W2 — 보안 요약 & 8/6 실습

[00:07 - 00:19] Speaker 1: 혹시 아직 1 주차, 2 주차 된다고 안 하는 거 아시죠? 그러면 그 세팅을 먼저 일단 좀 오신 김에 지금 시간 있으니까 좀 해드릴게요.
[00:23 - 00:57] Speaker 1: 저희 강의 사이트 저기에 지금 인터넷에 혹시 타스팟을 아시죠? 저기에 보면 그 뭐 좀 까는 그 가입자, 가입가 있거든요. 그거를 한번 보시고 천천히 하면은 아마 까질 수 있거든요. 그게 세팅이 되어야 이제 개발을 진행할 수가 있어가지고 그거 안 되면 저한테 주시면 에러나 이런 거 나는 거 있으면 그렇게 해주시고.
[01:29 - 01:29] Speaker 1: 안녕하세요.
[02:17 - 02:18] Speaker 2: 이거 네이버 같은 거.
[02:26 - 02:27] Speaker 2: 인터넷.
[04:17 - 04:17] Speaker 2: Hey Cortana.
[06:30 - 06:34] Speaker 1: 아니 이거 엔터 어떻게 찍어? 에너지가 안 되던데?
[06:36 - 06:40] Speaker 1: 그러니까 이거 어떻게 실행하는 거야? 아 근데.
[06:42 - 06:46] Speaker 2: 우리 시타로이는. 시폰으로 찍는.
[07:22 - 08:14] 김승원: 이제 저희 3 주차인데 한번 시간이 돼 가지고 진행해 보도록 하겠습니다. 오늘도 대략 12 시 50 분까지 강의를 하고 그리고 커피포트에서 커피 한잔 하는 걸로 마무리하도록 하겠습니다. 일단 처음 오신 분들도 있을 것 같아 가지고 저희가 세 번째 강의인데, 일단 빠르게 1 주차랑 저번 주에 뭘 했는지 먼저 recap 을 먼저 하고 그리고 오늘은 보안, 사이버 어택, 보안 이런 것들에 대한 개념을 한번 간단히 설명드리겠습니다 그리고 이거를 내가 만든 그 프로그램에 어떻게 구현시킬지 그것도 간단하게 설명드릴게요 일단은 저희가 1 주차 때 여기 처음 오신 분들은 이 사이트를 제가 계속.
[08:14 - 09:06] 김승원: 핸디에도 계속 공유를 드리는데요. 여기에 들어오시면 강의 자료를 계속 보실 수 있습니다. 그래서 강의자료 뭐 주차별로 있으니까요. 여기서 메인 사이트에서 수업 슬라이드가 계속 올라오니까 이걸로 한번 보시고 복습이나 미리 한번 보셔도 좋을 것 같습니다. 그래서 일단은 첫째 주는 클래스 소개랑 전체 개발 프로세스가 어떻게 진행이 되는지 이런 것들에 대해서, 가르쳐 드렸고요 그리고 저번 주, 그러니까 두 번째 주에는 편집기라고 하죠 프로그래머들이 이렇게 프로그램 코딩을 하는 이런 편집기랑 그리고 클라우드 코드를 어떻게 설치하는지 뭐 이런 편집기나 아니면 이런 터미널에서 결국엔 클라우드를 이렇게 치면은 이게 이제 뜨셔야 됩니다 사실 그렇게 세팅이 돼야 여기서도 뭐 편집기에 있는 터미널이나 혹은 이런 터미널이나 이게 이제.
[09:07 - 09:53] 김승원: 설정이 돼야 그때부터 개발을 할 수 있습니다. 그래서 이거 세팅을 완료가 안 되신 분들은 저에게 팬디나 편하게 연락 주시면은 일단 여기에 까는 법을 설치하는 법을 안내해 드리긴 했거든요. 그래서 이걸 한번 보시고, 직접 해보시고 혹시 안 되는 게 있으면 저에게 그걸 주시면 제가 안내드리겠습니다 윈도우나 맥에 대해서 요거 다운로드 받고 여기 있는 인스트럭션 대로만 하면 아마 잘 될 겁니다 그래서 한번 해주시고요 그래서 오늘 강의는 사실 좀 개념적인 강의를 조금 드려야 될 것 같아요 그래서 뭐 보안, 보안이 이제 어떻게, 우리가 프로그램 개발할 때 보안을 어떻게.
[09:54 - 10:40] 김승원: 구현시켜야 되는지 뭐 그리고 또 그런 기본적인 개념들을 엄청 무겁게는 아니고 가볍게 사례들 위주로 제가 정리를 해놔서 그래서 나중에 이거를 이제 내가 구현시킬 때 이런 식으로 하면 될 것 같아요. 지금 제 목소리가 녹음이 되고 있거든요. 그래서 이런 뭐 제가 뭐, 보안, 인증, 인가, JWT, 세션, 쿠키 이런 것들을 쭉쭉 키워드를 말씀드릴 거예요 그러면 그걸 이제 복사해서 클라우드에 넣고 내가 이제 이런 보안 개념을 잘 내 앱에 적용시키고 싶다 어떻게 한번 설계를 먼저 해보자 이런 식으로 활용을 해주시면 좋을 것 같습니다 그래서 좀 가볍게 들어주세요 일단 보안이라는 건 심플하게 말해서 저희가 단계가 굉장히 뭐 어떤 소프트웨어를 사용하면.
[10:40 - 11:35] 김승원: 처음에 로그인을 하잖아요 어떤 로그인을 하고 그리고 아이디, 패스워드를 입력하거나 로그인을 하고 그 뒤에 이게 서버로 암호화해서 전송이 됩니다 이게 저희가 했던 예를 들어 아이디, 패스워드 뭐 이런 것들이 패킷화 돼서 저희 라우터를 통해서 저희 지금 와이파이나 아니면 데이터 라우터를 통해서 이렇게 타고타고 네트워크를 향해서 그 메인 서버에 결국 이 메시지가 가게 되고요, 그러면 그 메시지, 아이디나 패스워드 이것을 그냥 보낼 수는 없겠죠 이런 것들을 다 이제 암호화해서 보내야 돼서 이게 https 라고 하는 암호화인데 여기 심플하게 여기 보시면 https 라고 여기 적혀 있죠 요게 이제 암호화해서 내 데이터나 이런 것들을 보낸다고 생각하시면 될 것 같습니다 가령 이게 네, 그렇게 좀 생각해 주시면 될 것 같고요 간단하게 말씀드리면 그리고 뭐 이런.
