이중인증
-
뱅킹 트로이목마로 이중인증 무력화카테고리 없음 2016. 8. 8. 13:03
문자메시지를 통한 이중인증은 은행들이 많이 사용하는 방식이다. 이중인증은 물론 암호만 확인하는 방식보다는 안전하지만 결코 무적은 아니며 보안전문가 그리고 맬웨어제작자들은 10년 전 이중인증이 널리 채택되기 시작할 당시에 이미 이를 어떻게 속일 수 있는지 간파해 냈다. 그렇기 때문에 트로이목마 제작자들은 일회용 문자메시지 인증을 어렵지 않게 뚫을 수 있으며 그 과정은 다음과 같다.1. 사용자가 스마트폰에서 정상적인 뱅킹 앱을 실행한다.2. 트로이목마가 뱅킹 앱을 탐지하고 해당 앱의 인터페이스를 복사하여 자신을 위장한다. 이 경우 가짜 화면과 원래 화면과 동일하게 보인다.3. 사용자가 가짜 앱에 로그인 아이디와 비밀번호를 입력한다.4. 트로이목마가 범죄자 측에 로그인 정보를 전송하면 범죄자가 이 정보를 이용..
-
이중인증(two-factor authentication) 보안 우회과정IT 정보/IT, 보안 소식&팁 2016. 5. 25. 16:20
이중인증방식은 보기와 달리 완벽하게 안전하진 못하다. 피해자가 사용하는 이동통신업체나 이중인증방식 자체를 기만할 경우 물리적 인증토큰이 없이도 이중인증을 뚫을 수 있다. 물론 어떤 보안대책도 완벽하다고는 할 수 없기 때문에 이중인증방식이 그 자체로 뒤떨어지는 방식이라고 할 수는 없다. 취약점은 바로 이동통신업체 대부분의 경우 이중인증은 로그인 시도시 사용자 휴대전화로 SMS를 전송하는 방식으로 이루어진다. 사용자가 휴대전화상에서 별도의 앱을 통해 코드를 생성하기도 하지만 대체로 휴대전화에 전송된 SMS 코드를 통해 로그인이 가능하다. 혹은 사용자가 비상시 전화번호로 등록한 번호를 실제로 사용한다는 점이 확인되고 나면 이중인증 자체가 생략되기도 한다. 사용자의 고유한 전화번호가 있고 이 번호를 이동통신업체..