XSS이란?위키피디아의 설명에 따르면 다음과 같다.사이트 간 스크립팅, 크로스 사이트 스크립팅(영어: cross-site scripting, XSS)은 웹 애플리케이션에서 많이 나타나는 취약점의하나로 웹사이트 관리자가 아닌 이가 웹 페이지에 악성 스크립트를 삽입할 수 있는 취약점이다 대표적인 XSS 공격은 세 가지가 있다.Reflected XSSStored XSSDOM-based XSS하나씩 알아보도록 하자.1. Reflected XSS Reflected XSS(반사형 XSS)는 공격자가 만든 악성 스크립트가 웹 서버를 통해 반사되어 사용자의 브라우저에서 실행되는 취약점이다. 주로 피해자가 악성 링크를 클릭할 때 발생하며, 즉각적인 영향을 미친다. 시나리오를 통해 알아보자. 검색 페이지 ..

키 배송 문제 지금까지 블록 암호인 DES와 AES를 알아보았다. 이들은 대칭 암호이며 암호화, 복호화 시 같은 키를 사용한다. 그래서 이 키를 비밀 키, 대칭 키, 관용 키 등으로 부른다. 그런데 두 사람이 데이터를 주고 받아야 할 때 이 키를 공유하는 방법은 어떤 것을 사용해야 할까? 바로 옆에 있다면 그냥 말로 할 수도 있고 또는 USB에 담아서 줄 수도 있다. 하지만 멀리 떨어져 있는 상황이라면? 이 문제를 어떻게 해결해야 하는가? 1. 키의 사전 공유 키를 사전에 공유하는 방법이다. 직접 전해주기가 이 방법이다. 2. 키 배포 센터 키를 전문 센터의 데이터베이스에서 관리하며 통신 시에 세션 키를 사용하는 방법이다. 3. Diffie-Hellman 키 교환 송신과 수신 사이에 먼저 특정한 정보를 ..

1. 등장 배경 DES가 깨지면서 DES를 대체할 암호 알고리즘이 필요해짐 NIST에서는 암호 알고리즘 프로젝트를 전 세계에 공표함. 128비트의 블럭 128비트, 192비트, 256비트의 키 길이를 준수할 것 벨기에 연구자 Joan Daemen과 Vincent Rijmen이 설계한 블록 암호 Rijndael이 채택됨 선정 기준 안전성: 128비트 키에 대한 안정성 요구 비용: 하드웨어, 소프트웨어 등을 고려한 구현 환경 ⇒ 계산 효율성, 저장 공간 등의 해결 구현: 유연성과 단순성 ⇒ 어느 플랫폼 상에서도 구현되어야 함 2. 라운드 구조 AES는 128비트 평문을 128비트 암호문으로 출력한다. non-Feistel 구조 DES처럼 L과 R을 분리하고 R은 따로 P-Box, S-Box, E-Box 연산..

평문을 암호문으로 바꾸기 위해 암호 알고리즘이 적용된다. 암호 알고리즘은 암호화 과정과 복호화 과정을 위해 어떤 키를 사용하는지에 따라 여러 방법들이 제안되고 있다. 중요사항 암호화 키와 복호화 키가 같은 경우와 다른 경우 DES를 적용한 암호화 과정 - P box, S box, E box DES의 한계를 극복하기 위한 방법들 블록 암호 일정한 크기의 블록 단위로 처리하는 암호 알고리즘을 블록 암호라고 한다. 대표적으로 DES가 있다. DES는 평문을 64비트 블록으로 나누고 각각을 암호화한다. 1. DES(Data Encryption Standard)의 등장 배경 IBM 사에 의해 Lucifer 암호로 시작했고 이후 FIPS와 NAS에서 인정받았다. 당시의 키 길이는 128비트였는데 너무 길다고 판단되..

1. 현대 암호의 방식 블록 암호 특정 비트 수의 블록을 한 번에 처리하는 암호 알고리즘이다. 블록의 비트 수를 블록 길이(block length)라고 한다. DES, 트리플 DES - 64비트 DES - 64비트 평문, 64비트 암호문 AES - 128비트, 192비트, 256비트 암호화, 복호화 시 같은 1개의 키 사용(비밀 키 또는 대칭 키라고 부름) 스트림 암호 데이터의 흐름(스트림)을 순차적으로 처리해 나가는 암호 알고리즘이다. 1비트, 8비트, 32비트, 64비트 등의 단위 등으로 암호화와 복호화를 수행한다. 암호화와 복호화 시 키가 다르다. 즉 2개의 키를 사용한다. 그래서 스트림 암호의 키를 다중 키 또는 비대칭 키라고 부른다. 2. 블록 암호 기법의 종류 ECB CBC CFB OFB EC..

정의 접근제어는 적절한 권한을 가진 인가자만인 특정 시스템이나 정보에 접근할 수 있도록 통제하는 것. 접근통제라고도 한다. 접근의 종류 Read Create Delete Update 접근제어의 과정 접근요청 접근거부 접근허용 접근제어의 3단계 식별(Identification) → 인증(Authentication) → 인가(Authorization) 개념 식별 자신이 누구인지 밝히는 것. 자신의 신원(ID)를 제시한다. 사용자명, 계정 번호 등 인증 제시된 신원이 올바른지 증명하는 활동 또는 과정 패스워드, 스마트카드, 생체인증(지문, 홍채 등) 인가 사용자의 특정 객체에 대한 접근을 허용하는 과정 접근 제어 목록(ACL: Access Control List), 보안 접근제어 = 인증 + 인가 개인식별과 ..