산타캅의 샌드박스

한국에 인터넷 인프라가 막 보급되던 2000년도 초에는 회원 가입 시 자신의 아이디와 비밀번호가 이메일로 전달되는 경우가 많았다. 아마도 아이디랑 비밀번호를 까먹을까봐 전달한게 아닐까 싶기는 하지만 정확한 이유는 모르겠다. 그런데 요즘에도 이런 사이트가 있는 것을 확인했다. 바로 미스터피자이다.

이게 문제가 되는 이유는 여러 가지가 있다.


첫번째로 이메일이 전달되는 과정에서 비밀번호가 들어가있는 패킷이 제 3자에게 노출될 우려가 있기 때문이다. 회사 서버가 이메일 서버로 보낼 때와 내가 이메일을 열어볼 때의 두 시점에서 노출될 수가 있다. 쉽게 말하면 패킷이라는 것은 포장이 되어있지 않은 택배 화물 또는 봉투 없는 편지와 비슷하다. 중요한 내용은 아예 암호화해서 써놓아야 한다.

두번째는 조금 더 큰 문제라고 생각하는데, 바로 비밀번호를 암호화하지 않고 있거나 해독이 가능하다는 암시적인 증거가 되기 때문이다. 내 비밀번호를 저쪽에서 보내줄 수 있다는 것은 데이터베이스 서버에 내 비밀번호를 읽을 수 있는 형태로 저장해놓았다는 뜻이기 때문이다. 만약 미스터피자의 고객 데이터베이스 서버가 해킹을 당할 경우 나의 비밀번호가 해커에게 전달이 될 것이고, 거기다가 동일한 아이디와 비밀번호를 사용하는 모든 사이트가 털릴 것이다. 최소한 아이디는 아니더라도 비밀번호를 사이트마다 다르게 하는 것이 이래서 중요한 것이다. 영세한 회사는 보안이 취약하기 쉬우므로 이런 곳이 털리면 아무리 보안이 철저한 사이트라도 비밀번호를 알고 있으므로 그냥 뚫고 들어갈 수 있다.

만에 하나 이메일에 중요한 정보, 예를 들면 금융 관련 정보를 저장해두고 있는 사람이라면 무시무시한 피해를 입을 것이다.


여기서는 미스터피자가 대상이었지만 아직도 이런 회사들이 많은 것으로 추측된다. 가장 중요한 것은 해킹에 100% 안전한 곳은 어디에도 없다는 것이다. 반드시 비밀번호를 사이트마다 다르게 해주자.


 

참고 게시물: http://youtil.tistory.com/124 (한번 읽어보자)


토렌트 다운의 운영자가 FDISK에게 회원 정보를 팔아먹은 사건이 터졌다.
여기서 아이디@07, 비번@07 이런식으로 회원들 DB를 넘겼다고 했다.

충격적인 부분이다. 비밀번호를 암호화하지 않았던 것이다. << 지금 이 글의 핵심이다!!!

애초에 토렌트 다운의 운영자는 누구라도 아이디와 비밀번호를 '눈으로' 직접 확인할 수 있었다는 말이다.
(지금은 FDISK의 운영자도 볼 수 있을 것이다)

비밀번호를 암호화했다면 DB에 들어가있는 비밀번호 정보가 애초에 인간이 읽을 수도 없고 역변환도 되지 않도록 해시 알고리즘 등으로 변환해서 들어가 있기 마련이다.

그런데 자신의 원래 비밀번호끝에 @07 이런식으로 텍스트가 붙었다는 것은 비번이 텍스트로 그대로 저장되어있었다는 이야기다.


예를 들어 회원가입 시 이렇게 입력했다고 치자:
ID: test
PW: myPassWord

회원 DB를 암호화하는 사이트는 다음과 같이 저장할 것이다:
 (예시일 뿐 사이트별로 어떤 방법을 쓰는지는 알 수 없다)
ID: test
PW: 4623336A7094BDB9FD626A7C82A97D811EB7A530

하지만 회원 DB를 암호화하지 않는(토렌트 다운같은) 사이트의 관리자는 그냥 보인다:
ID: test
PW: myPassWord


만약 비밀번호를 암호화해서 저장했다면 어떻게 뒤에 "@07" 같은 텍스트를 붙일 수 있었을까??
애초에 원래 비밀번호를 알 수도 없었을 것이다.

만약 이 글을 보는 지금 동일한 ID를 사용하는 사이트가 있다면 당장 비밀번호를 바꿔라.


토렌트 다운의 운영자 '도너츠'의 변명이 더 기가 막힌다 ^^

개인정보 유출은 절대 발생하지 않았으며 타 사이트로의 가입도 진행되지 않았습니다.

이게 개인정보, 그것도 비밀번호 유출이 아니면 무엇인가? 해당 사이트 운영자 도너츠는 지금이라도 경찰에 정보통신법 위반으로 자수하길 바란다.


참고로 어떤 사이트를 가입할 때는 비밀번호를 운영자가 볼 수 있다고 생각하는 것이 안전할 것이다. 사이트별로 비밀번호를 다르게 하고, ID 역시 신뢰할 수 있는 IT 계열 대기업이 아니면 다르게 만들어 쓰기를 권장한다.