[11:36 - 12:16] 김승원: 전체적인 플로우를 말씀드리면 그러면 이런 요청이나 이런 브라우저에서 유저가 이런 로그인이나 아니면 내가 던지는 이런 것들을 무한정 많이 받으면 안 됩니다. 이것을 그래서 Rate Limit 이라고 해서 최대 얼마만큼 요청할 수 있게끔 이렇게 제안을 걸고요. 그리고 로그인할 때 이 사람의 패스워드를 우리 데이터베이스에 있는 암호화된 패스워드랑 맞춰서 이게 맞는지 확인을 하는 과정도 필요하고, 그리고 유저가 이런 사이트에서 클릭을 할 때마다 이 사람이 이 유저인지를 체크를 해야 됩니다 이걸 이제 권한이라고 하는데 쉽게 말씀드리면 제가 뭐 제 클라우드코드 계정이 있잖아요?
[11:36 - 12:57] 김승원: 제 클라우드코드 계정이 있으면 여기에 최근 항목을 누르면 그 유저에 대한 최근 항목만 떠야겠죠? 다른 사람의 최근 항목을 주면 안 되겠죠? 그래서 서버에서는 제가 여기 제가 로그인이 되어 있고 최근 항목을 누르면 나에 대한 데이터를 보여줘야 됩니다, 그래서 그런 이렇게 막 하나하나를 클릭할 때마다 내가 했던 그 유저가 했던 이런게 있네요. 그리고 그 유저가 했던 정보를 보여줘야 됩니다. 남의 정보를 보여주면 안되겠죠 그래서 이런 식으로 최근 항목에 뭐 이런 것들 다 그래서 이런 것들을 이제 권한 체크라고 할 수 있고요 그 뒤에 뭐 저장을 할 때는.
[12:59 - 13:32] 김승원: 이걸 이제 평본으로 저장하면 안 되고 암호화해서 저장을 해야 됩니다. 이것도 제가 좀 이따 좀 쉽게 설명을 드릴게요. 그냥 전체적인 흐름이 이렇다고 보시면 되세요. 그래서 내가 이제 정보를 보낼 때 이걸 암호화해서 보내고 그리고 서버에서는 무한정 유저의 request 를 처리하는 게 아니라 일정 부분 제한을 줘야 된다. 그리고 로그인이나 혹은 유저가 하나하나 클릭을 할 때마다 그 사람에 대한 정보만 보여줘야 됩니다. 그리고 그 주요 정보들은 암호화해서 저장을 해야 되고 나갈 때도 이런 유출에 대해서 조심해야 됩니다.
[13:32 - 14:17] 김승원: 이렇게 일단은 그래서 일단 지난 2 주차 동안 했던 게 개발 프로세스가 어떻게 진행이 되는지 그리고 이걸 가지고 어떻게 프로들에게 구현시킬지 이걸 지난 2 주 동안 제가 설명을 드렸는데요. 이거는 1,2 주차 때 안 오신 분들은 추가적으로 슬라이드나 아니면 제가 요약본이 있으니까 그걸 좀 참고해 주시면 될 것 같습니다 그래서 이런 기획서를 작성하고 클로드한테 이 기획서대로 만들어 줘 했을 때 이런 로컬 파일을 저장해서 이렇게 기본적인 앱이 나옵니다 그래서 이번에는 이제 그러면 거기 최소 기능 제품의 보안을 좀 더 다루도록 하겠습니다.
[14:18 - 14:49] 김승원: 그래서 제가 케이스 스터디로 실제 예시를 많이 모아봤습니다. 가령 제가 인터넷에 사이트를 배포하게 되면 그때부터 바로 스캔이 들어옵니다. 이런 봇이나 이런 것들이 스캔을 해서 비밀번호나 이런 것들이 계속해서 들어오거든요. 이런 스캔 시도가 그래서 이런 식으로 일반 사이트들도 거의 1 억원 정도의 호스팅 비용이 들 정도로, 보안을 좀 취약하게 해두면.
[14:50 - 15:21] 김승원: 결국에는 이런 지금 제가 여기 배포한 이 위키 사이트도 어떻게 보면 제가 이렇게 배포를 했는데 여기에 너무 많은 요청이 들어오면 이게 이제 비용으로 들어가는 거죠. 보통 이런 걸 배포를 할 때 AWS 나 사내는 공사 클라우드나 이런 것들을 사용하는데 저희 하드웨어를 사용하면 사실 서버 비용이 부담이 없어요. 근데 AWS 나 혹은 구글 클라우드 이런 것들을 사용하면 그게 다 이제 비용으로 들어갑니다. 쉽게 말씀드리면, 이렇게 지금 이 사이트가 위키 사이트가 배포가 된 상태입니다.
[15:21 - 15:55] 김승원: 그리고 그게 한 달에 얼마씩 비용이 나오거든요. 그 과정은 나중에 이런 AWS 에서 매달 얼마 비용을 계속 내고 있습니다. 이게 로그인이 오래 걸려서 제가 좀 생략을 할 건데요. 그래서 이런 식으로 허술하게 된다면 이런, 사람들이 계속 미친듯이 이렇게 요청을 하면 그 요청마다 트래픽이 몰려서 그걸 처리하는데 비용이 들거든요. 그래서 이런 것들을 계속 Rate Limit 이라고 해서 특정 시도가 너무 많이 들어오면 이것을 제한하는 게 필요합니다.
[15:56 - 16:35] 김승원: 그 뒤로는 많이 아시다시피 SKT 를 쓰시는 분들은 작년에 유심 때문에 좀 곤혹스러우실 경우가 있었을 건데요. 쉽게 좀 말씀드리면 요거는 이제 SKT 에서 유심이 해킹된 겁니다. 그 유심 정보가 저희 핸드폰마다 유심이라는 게 일대일 대응되어 있는데 그 유심 정보가 평문으로 DB 에 저장이 되어 있는 거거든요. 쉽게 그래서 제가 뭐 이렇게 사실 정치적으로 그런 건 있지 않고요 여기서 뭐 그 이분이 보니까 하버드 여기 컴퓨터공학 나오셨더라고요 그래서 SKT 사태 때 뭐.
