Top 10 Mobile Risks M1: Improper Platform Usage Threat Agents A misuse of a platform feature 혹은 failure to use platform security controls가 포함된다. 예를들어 Android intents, misuse of TouchID, platform...

Threat Modeling이란? 애플리케이션이나 컴퓨터 시스템에 해를 일으킬 수 있는 위협요소의 타입들을 identifying하는 작업이다. Threat modeling works by identifying the types of threat agents that cause harm to an application or computer sy...

Introduction TCP에는 syn이 있어서 spoofing이 어려운데 그것을 파헤쳐보자. Summary TCB(Trust Computing Base)라는 것은 보안에서 쉽게 쓰이는 축약어인데 여기서 TCB는 Transmission Control Block이다. spoofing한 IP로 엄청난 숫자의 SYN을 동시에 보내면 서버...

Introduction Sniffing attacks에서는 정보들을 capture하고 eavesdrop(엿듣는)다. Spoofing attack에서는 가짜 신분으로 패킷을 보내는 것이다. How Packets Are Received Network Interface Card(NIC)로 network들이 이어진다. frame이 me...

OAuth 2.0 OAuth와 로그인은 반드시 분리해서 이해해야한다. 로그인이 회사원이 회사에 출입하는 것으로 비유하자면 OAuth는 방문증을 수령해서 회사에 들어가는 것을 의미한다. 따라서 ‘방문증’으로 접근할 수 있는 구역과 회사원이 접근할 수 있는 구역은 나뉘게 되는 것이다. OAuth에는 Authentication뿐만 아니라 Autho...

Introduction 이것도 data와 code가 분리되지 않아서 생기는 문제이다. 이런 공격들의 문제는 보통 untrusted data(input data from user)와 trusted data(by program)이 mixed되면서 그 둘간의 경계선이 분명했던 것이 불분명하게 바뀌면서 허점들이 생긴다. 두번째로 mixed된 것들...

Authentication 로그인과 같이 사용자 또는 프로세스의 신원을 확인하는 프로세스 가장 일반적인 인증 방법으로는 비밀번호가 있고 API 인증, 생체 인증 등이 있습니다. 지식기반(비밀번호, 주민번호 등), 소유기반(인증서, OTP, 휴대폰 인증, USB 토큰 인증 등), 속성기반(지문, 홍체, 얼굴 등) factor가 있습니다. ...

The Cross-Site Scripting Attack Attacker가 victim’s browser에 code를 inject시키면 공격을 할 수 있는데 victim이 attacker의 page에 접속할때마다 그 공격이 이루어질 수 있는 것이다. 하지만 sandbox protection 때문에 그 공격이 이루어지지 않는다. 하지만 targ...

Understanding Data Serialization Formats: XML, JSON, and YAML Explained In the world of software development and data interchange, choosing the right data format is crucial. This post explores thr...

Introduction Victim이 malicious page를 보고 있을 때 공격자가 target website에 victim 신분으로 forged request를 보낼 수 있는 공격법이다. Target website가 적절한 countermeasure가 없다면 third-party에 의해 들어온 request인지 authentic on...