오픈웹의 ActiveX 논쟁

NCHOVY 인터넷 스톰 센터 - 오픈웹의 ActiveX 논쟁


오픈웹 계속 이렇게 나갈거면 문 닫아야 합니다.
한 때나마 지지했던게 부끄러울 정도입니다.

다들 온라인 게임 계정 해킹에는 그렇게 민감하면서 뱅킹은 왜 쉽게 생각하나요.
----
많은 분들이 인터넷 뱅킹을 할 때 ActiveX가 설치되는 것에 대해 반감을 가지고 있는 것을 잘 알고 있습니다. 하지만 단지 그 때문에 오픈웹이 주장하는 바를 맹목적으로 따라가시면 곤란합니다. 현재의 보안 기술은 그럴만한 이유가 다 있었기 때문에 만들어진 것인데, 전후사정 따져보지도 않고 ActiveX는 악마의 기술인 것처럼 매도하시면 곤란합니다.
여러분의 계좌에 들어있는 몇 백만원, 몇 천만원이 중요합니까, 아니면 인터넷 뱅킹의 불편함을 제거하는 것이 중요합니까? 지금까지 무수한 노력과 헌신으로 여러분의 보안을 지켜온 보안 관계자들은 오픈웹이 보안 회사를 무슨 악의 축이라도 되는 것처럼 영혼과 양심을 팔아먹었다고 매도하는 것에 대해 분노하고 있으며, 그 무리한 주장에 우려를 금치 못하고 있습니다.

오픈웹은 보안 업계를 적으로 돌리고 싸울 것이 아니라, 현재 보안 관계자들이 오픈웹이 내세운 대안에 대해 언급하고 있는 문제점들을 다시 분석하고 받아들여서 현실적인 개선 방안을 강구해야 할 것입니다.

아무 생각없이 오픈웹의 주장에 동조할 것이 아니라, 아래의 링크들을 찬찬히 읽어보시고 냉정하게 다시 생각해보시기 바랍니다. 하단의 링크는 계속 업데이트 됩니다.

이글루스 가든 - professional secur...
by xeraph | 2009/04/04 12:13 | NCHOVY | 트랙백(6) | 핑백(4) | 덧글(200)
트랙백 주소 : http://xeraph.com/tb/4902688
☞ 내 이글루에 이 글과 관련된 글 쓰기 (트랙백 보내기) [도움말]
Tracked from תלתעסר at 2009/04/04 21:50

제목 : 분석하기 보단 분노하기가 쉽다.
오픈웹의 ActiveX 논쟁 잊을 만하면 나오고 나오고 나오고 하는게 액티브X 논쟁이고, 얼마전엔 나도 간만에 본 게시물 http://imc84.egloos.com/4101343 에다가 짤막하게 몇몇 현황에 대한 리플을 단 적이 있다. xeraph님의 경우는 같은 회사 출신이고(같이 근무한 적은 없다 , 내가 5년 전에 떠난 회사에서 근래까지 개발을 하셨다.), 현업에서 느끼는 현실과 일반 사회 인식과의 괴리에 대해서 고민 많으시라는 건 나......more

Tracked from 내 맘대로 보는 세상 at 2009/04/06 21:14

제목 : 오픈웹 관련해서 시끄러운 하루하루…
요 근래 오픈웹에 반감을 가지는 분들이 굉장히 많아지고 있는 것 같다. 뭐 오늘 읽은 내용만 하더라도 아래 정도? NCHOVY 인터넷 스톰 센터 - 오픈웹의 ActiveX 논쟁 방준영 - 인터넷 뱅킹과 Active......more

Tracked from isdead's me2.. at 2009/04/09 02:52

제목 : isdead의 느낌
세랍님 글에 달린 댓글들 보고 있자니 마음 한켠이 아려온다… ㅠ_ㅠ...more

Tracked from Open Web at 2009/05/02 20:46

제목 : 오픈웹 논란에 대한 단상
4월 한달 간 오픈웹에 대한 논란이 뜨거웠습니다. 그 배경과 저의 단상을 적어 봅니다. 배경 오픈웹이 MS IE 외의 웹브라우저나 윈도우 외의 운영체제에서도 온라인 뱅킹 등을 할 수 있게 해달......more

Tracked from 고율 스터디로그 at 2009/12/26 08:42

제목 : 오픈웹의 ActiveX 논쟁
오픈웹의 ActiveX 논쟁 흠. -_-;; 개발 쪽은 거의 아는게 없고 xeraph님의 실력은 익히 들어 알고 있으니 무조건 xeraph님 편...이 유리할 것 같지만 여튼 이 문제에 대해 경제학도로서 흥미로운 점을 발견했기에 잠시 적는다. 결론부터 쓰자면, 이것은 해킹 피해에 대한 투자 및 보험에 드는 비용을 어떻게 분담하느냐에 대한 문제라는 것이다. 국내 웹사이트들의 액티브엑스 사용은 非 익스플로러 사용자 뿐 아니라, 익스플......more

Tracked from yhpdoit의 블로그 at 2010/01/04 07:07

제목 : 오픈웹과 보안업체
저녁에 잠을 살짝자서 밤에 잠이 안와서 다음뷰 IT부분을 보다가 이런 글까지 쓰게 되네요. 일단 오픈웹 지지자로서, 어떤 사람은 보안업체가 여론의식해서 오픈웹 취향의 프로그램을 개발해 줄지도 모른다고 허황된 낭만을 꿈꾸던데 싸가지 없기로 유명한 프로그램을 만드는 잉카인터넷 같은 보안업체가 행혀나. 정말 꿈도 크시지요. 근데 자칭 "보안 전문가"들의 대응도 한심하고 웃기기는 마찬가지다.온갓 글을 나질르면서 오픈웹 식은 보안 안되요~를 외치는데 이......more

Linked at capcold님의 블로그님 .. at 2009/04/05 13:31

... 를 쓸 수 밖에 없었는지, 같은 - 에 대한 구체적 반박과 기술적으로 무지하다는 식의 입지축소밖에 없다. 아직 지사정신의 진행상황으로는 상대적으로 경미한 정도이기는 하지만, 이런 반박(클릭)들이 나오기 시작했다면 마음을 다잡아야할 때다. !@#… 우연히도(우연일리가) capcold는 그 모 인사가 쌩쑈의 와중에 자신의 정체성으로 그리 강조한 진보신당의 ... more

Linked at תלתעסר : 아주 조금 더.. at 2009/04/05 13:33

... 오픈웹의 ActiveX 논쟁 *주의 1. "액티브X대신에 플래시를 쓰면 보안이 좀 올라가지 않을까?" 2. "나도 외국에서 외국 인터넷 뱅킹 쓰는데, 여긴 아무도 불만 없고 사고 났다는 ... more