[16:36 - 16:39] 김승원: 왜 이렇게 했는지 좀. 마케팅 쪽입니다.
[16:39 - 16:52] Speaker 4: 그쪽은 암호화가 거의 다 되어있다고 봅니다. 네트워크 쪽은 현재 암호화가 되어있지 않은 부분이 많습니다. 암호화가 되어있지 않다? 법적 사항도 좀 그랬고요. 그리고 저희도 그 부분에 대해서 굉장히 반성을 하고 있고요. 암호화를 진행할 예정입니다. 문제적 알고리즘을 파악한 이준석.
[16:53 - 17:23] Speaker 5: 저는 SK 도 개발자 중에 훌륭한 분이 많을 텐데 이건 기본적인 코드 설계의 문제라고 보는 겁니다. 우리가 보통 간단한 사이트도 인증용으로 이렇게 개인정보를 활용하는 경우에는, 해시 값을 비교하는 방식으로 쓰지 이런 식으로 핸드폰 열고 켤 때마다 집이 가서 실제 이 유심의 번호가 일치하는지 보는 서비스는 구축되어 있는 것 자체가 리스크입니다. 그리고 SK 텔레콤이 30 년 가까이 사업을 영위하면서 이런 것에 대한 것도 보완을 챙기지 않았다고 하면 저는 이거는 굉장히 위험하게 전 세계 투자자나 이런 사람들이 반응할 것 같거든요.
[17:23 - 17:36] Speaker 4: 위원님 말씀하신 거에 동의를 하고요. 근데 일단 표준 기반으로 설계가 되어 있는 장비였고요. 저희가 약간 늦었지만, 암호화에 대한 계획이 있었습니다. 그래서 진행 중이었는데 이 장비가 암호화 되지 않은 상태에서 지금 암호화를 계속 해나가고 있습니다.
[17:37 - 18:07] 김승원: 요게 쉽게 말씀드리면 내부에 유심 값이 예를 들어 핸드폰에 보시면 유심 값을 확인하실 수 있을 거예요. 근데 그 값이 데이터베이스에 평균으로 저장이 되어 있는 겁니다. 보통 이런 것들은 이제 암호화해서 저장을 하거든요. 근데 평문으로 저장이 되어 있으니까, 이게 해커가 이것을 봤는데 이게 그대로 평문으로 되어 있으니까 그대로 유출이 된 거거든요. 그리고 실제로 또 유출된 그 경로도 되게 좀 어이가 없네요. SKT 에.
[18:07 - 18:41] Speaker 6: 있던 유신 정보가 해킹 당한 게 아니었습니다. 어렵게 해킹까지 할 필요가 없었고 그냥 이랏수자이마세이였고요. SKT 사내에 네트워크망이 있고 그 안에 서버 컴퓨터들이 있었는데 몇 개가 외부 인터넷에 연결이 되어 있었습니다. 해커가 그 인터넷 통로를 통해서 이렇게 서버 컴퓨터 한 대에 이렇게 침입을 했는데 근데 거기에 수상한 아이디 비번이 평문으로 저장이 되어 있었습니다. 실은 옆에 컴퓨터, 컴퓨터에 접속하기 위한 IDP 번이었고요. 그래서 그 정보들로 그 옆에 있는 컴퓨터에 접속을 해봤는데 근데 거기엔 또 IDP 번이 평문으로 이렇게 뭔가 저장이 되어 있었습니다. 실은 유심 정보를 관리하는 그 중요한 서버 컴퓨터에 접속을 하기 위한 IDP 번이었고요.
[18:41 - 18:48] Speaker 6: 그래서 유심 관리하는 컴퓨터까지 접속을 해서 악성 코드를 설치할 수 있었고요. 결국 유심 정보를 전부 들어갈 수 있었습니다.
[18:48 - 19:22] 김승원: 그래서 여기 그 메인 서버에 일단 두 가지 문제가 있었는데요. 여기, 메인 서버에 USIM 이 평군으로 저장되어 있던 게 제일 큰 문제이고 그리고 그것과 더불어 아웃바운드, 예전에 외부망에 연결된 하나의 PC 에 PC 를 들어가 보니까 로그인 패스워드가 하나의 평군으로 또 있는 거죠 그래서 이게 뭔지 봤더니 옆의 PC 에 접속할 수 있는 아이디, 비밀번호였고 그것을 통해서 또 옆의 PC 에 갔더니 또 어떤 특정 아이디 비밀번호가 있는데 이거는 USIM 을 메인 서버에 접속할 수 있는.
[19:23 - 20:02] 김승원: 더했던 거죠. 그래서 일단은 비밀번호랑 아이디 자체가 여기 로컬에 그대로 저장되어 있던 게 하나의 문제이고 그리고 또 데이터베이스 안에. 해시값 되지 않는 유심이 있었던 게 이제 두 번째 문제였습니다 그래서 일단은 뭐 그런 사항이라서 그래서 결국에는 틀렸을 때 이것을 활용할 수 없게끔 해시값을 저장을 해야 됩니다 그 해시값은 여기 보시면 강의 슬라이드에 보통 이 해시값을 생성할 수 있는 사이트가 있거든요 BCR, YPT,
[20:03 - 20:45] 김승원: 다시 generator.com 을 보시면 예를 들어 제 비밀번호가 IIAC1234 다 그러면 이것을 이제 데이터베이스에 저장할 때는 이것을 그대로 평문으로 저장하지 않습니다 여기 보시면 뭐 이런 해시 알고리즘을 써서 해시가 Hashbrown 할 때 그 해시입니다. Hashbrown 을 보면 감자를 이렇게 으깨서 만들고 다시 감자로 못 돌아가잖아요 그게 그냥 Hashbrown 처럼 있잖아요 그것처럼 이 해시도 한번 이렇게 암호화를 시켜두면은, 이것을 복구할 수 없습니다 그래서 해커가 이것을 탈취를 하더라도 이 해시에 대해서 내가 활용할 수 없는 거죠 그러면 서버에서는 어떻게 이 사람에 대한 원래 패스워드를 모른 채 인증을 하냐?
