|
:: 게시판
:: 이전 게시판
|
- 자유 주제로 사용할 수 있는 게시판입니다.
- 토론 게시판의 용도를 겸합니다.
통합규정 1.3 이용안내 인용"Pgr은 '명문화된 삭제규정'이 반드시 필요하지 않은 분을 환영합니다.법 없이도 사는 사람, 남에게 상처를 주지 않으면서 같이 이야기 나눌 수 있는 분이면 좋겠습니다."
12/09/20 22:51
친구가 대기업 OO전자 웹표준화 연구팀에 있는데요.
왜 액티브X에만 목숨거냐고 하니, 그게 개발자들 입장에서 편하다고 하네요. -_-;
12/09/20 22:52
아 그리고 공인인증서 관련하여
두가지 웹툰 링크 남기고 갑니다. http://minix.tistory.com/403 http://minix.tistory.com/404 연속되는 연재입니다. 크크 403부터 보시면 됩니다.
12/09/21 00:59
링크는 무척 감사하나 전 이 만화 굉장히 불쾌하더라구요.
프로그래밍을 논하는데 엔지니어가 전문분야 공부를 통해 본질을 파악한 변호사를 절대 이길 수 없다는 둥, 프로그래머는 오류를 컴파일러에 의존하지만 변호사는 코드 한줄한줄 검사한다는 둥, 당신들은 과연! SSL과 공인인증서 체계가 매우 유사하다는 걸 알고 있었냐는 둥(이 대목은 자못 비장하기까지 합니다), 엔지니어의 수준이 변호사가 좀 시간내서 공부한 것보다 못하다며 비하하고 있습니다. 그러면서 엔지니어들의 반론은 한심하다는 듯 한 컷에 꾸겨넣고 폄하시켜 버리죠. 거기 한 컷에 싸잡아서 들어간 엔지니어 중에 "백신 없이 돈거래 한번 해보고 잔소리 해"라는 대사가 있는데요, 제가 하고 싶은 말도 바로 이겁니다. 백신없이 은행거래하는 것이 얼마나 위험한 일인지는 왜 깡그리 무시하는 걸까요? 이에 대해 김기창 교수님은 다음과 같이 발언하셨습니다. "은행사이트에서만 작동하는 안철수연구소 백신도 불편만 초래할 뿐 사실 필요가 없는 것이다." 어머 패기 보소. 거기에 표준보안방식의 사고는 국제적인 뉴스가 될 정도로 극히 드물게 일어난다는 대목에서는 아주 머리가 팽팽 도네요. 미국이 인터넷뱅킹 사고 때문에 지불하는 비용이 얼만지는 알고 쓰신 걸까요? 이해하기 쉽다고 해서 진실은 아니니까요, 내용을 선별해서 받아들여야 할 만화라고 생각합니다.
12/09/20 22:56
아 그리고 앞으로는 한국어를 사용하는 비 한국인 사용자가 점점늘어날텐데 그 사람들에게 특정 브라우저만을 고집하고 보안에 취약한 액티브X를 고집하는 국내 사이트들이 과연 무슨 매력이 있을지 의문입니다.
12/09/20 23:00
이유는 간단합니다. 쉽고 싸게 개발할 수 있거든요.
게다가 지금 Active-X로 구동되는 것들을 다른 것으로 대체하려고 하면 그만큼 또 돈이 듭니다. 실제 이런 돈이 들어가는 것들에 대한 의사결정을 하는 윗분들 중 상당수는 멀쩡하게 잘 돌아가는 걸 왜 돈을 들여가면서 고치려고 하느냐고 생각하실 겁니다. 상황이 이러하니 Active-X에서 탈출하는게 쉽지만은 않습니다.
12/09/20 23:05
법이 바뀌어야 한다고 생각합니다.
미국 같은 곳에서 이러한 유출이 일어난다면, 회사 하나가 휘청일 정도로 벌금을 물어야 겠지요. 보안 유지 비용 < 보안이 뚫렸을 때의 리스크 비용 이래야, 기업들이 적극적으로 보안에 힘쓸거라 생각합니다.
12/09/20 23:12
공인인증서 + OTP 방식은 사용자로 하여금 무엇이 어떻게 되는지 이해하기 쉽다는 측면이 있습니다.
