해킹 보안 맛보기

해커란 무엇일까?

해커에 대한 하나의 명확한 정의는 존재하지 않는다.

마치 하늘의 색이 화창한 여름날엔 푸르고, 노을이 질 때는 붉고, 어두운 밤에는 검게 보여서 하나의 색으로 규정할 수 없는 것과 비슷하다.

 

원래 해커는 컴퓨터를 능숙하게 다루는 전문가, 시스템 프로그래밍을 잘하는 사람 등을 주로 지칭했다.

하지만 기술이 다양화되고 급변하는 시대를 반영해 해커라는 용어 자체도 그 맥락을 함께 반영하며 의미가 변화하고 있다.

 

화이트햇 해커 : 선의의 목적으로 보안상의 취약점을 찾아내고 그에 대한 해결책을 제시하기도 하는 해커
주로 본인의 시스템을 대상으로 작업하거나 해킹 대상 담당자의 적법한 승인을 거쳐 공격을 수행하는 등 합법적인 범위 내에서 해킹을 한다.

 

블랙햇 해커 : 악의적인 목적으로 컴퓨터에 침입하고 개인적인 이득을 취하는 해커로 해킹 목적 자체가 불법적이고 각종 범죄와 연계되어 있는 경우가 많다. 이와 같이 악의적인 목적을 가진 해커들은 크래커라 부르기도 한다.

 

그레이햇 해커 : 개인적인 이득을 위한 목적보다는 해당 시스템의 취약점을 관리자에게 알려주는 등 행위 자체는 법의 경계를 넘나들어도 직접적인 피해를 초래하지는 않는 부류다.

 

 

핵티비스트(hacktivist) : 해킹을 수단으로 사회적 사상적 종교적 정치적 메시지 등을 설파하는 해커로 주로 대상 사이트의 페이지를 변조하거나 운영을 방해하는 등의 행위를 하며 활동의 대부분은 불법이다. 이와 관련된 대표적인 단체로는 어나니머스가 있다.

 

---

 

※ 하나의 해킹 기술을 배우기 위해 전제되는 기초 지식들이 어떤 내용들로 구성되는지 알아보면 이 분야를 어떻게 공부하는 것이 효과적일지 이해하기 쉽다.

 

버퍼 오버플로라는 시스템 해킹 기법을 예로 든다.

위 공격을 성공시키기 위해 필요한 최소한의 지식은 다음과 같다.

 

1. 시스템 관련 지식

버퍼 오버플로 공격은 정상적인 프로그램을 오작동시켜서 시스템의 특정 메모리 영역을 공격하기 위한 목적으로 메모리값을 조작하는 과정이 필요하다.

이를 위해 필요한 지식은 메모리 구조 프로그램 작동 원리 시스템 권한 체계 등이 있으며 이 모든 것이 시스템 관련 지식의 범주 안에 포함되는 것들이다.

공격 환경에 따라 필요한 시스템 관련 지식도 다양하다. 예를 들어 리눅스 운영체제에서 버퍼 오버플로 공격을 하려면 리눅스 시스템 관련 지식이 윈도우 운영 체제에서 버퍼 오버플로 공격을 하려면 윈도우 시스템 관련 지식이 필요하다.

 

2. 프로그래밍 언어

실제 버퍼 오버플로우 공격을 성공시키기 위해서는 해킹 공격 코드를 만드는 작업이 필요하다. 또한 공격 대상이 되는 시스템이나 프로그램도 결국 프로그래밍을 통해 만들어졌기 때문에 이 모든 것의 주체가 되는 프로그래밍 언어에 대한 지식이 필수라고 할 수 있다.

프로그래밍 언어의 종류는 버퍼 오버플로 취약점이 존재하는 프로그램이나 공격 대상이 되는 시스템 환경 등에 따라 다양하게 요구될 수 있다. 버퍼 오버플로 공격에 빈번하게 나타나는 프로그래밍 언어의 종류로는 C C++ 어셈블리 파이썬 등이 있다.

 

 

교류를 통한 배움으로 성장할 수 있다.

컨퍼런스 : 해커들이 자신들의 기술을 직접 발표하는 컨퍼런스의 경우 다양한 기술을 접해볼 수 있으므로 넓은 안목과 직접적인 학습 과정 나아가 연구에 대한 영감까지 함께 얻을 수 있는 더할 나위 없는 좋은 기회가 될 것이다.

 

해킹대회 : 해킹대회에 참가하고 이후 풀이 보고서를 서로 교류함으로써 해킹 문제에 대한 여러 관점의 접근법과 기술을 배울 수 있다. 이러한 일련의 과정을 통해 얻을 수 있는 지식의 양은 많다. 

 

커뮤니티 활동 : 온·오프라인으로 이뤄지는 커뮤니티 활동은 큰 도움이 될 것이다. 해킹을 공부하는 사람들끼리 친목을 도모할 수 있는 자리나 지역 연령 기반의 모임 등 생각보다 다양한 형태의 커뮤니티를 찾아볼 수 있다.

 

소셜 네트워크 서비스 : 대표적으로 페이스북과 트위터를 통해 유용한 내용을 자주 게재하는 주요 계정들을 대상으로 친구 맺기나 팔로우만 잘 해두면 갖가지 최신 정보를 그 어느 곳에서보다 빨리 접할 수 있다.

 

 

해킹 실습의 정석으로는?

워게임 : 취약한 가상의 환경을 구축해두고 실전처럼 공격할 수 있도록 만든 일종의 해킹 연습장 또는 실전 해킹에 대한 기출 문제 모음집이라고 볼 수 있다. 대표적으로 wechall이라는 사이트가 있다.

 

해킹대회 : 해킹대회의 첫 번째 이점은 자신의 실력을 경쟁을 통해 직간접적으로 평가해 볼 수 있다는 것이다. 두 번째의 이점은 대회에서 수상을 했을 때의 명예나 상금 등 해킹대회에 참가했을 때의 이점은 적지 않다.

해킹대회의 많은 정보를 얻으려면 ctftime 홈페이지를 참고한다.

 

---

이벤트 wall of sheep

컨퍼런스에 참가한 많은 사람들이 무선 랜을 통해 인터넷을 사용하는 터라 보안을 위한 암호화 기능이 적용되지 않은 AP를 사용 중인 사람이 생각보다 많이 존재한다 .명색이 해킹과 보안을 주제로 한 행사인데도 그렇다.

이렇게 안전하지 않은 무선 환경을 오가는 데이터를 스니핑해 얻어낸 각종 정보들을 모두가 볼 수 있는 커다란 스크린에 보여주는 것이 wall of sheep이다.

스크린에 보여지는 내용은 로그인 아이디 비밀번호 등의 사용자 인증 정보가 주를 이루고 있다.

물론 중요 정보의 경우 공개에 의한 피해를 막기 위해 일부 내용은 가리고 보여준다.

 

이벤트가 종료되면 가장 많은 정보가 노출된 사람을 따로 시상하기도 하는데 시상을 끝내 거부하는 사람들이 특히 많은 것은 이 이벤트만의 특징이다.