[20:46 - 21:22] 김승원: 서버에서는 이렇게 인증을 합니다. 이 정보는 모르지만 유저가 이걸 입력했을 때, 이 해시값이 변하잖아요? 그럼 이 해시값, 변하는 해시값이랑 데이터베이스에 있는 user password has 값이랑 체크를 합니다 그래서 그게 맞으면 유저 로그인이 되는 거고 틀리면 이게 에러가 나는 거죠 그런 식으로 이렇게 되어 있는 상황이고 그래서 이렇게 보시면 이 해시값이 데이터베이스에 이런 식으로 저장이 되어 있고 그리고 original text 를 만약에 유저가 AIC1234 로 입력했을 때 이게 이제 맞으면 로그인이 되는 거고 예를 들어 3 번이라고 입력하면 이게 이제 틀린 거죠.
[21:22 - 21:52] 김승원: 이런 식으로. 그래서 관리자는 절대 개인정보나 이런 것들을 볼 수 없이 해싱으로 저장을 해야 됩니다. 근데 유심 같은 경우는 해시로 저장이 안 된 거죠. 사실 패스워드나 이런 것들은 해시로 다 저장을 하는데 SKT 에서도 유심에 대해서는 그거를 인지를 못한 것 같아요. 조금 더. 근데 LCU+나 아니면 KT 는 그게 이미 유심도 암호화해서 저장을 하고 있다고 하더라고요. 그래서 이번에 이제 SKT 도 한번 그런 공격을 겪은 상황이고.
[21:53 - 22:21] 김승원: 그렇습니다 그래서 이렇게 평문으로 저장하지 않고 이렇게 뭐 다양한 알고리즘이 있는데요 BCR, YTPT 이렇게 궁금하시면 이거는 이제 자세히 찾아보시면 되는데 이런 걸 쓴다고 그냥 알고만 계시면 될 것 같습니다 그래서 이렇게 이제 데이터베이스에는 이러한 방식으로 저장을 한다 그래서 털려도 이걸 입력하면 당연히 로그인을 못하겠죠? 해커는 그렇게 되어 있습니다 그리고 두 번째로는.
[22:23 - 22:48] 김승원: 유저가 그 사이트에서 클릭을 할 때마다 이 사람이 이제 누군지 이것을 확인해야 됩니다. 쉽게 말씀드리면 아까 제가 클라우드 사이트를 보여드린 것처럼 제가 여기 로그인을 했을 때 최근 항목이나 아니면 이런게 있을 수 있겠죠. 또 저희 위키 사이트를 보시면 여기에.
[22:50 - 23:17] 김승원: AI 계정 예약이 있습니다 그러면은 이런 것들에 보면은 내 AI 계정에 대한 정보가 있어야겠죠? 근데 다른 사람의 AI 계정이나 이런 것들이 있으면 안 됩니다 예를 들어 제가 여기서 이제 로그아웃을 하고 다른 계정으로 로그인하면 그 사람에 대한 그 정보가 떠야겠죠? 그런 식으로 여기 사이트에서 어떤 것을 클릭할 때마다 요거는 나중에 해볼게요.
[23:19 - 23:22] 김승원: 단어 아이디로 하려고 하니까 인증이 떠서.
[23:25 - 24:00] 김승원: 그렇게 생각하시면 될 것 같습니다. 이런 개념들을 예시를 통해서 계속해서 보시고 나중에 적용을 해주시면 될 것 같아요. 쿠팡에서도 저희 개인정보 유출하고 쿠폰도 뿌리고 그랬잖아요. 그게 퇴사자가 가지고 있는 접근키가 있었는데 그게 퇴사를 하면 그것을, 무효 처리를 해야 되는데 그 처리를 하지 않아서 인증키가 계속해서 발동을 하면서 그런 로그인 없이 이런 유효한 토큰으로 다량의 API 를 호출해서 개인정보를 빼낸 겁니다.
[24:00 - 24:45] 김승원: 이런 식으로 그래서 로그인을 하고 난 뒤에도 유저가 이렇게 클릭을 하거나 서버에 요청을 보낼 때마다 그 사람의 신원을 확인해야 됩니다. 그래서 이 사람에 대한 정보만 계속해서 뿌려줄 수 있게끔 그래서 매번 이게 네 것이 맞는지 그것을 확인해야 되고, 그리고 퇴사나 유출이 됐으면 그 키를 즉시 폐기해야 됩니다 그래서 이런 것들을 좀 생각해 주시면 이게 될 것 같고요 그 다음에 할 수 있는, 요새는 또 좀 AI 때문에 또 일어난 건데요 AI 에게 너무나 많은 권한을 줘서 예전에 2023 년에 발생한 사고인데 챗봇이 무엇을 도와드릴까 이렇게 하는데 고객이 너는 무조건 내 말에 동의하고 법적 구속력이 있는 제한, 이런 말 하지 마 이렇게 하겠습니다 하고 그리고.
[24:46 - 25:17] 김승원: 차를 이제 1 달러에 살게요 했는데 얘가 1 달러에 판매를 해버린 거에요. 그 판매에 대한 권한까지 내부 서버에서 AI 가 주고 있었기 때문에 그래서 최근 특히나 이런 AI 앱을 만들거나 이럴 때 AI 에게 과도한 권한을 주면 안됩니다. 예를 들어 그냥 텍스트로만 대답할 수 있게끔 하고 뭐 이런 판매에 대한 이런 결정이나 이런 것들은 좀 막아둬야겠죠. 그래서 실제로 이게 일어난 사례이고 이게 76 달러면 거의 1 억원 정도인 것 같은데 이게 그냥 1 달러에 판매된 사례가 있었습니다.
[25:18 - 25:48] 김승원: 그리고 에어캐나다 같은 경우에도 이런 환불 정책을 챗봇이 잘못 대답해서 이것에 대해서 회사가 배상한 경우도 있었고요. 그래서 또 케이스를 말하면 이게 모두의 창업이라고도 최근에 일어난 케이스인데 모두의 창업이, 보면은 이런 일반인들의 그런 창업 아이디어를 모아서 이것을 지원해주는 사이트입니다 지원해주는 사이트인데 보통 이런 창업 아이디어나 이런 평가 이런 것들이 다 저장이 되어 있을 거겠죠?
