19년 3월 정리

1.이메일로 공격할 수 있는 방법.

 - active contents : 첨부파일을 열면 악성코드가 실행되어서 바이러스가 확산. VBS,js를 포함함.

 - shell script : 조작된 메일헤더를 포함한 메일을 발송해 해당 시스템에서 특정 명령이 실행되게 함.

2.SSO에 대해

 - 사용자가 여러개의 어플리케이션에 가입하려고 할 때 각각의 어플리케이션마다 로그인을 해야한다.

 하지만 SSO를 이용해 IdP(Identity Provider)라고 하는 시스템에 정보를 저장하면 SP(Service Provider)인 어플리케이션에 로그인할 수 있다. SP가 IdP와 데이터 검증과정을 갖는다.

 - 중앙집중형 접근 관리, PKI를 이용한 kerberos, SESAME를 제공.

 - SPNEGO : HTTP 요청에 대해서 통합인증을 수행하는 SSO.

3.SSL 구성요소

 1)change cipher spec protocol

 - 암호 알고리즘, 키 교환 알고리즘, MAC 암호화, HASH 알고리즘을 어떤걸  사용할 지 클라이언트와 서버에게 공지해주는 프로토콜

 

 2)Alert protocol

  - SSL 통신 중 클라이언트나 웹 서버의 에러로 통신이 중단되면 발생하는 프로토콜.

  첫번째 필드 값이 1인 경우 : warning을 의미. 통신의 중단X

  첫번째 필드 값이 2인 경우 : Fatal로 Alert 즉시 통신 중단.

 

 3)Record protocol

 - change cipher protocol 과정에서 합의된 알고리즘들로 데이터를 암호화 한 후 SSL에서 처리 가능한 크기로 블록화 한 후 선택적으로 MAC을 붙여 전송. 수신 시에는 반대로 복호화, MAC 유효성 검사,압축해제 재결합의 과정을 거침.

4.CWE(Common Weakness Enumeration)

 - 소프트웨어의 주요 취약점, 보안상의 문제점을 분류하여 놓은 목록.

 - 소스코드의 결함을 파악할 때 이용하는 결함 검출 서비스

 

CWSS(Common Weakness Scoring System)

 - 보안 약점의 위험성에 대해 점수화 한 것.

CVE(Common Vulnerabilities and Exposures)

 - 시간이 지남에 따라 감지된 보안 취약점 정리목록.