블로그 이전 안내.

구글에서 더이상 블로그 서비스를 개선할 의지가 보이지 않아 워드프레스를 직접 관리하는 형태로 이전을 하게 되었습니다. 지인의 블로그에 공동저자 형태로 기존에 있던 자료들은 모두 이전한 상태이고 블로거는 더이상 관리하지 않기로 결정 하였습니다. 이전한 주소는 다음과 같습니다.

https://andromedarabbit.net/author/linus-lee/

2019년 1월 소식들..

Glibc Gets Patched For Three Year Old Security Vulnerability

Glibc의 2016년 4월 즈음 부터 존재했던 버그 수정 소식. getaddrinfo() 펑션을 호출하여 IPv4 주소를 파싱하는 동작을 할때 발생할 수 있는 악용 가능성을 방지하는 2.29버전이 릴리즈 예정.

최근 근황..

블로그의 마지막 포스팅 이후 장기간 도전적인 환경에서 헤어나오질 못하고 있어 포스팅이 뜸했습니다.. 건강적인 면에서 부담이 되지 않도록 어떤 형태로든 현재와 같은 상황을 끊고 빠져나올 계획이기 때문에 조만간 다시 포스팅을 하게되지 않을까 싶습니다 :)

2017년 4월 소식들..

보안

HOW HACKERS HIJACKED A BANK’S ENTIRE ONLINE OPERATION

브라질에서 은행의 시스템 전체가 5시간 정도 해커에게 탈취된 사건이 있었다는데.. 브라질 NIC의 은행의 계정을 탈취해서 DNS 정보를 해커가 구축한 시스템으로 모두 우회 시켜서 전체 트래픽을 탈취할 수 있었다는 이야기가..

2017년 3월 소식들..

보안

Malware found preinstalled on 38 Android phones used by 2 companies
안드로이드 폰의 유통단계에서 폰의 정보를 빼가는 백도어 앱이 설치된 케이스가 발견 되었다는 소식.. 멀웨어가 발견된 폰의 리스트는 원문에 포함되어 있고 신규로 구매한 폰이라도 멀웨어 검사는 필수인듯한..

Apache Struts bug is under attack, patch now
국내에선 요즘은 잘 사용하진 않지만 Apache Struts의 Jakarta Multipart parser의 malformed Content-Type HTTP 헤더를 이용해 발생하는 결함을 통한 원격 코드 실행이 가능한 문제 발견 됐다고.. 2.3.5-2.3.31 그리고 2.5-2.5.10 버전이 영향을 받는다고 함.

Fileless PowerShell malware uses DNS as covert channel
다른 프로토콜에 비해 상대적으로 DNS는 모니터링 비율이 낮은점을 이용한 DNSMessenger라는 멀웨어 소식.. MSWord와 PowerShell을 매개체로 해서 전파되며 DNS의 텍스트 전송 기능을 이용해 공격자가 명령어를 실행할 수 있게 된다고..

Free decryption tools now available for Dharma ransomware
Dharma 랜섬웨어의 복호화 키가 유출되어 무료 복구툴이 공개 되었다는 소식..

소프트웨어

Google Releases Open Source 'Guetzli' JPEG Encoder
구글의 Guetzli JPEG 인코더의 오픈소스 공개 소식.. 현존하는 JPEG 압축 기술대비 35%의 압축률 향상이 있다고..

MS의 Visual Studio 2017 발표 소식.. 링크

2017년 2월 소식들..

보안

New ASLR-busting JavaScript is about to make drive-by exploits much nastier
ASLR(Address Space Layout Randomization)이라 불리는 시스템 보호장치를 손쉽게 망가뜨릴 수 있는 JavaScript를 이용한 새로운 공격 방식에 대한 소식.. CPU에 기본적으로 사용되고 있는 메모리 캐시를 통한 하드웨어 자체의 결함을 이용한 사이드 채널 공격 방식인데 ASLR Cache 혹은 AnC라고 불린다고. 현재 영향 받는 CPU 리스트는 링크를 참조할 수 있음.

New MacOS ransomware spotted in the wild
OSX/Filecoder.E 라고 불리는 Swift로 작성된 랜섬웨어 소식.. 토렌트를 통해 전파되며 상용툴의 크랙으로 위장하고 있다고.. 비용을 지불해도 복구 불가능하니 주의하라는 이야기가..