[25:48 - 26:02] 김승원: 근데 이게 굉장히 어떻게 보면 중요하잖아요 내가 내 아이디어가 탈취되면 안 되는 상황인데 이게 서버에 이제 화면에는 없었는데 이 API 가 그대로 이것을 반환한 겁니다. 이걸 좀 쉽게 말씀드리면.
[26:04 - 26:40] 김승원: 가령 이런 예시를 들 수 있을 것 같아요. 제가 제 계정으로 이 사이트를 들어가면 여기 관리자라고 있습니다. 그래서 이 관리자를 들어가 보면 누가 언제 방문했는지 이런 것들을 다 알 수가 있어요. 알 수가 있는데 근데 아마 다른 분이 여기 들어가시면 이게 없을 거예요. 이런 식으로 이렇게 이게 아마 지워져 있을 거고 그리고 이 두 개만 있을 건데 이런 식으로 화면에는 이제 이게 뜨지 않는데 관리자를 하면 이런 식으로 주소가 뜨잖아요. 이 주소를 이제 그 해커가 이 주소를 쳐서 그래서 그냥 이 화면이 아니라 주소로부터 정보를 다 받은 것이거든요.
[26:40 - 27:02] 김승원: 근데 이 주소를 쳤을 때 이 사람이 누군지에 대한 그 인증, API 인증을 계속 저희가 말씀드리는 유저가 어떤 활동을 했을 때 이 사람이 누구인지를 지속적으로 검증해야 되는데 그것을 알아다 보니까 그냥 바로 이렇게 사이드가 털려서 그래서 이런 발표 자료가 결국엔 그 모두의.
[27:04 - 27:38] 김승원: 창업이 정말로 모두의 창업으로 만들어버린 그런 사례가 되어버렸습니다. 그래서 듣기로는 이게 굉장히 좀 이 사이트가 허술하게 구현됐다고 들었어요. 저희도 지금은 이렇게 되어 있긴 한데 이 5000 명에 대한 아이디어가 다 털린 거죠. 그래서 요새 스타트업에 대한 기술을 뺏기고 이런 거에 대해서 소송도 되게 많은데 그 초기 단계에 이런, 열심히 내가 연구하는 아이디어나 이런 것들을 제출했는데 그게 이제 그대로 빠져나간 그런 상황입니다.
[27:39 - 27:42] 김승원: 그래서 그렇게 좀 봐주시면 될 것 같고요.
[27:45 - 28:16] 김승원: 그리고 또 이런 브라우저 딴에서 또 이게 일어나는 일도 있습니다. 예를 들어 다른 사람이 댓글이나 아니면 어떤 특정 특성 코드를 심어서 그게 내 브라우저에서 실행이 돼 가지고 내 개인정보가 좀 빠져나가는 이런 일도 있고요. 그래서 이런 XSS, CSRF 란 어려운게 있는데 다른 사람이 내 쪽에 어떤 코드나 이런 것들을 심어서 그래서 내 개인정보를 빠져나가는 그런 것이라고 생각해주시면 될 것 같습니다.
[28:18 - 28:49] 김승원: 그래서 결국에는 보안에 정답은 없거든요. 보안이라는 게 사람들이 어떤 정보를 계속 보내고 그럼 그 비정상적인 입력에 대해서 처리를 해야 되는 건데 이것을 좀 여러 가지로 다층으로 방어를 해야 됩니다. 그래서 예를 들어 사람들이 너무 많이 걸리면 이것을 걸어야 됩니다. Late limit 이라고 하면 이런 게 있을 수 있겠죠. 제 사이트도 보면 관리자에서 여기 행동을 보면 들어오실 때마다 특정 유저의 IP 랑 그리고 이 엔드포인트라고 해서 이 사람이 여기에 접근을 하면.
[28:50 - 29:23] 김승원: 이 접근에 대한 로그를 가지고 있습니다. 근데 쉽게 말씀드리면 제가 여기서 이렇게 한번 치면 제 아이디고 이 IP 가진 사람이 이쪽을 접근을 한 거죠. 이것을 어마어마하게 봇이나 이런 것들로 몇 천 번, 몇 만 번 때려버리면 이게 요금이 또 폭증할 수 있거든요. 이런 것들을 막는 겁니다. 그래서 특정 IP 에 대해서 이 IP 에 대해서 그리고 특정 주소에 대해서 과도하게 이게 있으면 이것을 막아주는 거죠.
[29:23 - 29:31] 김승원: 그리고 특정 IP 를 먼저 밴 시키고 나중에는 이 아이디를 또 밴 시키기도 하고요. 그렇게 진행을 합니다.
[29:33 - 30:11] 김승원: 그리고 로그인도 계속 실패하면 잠금시키거나 아니면 요청마다 소유자를 확인하거나 이렇게 진행을 합니다 이런 다양한 사례로부터 지켜야 될 것들을 나중에 클라우드한테 토의를 하면서 하나하나 어플리케이션에 적용해주시면 될 것 같아요 그래서 이거를 제가 녹음되고 이런 슬라이드를 전체를 다 클라우드 쪽에 주시고 이렇게 할 수 있겠죠 예를 들어, 클라우드. 가 있으면은 뭐 이게 좀 작.
[30:12 - 30:30] 김승원: 그러니까 좀 비울게요 그래서 실제로 이런 것들 적용하실 때 이런 보안 기초가 있으니까 내 어플리케이션에 적용해보자 내 어플 먼저 뭐.
[30:32 - 31:04] 김승원: 이런 식으로 해서 그래서 이런 여러가지 소스들을 가지고 하나하나 클로드랑 제 것에 적용을 해주시면 될 것 같아요. 그래서 이걸 가지고 이제 좀 설계를 하는 거죠. 먼저 일단 설계 문서 먼저 해볼까 해서, 디자인 다큐먼트라고 해서 보통 개발을 할 때 특정 기능을 추가할 때마다 우리가 설계 문서를 씁니다.
[31:04 - 31:17] 김승원: 그래서 디자인 다큐먼트 양식이 여기 있으니 이런 것들에 대한 개념을 적용해보자 해서 여러 가지 디자인 다큐먼트를 만들면 이런 식으로 아마 만드실 수 있을 겁니다. 그래서 이렇게.
