Continuous Challenge

세션관리 취약점 HTTP 프로토콜은 상태관리를 하지 않는 (Stateless) 프로토콜이다. 서버는 클라이언트의 정보를 유지하기 위해 세션메모리를 할당하여 클라이언트의 인증정보를 관리한다. 할당된 세션메모리를 구분하기 위해 서버는 세션ID를 할당하게 되며, 할당된 세션ID는 쿠키, URL파라메터, 의 hidden 파라메터값 형식으로 클라이언트에게 전달한다. 다른 사용자의 권한을 가로채기 위해서는 사용자의 정보를 저장하고 있는 세션의 정보를 추측하거나, 훔치거나, 공격자가 원하는 세션을 사용하게 하는 방법을 이용할 수 있다. - 세션ID 추측 : 세션ID 생성방법이 부적절한 경우 제 3자가 추측가능하며 세션 하이재킹이 가능하다. - 세션ID 훔치기 : 네트워크상에서 패킷 스니핑을 통해 세션ID를 훔쳐내거나..

분석, 설계단계 보안 요구항목 이해 1. 입력값 검증 2. 인증 3. 인가 4. 중요정보 처리 5. 암호화 - 키를 어떻게 생성하고 어떻게 반환할 건지가 가장 중요★ 6. 로깅/에러 처리 7. 세션관리 - 세션 = stateless, 연결되지 않은 상태에서 관리. 위협모델링 위협모델이란? - 위협모델은 설계 단계에서 보안 문제에 대한 체계적인 접근에 도움을 주기 위한 것이다. 위협모델링 학습 위협모델링은 다음 4가지 질문에 집중하는 것부터 시작해야 한다. - 무엇을 개발하고 있는가 - 무엇이 잘못될 수 있는가 - 잘못될 수 있는 것에 대해 어떤 조취를 취해야 하는가 - 분석을 잘 수행했는가 위협모델링 수행단계 1. 위협모델링을 수행할 팀을 소집한다. - 보안전문가가 팀장을 맡는 것이 좋다. 2. 애플리케..

김영숙 강사님(주식회사 오픈이지 대표) PART 01. 안전한 소프트웨어 개발 방법론 CH1. 시큐어코딩 개요 1. 소프트웨어 개발보안의 필요성 2. 침해 사고 사례 - 오버플로우와 언더플로우 → 세이프매스(Safemath) : 오버플로우를 방지하기 위해 사용하는 함수. - OpenSSL HeartBleed 취약점 : OpenSSL에서 서버와 클라이언트간의 연결유지를 위해 전달되는 실제 데이터 길이와 메시지로 전달되는 데이터 길이값을 서버가 비교하지 않고 처리하여 인접한 메모리 정보 유출 3. 보안 약점/취약점 DB 활용 - CWE 취약점 DB활용 (http://cwe.mitre.org) - SANS TOP 25 (http://www.sans.org/) → 2013년도 버전 TOP 25 유지를 권장 - ..