Java and Python FTP Attacks Can Punch Holes Through Firewalls
Java와 Python의 FTP 구현체의 버그에 대한 소식.. 문제가 되는 점은 CRLF 값을 필터링 하지 않아서 전혀 엉뚱한 커맨드를 실행할 수 있도록해서 외부에 포트를 열어줄 수 있는 문제가 있다고.. 방화벽에서 클래식 모드 FTP 변환을 허용하지 않도록 하면 임시로 막을 수는 있다고..

Google Has Demonstrated a Successful Practical Attack Against SHA-1
구글의 SHA-1 해시값 충돌 공격에 대한 시연 소식.. 서로다른 PDF파일이 같은 SHA-1 해시값을 갖는... MD5와 함께 역사의 뒤안길로 사라지는 SHA-1의 관짝에 못을;

Apache Subversion Fails SHA-1 Collision Test, Exploit Moves Into The Wild
WebKit의 git-svn 미러 사이트에 SHA-1 해시값 충돌 공격을 성공해 저장소를 망가뜨린 사례가 나왔다고.. SVN은 SHA-1 해시값을 이용해 커밋들을 구별하는데 서로 다른 파일에 같은 해시값이 들어와서 충돌이.. 임시로 이 문제를 막기위한 스크립트에 대한 정보가 있는 글 링크

Massive Bug May Have Leaked User Data From Millions of Sites. So … Change Your Passwords
현재는 패치된 상태이지만 Cloudflare의 시스템상 버그로 인해 고객의 민감한 정보가 무작위로 유출 되었을 가능성이 있다는 소식.. 작년 9월 22일부터 유출 되었을 가능성이 있고 고객들 중에 꽤 유명한 업체들도 포함되어 있으며 주기적인 패스워드 변경과 2단계 인증등을 생활화 하라는 이야기가...

2017년 1월 소식들..

보안

 HummingWhale 이라 불리는 HummingBad의 변종 안드로이드 멀웨어에 대한 소식.. 구글 플래이 스토어를 통해 약 20개 정도의 앱을 통해 200만에서 1200만 정도의 다운로드가 이뤄진 것으로 추정되며 수익을 발생 시키기 위해 가짜 광고에 노출시켜 자동으로 다운로드 된 앱을 가상머신(VM) 기능을 이용해 동작시키는 방식이라고. 정상적인 앱으로 위장하기 위해 자동으로 긍정적인 사용자 평가를 스토어에 게시하는 동작을 포함하고 있다는 소식. 링크

하드웨어

구글과 Raspberry Pi의 파트너쉽 소식.. 올해안에 라즈베리파이 하드웨어에 대응하는 Ai와 머신러닝 도구들을 만들어 낼 것이라는 이야기가.. 링크

소프트웨어

애플의 새로운 파일시스템인 APFS에 대한 소식.. 거의 20년 가까이 사용해온 HFS+ 파일 시스템을 대체할 거라고 하며 플래시 스토리지 지원과 데이터 무결성과 관련된 보호 기능을 강화시켰다고.. iOS 장비의 경우 10.3 버전부터 적용될 것으로 보이고 Mac OS의 경우 테스트를 좀더 거쳐 WWDC에 정식 발표할 것으로 예상된다고.. 링크

Java의 2017년 4월 18일 패치부터 MD5 해시 알고리즘을 이용해 서명된 JAR 파일의 경우 유효하지 않은 암호화 서명으로 판단해 JRE에서 블럭하기로 했다는 소식.. 서명이 안된 경우도 유효하지 않은 것으로 판단하게 될 것이라고.. 링크

Twitter의 모바일 개발자 플렛폼인 Fabric이 구글에 인수되어 Firebase 플렛폼에 통합된다는 소식.. 링크

12월 소식들..

소프트웨어

자신이 구현한 암호화 관련 기능의 베이스라인을 잡는데 도움을 주는 구글의 Project Wycheproof에 대한 소식.. 현재는 Java 코드만 제공 되지만 다른 언어로 포팅된 버전도 나올 가능성이.. 링크 링크

구글의 Public NTP 서버에서 지구의 자전과 관련해 시간에 오차가 발생하는 Leap second와 관련해 leap-smeared time을 지원 한다는 소식.. 대신 일반 NTP와 혼용하지는 말라고.. 링크

VM 중립적인 Node.js API에 대한 소식.. 구글의 V8 뿐만 아니라 MS의 ChakraCore를 지원하면서 노드 모듈을 사용하기 위해 별도의 컴파일 과정이 필요하지 않게 될거라는 이야기가.. 링크