Linked at 오픈웹 관련해서 시끄러운 .. at 2009/04/06 21:14

... 관련해서 시끄러운 하루하루… 요 근래 오픈웹에 반감을 가지는 분들이 굉장히 많아지고 있는 것 같다. 뭐 오늘 읽은 내용만 하더라도 아래 정도? NCHOVY 인터넷 스톰 센터 - 오픈웹의 ActiveX 논쟁 방준영 - 인터넷 뱅킹과 ActiveX 서린 - 아주 조금 더 풀어 쓴 인터넷 뱅킹과 Risk Analysis 서린 - 분석하기 보단 분노하기 쉽다 ... more

Linked at Xeraph@NCHOVY : .. at 2009/12/30 19:36

... / Founders at work가장 많이 읽힌 글은 오픈웹의 ActiveX 논쟁</a> 입니다.가장 대화가 활발했던 글은 <a href="http://xeraph.egloos.com/4902688" target="_new">오픈웹의 ActiveX 논쟁 입니다. ( 덧글 200개 / 트랙백 5개 / 핑백 3개 )내이글 ... more

Commented by NamX at 2009/04/04 21:29
dasony: "많은 사용자들에게 인터넷으로 가장 많이 하는 일은 인터넷 쇼핑과 인터넷 뱅킹입니다. 그런 사람들에게 파폭은 자신이 하는 일의 80%가 안되는 웹브라우저일 뿐입니다."

예. 제 생각과 동일 합니다. 하나 더 나아가면요. 그런 사람들에게는 파폭은 관심 없는 대상입니다. IE로 충분하거든요. 그리고 오히려 ActiveX 에서 제공하는 그런 기능들 좋아합니다. 진짜에요. ^^

하나 사례를 소개 드리면 2005년에 제가 검색 서비스에 대해 공부를 시작하면서 "FGI (Focus Group Interview)"를 했습니다.

주 검색엔진을 무얼 쓰느냐에 따라 "네이버/다음/야후/구글" 이렇게 4그룹 10명씩 선정해서 FGI를 했는데요.

일단 "구글"은 그 10명 구하기 참 힘들었습니다... 아무튼 힘들게 구하긴 했습니다. 그리고 FGI 를 하면서 "네이버/다음/야후"를 주 검색엔진으로 사용하는 사람들에게 "구글"을 들어봤냐고 하면 대부분 들어는 봤고, 들어가 봤다고도 합니다. 그런데 인상이 어떠냐 물어보면 "만들만 만 페이지 같다.", "검색 결과 안 좋다" 이런 얘기를 주로 합니다.

님은 혹시 왜 사용자들이 구글이 아닌 네이버를 쓰는지 이해 하시나요? 그건 ActiveX , IE처럼 그런 문제도 아니잖아요? 그런데 왜 쓸까요? 저는 그것과 같은 이유라고 말하는 겁니다...

대중과... 지금 이곳에 글쓰는 분들과는 다릅니다... 정말로 다릅니다.

Commented by skcom at 2009/04/04 21:40
대중이 이명박을 찍었다고 이명박이 대한민국 최적의 솔루션인건 아니지요^^
그리고 구글은 공대쪽 Geek 들한테 모집했으면 1시간도 안걸렸을 텐데 말입니다.
Commented by dasony at 2009/04/04 21:36
다른거 저도 압니다. 네이버 바이커 다 압니다. 제가 얘기하고싶은 것은 그것을 근거로 윈도 IE 전용 웹페이지가 정당화되지 않는다는 겁니다.

일반 대중들은 정치에 관심없고 김연아에만 관심있으니까 언론사는 정치권이 무슨 짓을 하던지 김연아 뉴스만 빵빵 내보내는 것이 옳습니다. 일반 대중들은 자극적인 음식 좋아하니까 인공감미료 화학물질 펑펑 넣은 음식을 만들어 파는 것이 옳습니다.

그렇게 생각하신다면 그러셔도 됩니다. 일반 대중들이 브라우저 뭘 쓰던 크게 관심없으니까 IE전용으로 만들어도 상관 없다 이거니까요.
Commented by NamX at 2009/04/04 21:38
dasony:

예. 인도의 FF 점유율이 32%로 중국/대만/인도/한국 권역 중에 제일 높지요. 그외 어느 (국가)*(운영체제|브라우저) 점유율 조합의 경우에 대해서도 특별히 비 MS가 높은 경우가 없죠?

그들도 다 ActiveX 때문일까요?

Commented by dasony at 2009/04/04 21:40
현재 전세계 어느 국가도 특별히 비MS가 높은 경우는 없습니다.
Commented by NamX at 2009/04/04 21:41
dasony/

예. 좋아요. 그럼 대중은 그렇다는 것에 공감 했습니다.

그런데 일단 ActiveX는 그런 불량식품이 아니고요. (수많은 예가 있지만 당장 윈도우 업데이트부터 ActiveX 써야 합니다. Flash 도 ActiveX 입니다.)

보통 쇼핑 사이트, 홈피 사이트 이런 곳은 대중이 원하는 거 하라고 있는 곳입니다. 그들이 무슨 불법적이거나, 부도덕한 일이라도 저질렀는지요?

Commented by 나인테일 at 2009/04/05 01:00
플래쉬, 실버라이트가 굳이 ActiceX가 될어야 할 이유는 없지요. 실제로 비슷한 목적인 SUN의 JRE는 ActiveX가 아닌 클라이언트 형태로 배포됩니다..;

그리고 윈도우즈 업데이트가 IE로 되어야 할 필요도 없지요. 우분투 업데이트를 파폭으로 하고 맥 업데이트를 사파리로 하지는 않잖습니?
Commented by xeraph at 2009/04/05 01:07
흠.. 자바 웹 스타트도 ActiveX입니다만. IE에서 지원하는 플러그인 기술이 ActiveX일 뿐인데 제공하는 플러그인을 안 쓰면 어떻게 브라우저에 기능을 추가한다는 말씀이신지..
Commented by NamX at 2009/04/04 21:43
dasony/
운영체제의 경우 유럽/미국으로 가면 비MS 사용률이 아시아권에 비해 매우 높아집니다. 그건 님께서 말씀하신대로 (!) 10% 근처까지 갑니다. 그거와 1%의 차이는 10배, 2%와 차이는 5배입니다. 어떻게 보면 엄청난 차이라고 할 수도 있죠.
Commented by skcom at 2009/04/04 21:46
아시아권의 멀티바이트 캐릭터 문제를 고려해야 되지 않겠습니까? 리눅스 쪽에서 멀티바이트 캐릭터(혹은 아시아권 문자)에 대해 중구난방식의 임시방편이 아닌 통합적인 해결책이 나오기 시작한건 몇년 안되었다고 알고 있습니다. 반면에 윈도우즈는 95때부터 이미 유니코드를 대비하고 있었죠.
Commented by NamX at 2009/04/04 21:44
skcom/

FGI 진행은 저희가 한 것이 아니고 따로 그런 거 전문으로 하는 업체에서 한 것입니다.