인증서 방식이 아니라면, 개인이 자신의 외우고 있는 암호를 사용하는 것인 셈인가요? 만화에 나오는 브라우저/OS 저장의 개념도 잘 이해가 되지 않는데, 브라우저나 OS에 '저장'된다는 것은 특정 기기(데스크탑/노트북)의 로컬에 저장된다는 뜻인가요? 그렇다면, 여러 기기에서 접속할 수 없는 것인지.. 음 아무튼 인증서 방식이 아닌 방식에서 과연 사용자는 어떻게 사용방식이 달라지는지, 그리고 그것에 대해 사용자들이 어떻게 느끼게 될 지를 알려줘야 한다고 생각합니다. 저 만화는 옳은 말을 하고 있다고는 생각이 드는데, 전형적인 엔지니어 방식의 대화법 같아요.
12/09/20 23:34
웹툰에서 제시하고 있는 방향은 표준화된 보안방법을 선택하라는 말입니다.
지금 사용되고 있는 공인인증서 방식은 접속한 사이트에서 특정 프로그램을 다운받아 그 프로그램이 작동되서 보안을 지키는 체계로 운영되고 있는데 문제점이 1. IE이외의 브라우저에서 작동하지 않습니다. 최신 IE도 표준화된 방식을 체택하면서 액티브X와 작별을 고하고 있는데 이용자에게 크롬, 오페라, 파이어폭스 등 타 브라우저를 선택할수있는 권리를 제한합니다. 2. 불편합니다. 표준화된 보안방식을 체택하지 않아 사이트별로 자신의 액티브X 프로그램을 다운받으라 합니다. 부모님들이 사용하시는 PC에서 액티브X가 떡이되도록 깔려있어서 성능저하의 원인이 된것을 경험하신적이 있으실겁니다. 표준화된 보안체계에서는 아무것도 다운받으라 하지 않습니다. LOL이나 스타2 시청할때 생각해본다면 아프리카나 온게임넷에서는 프로그램을 필수적으로 다운받으라 하고, IE이외에서는 작동하지도 않습니다. 트위치TV나, Own3D, Ustream같은 스트리밍 사이트에서는 어떤것도 다운받으라 하지 않습니다. 당연히 브라우저의 제한도 없습니다. 과연 유저에게 어느쪽이 매력적인 사이트 일까요? 3. 보안에 취약합니다. 표준화된 보안체계는 항시 공격정보를 공유하기 때문에 안정성이 뛰어납니다. 물론 액티브X도 장점이 있습니다. 상대적으로 보안이 취약한 개인사용자에게 보안프로그램을 설치 (은행업무 이용시 nProtect 프로그램이 설치 실행되는 경험 하신적이 있을겁니다.) 어쩔수 없다는 쪽으로 항변하기도 합니다 허나, 반대로 말하자면 액티브X를 설치를 강제하는 사이트가 해킹당해 백도어 프로그램이 심어진다면 이용하는 모든 사용자를 위험해 빠뜨립니다. 그러면 표준보안체계는 안전하냐? 이용자에게 프로그램 깔아라 설치하라 지시하지 않습니다. 개인의 보안은 개인이 책임지도록 되어있습니다 다만, 적어도 사이트를 통한 해킹은 안전하다고 보장하고 있습니다. 이용자들은 일괄적으로 깔리는 액티브X 대신 웹서핑이나 게임을 즐기는 이용자라면 낮은 보안수준을, 업무나 인터넷뱅킹등의 사무를 본다면 높은 보안수준을 각자가 설정해서 이용할수 있습니다. 그리고 이쪽이 상대족으로 더 안전하다고 알려져 있습니다. 쾌적하지도 안전하지도 않고 국제표준도 아닌 체계를 단지 과거부터 사용하고 있었다고, 그래서 쓰라고 한다면 이제는 바꿔야 할때가 아닐까요
12/09/21 00:02
이 논쟁에서는 "개인의 보안은 개인이 책임지도록 되어있습니다."가 반론의 핵심입니다.
백신 프로그램을 깔고, 수시로 업데이트하며, 매주 검사해야 한다는 것을 인터넷뱅킹을 사용할 모든 사용자가 숙지하도록 할 수 있겠습니까? 지금은 시골의 할머니도 인터넷뱅킹을 통해 돈을 부쳐주시는 시대입니다. 단순 키로깅에 걸려서 통장의 모든 돈이 사라져 버린 할머니에게 그것은 컴퓨터를 제대로 관리하지 못한 할머니의 책임이라고 납득시킬 수 있을까요?
12/09/21 00:11
은행권의 암호체계를 어떻게 하고 있는지 잘 몰라서 대화에 끼어들기 힘든감이 있네요..