크롬의 시만택 SSL 인증과 관련한 버그 소식.. 크롬 53에서 버그로 인해 안드로이드의 WebView 컴포넌트를 포함해 인증오류를 보이는 경우가 있다고.. 6월 1일 이후로 적용된 인증서 투명성 정책이 적용되면서 발생한 버그라고 하며 크롬의 버전을 55이후로 업데이트 하길 권장한다고.. 링크

하드웨어

AMD의 딥러닝 대응 제품군인 Radeon Instinct 소식.. 기존의 파이어프로 제품군은 더이상 나오지 않을 거라고 하며 그래픽 부문의 프로슈머 카드는 Radeon Pro 컴퓨트 영역은 Instinct 카드로 대체가 된다고.. 폴라리스와 피지 기반의 카드는 경쟁사 대비 낮은 정밀도의 연산에서 추가적인 가속 기능이 없기 때문에 가격적인 면에서 메리트를 제공할 것으로 예상되고 본격적인 경쟁은 베가 기반의 제품에서 이뤄질 것으로 예상이.. cuDNN에 대응해 ROCm의 상위 레이어에서 동작하는 MIOpen 라이브러리를 제공할 것이라고.. 링크

Bluetooth 5에 대한 소식.. 스펙은 확정된 상태지만 제품을 볼 수 있는건 2017년 2월에서 6월 사이가 될 것이라고 하며 특징으론 기존대비 4배의 유효거리, 2배의 전송속도 8배의 브로드캐스트 메시지 용량 그리고 건물 전체를 커버할 정도의 안정적이고 강한 연결을 보장할 것이라는데.. 링크

AMD의 Radeon 소프트웨어의 ReLive 에디션 소식..  특이점으론 프로 라인업과의 소프트웨어 통합으로 프로슈머용 소프트로 개편 되었고 Raptr를 대체할 ReLive 캡쳐 기능 추가, 인수한 HiAlgo의 기술이 전성비 개선을 위한 Radeon Chill이란 기능으로 탑제 되었고 현재는 DX9, 10, 11에만 대응중인.. 그밖에도 WattMan의 R9 200이후 칩셋 지원과 리눅스에서 FreeSync 지원이라던가 VP9 코덱의 하이브리드 가속 같은 기능들이 추가된.. 드라이버에는 포함되지 않았지만 DX12나 Vulkan에서 FRAPS를 대체할 OCAT이라는 오픈소스 소프트웨어도 추가됨.. 링크 링크

보안

전자 상거래 사이트들 간에 요구하는 결재를 위한 카드 정보 필드가 다른 점을 착안해 이렇게 분산된 정보를 크롤링 봇을 이용해 수집해 온전한 카드 정보를 만들어내는 공격 방식에 대한 소식.. 개인적으론 결재 정보는 저장하지 않고 그때 그때 새로 입력하는 편인; 링크 

AWS의 DDoS로 부터의 위협을 경감시켜주는 Shield 서비스 발표에 대한 소식.. 링크

NO MORE RANSOM!이라고 불리는 사이트에 대한 소식.. 여러 보안업체들의 참여로 랜섬웨어에 대한 정보와 복호화 툴을 제공하는.. 링크

페이스북 내부에서 사용되던 의심스러운 SSL 인증을 찾는 툴이 외부에 공개 되었다는 소식이.. Certificate Transparency Monitoring 툴이라고 불리는데 누구라도 특정 도메인의 인증과 관련된 로그를 받아 볼 수 있도록 하는 툴이다. 링크

소니의 보안용 IP 카메라의 백도어와 관련된 보안 업데이트에 대한 소식.. 하드코드 된 인증서와 암호를 이용해 텔넷 서비스를 활성화 시키고 루트 권한을 취득할 수 있는 문제가 발견 됐는데 원래 소니의 개발자들이 이용하던 백도어 였다는 이야기가.. 현재 보안 패치가 나온 상태이고 공격의 타겟이 되기전에 빠른 패치를 권장한다고.. 링크

11월 4주차 소식들..