FGI 모집 방법이 그렇게 "정해 놓고 모집" 하는 것이 아니기 때문에 왜냐면 그러면 "bias" 되기 때문에... 그래서 힘들었죠.

결국 구글은 "bias" 허용하고 공대생 10명 구했습니다.

Commented by xeraph at 2009/04/04 21:45
NamX님 지금 이게 문제가 아니라.. 김기창 교수가 골 때리는 제안을 했네요 -_-
Commented by dasony at 2009/04/04 21:47
ActiveX는 불량식품 아닙니다. 하지만 보안상 굉장히 큰 리스크가 될 수 있는 것은 사실이며, 정말 신뢰할 수 있는 업체로부터 ActiveX를 사용하지 않고서는 할 수 없는 정말 필요한 것을 할때만 사용해야하는 기술입니다. 또한 비표준이고 비MS 제품의 진입 장벽이 될 뿐입니다.
쇼핑사이트 홈피사이트는 대중이 원하는 것입니다. 하지만 수많은 국가들은 똑같은 일을 ActiveX 없이도 안전하게 수행하고 있습니다. 키보드보안과 AV를 설치함으로서 보안이 조금 더 강화되는 것에는 동의합니다. 그리고 키보드보안과 AV는 ActiveX 방식으로 배포해야할 수 밖에 없음을 이해합니다. 하지만 결제 자체도 ActiveX를 통해서 할 필요는 전혀 없습니다.
Commented by xeraph at 2009/04/04 21:49
이쯤에서 끊고 내일 다시 이어가는게 어떻겠습니까.
Commented by NamX at 2009/04/04 21:51
xeraph/
어라. 방금 오픈웹 사이트 가봤는데 어떤 골때리는 제안을 말씀 하시는거에요? SSL 어떻게 뚫냐고 질문한거요?
Commented by xeraph at 2009/04/04 21:52
네, 뚫어보라고 셋팅해놨다고 써놨네요. -_-
Commented by xeraph at 2009/04/04 21:52
이걸 굳이 보여줘야 알아먹나 싶기도 하고 참 골 때린다는..
Commented by dasony at 2009/04/04 21:53
김기창 교수 나름 재미있는 제안이군요. =) 저랑 쓸데없는 이야기는 그만하시고 그쪽에서 얘기하시는게 더 건설적일듯.
Commented by NamX at 2009/04/04 21:54
dasony/

일단 전 기술적으로 Flash 쓸 수 있는 경우에는 ActiveX 쓰는 것 보다 Flash 쓰길 선호한다는 점 말씀 드리고 싶고요.

자 그런데, 이런 애기에요.

5년 전으로 돌아가보죠. 그 때는 지금 "오픈웹"과 같은 주장 하는 분들이 Flash/Javascript 마저도 싫어 했어요. 그래서 우리나라 사이트들이 그런 거 떡칠이라고 마구 욕해댔죠. 지금은 그 주장들은 어디로 갔는지요?

지금 해외 사이트들 Flash/Javascript 끄고 잘 씁니까? Myspace, Youtube 이런 초대형 대박 대중 사이트들 잘 쓸 수 있나요?



Commented by dasony at 2009/04/04 21:56
그래서 5년 후에는 ActiveX가 현재 Javascript 및 Flash와 같은 표준적인 위치를 차지할 가능성이 있다는 말씀이신가요? =)
Commented at 2009/04/04 22:07
비공개 덧글입니다.
Commented by xeraph at 2009/04/04 22:08
아 그런 의미로 말씀하신 것이었군요 ㅎㅎ
하긴 MITM으로 가면 다 막장이 되죠 (..)
아 이제 집에 좀 가야될 듯..
Commented by NamX at 2009/04/04 22:08
아니요. 5년 후에는 Flex/Silverlight 가 훨씬 대세가 되리라고 봅니다.

즉, 무슨 얘기냐면... 지금 이렇게 논의 안 해도, Flex/Silverlight가 ActiveX 할 일 대충 다 하게 되고 나면 (아직도 좀 부족합니다..) ActiveX 다들 걷어 낼 겁니다.

"알아서" "자연스럽게" 많이들 걷어 질거에요.

그래도 은행과 같이 (지금의 방식대로 AV 설치/자동 실행 한다면) 로컬 리소스 접근 필요가 있는 녀석들은 "Signed" FLex/Silverlight 또는 ActiveX 쓰고 있겠죠.


Commented by xeraph at 2009/04/04 22:10
가령 엔터프라이즈 솔루션 쪽에서는 그동안 리포팅 같은게 ActiveX를 쓰게 만드는 주 요인이었는데 몇 년 뒤면 다 대체되겠죠 (..)
Commented by dasony at 2009/04/04 22:14
Flex에서 로컬 리소스를 접근하는 일이 올까요? 사실 이미 될거 다 되는 Adobe Air라는 제품이 있습니다만. 하지만 아무리 시간이 지나도 Flex로 키보드 보안이나 AV를 사용할 수 있는 날은 오지 않겠죠. Signed Flex라는 건 참 무서운 놈이군요. 과연 나올지는 모르겠습니다만, 나온다면 최소한 크로스플랫폼이긴 할테니 좋습니다. 하지만 그때까지 기다리라는건 너무하는 일이지요.