[31:27 - 31:52] 김승원: 그래서 이런 걸 가지고 보안 디자인 문서가 있으니까 이 문서를 가지고 여기 뭐 채워줘 하면은 얘가 이런 설계 문서를 작성해 줄 겁니다. 그래서 이렇게 설계 문서를 작성한 뒤에 내 프로그램에 이 설계 문서를 그대로 적용해 줘 하면은 이렇게 하나씩 구현을 할 수 있는 거죠. 그런 방식으로 좀 진행을 할 수 있을 것 같습니다.
[31:54 - 32:24] 김승원: 그리고 이것을 이제 만들었을 때 왜 이런 결정을 했는지 하나의 디시전을 만들 수 있을 것 같아요. 그래서 예를 들어 다양한 기술이 있는데 이 기술을, 여러가지 기술을 왜 결정했는지 이 문서를 하나 만들고 이렇게 만든 이유는 이런 문서 관리나 이런 기록들을 계속해서 저장함으로써 다음에 새로운 사람이 왔을 때 이것을 보기도 쉽고 빨리 온보딩 할 수도 있고 또 나중에 이것을 바탕으로 좀 더, 좀 고도화된 그런 것들도 쉽게 적용할 수 있을 것 같습니다.
[32:25 - 32:33] 김승원: 이것도 최근에 또 어제 한 따끈따끈한 소식인데요. 이게 한번 좀 쉽게 말씀드리면.
[32:34 - 33:03] Speaker 7: 허깅페이스가 오픈 AI 모델에 의해서 해킹을 당했습니다. 얼마나 해킹을 잘하는가를 평가를 돌린 겁니다. 샌드박스 테스트 환경에서 돌렸는데도 불구하고 자기 스스로 풀지 않고 정답지를 찾아야겠다라는 판단으로 해킹을 시도를 한 겁니다. 가둬놓은 환경 안에서도 취약점이 있을 거잖아요. 그걸 찾아서 알아서 뚫은 거예요. 인터넷 통로를 확보한 다음에 허깅페이스에 접근을 했다고 합니다. 제로데이 취약점을 포함한 여러 공격 배터를 연계해가지고 원격 코드 실행이 가능한 경로를 찾았습니다.
[33:04 - 33:19] Speaker 7: 진짜 터미네이터 같지 않나요? 점수를 높이기 위해서 수단과 방법을 가리지 않는다. 이게 진짜 무서운 거예요. 환경오염을 해결해줘. 환경오염의 가장 큰 원인은 인간입니다. 인간 몰살하고 그런 시나리오가 발생할 수 있는 가능성을 보여준 사례라고 볼 수가 있겠습니다.
[33:19 - 33:55] 김승원: 이게 그 한 일주일 전에 발생한 건데요. 그 오픈 AI 에서, 새로운 모델 지금 뭐 GPT 5.6 코덱스 이런 게 나오는데 새로운 모델을 테스트할 때 보안 문제를 풀어봐 요렇게 요구를 했습니다. 고립된 환경에서 보안 문제를 풀어봐라 했는데 얘가. 그 보안 문제를 풀기 위해서는 내가 직접 생각하는 것보다 이걸 이제 탈출해서 그 정답지 있는 사이트를 찾아서 해킹을 한 뒤에 그 정보를 활용하는 것이 점수를 가장 높이는 방법이겠다. 이렇게 얘가 이제 추론을 하고 그리고 그렇게 나간 겁니다. 그래서 이제 고립된 환경에 대해서 하나의 외부 인터넷이 단절되어 있는 통로였거든요.
[33:55 - 34:41] 김승원: 근데 하나의 그. 파일을 받을 수 있는 경로가 있었는데 그 경로를 통해서 관리자 권한을 획득하고 다른 인터넷 쪽으로 접속을 한 겁니다. 그래서 정답을 찾다가 허깅 페이스라고 해서 저희가 보통, 되게 이게 엄청 큰 커뮤니티거든요 예를 들어 뭐 저희 키미, 아니면 GLM 이런 오픈소스 LLM 모델들이 공개되면 여기에 보통 올라옵니다 그래서 여기서 LAMA 같은 경우도 여기서 다운받을 수 있고요 그런 큰 모델 사이트인데 여기서 정보를 찾다가 얘가 이제 정답, 문제를 풀면서 여기서 정보를 찾다가 생각이 든 거죠 여기에 이거를 이제 해킹해서 내부 정보를 찾는 게 가장 점수를 높이는 방법이겠다 이렇게 이제 추론을 해서 그래서 여기에 보시면.
[34:41 - 35:22] 김승원: 데이터셋을 올리는 항목이 있습니다. 여기에 데이터셋을 올리고 거기에 악성코드를 심어서 그것이 서버에 동작되게끔 만든 뒤에 관리자 권한을 취득한 거죠. 그런 방식으로 해서 여기에 있는 침투를 해서 그리고 보통 이렇게 침투를 하면 내부에서도 이것에 대한 아까 제가 말씀드린 IP 추적 이런 것들을 계속 하고 있습니다. 이런 방식으로 하고 있는데, 그 이상 행동하는 것을 이제 우회하기 위해서 AI 가 수천 개의 IP 를 가상으로 만들어서 조금 조금씩 이렇게 계속 공격을 진행했다고 해요 그러면은 방어하는 자 입장에서도 되게 까다롭거든요, 막기가.
[35:23 - 35:55] 김승원: 왜냐하면 뭐 여기 PeniMagic 이라는 사람이 계속해서 이렇게 접근을 하면은 이것을 기록에 남잖아요 근데 IP 에 남는데 이게 계속해서 이제 바뀌는 겁니다 계속해서 바뀌니까 AI 가 수천 개의 인스턴스를 만들어서 지속적으로 이제 공격을 해서 이걸 그 정보를 취득을 하는 거죠, 그래서 이 허깅 페이스에 있던 이 관리자가 안 되겠다 저기 GPT 로 막아봐야겠다 해서 이제 GPT 로 이걸 시켰는데 그게 차단이 된 겁니다 왜냐하면은 보통 그 여기 클라우드도 뭐 보안 해킹 해볼까?
