오픈 SSL 치명적 취약점 발견

오픈소스 암호화 통신 기술 '오픈SSL(OpenSSL)'에서 치명적인 취약점이 발견됐다. 주요 사이버보안기업들은 전 세계적인 보안위기가 발생할 수 있다고 경고하고 있다.

최근 미국 지디넷에 따르면 오픈SSL 프로젝트팀은 가장 심각도가 높은 보안문제를 발견했다며 보안 수정버전 ‘오픈SSL 3.0.7’을 릴리즈할 예정이라고 성명서를 공식홈페이지를 통해 발표했다.

오픈SSL 3.0.7은 11월 1일(현지시간) 공개될 예정이다. 이번 보안 취약점이 치명적인 만큼 오픈SSL 프로젝트팀과 보안기업들은 공개와 함께 관련 기업들은 해당 버전을 업데이트 할 것을 권장하고 있다.

 

완벽한 보안은 없다고 하는데 정말 맞는거 같다... 믿고있던 openssl이,,,

 

https://n.news.naver.com/article/092/0002272290?cds=news_edit

전 세계 보안 위기, 오픈SSL 치명적 취약점 발견

 

 

Openssl

OpenSSL은 네트워크를 통한 데이터 통신에 쓰이는 프로토콜인 TLS와 SSL의 오픈 소스 구현판이다. C 언어로 작성되어 있는 중심 라이브러리 안에는, 기본적인 암호화 기능 및 여러 유틸리티 함수들이 구현되어 있다.

 

보통의 경우 웹서비스에 https를 적용할 경우 SSL인증서를 VeriSign  (((베리사인(Verisign)은 미국 버지니아주 레스턴에 위치한 미국의 기업으로, 인터넷의 13개 루트 네임서버 중 2개를 포함한 다양한 네트워크 인프라스트럭처를 운영한다. .com, .net, .name 일반 최상위 도메인과 .cc, .tv 국가 코드 최상위 도메인, 그리고 .jobs, .gov, .edu 최상위 도메인을 위한 백엔드 시스템을 다루는 권위있는 등록 기관의 하나이다. )))  라는 곳에서 발급받아야 하는데, 이때 비용이 발생하기 때문에 실제 운영서버가 아니면 발급 받기에 부담이 될 수 있다.

이 때 OpenSSL을 사용하여 인증기관을 직접 만들고, Self Signed Certificate   (((공식적인 발급기관 이외에 Root CA의 개인키로 스스로의 인증서에 서명하여 최상위 인증기관 인증서를 만드는 행위. 이렇게 스스로 서명한 Root CA의 인증서를 Self Signed Certificate라고 한다. 이걸 이용하면 보통의 웹서버에서는 보안 경고를 발생시킬 수도 있지만, 테스트 사용시에는 지장이 없습니다.)))    를 생성하고, SSL인증서를 발급하면 된다.

발급된 SSL인증서는 Apache httpd 등의 웹서버에 설치해서 쉽게 https의 서비스를 이용할 수 있다.

 

 SSL인증서란?

클라이언트와 서버간의 통신을 제3자가 보증해주는 전자화된 문서입니다. 클라이언트가 서버에 접속한 직후에 서버는 클라이언트에게 이 인증서의 정보를 전달합니다. 클라이언트는 이 인증서 정보가 신뢰할 수 있는 것인지를 검증 한 후에 다음 절차를 수행하게 됩니다. SSL, 그리고 SSL인증서를 이용했을 때의 이점은 아래와 같습니다.

 

통신 내용이 공격자에게 노출되는 것을 막을 수 있습니다. 클라이언트가 접속하려는 서버가 신뢰할 수 있는 서버인지를 판단할 수 있습니다. 통신 내용의 악의적인 변경을 방지할 수 있습니다