얼마나 많은 일을 하려고 하시는진 모르겠지만, 이미 05년에 Flex로 공인인증서 처리 솔루션이 나온바 있습니다. 그런데 왜 단 한 곳도 이를 채용하지 않는 것일까요? 정말 ActiveX가 필요한 곳에만 쓰고 있는 것일까요? 그냥 이미 개발된 것이 있으니까, 개발하기 편하니까 쭈욱 가고 있는 것이 아닐까요. 이 부분은 보안업계에 계신 분들이 더 잘 알겠죠.
Commented at 2009/04/04 22:14
비공개 덧글입니다.
Commented by xeraph at 2009/04/04 23:40
뭐 굳이 저게 아니라도 OTP를 만능특효약으로 보기 때문에 언급한 것이지요 :)
Commented by dasony at 2009/04/04 22:19
어쨌든 더 이상의 의견접근은 힘들 것이라 보입니다. MS 제품의 독점과 IE 일변로의 웹환경 간의 correlation을 해석하는 방향이 일단 다른데다가, 때가 되면 다 바뀔텐데 뭘 그러냐 라는 아쉬움이 없는 분과 당장 사용이 힘들고 먹고 살기가 어려운 사람 간에는 차이가 크니까요. 하지만 궁극적으로는 크로스플랫폼(그것이 signed flex가 되었든 SSL과 XMLSec등 표준 프로토콜이 되었든)으로 갈 것이라고 생각하신다니 그걸로 만족하겠습니다. 오픈웹이나 저같은 사람은 그 날을 조금이라도 빨리 오게 하기 위해서 노력하는 것이고요. NamX님도 이왕이면 그 방향으로 조금이라도 빨리 갈 수 있도록 조금 더 신경써주시면 더 이상 바랄 바가 없겠습니다. 친히 오랜 시간 의견 나눠주셔서 감사합니다.
Commented by xeraph at 2009/04/04 23:32
아 혹시 오해하실까봐 제 입장을 다시 말씀드리면, 은행이야 명시적인 규정이 있으니 그렇다치고, 쇼핑몰이나 다른 곳에서 사용자가 클라이언트 보안에 책임진다는데 동의한 상태에서 flex 기반 공인 인증서를 쓰는 것은 괜찮다고 생각합니다. 다만 오픈웹이 실제 위협이 존재하는 것에 대해서도 아니라고 하니까 버럭대는 것 뿐이죠.
Commented by NamX at 2009/04/04 22:22
dasony/
예전에 농협, 신한은행, 아무튼 뉴스 찾아보면 IE 벗어난 뱅킹 지원하려고 시도 했던 것들 꽤 여러군데 찾아 보실 수 있을 겁니다. 실제로 지원 했었어요. 왜 그만 뒀을까요? 시장성이 없어서 그만 뒀습니다. "시장성"... 뭐, 거기에 "공익성"을 내세운다면 그건 "은행이 공익적인 존재냐? 또는 그래야 하나?"라는 논의가 되니까, 일단 얘기하던 주제에서 좀 빗나가니... 논외로 하고요.

Signed Flex (local resource access)는 저도 궁금해서 찾아보니 Flex/Flash 보다 요즘 한 단계 더 나아간 Air 에서 한다네요.

http://blog.everythingflex.com/2008/02/25/file-and-filestream-within-air/

Commented by NamX at 2009/04/04 22:24
아. Air 얘기는 dasony 님께서 이미 하셨군요. --; 죄송합니다.

그럼 제 의견은 점점 그게 필요한 쪽은 그게 가능한, 그게 Air 든 뭐든... 등등으로 갈거라는 얘기입니다.
Commented by dasony at 2009/04/04 22:24
예. Air는 프로그램 설치 개념이니까요. Air를 통한 뱅킹도 나름 괜찮은 대안이 될 것이라고 생각합니다.
신한은행은 여전히 맥용 뱅킹을 지원하고 있고, 수많은 맥 사용자가 잘 쓰고 있습니다. 농협은 애초에 말도 안되는 방식(Wine)으로 리눅스 뱅킹을 지원했죠. 그래서 잘돌지도 않았고, 그쪽에서 지원한다는 일부 배포판에서만 어설프게 돌아갔었죠 ^^; 그런데 애초에 표준을 이용하여 개발을 한다면 추가적인 비용과 시장성을 고민할 필요가 없겠지요. 이 부분은 오픈웹에서 현재 열심히 토론중이니 그쪽으로 자리를 옮기면 좋을 것 같습니다.
Commented by skcom at 2009/04/04 22:54
국정원에서 키보드 보안하고 백신이 없다고 태클을 거는데 뭐 어쩌라고요...-_-;

리눅스 운영체제 위에서 키보드 보안 프로그램을 올리라는게 얼마나 바보같은 요구인지는, 알만한 사람은 다들 아실 겁니다.
Commented by dasony at 2009/04/04 22:30
그리고 xeraph님 이래놓아서 미안해요 ㅋㅋㅋ 끝나고보니까 남의 블로그를 아주 엉망으로 만들어놨네요. 저도 빨리 다시 블로그 만들어야 ㅋㅋ
Commented by xeraph at 2009/04/04 23:33
뭐 이런건 괜찮습니다. ㅋㅋ
Commented by PAT at 2009/04/04 22:58
ActiveX도 보안성 좆도 없구만 이건 또 뭔 삽질이래.
그냥 그렇게 떡칠해놓고 나머지 보안 책임을 사용자한테
다 전가하니까 뭔가 존내 대단해 보이는거지.
에휴 말을 말자.
Commented by xeraph at 2009/04/04 23:33
개뿔도 모르면 발이나 닦고 자
Commented by 키넷 at 2009/04/04 23:13
현재의 키보드 보안 프로그램은 문제가 많죠. 안 쓰는게 나아요...

일단 가장 문제가 되는 건 USB 키보드에서의 키보드 보안 프로그램이
전혀 쓸데가 없다는것이지요. PS/2 사용의 강요는 완전히 시대를
역행하는 거라고 보이는데요? 이미 인텔 등 칩셋 제조 회사가
PS/2 포트의 지원을 더 이상 하지 않아요. 쓸데 없다는거죠.

또 권한 문제도 있어요. 요즘에야 나아졌지만 예전에는
비스타에서 인터넷 뱅킹을 하기 위해 "IE를 관리자 권한으로"
실행해야 했잖아요? 이게 오히려 보안에 위협적이라고 봐요.
저 상태로 웹 서핑하는게 키로거 설치 등에 더 위험하잖아요.

키로거를 무효화 하는 프로그램이 아니라
사용자의 컴퓨터에 키로거가 설치되지 않게 하는게 중요하겠지요.
Commented by xeraph at 2009/04/04 23:38
글쎄요, 제가 개발해보진 않았으니 요새 어떻게 진행되는지 세부 내용을 말씀드릴 수는 없지만 아마 그런 이슈도 해결이 되겠죠. 물론 키로거가 설치 안 되게 하는게 가장 중요하긴 하지만, 그게 뚫리니까 설치를 강제로 하는 것이고요.
Commented by NamX at 2009/04/05 00:06
집 지킬테니 집 키 달라고 하는 상황이란 것은 아마 논의 참석자 모두가 인정할 겁니다.

그게 도움이 되느냐 안 되느냐가 쟁점이죠.
Commented by 키넷 at 2009/04/05 00:42
USB 키보드 지원하는군요...
2007~2008년 기사를 최근에 보게 되어서 조금 혼동이 있었네요...

... 그리고,

"그 사이에 외부로 부터 변화 해야한다는 다양한 시그널이 있었습니다. XP SP2 패치, Eolas 패치, IE7 출시, 비스타 출시 등등. 하지만, 보안 업체는 늘 꼼수를 제공하면서 레거시를 유지하는 방법만 제공했습니다.

그러는 사이 국민들의 PC 보안은 더욱 안좋아지고 공인 인증 모듈 뿐만 아니라 키로거가 창궐하니 키보드 후킹 프로그램을, 바이러스가 창궐하니 해킹 방지 SW, 방화벽 까지 제공합니다."

