 심각한 피해로 직결됩니다.
  • 무단 접근 위험 증가: 시스템에 침투한 공격자가 데이터베이스나 통신 경로에서 Plaintext를 발견하면, 해당 정보를 다른 시스템에 접근하거나 추가적인 공격을 수행하는 데 악용할 수 있습니다.
  • Compliance (규제 준수) 문제: 많은 국가 및 산업별 규제(예: GDPR, HIPAA, PCI DSS 등)는 민감한 데이터의 암호화를 의무화하고 있습니다. Plaintext 사용은 이러한 규정 위반으로 이어져 막대한 벌금이나 법적 제재를 받을 수 있습니다.
• Plaintext를 방지하는 방법:
  • 암호화 (Encryption)의 활용: Plaintext를 Ciphertext (암호문)로 변환하는 가장 기본적인 보안 대책입니다. 데이터는 저장 시(Data at Rest)와 전송 시(Data in Transit) 모두 강력한 암호화 알고리즘(예: AES, RSA 등)을 사용하여 보호되어야 합니다.
    • Data at Rest Encryption: 하드 드라이브, 데이터베이스, 클라우드 스토리지 등에 저장된 데이터를 암호화합니다.
    • Data in Transit Encryption: 네트워크를 통해 전송되는 데이터를 암호화합니다 (예: TLS/SSL 프로토콜을 사용한 HTTPS 통신).
  • 강력한 키 관리: 암호화된 데이터를 해독하는 데 필요한 암호화 키는 철저하게 보호하고 관리되어야 합니다. 키 관리 시스템(KMS)이나 하드웨어 보안 모듈(HSM) 등을 활용하여 키의 생성, 저장, 배포, 폐기를 안전하게 처리해야 합니다.
  • Plaintext 저장 금지: 특히 비밀번호와 같은 민감한 정보는 Plaintext로 저장해서는 안 되며, 단방향 해싱(Hashing)과 솔팅(Salting) 기법을 사용하여 저장해야 합니다. 해싱은 원본 데이터를 복원할 수 없는 고정 길이의 문자열로 변환하는 것이고, 솔팅은 각 비밀번호에 고유한 무작위 값을 추가하여 Rainbow Table 공격을 방지합니다.
  • 보안 프로토콜 사용: FTP 대신 SFTP나 FTPS, HTTP 대신 HTTPS와 같이 암호화 기능을 내장한 보안 프로토콜을 사용하여 데이터 전송의 보안을 강화해야 합니다.

 

출처: https://www.dailysecu.com/news/articleView.html?idxno=168414