Part 6. 민감 데이터 노출

#17 Base 64 인코딩/복호화

* 민감데이터 노출

-C/S 통신시 암호화 프로토콜을 사용하여 중요한 정보를 보호한다.

-사용자의 민감한 정보를 입력하게 되면, 암호화 후에 저장한다.

=> 전송하는 정보를 탈취하여 민감한 정보를 파악할 수 있게 되므로, 민감한 정보를 전송할 때에는 암호화 프로토콜을 사용하지 않는다.

 

-base 64 decode/incode

base 64 인코딩: 8bit 데이터를 64진수 문자set으로 변환하고, =으로 인코딩의 끝을 알림.

값과 문자를 대치하는 방식으로, 꽤 예전에 사용하던 방식이다.

디코딩: decoder 사이트를 이용하여 복호화 할 수 있다.

 

-HTML web storage: 민감한 정보는 local이나 쿠키에 저장해선 안된다. 쉽게 노출이 될수 있다.=> 안풀리는 암호화를 통해 탈취를 막아야 한다.

 

 

 

#18. HTTP 내 평문 데이터/ Heartbleed 취약

1. ARP 스푸핑: 근거리 통신망 하에서 주소 결정 프로토콜 메시지를 이용하여 상대방의 데이터 패킷을 중간에 가로채는 중간자 공격 기법이다.=> 최근까지 대중적으로 발생한 취약점.

요즘은 거의 모든 사이트에서 클라이언트와 서버 사이에서 비밀번호 등의 민감한 데이터를 주고받을 때 반드시 암호화를 하게 된다.

-> ettercap을 이용해 패스워드와 아이디를 탈취해보는 실습을 해보았다.(보안 레벨이 높아지면 정보가 암호화되어진다.) : ex) ssl strip 공격

 

2. Heartbleed

: Openssl의 소프트웨어 버그이다.

Openssl에서는 하트 비트라는 세션 연결을 확인하는 방법을 이용하는데, 하트비트를 통해 로그인이 꾸준히 유지가 되는 것이지만 이를 확인하기 위한 값의 사이즈를 검증하지 않아 버퍼 오버플로우가 발생하게 된다.

 

EX) malicious usage of heartbeat-> 너무 많은 버퍼의 내용을 보내주게 된다. 이 중에서는 패스워드와 같은 민감한 정보가 포함되어 있을 수가 있다.(최대 64kb)

: 하트블리드를 발생시키는 파이썬 코드가 포함되어 있는 파일이 있다.