4월 2일 오픈웹에 게시되었더군요. 다른 건 몰라도 이 부분은
상당히 공감이 되었습니다. ActiveX 컨트롤을 통해 배포되는
보안 프로그램이 초창기에는 매우 좋았을것이라고 생각하지만,
윈도우 자체의 보안을 약화시켜 보안 프로그램을 설치하는
지금의 상황은 잘 이해가 안 갑니다. 이게 키로거에 더 안전하고,
외부의 침입으로부터 안전하다고는 생각되지 않아요.

보안상의 문제로 ActiveX 컨트롤의 설치를 제한하는데 되려
보안을 위해 보안 설정을 해제한다거나 하는 건 모순아닐까요?
Commented by 최종욱 at 2009/04/04 23:36
욕보십니다... ㅠㅠ
Commented by xeraph at 2009/04/04 23:46
보안 분야가 거의 드러나지 않게 움직여온게 문제가 된 것 같아요. 대중적으로 잘 알 수 있게 외부 활동하는 분이 별로 없어서.. 인터넷 스톰 센터도 그런 면으로 더 노력해야 될 것 같고요.
Commented by 제로원 at 2009/04/05 00:04
요즘 대부분의 안티키로거 제품들은 USB키보드 당근 지원합니다. 조금더 정확히 말하면 블루투스는 지금 개발단계에 있지만 PS/2, USB는 전부 안티키로거 제품들이 설치 되어 있으면 특정방법으로 키로깅을 못하게 할수 있습니다. 정확한 방법은 특허를 찾아보시지요... N사, A사 각각 다른 방법이지만 각각 특허가 나와 있습니다.
Commented by xeraph at 2009/04/05 00:11
덧글 감사합니다 :)
Commented by 구경꾼 at 2009/04/05 01:02
오픈웹의 주장대로 되기를 희망합니다.
그러면 저같은 네이티브 어플 개발자들은 좀 먹고살만해질 날이 올(...;)

넵 뻘플이었습니다. 죄송합니다.
Commented by xeraph at 2009/04/05 01:19
구경할만한 재미는 좀 있으십니까 ㅋㅋ
아..화창한 봄날에 사기꾼 취급받고 키워질이나 하고 전 피곤합니다.
Commented by 나인테일 at 2009/04/05 01:09
결국 로컬 접근이 가능한 RIA의 수단이 나와줘야 한다는거고, 이제 슬슬 ActiveX를 대체할만한 수단이 나오니 바꿔주는게 좋겠지요.

'윈도우즈용' 'IE'에서만 작동되는 RIA라면 좀 문제가 많다고 봅니다. 윈도우즈용 파이어폭스에서도 안 되고 맥용 IE에서도 안 되고...

심지어 윈도우CE용 IE나 윈도우 모바일용 IE에서도 인터넷 뱅킹이 안 된다던가 하는 좀 뭣스런 문제도 있고요. 그 쪽으로 또 전용 ActiveX를 만든다고 해도 PC랑은 다르게 모바일 기기의 윈도우 비율은 얼마 되지도 않는데 이걸로다가 또 핸드폰까지, 윈도우 모바일 천하로 만들어버리는건 별로 현명한 발상은 아닌 것 같습니다.

개인적으로 윈도우모바일 참 싫어하거든요. 어디 속 터져서 쓰겠습니까 그거..(.....)
Commented by xeraph at 2009/04/05 01:11
아니 뭐 그런 경우는 크로스컴파일 타겟만 잘 정해서 컴파일 다시 하면 됩니다. 프로세서가 다른 것 뿐이라서 굳이 개발을 다시 할 것까진 없죠..
Commented by xeraph at 2009/04/05 01:13
아무튼 플래시도 제대로 안 돌아가는 환경 부지기수입니다 -_- 요새 64비트 환경이 잘 지원되려나 모르겠다는..
Commented by 구경꾼 at 2009/04/05 01:33
근데 말입니다. 뱅킹 말고도 말이죠.
대한민국은 전자정부 서비스 라는걸 하잖습니까?
해보신 분은 아시겠지만, 프린터에 등본 출력 서비스 라는 걸 제공하고 있지요.
그래서 동사무소 안가도 되게끔 편리하게 해 놓았습니다.

그런데 말입니다. 이 등본 출력 서비스라는 놈은 무려 프린터의 디바이스 드라이버를 뒤적대는 무지막지한 녀석이죠.

과연 거론되는 Flex/Silverlight 등의 플랫폼들이 저런걸 지원할 수 있을까요?

제 생각엔 어려우리라고 생각하고 있습니디만(만약 그것이 기술적으로 지원이 가능하다면 그것은 ActiveX 그 자체와 다를 것이 없다고도 생각합니다.)
주인장께서는 어떻게 생각하고 계실지 궁금합니다.
Commented by xeraph at 2009/04/05 01:38
당연히 현실적으로 어렵겠죠.. 아마 그런건 5년 지나도 안 될겁니다.
Commented by CECRI at 2009/04/05 01:36
헉.. ㄷㄷ 오랜만에 놀러왔는데 댓글이 ㄷㄷㄷ

사실 엑티브X가 그지같고 호환성도 없고 게다가 옛 시대의 유물이 되고 있는 상황이긴 하지만(전 세계적으로는) 그만큼 사용자의 컴퓨터에 밀접한 접근 할 수 있는것 별로 없는게 사실이죠;;

근데 Bank Of America같은 외국계 은행은 인터넷뱅킹할때 보안프로그램 설치도 안하던데;;;
Commented by xeraph at 2009/04/05 01:41
이미 다 언급했던 것이니 자세한 설명은 생략 (..)
Commented by spatialguy at 2009/04/05 04:19
오 좋은글.
Commented by . at 2009/04/05 09:06
이글은 맥티브 엑스를 쓰면 보안이 강화되는 뭔가가 무조건 있다는 가정을 하고 말씀을 하시는데...

일단 그렇지 않습니다. 키로거 차단도 일부만 되는 것이고 통신 보안은 더 엉망입니다(현재의 뱅킹을 기준으로).

자, 그래도 그게 필요한가요? 그냥 그 업체들 먹고 살기는 좋을지 몰라도...
Commented by xeraph at 2009/04/05 10:53
근거와 대안 없는 주장은 곤란합니다. 특히 '보안 업체 먹고 살기는 좋을지 몰라도' 이런 표현은 자제해주세요.
Commented by 서린 at 2009/04/05 12:50
정성적 보안과 정량적 보안을 같은 선상으로 놓고 보면 판단에 혼동이 옵니다.

액티브x가 현재 기술적으로 가장 코어까지 제어가 가능한 건 fact입니다. - 그래서 악용 될 경우 피해가 가장 큰 겁니다.

현재 뱅킹 기준으로 통신 보안이 더 엉망이라는 말 자신 있으신가요. 단말 레벨이 아니라 중간에서 현행 인터넷 뱅킹 덤프 뜨실 수 있다면 블랙햇 발표 하실 수 있습니다.
Commented by . at 2009/04/05 13:16
http://kldp.org/node/88343

아마 지금처럼 사용자들이 "멍청하게" "예"를 누르도록 강제하면 이것 보다 훨씬 더 쉽게 키로거나 패킷을 훔칠 수 있을 것입니다.

