안전하지 않은 암호화 저장 및 보안 | Secure Code Warrior

데이터는 비즈니스의 생명줄입니다. 데이터는 생존과 수익 창출, 그리고 고객에게 서비스를 제공하기 위해 필요한 근본적인 정보입니다. 점점 더 디지털 중심으로 변해가는 이 사회에서 개발자는 이 소중한 정보를 관리하는 관리자로서 막중한 책임을 집니다. 개발자가 기밀 데이터를 보호하지 않으면 비즈니스는 안전하지 않은 암호화 저장 방식의 희생양이 됩니다.

데이터를 안전하게 저장하는 방법과 그렇지 않았을 때 어떤 일이 벌어질 수 있는지 살펴보겠습니다.

안전하지 않은 암호화 저장 방식 이해하기

공격자가 시스템에 침입하면 보통 가치 있는 데이터를 노립니다. 누군가의 계정을 탈취하거나 다른 공격을 실행하는 데 사용할 수 있는 그런 데이터 말이죠. 때로는 이런 데이터가 빠른 현금화를 위해 암시장에서 판매되기도 합니다.

안전하지 않은 암호화 저장 방식은 SQL 인젝션이나 XSS와 같은 단일 취약점이 아닙니다. 이는 보호해야 할 데이터를 필요한 방식으로 보호하지 않았을 때 발생하는 결과입니다.

민감한 정보는 반드시 보호되어야 합니다. 비밀번호와 신용카드 정보를 일반 텍스트로 저장하는 것은 비즈니스를 러시안 룰렛 게임에 내던지는 것과 같습니다.

해커가 데이터베이스에 침입하여 SQL 인젝션, XML 인젝션 또는 기타 공격을 통해 데이터를 훔치면 모든 정보를 탈취당하게 됩니다. 하지만 데이터를 암호화해 두면 공격자가 이를 실제로 활용하기가 훨씬 더 어려워집니다.

데이터 유출이 항상 외부의 악의적인 공격자에 의해서만 발생하는 것은 아니라는 점을 유의해야 합니다. 내부의 악의적인 인물도 데이터가 암호화되어 있지 않으면 쉽게 훔칠 수 있습니다. 회사 직원이라고 해서 데이터베이스의 모든 정보를 볼 필요는 없으며, 부적절한 접근 제어나 민감한 데이터 노출은 곧바로 절도로 이어질 수 있습니다.

또한 모든 암호화가 동일하지 않다는 점을 기억하세요. 잘못된 암호화 알고리즘을 사용하는 것은 아예 사용하지 않는 것만큼이나 위험합니다. 알려진 취약한 알고리즘은 노련한 공격자에게 거의 저항하지 못합니다.

안전하지 않은 암호화 저장 방식이 위험한 이유

많은 기업이 다른 취약점(예: SQL 인젝션)으로 인해 침해를 당하고, 결국 도난당한 데이터를 숨기지 못하는 상황에 처하게 됩니다. 이는 끔찍한 상황을 더욱 악화시킵니다.

• Adult Friend Finder는 해킹을 당해 4억 1,200만 개의 계정 정보가 유출되었습니다. 해당 계정의 비밀번호는 취약한 SHA-1 해싱 알고리즘으로 보호되고 있었고, 공격자들은 한 달 안에 이를 쉽게 해독했습니다.
• Uber는 해킹을 당해 5,700만 명의 사용자 기록과 60만 명의 운전자 기록이 유출되었습니다. 개인 정보가 유실된 이유는 Uber의 GitHub 계정에 AWS 계정 사용자 이름과 비밀번호가 포함된 저장소가 공개되어 있었기 때문입니다. 이는 매우 위험한 행동입니다. Uber의 기업 가치는 주로 이 유출 사고로 인해 200억 달러가 하락했습니다.
• Sony의 PlayStation Network는 해킹을 당해 7,700만 개의 계정 정보가 유출되었습니다. 그중 1,200만 개의 계정에는 암호화되지 않은 신용카드 정보가 포함되어 있었습니다. Sony는 이후 이 유출 사고로 1,500만 달러 규모의 집단 소송 합의금을 지불했습니다.