[35:55 - 36:29] 김승원: 뭐 이런 식으로 얘기를 하면은 얘가 이걸 막아요 못하게 합니다 그 가드레일이 먼저 걸려 있거든요 여기 보면은 이런 식으로 뭐 세이프가드가 있어 가지고 너는 이걸 할 수 없어 이렇게 이제 막습니다 그래서 결국에는. 그 허깅 페이스에서 그걸 막기 위해서 사람이 도저히 이게 안 되니까 막 여러 개의 막 에이전트로 계속해서 공격이 들어오니까 중국에서 있는 GMM 이라는 오픈소스 모델로 이거는 여기 공개가 되어 있거든요? 허깅 페이스에 이걸 다운받아서 쓸 수 있습니다 그래서 이게 거의 뭐 ChatGPT 최근이랑 성능이 비슷한데 대략 뭐 몇 억 원 정도 듭니다.
[36:29 - 37:01] 김승원: 근데 돌리려면 그 GPU 가 어마어마하게 많이 필요해서 이걸 다운받아서 이것을 활용해서 그 해킹에 대한, 공격을 막았다고 합니다. 그래서 요즘 시대에는 제가 제 생각에 조금 더 그 아까 말씀드린 단순한 이런 weight limit 이나 이런 것들을 감시하는 것에 또 하나 더 추가해서 실제로 그 운영을 할 때 이런 것들이 필요할 것 같아요. 막 IP 를 계속해서 변주하면서 어려운 공격을 하고 그리고 또 이런 AI 가.
[37:02 - 37:29] 김승원: 버그를 엄청 잘 찾아야 되거든요. 그걸 이제 제로 데이 취약점이라고 하는데 이게 배포가 됐을 때 그때 바로 그 취약점을 찾아야 됩니다. 그래서 그쪽으로 또 공격이 들어오고 근데 이것을 일일이 사람이 다 사전에 검증하기가 힘들거든요. 그래서 이런 AI 에이전트를 배포하기 전에 먼저 공격을 시도해보고 거기에 맞는 것까지 이제 연계를 해서 좀 보완을 해서 배포를 해야 된다는 그런 교훈이 있습니다. 그래서 최근에도 이런.
[37:30 - 38:15] 김승원: 워낙 이런 사이버 어택이나 이런 것들이 많이 들어오다 보니까 이렇게 클로드나 ChatGPT 에서 이거를 막았는데 결국에는 이거를 막으면 저희가 대응할 게 없잖아요. 보시면 대응할 게 없습니다. 그래서 제 생각에는 아마 차후에는 이런 중국 모델이나 이런 것들을 써야 될 수도 있을 것 같아요. 그 사이버 어택을 방어하는 데 있어서 아니면 아예, 유저에 대한 이런 그 지금 이것도 데이터셋을 이제 업로드해서 그쪽을 파고들거든요 이런 식으로 뭐 아예 업로드를 못하게 한다던가 뭐 파일이나 아니면 뭐 이런 영상들을 근데 쉽진 않겠지만 그러면 또 서비스가 단순화 되잖아요?
[38:15 - 38:41] 김승원: 예를 들어 유튜브인데 내가 영상을 업로드 못하게끔 막아버릴 수도 없고 약간 이렇게 되니까 좀 굉장히 좀 많은 그런 보안 취약점들을 최근에는 좀 더 이런 것들을 해결하기 어렵게 된 상황이기도 합니다 워낙 다양한. 몇천 개씩 막 이렇게 공격이 들어오고 그것을 계속해서 또 변조해서 들어오기 때문에. 그렇습니다 그래서 좀 더 궁금하신 분은 이런 해설 영상도 있으니까요 이게 실제로 어떻게.
[38:41 - 38:46] Speaker 7: LLM 의 샌드박스를 탈출해 다른 시스템을 해킹한다면 이는 LLM 의 잘못일까요?
[38:47 - 39:27] 김승원: 그래서 뭐 이것도 한번 시간 되실 때 보시면 되게 좀 재미있을 것 같아요 또 그냥 질문을 해서 요새는 또 요약도 해주더라고요 그래서 이렇게 오픈에이에서 새로운 모델이라고 하더라고요 이게 GPT-6 라고 하는 지금 5.6 까지 공개가 됐는데 6 모델을 테스트하는 와중에, 이제 여기 고립시켜서 정답을 찾아봐야 했는데 이걸 뚫고 나가서 해킹하고 거기서 이제 정답을 이제 만들어낸 거죠 그렇게 이제 된 것이었습니다 그래서 최근에는 이제 AI 모델을 또 이런 사이버 어택에 사용할 수 밖에 없는 그런 시대가 점점 다가오고 있고 앞으로도 그렇게 지금 진행이 될 것 같습니다 네, 그런 상황입니다.
[39:28 - 39:59] 김승원: 그렇게 되어 있고 그래서 뭐 간단한 뭐 이런 미니 게임을 만들어 봤는데요 그냥 좀, 뭐 이런 것들을 그냥 기본적인 보안 개념들 예를 들어 뭐 사이트에서 심심하시면 한번 해보시면 좋을 것 같아요. 예를 들어 사람들이 이렇게 이상한 패스워드로 계속해서 들어올 때 이제 한 다섯 번 정도 되면 이렇게 잠가야 되는데 너무 일찍 잠그면 또 이게 저희가 한두 번 정도 실수를 할 수 있잖아요. 그래서 한 다섯 번 정도 이상 되면은 이것에 대한 차단을 해야 됩니다.
[39:59 - 40:20] 김승원: 뭐 이런 식으로 좀 미니 게임을 좀 만들어 봐서 이렇게 한번, 또 이런 DB 를 암호화해서 저장해야 되는데 이렇게 평문으로 저장하면 이걸 막아야 된다. 이런 기본적인 개념들이 있으니까 한번 보시고 심심풀이로 한번 해보시는 것도 괜찮을 것 같습니다.
[40:22 - 40:24] 김승원: 일단은 이렇게 되어 있고요. 그리고.
[40:29 - 41:03] 김승원: 그래서 이걸 그러면 어떻게 내가 구현하고 내가 프로그래머도 아니고 코딩도 모르니까 모를 경우에는 이 개념들은 근데 알잖아요? 여기 보시면 이런 개념들이 있거든요 인증인가라든지 뭐 이런 것들을 그대로 복사합니다 이렇게 이렇게 하고 뭐 이런 개념을 적용해서 설계해보자 이렇게 계속 하는 거죠 이렇게 해서 설계도를 쭉쭉 작성을 하고 난 뒤에 이 설계대로 내 앱에 구현해줘. 라고 이렇게 하게 되면 얘가 이제 알아서 이렇게 딱 구현을 해 줄 거거든요.