음.. 개인의 보안은 지금도 개인이 책임지고 있지 않나요? 보안카드를 이용해서요. 서버 해킹이 되었을 시, 액티브X 보다 HTML5 가 안전하다는건 어떤 이유에서 인지는 잘 모르겠습니다만, 일단 서버가 해킹 당하면 모두 위험하다고 보는게 맞겠죠? 1. 제 생각엔 싸이트별로 , 버전별로 온갖 activex 를 설치해야 하는 불편함 2. activex-IE-MS 는 강력한 연결고리로 연결되어 있습니다. 따라서 MS 가 차기, 차차기 버전의 IE 에서 activeX 를 배제할 경우 공인인증서를 쓰는 국민들은 activex 가 존재하는 IE 만을 사용해야 하는가? 하는 이슈가 있습니다. 제 생각엔 2번의 문제가 가장 큰것 같은데.. 아닌가요? 보안 이슈야, 이미 구현된 알고리즘을 가져다가 쓰는 건데 그게 activex 던, html5 던 어느게 우월하다 논하는건 큰 의미는 없을것 같은데.. 잘 아시는분이 알기쉽게 설명좀 부탁드립니다. 크크.. 사실 비IT 인들도 언급할정도로 activex 자체에 보안 결함이 있다면 이미 해킹 대란이 열댓번은 일어나고도 일어났어야 할것 같은데요.. 그런일이 없다는걸 보면 activex 를 이용한 보안기술 자체에는 critical 한 헛점이 없다고 봐도 되는거 아닌가요?; 위에서 말했듯이, 서버해킹을 당하면 activex 건 html5 건 html100 건 가릴거 없이 다 위험한거구요..
12/09/21 00:13
일단, activex 를 이용하지 않고 있는 스마트폰 뱅킹서비스를 보면 딱히 activex 를 사용하지 않아도 안정적인 구현이 가능하긴 하다는걸 보면
굳이 IE 에 종속적인 activex 를 사용하지 않아도 될것 같은데요.. 근데 activex 전용으로 인터넷뱅킹을 하려면.. 사실 그냥 윈도우 어플리케이션으로 각 은행별로 만들었어도 될것 같은데 왜 굳이 웹 어플리케이션으로 가는지도 잘 모르겠네요..
12/09/21 00:13
미국 연방예금보험공사에 의하면 2009년 3/4분기, 겨우 3개월간 인터넷뱅킹 사고 금액이 1억 2000만 달러입니다.
영국은 2009년 상반기에 6200만 달러네요. 금융감독원 발표에 따르면 우리나라는 2010년 상반기, 6개월간 4700만원입니다. 2010년에는 미국이 인터넷뱅킹 사고로 10억 달러, 약 1조원 가량의 손실이 예상된다는 기사도 있군요. http://www.darkreading.com/security/news/227200174 전 이것이 백신 강제설치가 가져오는 명백한 차이라고 생각합니다. 과연 해외의 방식이 옳은 것일까요?
12/09/21 00:20
공대생 입장에서 보자면 액티브 X떡칠된 IE브라우저 상황도 뭣같긴 하지만...
만약 해킹피해 났을때 지금까지는 99.999999999% 기업의 보안관리 문제였지만 앞으로 표준보안과 알아서 보안하라는 방식으로 해서 해킹피해 걸렸을때... 앞으로는 컴퓨터 관리 안하는 너님의 잘못임 우린 책임없음으로.... 나오게 된다면 한국의 소비자들은 과연 아 내 책임이구나 앞으로는 컴퓨터 보안의 신경을 써야지..........라고 생각을 할지.. 당연히 그런 거래처에서 해줘야 하는 보안인데 왜 내책임으로 미루고 드냐? 책임회피 아냐? 이런 비도덕적인 기업이 따로 있나 라고 생각할지............ 우리가 IT 강국이라고 해서 한국사람들 다들 컴퓨터 잘하는줄로 알고있는데. 상상의외로 컴퓨터에 대해 무지한 사람이 엄청나게 많으신데 이런걸 위해 모르는사람 강제로 붙잡고 IT교육을 시킬수는 없는 마당인데...
12/09/21 10:13
항즐이님께 답변 드립니다.
