해킹에 관련해서 사실여부가 밝혀지지 않은 소문들이 나도는 가운데
우선 제가 알고있는 지식선에서 해킹건에 관련해서 몇마디 적어보자고 합니다.
제가 알고있는 지식선이나 생각하는게 100% 맞다는건 아니니 참고해서 보시길 바랍니다.
-게임에서 일어나는 대표적인 해킹들 -
1. 브루트포스
간단하게 말하면 무차별 대입 공격입니다.
고전적이지만 otp가 없을경우 간단하면서 강력한 해킹수단입니다.
GPU가 25개 달린 컴퓨터 한대로
1초에 350B(빌리온 10억)단위의 패스워드를 게스할수 있습니다.
간단히 이야기 하면 알파벳(대소문 52개)로 조합된 의 8자리 패스워드는 151초 안에 깨져요.
숫자+알파벳 조합해도(62개의 8승) 으로 600초 안에 깨집니다.
숫자+알파벳+특문을 하면 조금더 보안력은 상승하겠지만,
숫자+알파벳+특문 조합할때 사람들이 자주쓰는 패턴이 있어요.
첫째 특문의 종류가 제한적 <예 : ! @ # 등> 자주쓰는 특문의 종류가 제한적이며
둘째 특문을 개수를 한정적으로 조합 <예 : 많아봐야 앞뒤로 한개식>
셋째 특문을 사용하는 위치의 패턴 <예 : !sibal0303@> 이런식으로요.
이러한 패턴이 있을경우 오히려 더 취약한 경우도 있습니다.
아무튼 특문까지 조합하더라도 안전하지는 않다는거죠.
부루트포스에 의한 공격은 타겟의 PC에 스파이웨어를 심어야 하거나 하는
수고가 없음으로 OTP(2FA)를 설정하지 않은 불특정 다수의 대상으로 주로 일어나는 해킹수단이에요.
라그는 2차비번 역시 안전하지 않은이유가 제가 알기로
2차비번을 몇번실패할시 잠금되는 장치가 없는걸오 알아요.
2차인증을 3번? 실패하면 최초로그인 단계로 돌아가지요. 2차비번은 이미지 대조만 시켜서 같은 대입공격을
하면 FIN 넘버와 똑같기때문에 부루트포스 방식으로 어렵지 않게 뚫을수 있습니다.
그래서 이러한 부루트포스 해킹을 방어하기 위해서라도 OTP설정이 필요한거고요.
2. OTP설정해도 해킹은 일어난다.
OTP를 설정했을때 해킹이 발생한다면, 본인의 PC가 이미 크래커의 스파이웨어에 감염되어
있다고 보는게 정설입니다.
OTP를 설정해도 해킹할수 있는 방법에는 제가 아는선에서는 크게 두가지인데요.
첫째는 감염된 컴퓨터의 OTP패스워드를 후킹하는 방식이고요.
둘째는 세션 하이재킹입니다.
둘다 사용자의 PC가 크래커의 스파이웨어에 이미 감염된 상태이어야 가능합니다.
아무런 접촉없이는 불가능합니다. 인터넷에 찾아보면 간단하게 이미지로
설명된 도식도가 있습니다.
가) 유저가 로그인한다
나) 휴대폰으로 OTP를 받는다
다) OTP 패스워드를 입력하는 순간 키로그에 의해 크래커의 OTP패스워드가 전송된다.
라) 유저는 스파이웨어에 의해 접속불가 현상이 생긴다.
마) 크래커의 PC에 전송된 OTP 패스워드가 자동입력되어서 로그인된다.
바) 이사이에 계정이 털리고 유저의 접속불가 현상이 회복되었을땐 이미 도난행위가 끝남.
위와같은 경우가 아니라더라도
OTP를 설정했지만 접속해보니 계정이 털려있더라 하는경우도 있습니다.