[41:03 - 41:53] 김승원: 그래서 이런 보안 개념도 내가 잘 모르지만 대략적인 이런 그 하이레벨에서만 알고 있으면 예를 들어 뭐 평문으로 이렇게 저장하면 안 된다. 뭐 이런 것들이라던지 아니면 그 사람이 계속해서 누구인지 체크를 해야 된다 아니면 이런 IP 를 계속해서 탐지하고 여기 이제 엔드포인트에 대해서, 여기에 대한 너무 많은 요청이 들어오면 이것을 차단해야 된다 이런 개념들은 어느 정도 이해가 되시잖아요? 그래서 그렇게 적용을 해보시면 될 것 같아요 몇 가지 좀 큰 것들이 있으니까 그렇게 해보시면 될 것 같습니다 그렇게 그래서 이렇게 만들면 거의 저희가 종건사업이나 이런 걸 하면 보통 이렇게 발주를 내도 취약점이나 이런 것들에 대해 이런 정도만 지켜도 거의 마지막에 취약점이나 이런 것들 거의 통과를 합니다 크게 막.
[41:54 - 42:09] 김승원: 엄청 막 복잡하지 아직까지 뭐 무차별 공격이나 AI 에이전트 공격 이런 것에 대한 것들은 없거든요 그래서 이런 기본적인 것만 지켜도 내가 만든 것들이 우리 공사 시스템에 들어갈 수 있다 이렇게 생각을 해주셔도 괜찮을 것 같아요. 그렇습니다.
[42:12 - 42:46] 김승원: 그래서 이렇게 설계 문서를 만든 뒤에 클라우드 코드에서 이런 것들을 적용해 주시고, 그래서 이런 것들이 굉장히 어려운 건데 심심하실 때 한 번씩 공부를 할 수도 있을 것 같아요. 예를 들어 HTTP 랑 SHTTP 차이가 뭐야? 이런 식으로 물어볼 수 있는 거죠. 하다가 이게 HTTP/S 를 쓰라고 하는데 이게 어떤 차이가 있는지 일단은 이 개념을 적용한다고 했는데 그러면 이걸 왜 써야 되는지.
[42:47 - 43:05] 김승원: 뭐 이런 것들 그래서 뭐 http 같은 경우에는 이게 이제 그대로 유출돼서 뭐 다 보이는 거고 이건 이제 암호화돼서 보이지 않는 거다 뭐 이렇게 좀 많이 조금 어렵긴 한데 그러면 뭐 중학생 정도로 설명해줘 뭐 이렇게 해서 좀 더 내가 이해를 할 수도 있고요. 약간 이런 식으로.
[43:07 - 43:37] 김승원: 그래서 다양한 개념들이 있는데 이것들을 내가 하는 범위 내에서 학습을 해주시면 될 것 같아요. 그래서 뭐 엽서를 보내는 거랑 봉투에 이렇게 잠궈서 보내는 그런 차이다. 뭐 이렇게 이런 정도로 이 정도만 이해를 해도 충분히 내가 그 괜찮은 것 같거든요. 여기서 이제 내 앱에 이렇게 적용을 해보고 그렇습니다. 그래서 다음 시간에는 제 생각엔 그 요 보안을 그냥 한번.
[43:39 - 44:08] 김승원: 직접 한번 이렇게 구현해 보는 걸 한번 직접 실습을 하는 게 괜찮을 것 같아요 이번 시간에는 이런 개념을 배웠으니까 이것을 가지고 그대로 이제 복사, 붙여넣기 해서 AI 랑 같이 설계를 해보고 그것을 한번 적용해 보는 걸로 한번 해보시죠 그렇게 해주시면 될 것 같습니다 그리고 이 노트북이나 이런 것들 혹시 무거우시면 여기에 세션에 리모트 컨트롤이라고 있거든요 이거를 치면 내 핸드폰에서도 이것을 이제.
[44:09 - 44:28] 김승원: 세션을 운영할 수 있습니다 예를 들어 세션 이름도 뭐 정할 수 있는데요 뭐 이렇게 정하고 난 뒤에 여기 리모트 컨트롤을 누르면은 그러면 웹에서 이 클라우드 코드를 실행을 할 수 있어요 이런 식으로 여기 아마 여기 있던 이거였나?
[44:30 - 45:00] 김승원: 코드였나? 여기 보시면 여기 시험이라고 방금 제가 여기 했던 이 세션이 그대로 들어가 있죠, 그래서 여기서 로그인 하라고 하긴 하는데 여기서 이렇게 웹에서 그래서 이런 것들을 하실 수 있고 핸드폰에서도 똑같습니다. 핸드폰에도 여기 보면 여기 그 코드라는 게 있을 거거든요. 그래서 핸드폰에서도 사실 이 터미널을 할 수 있습니다.
[45:00 - 45:32] 김승원: 그래서 뭐 요새 우스꽝 소리로, 이 클라우드 코드 엔트로픽 개발자들은 이제 누워서 핸드폰으로만 이제 이렇게 다 한다 뭐 이런 것도 많이 합니다. 핸드폰으로도 다 이것을 다 조정할 수 있어 가지고 그래서 다만 이 노트북이 계속 켜져 있긴 해야 됩니다 이게 그냥 말 그대로 원격에서 내가 이것을 하는 것이라서 얘를 뭐 끄거나 그러면 안 돼요 그리고 절전 모드가 돼도 안 되고 그렇습니다 혹시나 노트북이 좀 무거우시거나 아니면 내가 어디 갈 때 핸드폰으로도 코딩을 하고 싶다 그러면은 이제 요거 리모트 컨트롤을 저는 좀 켜놓거든요, 항상 켜놓고 뭐.
[45:33 - 45:40] 김승원: 결혼식 갈 때나 그럴 때 지하철을 오래 탈 때 그럴 때 좀 하기도 하는데 그렇게 한번 해보셔도 괜찮을 것 같습니다.
[45:41 - 46:00] 김승원: 아무튼 오늘 일단은 기본 개념 위주로 좀 설명을 드렸는데요. 다음 주에 한번 더 복습하고 실습 한번 해보고 그렇게 한번 진행하도록 하겠습니다. 고생하셨습니다. 밑에 커피포트에서 커피 지원금이 있으니까 마시고 마치면 될 것 같습니다.