애시당초 해결이 제대로 되기는 커녕 부작용만 더 클 것이 뻔한 것을 "로비"로 무리하게 진행 한 것이라고 보기에 저는 "업체들.." 이라는 말씀을 드렸습니다만, 죄송합니다.

(차라리 뭔가를 기술적으로 꼭 막고 싶고 그럴 수 있다고 생각한다면
전용 라이브 USB나 통신 기계를 제공하는 것이 훨씬 낫다고 봅니다.)
Commented by xeraph at 2009/04/05 13:18
저거 발표한 분도 다 같이 오픈웹 까고 있다는 것 정도는 알아두시면 좋겠.. 그리고 저렇게 이슈 내보내고 바로 대응 들어간다는 것도 알아두시고요.
Commented by xeraph at 2009/04/05 13:28
뭐 말씀하신대로 전용 기계나 아예 C/S로 가는게 속 편한 방법이지만, 은행은 은행 나름대로 웹으로 하고 싶었던 이유가 있는거고, 보안 업체는 웹에서 가능한걸로 해달라니까 까라는대로 깐거고, 근데 자꾸 음모론 쑤시면 열만 나고 피곤해집니다. 그럴 의도는 아니라고 하셨더라도 쩝..
Commented by Cicero at 2009/04/05 09:47
버전 관리를 나이브하게 한 것도 적대감을 키우는 데 한 몫 했을 듯; 아무리 클라이언트 요구에 맞게 커스터마이징 해야 했다고 쳐도 은행 세군데 쓴다고 같은 회사의 같은 키보드 보안모듈 4.0, 5.0, 6.0이 깔려 있는거 보고 있으면 스팀이 좀 오름 (...)
아 물론 환율조회하는데 키보드 보안 모듈 깔아야 되는 은행들의 삽질도 거기에 시너지고 (...)
내 생각엔 어차피 개별 플랫폼이나 브라우저를 지정해서 강제로 플러그인을 개발하도록 법령을 만들기는 무리일 것 같고, 이걸 독점 내지는 소비자의 접근권 문제로 보고 공정위 수준에서 다른 플랫폼과 브라우저를 지원하도록 '은행에' 시정명령을 하는 게 제일 낫지 않을까 싶은데..
물론 독점의 경우엔 독점이 원인이 된 주체와 수혜를 받는 주체가 달라서 문제가 있을 것 같고 다른 쪽의 법적인 문제도 어떻게 되는지는 확실히 모르겠다만... 클라이언트들이 ActiveX 이외에 발주를 안하려 하는 상황 자체를 법령으로 어떻게 할 수 있을 것 같지는 않음;
Commented by xeraph at 2009/04/05 10:51
그렇죠 쩝쩝..
Commented by 잇힝♡ at 2009/04/05 11:05
가장 안전하고 확실한 해결책 : 은행에 직접 간다-_-
Commented by xeraph at 2009/04/05 11:14
walk banking? (..)
Commented by virustotal at 2009/04/05 12:27
아직도실시간이네 답변을 몰아서 하지
완전출동대기인데
그건 그렇고 이거 읽어봤는지
http://openweb.or.kr/?p=1080
Commented by xeraph at 2009/04/05 12:38
그럼요, 4월 2일에 만우절 농담이었다고 강변하는 코미디 잘 봤죠. 나 참 분통터져서. 까고 싶으면 상대를 봐가면서 까야지..
http://www.hksecurity.net/profile
Commented by 서린 at 2009/04/05 12:53
고생 많으십니다.

이런 류의 글은 제 경험으론 일단 '지나가는'-자기 주소 안 남는- 리플은 대응 안 하는 것이 낫습니다.
Commented by xeraph at 2009/04/05 12:56
참 말이 안 통하는 멍청이들 많아요.. -_-
이건 뭐 죽지도 않는 좀비 두들겨 패는 기분 (..)
Commented by 최종욱 at 2009/04/05 14:40
그냥 윈도우 K 버전에 암호화 모듈을 깔게 하고 MS를 통해서 업데이트 하는 편이 나을 것 같기도... -ㅅ-
Commented by dasony at 2009/04/05 22:45
어차피 MS 전용으로 갈꺼라면 지금이나 다를거 없죠. 업데이트마저 MS에 의존하면 그건 더 무섭습니다. 표준이고 뭐고 일반 사용자인 제 입장에선 그냥 VirtualBox로 돌릴 수 있는 뱅킹/결제 전용 무료 이미지 하나만 제공해줘도 일단 행복할 것 같네요. 터미널서비스로도, VirtualBox로도 뱅킹은 물론이고 쇼핑몰 결제조차 안되는 이 참담함이란..
Commented by 최종욱 at 2009/04/05 22:54
그렇죠. 적어도 지금처럼 겹치거나 죽는 문제는 조금 해결할 수 있을 것 같다는 생각에서 그런 말을 했는데, 생각이 짧았네요. ^^;
Commented by dasony at 2009/04/05 23:06
뭐 윈도만 지원하더라도 빨리 은행 간 모듈 업데이트를 일관성 있게 하는 방법을 마련해야 하는 건 맞는 것 같습니다. ^^ 김기창 교수와 KLDP 사용자들이 비현실적일 수도 있지만 나름대로 괜찮은 제안을 한 글이 있으니까 읽어보세요. 물론 모든 보안 프로그램들의 완벽한 모듈화 또는 표준화가 전제되어야 하는 것입니다.
http://wiki.kldp.org/wiki.php/%C0%FC%C0%DA%B1%DD%C0%B6%B0%C5%B7%A1%C0%C7%20%B0%F8%C0%CE%C0%CE%C1%F5/%BA%B8%BE%C8%C7%C1%B7%CE%B1%D7%B7%A5%BF%A1%20%B0%FC%C7%D1%20%C1%A6%BE%C8
Commented by 어흥씨 at 2009/04/06 23:51
엑티브 엑스 말이 나오면 사용자든 개발자든 거품 물고 달려 들지만 딱히 적당한 대한이 보이질 않아 보이네요. 그래서 형편 없는 엑티브 엑스를 쓰란 말이냐고 말 하는 것은 아니고요. 저 또한 초보 웹개발자로써 미미한 생각을 말하자면 사용자 로컬에서 어떻게 해보자 그런건 현명한 생각이 아니라고 생각하네요.
서버자체에서 모든 운영체제에서 사용 가능한 모듈을 만들어서 쓰는게 옳바른거겠죠. 웹표준화는 언제가는 되겠지만 쉽게는 안 될것 같네요. 지금 하고 있는 웹표준화라는게 html이나 xml파싱하는거 정도지 모듈 자체는 하나도 되있는게 없으니깐 말이죠.