국내에서 사용중인 공인인증서는 국제표준으로 적용되는 최상위 인증기관의 인증이 아닌 국내독자적인 표준으로 만들어진 인증서입니다. 기형적인 인증서라고 볼 수 있습니다. 거기다 ActiveX의 IE에서만(물론 최근은 강제적 외부 플러그인을 통한 Chrome등에서도) 이용가능 했었습니다. 지금의 돈관련된 것들에서 ActiveX를 사용중일때 불편하거나 위험한 요소로 보이는 몇가지를 들어보면 1. 과연 내가 은행주소를 치고 들어갔을때 이게 정말 은행주소가 맞는지, hosts가 해킹되어 엄한데로 갔다거나 DNS가 해킹되어 해커가 만든 Fake사이트에 접속해서 속고 있는것은 아닐지에 대한 인증이 되질 않습니다. 대부분 그런 일이 잘 일어나지 않아서 크게 다뤄지지 않는 수준입니다. 2. 은행권은 법령으로 지정되어 강제적으로 보안 프로그램을 설치하도록 사이트를 구축했습니다. 덕분에 사용자는 선택에 따른 설치가 아닌 강제적으로 설치를 해야만 인터넷뱅킹을 이용 가능합니다. 혹은 카드결제 역시 마찬가지입니다. 문제는 이게 한 사업자가 아니라 여러 사업자들이 하는 방식이기때문에 여러개의 은행 혹은 기관을 사용할경우 의도치 않은 프로그램(플러그인)이 너무나 설치됩니다. 그리고 그들간에도 서로 충돌이 일어나거나 시스템 성능을 저하 시키는 일을 자주 발생시킵니다. - 국민은행은 최근 nProtect설치를 거부할경우 사용자에게 물어보고 동의하면 설치를 안해주고 있긴 합니다. 3. 은행은 이 대신에 모든 금융사고에 있어 책임을 사용자에게 전가시킵니다. 국제표준방식으로 변경을 하게 될 경우 흐름은 이렇게 됩니다. 김기창교수님의 openweb에 가시면 공인인증서 데모 테스트를 하실 수 있습니다. https://openweb.or.kr/html5/ 1. ActiveX가 없이도 html5를 통해 인증서를 발급받는것이 가능합니다. 마찬가지로 지금의 모회사의 인증서모듈이 아니어도 인증서를 사용할 수가 있습니다. (뱅킹데모는 안되네요 예전에는 됐는데) 2. 백신의 경우는 기존과 같이 외부 플러그인을 통해 사용하도록 하는것은 가능합니다. 단 시스템에 금융기관이 인정한 백신이 설치되어있는것으로 판단되면 별도의 설치를 하지 않는 방향으로 진행합니다. 백신이 설치되어있다는 전제라면 키로거 방지 프로그램등도 설치를 안할 수 있도록 하되, 고급사용자는 설치를 안할 수 있도록 동의를 구하는 방식으로 구현해야 합니다. 3. 기존과 같이 보안카드는 필수, 인증서확인도 필수, OTP는 조건에 맞게 사용하도록 진행합니다. 기존의 ActiveX기반 보안모듈을 사용했던 인증서가 html5를 이용한 표준규격 인증서로 바뀌고, 플러그인은 백신의 설치유무를 확인해서 가능한 설치 안하는 방향 혹은 고급 사용자는 별도의 동의를 받더라도 설치를 안하는 방향으로 가지만 기존의 보안대책으로 사용되던 보안카드와 OTP가 추가적으로 된다면 위험한 상황이 딱히 벌어지지 않을거라고 봅니다. 그 과정에서 과연 누가 돈을 벌었을까요, 왜 ActiveX를 버리려고 하지 않을까요... 당장 금융권에서 ActiveX를 버리고 보안모듈을 웹 표준으로 바꾼다고 하면 가장 싫어할 회사와 기관은 어디일까요. 그 와중에 PayGate라는 업체가 웹표준 신용카드 인증업체로 선정되고 이러저러한 법령도 개정될 예정이라고 합니다. http://media.daum.net/economic/finance/newsview?newsid=20120920070606577 답변이 되셨는지 모르겠네요.. ^^;
12/09/21 10:16
사실 금융은 보안사고 책임이 금융업계가 질겁니다(설사 개인이 원인이라도요) 그래서 하는 것도 있지만...
그냥 관심부족인 경우가 많을겁니다 굳이 ActiveX아니고도 다른방법으로 보안프로그램 실행이 가능합니다 근데 윈도8부터는 ActiveX 지원안하는 걸로 아는데 아닌가요?? 맞다면 문제 심각해질수 있을겁니다
12/09/21 10:43
그런 얘기는 들어본적이 없긴 한데...
그게 맞다해도 우리나라가 문제가 심각해지는게 아니라 MS가 심각해지겠죠 윈도8 안쓸테니까...크크크
|
||||||||||
ActiveX 에 종속된 한국의 IT생태계 