TCP세션 하이재킹에 의한 도용사례로 짐작되는데요
역시 스파이웨어에 의해 사용자의 TCP정보가 넘어가 있는 상태이여야만 가능한 해킹기법입니다.
-이러한 해킹들의 피해를 최소화 시키는법-
1. 우선 PC가 감염되면 답이없습니다.
첫째 - 구버전 익스플로러를 사용하고 계신분들은 인터넷 익스플로러 업데이트를 하세요.
웹세션 해이재킹의 취약점을 보완.
둘째 - 웹하드, 토렌트 등 P2P사용을 금지하고, 게임게시판 등에서 배포하는 파일들을 함부로
받지않는걸을 추천합니다.
셋째 - 게임또는 은행거래등을 이용하는 pc와
웹서핑및 웹하드 이용 pc를 따로사용 하실수 있으면 더욱더 안전하겠죠.
2. 브루트포스 해킹방지법
브루트 포스의 취약점은 복잡도입니다.
간단하게 패스워드를 길게 만드는것만으로도 방어할수 잇습니다.
위에서 설명했지만 게스할 단위가 늘어나면 늘어날수록 브루트포스로 뚫는데 시간이 걸립니다.
보통 패스워드를 설정할때 사람들이 자주쓰는 패스워드 자리수는
12자리를 넘지않습니다. 이런경우 하고자하면 쉽게 도용당하죠..
하지만 ! 간단하게 예를들어서
"라그는궁발놈이답" 이라는 한글을 영문키로 입력해놓고 사용하면
->fkrmsmsrndqkfshadlekq"
라는 21자리의 영문패스워드가 완성됩니다.
이런식의 패스워드를 설정하면 기억하기도 쉽고 특정패턴이 없지요.
이는 52의 21승이라는 단위가 됨으로 위에서 설명한 pc로 브루트포스 공격을 할시
게스할려면 몇초 몇시간이 아니라 year(연단위)가 걸립니다.
라그의 비밀번호 설정은 최대 24자리까지 됨으로 이런식으로 패스워드 설정하면 최소한 브루트포스
공격에는 안전성이 확보된다고 말할수 있습니다.
아무튼 제가 알고있는 지식선이나 상식선에서는...
직접접촉이 전혀없는상태에서 일어나는 해킹은 브루트포스 공격뿐이며
이는 OTP설정으로 해결할수 있고, 위와같은 방법으로도 보완할수 있습니다.
PC가 자신도 모르는사이에 크래커의 스파이웨어에 감염되었다면 그냥 답이없어요.
라그 DB서버자체가 털렸다는 가성은 희박하다고 봐요.
그랬으면 아마 바로아래에서 설명하겠지만
그... 스펨메일이 일부유저가 아닌 전유저에게 다날라왔을테니깐요..
-라그 DB서버가 털려서 유저의 휴대폰에 스펨문자가 날라옴-
라그 DB서버가 털린게 아니냐는 말이 떠돌지만
DB서버는 우선 외부토프를 허용하지 않는게 일반적이며 공인망과 트래픽도 분리시켜놓는게
일반적이라 100%는 아니지만 가능성이 희박하다고 보네요.
게임업계쪽에서 로그인정보가 비정상적으로 다량 유출되면
DB서버에 직접적으로 접근했다기 보다 권한자의 PC가 먼저감염되고
어플리케이션 서버가 공격당했다고 보는게 정설이거든요.
아무튼 제 예상으로는 이러한 스펨문자가 날라오는건
브루트포스에 의해서 공격당한 계정일 확률이 높아요.
일단 브루트포스로 뚫어버리면 라그홈페이지에서 개인정보는 손쉽게 볼수있거든요.
크래커가 부가적인 수입을 위해서 휴대폰정보를 이러한 스펨 광고주들에게 팔아넘긴라고 생각하는데
더 가능성 있는 추측이라고 보기에..
아무튼 모두 새해복 많이 받으시길..
발리라아