결정적인 이유는 컴퓨터 하는 사람중에 이렇게 고민 하는 사람이 5%는 될까요? 저 또한 리눅스나 오픈소스를 높이 평가 하는 사람이지만 그냥 IE 씁니다. 왜냐 귀찮거든요.
먼가 바뀌기 위해서는 옛날부터 그래왔드시 요구가 많아야지 바뀝니다.
Commented by 맥유저 at 2009/04/07 16:05
여러분들의 의견을 잘 읽었습니만...각설하고 액티브 없어서 보안이 불안해진다는 의견은 해외 보안 전문가들을 무시하는 처사라고 생각합니다. 윈도우의 시장 점유율을 떠나서 해외에선 액티브 없이 잘 사는데 왜 우리나라만 이거 없으면 큰일이 나는지요?
인터넷 뱅킹 보안에 그렇게 신경 써주시는 은행들이 막상 사고가 나면 사용자 책임을 묻는건간요? 액티브 엑스기술이 너무 뛰어나서 사용자 과실이외엔 문제가 없는건가요?
우문을 드렸으니 현답을 기대하겠습니다.
Commented by 맥유저 at 2009/04/07 16:09
참고로 저는 현재 해외에 거주중이고 이곳 현지 은행중에 액티브엑스 설치를 요구하는 은행은 한곳도 없습니다. 또 많은 은행들이 아이폰 뱅킹까지 지원 하고 있습니다만 아직 키로거로 인해 뱅킹 사고 났다는 얘기는 못 들어봤습니다. ATM에 몰래 카메라 설치한거 빼고는 말입니다.
Commented by xeraph at 2009/04/08 09:46
제 아는 분은 눈 뜨고 700불 빠져나가는 공격을 당했는데 그럼 뭘까 싶죠? 자기가 모르면 세상에 없는거죠? ㅋㅋ
Commented by xeraph at 2009/04/08 09:53
http://www.gartner.com/it/page.jsp?id=565125
귀찮지만 통계 다시 인용.
Commented by 캐나다유저 at 2009/04/08 03:17
저도 캐나다에서 현재 6년째 거주중입니다. 한국으로 인터넷 뱅킹만 하려면 머리가 다 아픕니다. 저도 윗분 말씀하신것처럼 그런경우는 보지 못했습니다. 저도 좀 근거좀 듣고 싶습니다. 해외의 경우 인터넷 뱅킹사고가 더 난다는 말들에 대한...

해외의 개발자들이 머리가 나빠서 엑티브 엑스 안쓰는게 아닙니다. 오히려 멋모를 한국 은행관계자들을 엑티브엑스로 내몰은건 보안업체들의 임시방편에 의해서입니다.
Commented by xeraph at 2009/04/08 09:41
덧글에 새빠지게 다 써놨는데 찾아보고 좀 써달라고 하세요. 이젠 일일이 쓰기도 머리아프다는. 법적 규제, 사용자 인식 등 환경이 달라서 이렇게 된걸 가지고 뭐 보안업체들의 임시방편이라는 둥.. 당신들이 전문가입니까? 그저 외국이라고 하면 뭐든지 한국보다 잘난 것 같고.. 국내 엔지니어들이 멍청해서 그런 것 같고.. 그렇죠잉? 내 참 답답해서.

황우석빠가 괜히 생기는게 아니죠...
Commented by xeraph at 2009/04/08 10:10
이 밑으로 더이상 같은 말 반복하지 않습니다. 읽었다면서 하는 말 보면 읽지도 않은 것 같고.. 할 말 대부분 다 나왔으니 따지기 전에 링크와 덧글을 다시 보십시오.
Commented by 캐나다유저 at 2009/04/08 12:05
인용한 글 제대로 읽어보세요. 아니면 영어공부 좀 더 하시던가. 피슁으로 인한 유저들의 실수를 보안업체가 해결해 줄수 없다는 걸 더 명백하게 보여줍니다. 앤티키로거 깐다고 피슁 막아줍니까? 저 글은 님의 주장을 뒷받침 할수 없는 글입니다. 그렇게 전문가라고 주장하지만, 내가 볼땐 xeraph 당신이 멍청해 보입니다만.
Commented by xeraph at 2009/04/09 00:44
까는게 뭐 안티키로거만 깔리는 줄 아시나보군요. 그리고 국내에선 왜 상대적으로 피싱이 적은지 이해가 안 되죠? 뭐 마음대로 떠드세요. 일도 바쁜데 더 이상 답 달아주기도 어려우니.

캐나다에 사니까 영어 잘 해서 좋으세요? ㅋㅋㅋㅋ
Commented by 범죄인 at 2009/04/08 20:19
입코딩이 범죄인 수준인 사람이 다녀갑니다 블로그 볼만하네요 ^^
Commented by 방준영 at 2009/04/08 20:40
안녕하세요. 여기도 좀비 퇴치하느라 고생하시네요. ^^

익명 좀비들은 대부분 무시하면 한번 쓰고 다시 안오는 것 같던데요. 댓글로 떡밥을 날리면 물으려고 다시 오는듯.
Commented by xeraph at 2009/04/09 00:44
아 저도 이제 지치네요 -_-
Commented by xeraph at 2009/04/09 00:56
답답해서 마지막으로 한마디 더 씁니다 -_- 나도 님들처럼 인터넷 뱅킹 보안 모듈로 도배된거 쓰는게 짜증나는 사람입니다. 님들만 맥쓰는거 아니고, 님들만 리눅스 쓰는거 아니거덩요?

요지를 분명히 합시다.

이전에 오픈웹이 주장한대로 했을 때 취약해지는건 명백한 사실입니다. 다만 "사용자가 클라이언트 보안의 문제로 인해 해킹 피해를 당했을 때 어느 정도 책임을 진다는 전제 조건 하에" 외국처럼 ActiveX 없는 형태로 뱅킹하는 것, 즉, opt-out 할 수 있는 선택권을 줘야한다는 주장에는 동의합니다.

뭔 말인지 알았으면 돌아가시고, 못 알아듣겠으면 그냥 좀비질 그만하는게 님들이 바라는 목표 도달에 도움이 될 겁니다. 하도 좀비들이 깽판을 쳐대서 제대로 논의가 안 되고 엉뚱한 불신과 오해만 조장한다 이 말입니다.
Commented by jef at 2009/04/13 11:06
논쟁의 포인트에서 좀 빗나가는 이야기일수도 있겠습니다만, 올리신 가트너의 발표자료 (링크) 는 어디까지나 피싱 피해 사례에 관한 이야기인데, 그것을 "국내 사이트들의 OCX 기반 키보드 보안 솔루션 덕분에 적다"라고 하기엔 과대 해석이 아닐까요?