민감한 데이터를 제대로 저장하지 않았을 때 따르는 심각한 결과는 분명합니다.

Sony는 소송을 당했는데, 이는 상당한 페널티입니다. 하지만 소송을 당하지 않더라도 평판 하락과 규제 당국의 제재는 비즈니스에 치명적일 수 있습니다.

안전하지 않은 암호화 저장 방식 무력화하기

개발자는 위와 같은 데이터 유출 사고를 어떻게 예방할 수 있을까요?

첫 번째 단계는 어떤 데이터에 암호화가 필요한지 파악하는 것입니다. 모든 데이터가 동일하게 중요한 것은 아니기 때문입니다.데이터를 분류한 다음, 적절한 곳에 암호화를 적용하세요.

일반적으로 주민등록번호, 비밀번호, 신용카드 정보와 같은 개인정보는 반드시 보호해야 합니다. 비즈니스 성격에 따라 의료 기록이나 기타 민감한 정보를 보호해야 할 수도 있습니다.

보호해야 할 데이터를 파악했다면, 다음 단계는 올바른 도구를 사용하여 보안을 확보하는 것입니다. 일반적으로 오랜 기간 검증되어 강력하다고 평가받는 암호화 알고리즘을 사용하는 것이 좋습니다.

어떤 경우에도 직접 암호화 함수를 만들지 마세요. 직접 만든 함수에는 공격자가 암호화를 무력화하는 데 악용할 수 있는 결함이 포함될 가능성이 높습니다.

주민등록번호나 신용카드 데이터와 같은 정보를 암호화할 때는 AES를 사용하세요. AES에는 여러 운영 모드가 있는데, 이 글을 작성하는 시점에서는 GCM(Galois/Counter Mode)을 강력히 권장합니다. 또한 패딩 유형을 선택해야 하는 라이브러리를 사용할 경우 패딩을 사용하지 않도록 설정하는 것이 좋습니다.

비밀번호는 해시 함수를 사용하여 저장해야 합니다. 해시는 복호화가 불가능하기 때문입니다. 강력한 해시 값을 사용하면 공격자가 원래의 비밀번호를 알아낼 수 없습니다. Argon2와 Bcrypt는 비밀번호 해싱에 적합한 선택지입니다. 동일한 비밀번호라도 해시 값이 달라지도록 항상 임의의 값을 추가하는 '솔팅(salting)' 과정을 잊지 마세요.

이러한 함수들은 주요 프로그래밍 언어 및 프레임워크에서 구현체를 제공합니다. 효과적인 사용법은 각 언어나 프레임워크의 공식 문서를 확인하세요.

키 생성, 저장 및 관리는 암호화의 핵심 요소입니다. 키를 제대로 관리하지 않으면 키가 노출되어 데이터가 복호화될 수 있습니다. ASP.NET의 Data Protection API와 같이 키 관리를 지원하는 프레임워크를 활용하세요. 일반적인 키 관리 모범 사례는 OWASP 치트 시트를 참고하시기 바랍니다.

데이터를 안전하게 저장하는 것은 비용이 많이 들고 치명적인 데이터 유출 사고를 예방하는 방법입니다. 최악의 경우 공격자가 데이터를 탈취하더라도, 암호화되어 있다면 공격자가 데이터를 확인하거나 악용하기가 훨씬 어려워집니다.

데이터를 안전하게 숨기기

데이터 보호 방법을 간단히 정리해 보겠습니다.

• 데이터를 분류하여 보호가 필요한 항목 파악하기
• 업계에서 검증된 강력한 암호화 알고리즘 사용하기
• 강력한 단방향 해시를 사용하여 비밀번호 저장하기

더 자세한 내용은 학습 리소스를 확인하세요. 실습을 시작할 준비가 되었다면 저희 플랫폼에서 원하는 언어로 직접 테스트해 보세요. 다양한 내용을 다루고 있습니다!

이러한 도구를 활용하면 데이터 탈취를 방지하고, 기업의 금전적 손실과 평판 하락을 막을 수 있습니다.

지금 바로 안전하지 않은 암호화 저장 방식을 찾아 수정해 볼 준비가 되셨나요? 아레나로 이동하여 실력을 테스트해 보세요. [여기서 시작]