Wired의 글 역시 고의적으로 빼낸 개인정보들을 거래한 범죄자들의 이야기일 뿐이지, 솔루션에 직접적인 연관성을 가지지는 않는다고 생각합니다.
Commented by xeraph at 2009/04/13 11:55
저는 키보드 보안만 언급하고 있는게 아닙니다. 안티바이러스와 공인인증서, 보안카드 체계를 다 같이 생각해야지요. 외국은 그만큼 허술하다는걸 강조한겁니다. MITM도 아니고 단순 피싱만으로도 그렇게 많은 피해가 발생하고 있으니까요. 그냥 카드번호 덤프만 가지고도 저렇게 팔아먹을 수 있는 블랙마켓이 움직인다는 것 자체가 외국 결제 환경의 취약함을 의미하는겁니다. 우리나라에서 저런게 가능하다고 생각하시나요?
Commented by jef at 2009/04/13 12:23
상대적으로 한국의 결제 환경에 비해 외국의 그것이 취약한 것은 사실이겠습니다만, 제 생각에는 한국의 결제 환경에서의 보안 우수성보다는 시장 규모 자체가 적기 때문에 사이버상의 범죄자들 (cybercrooks) 에게 유인요소가 적기 때문이기도 하고, 피싱에서 중요한 비중을 차지하는 E-mail 커뮤니케이션이 국내 사용자들의 생활 속에서 차지하는 비중이 상대적으로 낮기 때문이 아닐까 싶습니다. 이전 국민은행/농협 피싱 사이트의 케이스처럼 하려고 하면 충분히 가능하다고 보고요.
Commented by xeraph at 2009/04/13 12:43
http://www.boannews.com/media/view.asp?idx=5089

저 정도 피싱으로 실제 피해를 발생시키기는 좀 어렵겠죠. 그리고 오히려 안티 키로거나 안티 바이러스의 설치 필요성을 뒷받침하는 근거가 되지 않겠습니까?
Commented by xeraph at 2009/04/13 12:56
말씀하신대로 시장 규모나 언어적 장벽도 어느 정도 비중을 차지하긴 할겁니다. 근데 그게 이 문제에서 중요한건지 모르겠군요. 애초에 외국은 그렇게 안전하다고 주장하길래 실제 사고가 발생한다는걸 지적하려고 썼던건데 말이죠.
Commented by jef at 2009/04/13 13:30
"해외에서는 별 문제가 없다"라는 반박 논증으로 제시하신 것에 대해서 동의하고, 문제제기를 하는 데는 충분한 근거가 된다고 생각합니다. 하지만 그것이 국내의 OCX-Only 환경의 정당화 근거가 되기엔 약하지 않을까요? 그 부분을 여쭙고 싶었습니다.
Commented by xeraph at 2009/04/13 13:50
먼저 과거 인터넷 뱅킹이 현행처럼 구축될 당시에는 대안이 없었다는걸 생각하셔야 되고.. 지금도 서명된 자바 애플릿이나 브라우저별로 종속적인 플러그인 기술을 사용하지 않고는 관리자 권한으로 프로그램을 기동시킬 별다른 대안이 없습니다.

자바의 경우에는 JRE 런타임이 그렇게 광범위하게 깔려있지 않다는 점에서 사용자들이 설치하는데 애를 먹을 것이고.. 자바 환경에서 발생할 수 있는 나름대로의 취약점이 있을텐데 선행 연구가 별로 없는 상태에서 무작정 바꾸자는 것도 현실성 없는 얘기고..

그렇다고 브라우저 플러그인으로 간다면 특정 브라우저(가령 Firefox 라든지..)만 지원한다는 점에서 또 우스운 얘기가 될테고.. 브라우저별로 다 개발한다면 그것도 무시 못할 비용이 들겠죠.. 지원 안 하면 왜 이것만 안 해주냐고 또 욕을 할 것이고..

은행은 공기관도 아닌데 굳이 비용을 다시 들여서 갈아엎을 이유도 없고.. 뭐 그런 얘기죠.
Commented by xeraph at 2009/04/13 13:57
jef 님과는 상관없는 얘기지만.. 아직도 보안 사기꾼 운운하는 돌팔이들이 있어서 아주 머리가 아프네요. 전 더이상 뭐라고 떠들든지 더 언급하고 싶지도 않고.. 할 일도 많은데 왜 이러고 있어야 되나 지겹기도 하고..
Commented by 맥유저 at 2009/05/17 09:52
글 올려고 잊고 있다가 다른 블로그에 링크 된거 보고 다시 왔습니다.
나름 정중히 의견을 올렸는데 비아냥 거리는 답을 주시니 실망이네요. 보내주신 링크는 정성껏 읽어 봤습니다. 다만 아래의 링크를 보시면 한국에서도 피싱은 여전히 문제인듯 싶네요.
http://www.dt.co.kr/contents.html?article_no=2007083002011557729002
논외지만 영어 못하시면 부끄럽지 않을까요?
Commented by xeraph at 2009/05/17 10:08
그래서 결론을 어떻게 내고 싶으신건지 모르겠군요. 보안 제품 설치한다고 100% 완벽하게 막을 수 있다고 하면 그건 환상이겠죠. 그렇다고 이건 쓸모없는거야 라고 말하면 그게 더 웃기는 얘기구요. 다 걷어내면 저 피싱 숫자가 늘어날까요 줄어들까요? 그리고 영어가 뭐 어쨌다는겁니까?
Commented by xeraph at 2009/05/17 10:20
Commented by 지나가다 at 2009/12/23 22:03
짧은 지식으로 잘못된 정보를 전달하는 분이 여기 또 하나 있네요.
위에 인용된 글은 ActiveX개발자가 자기 밥그릇 챙기기 위해 하는 소리에 지나지 않는 걸로 보입니다. 근거도 없이 그냥 SEED가 안되니까 SSL이 나쁘다 이러는 건데...
인증 프로토콜과 송수신 암호화 레이어에 대한 개념도 없는 것 같네요.
다음 링크 참조바랍니다.
http://b.mytears.org/2009/04/1888
http://b.mytears.org/2009/04/1936
http://openweb.or.kr/?page_id=1061
Commented by xeraph at 2009/12/24 10:19
관련된 전체 글들을 제대로 읽어보셨는지 모르겠군요.

요약해서 다시 정리했을 때 근본적으로 이 문제를 해결하려면 법적인 개선이 필요하고 그것은 IE외의 브라우저를 지원해달라 따위가 아니라 은행이 해킹의 모든 피해를 책임지지 않는다가 되어야 합니다. 사용자 인식과 법적인 문제가 해결되기 전에는 여기서 이러쿵 저러쿵 떠들어봐야 무소용이고 이후 덧글은 닫겠습니다.
※ 이 포스트는 더 이상 덧글을 남길 수 없습니다.
<< 이전 페이지 다음 페이지 >>