기타

1세대 원자로의 반응 조절 장치로 사용 되었던 흑연 블럭을 이용해 다이아몬드 배터리를 만드는 방법을 발견했다는 소식.. 탄소-14 가스를 추출해 인공 다이아몬드로 만드는  방식인데 이렇게 만들어진 방사성 다이아몬드에 비방사성 다이아몬드로 코팅해서 이용할 수 있다고.. 링크

소프트웨어

macOS 10.12의 Darwin 소스코드 공개 소식.. 링크

보안

독일과 아일랜드의 IPS가 제공하는 라우터 장비에서 발견된 결함에 대한 소식.. 외부에서 하드웨어 제어를 위해 7547포트를 열어두는데 공격 방식은 해당 포트를 통해 TR-069에 기반하고 TR-064 프로토콜과 연관된 명령어를 사용한다고.. 결함을 이용한 공격 코드가 공개 되어있고 80 포트를 열어 라우터의 원격 제어가 가능해지게 만들어 대규모 봇넷 공격에 이용될 가능성이 있다고.. 링크

NTP 프로토콜을 이용한 DDoS 공격 빈도가 빈번해 짐에 따라 패치와 권고안에 대한 소식이.. 패키지를 ntp-4.2.8p9로 업데이트 하고 공격자들은 보통 위조된 IP를 이용하기 때문에 이를 막을 수 있는 BCP-38을 통해 입구와 출구에 대한 필터링을 적용하길 권장한다고.. 다른 권고안에 대한 내용 또한 원문에 게시된.. 링크

자신의 앱이 셀프 DDoS를 가하는 상황을 피하기 위한 방법들..

참고 : http://www.infoworld.com/article/3138018/security/developers-dont-ddos-your-own-apps.html ,
https://cloudplatform.googleblog.com/2016/11/how-to-avoid-a-self-inflicted-DDoS-Attack-CRE-life-lessons.html

앱의 기본 데이터 리프레시 주기와 서버의 장애시 재시도 주기가 고정된 값을 갖는 경우 둘이 겹치는 상황에서 트래픽이 배가 되어 앱 스스로 자신의 서비스에 DDoS 공격과 유사한 상황을 야기하고 이러한 좋지않은 주기가 반복되는 문제에 대한 이야기인데..

구글 엔지니어가 이야기하는 3가지 해법은 다음과 같다.

지수의 형태로 증가하는 지연시간(exponential backoff)

고정된 짧은 재시도 주기를 사용할 경우 로드벨런서에 요청이 쌓이고 서버가 정상으로 돌아왔을 때 과부하 상황을 야기하기 좋기 때문에 고정된 재시도 주기가 아닌 1, 2, 4, 8, 16과 같은 형태로 재시도 주기를 증가 시키고 정상적인 상황의 동기화 주기가 15분이라면 재시도 주기는 최대 16 정도로 잡을 수 있다. 하지만 이역시 다수의 장비들의 재시도 주기가 동기화 되는 현상을 해결하기엔 부족하다..

무작위 주기를 더하거나 빼기(a little jitter)

장시간 서버의 다운타임을 겪게 되면 지수의 형태로 증가하는 지연시간을 이용하더라도 재시도 주기가 맞물리는 현상은 발생하며 이를 피하기 위해 지연시간에 +/- 고정 비율의 주기에서 랜덤하게 시간을 선택할 수 있다. 예를 들면 다음 재시도 주기가 4분에 30% 비율을 이용하기로 했다면 최소 2.8분 최대 5.2분 사이의 값을 랜덤하게 적용하도록 하는 것이다.

이 방법은 실생활에서 폰과 컴퓨터 사용자들의 수면과 기상 패턴과 같은 점을 고려 했을 때 일반적인 동기화 주기에 적용해도 효과가 있다고 한다.

재시도 횟수 기록하기(retry marking)

대규모 분산 시스템의 경우 장애에서 전체 처리량이 완전히 복구 되기 까지 어느정도 시간이 걸리기 때문에 앞의 두가지 방법 만으로는 충분하지 않다.

이를 해소하기 위한 손쉽고 효과적인 방법으로 클라이언트에서 정상적인 연결과 재시도 횟수의 비율을 기록해 백엔드에서 접속의 우선순위를 두는 것이며 이에대한 판단은 사업의 성격에 따라 다를 수 있다.

11월 3주차 소식들..

소프트웨어

 AMD의 HSA 소프트웨어 스택을 담당하는 Boltzmann Initiative의 ROCm 1.3 소식.. 데이터 크기를 줄일 수 있도록 Tonga 하드웨어 이상 부터 16비트 형식의 데이터를 지원하도록 바뀌었고 플렛폼의 언어 지원의 초점이 OpenCL에서 HCC와 C++로 이동하는 방향으로 수정되었으며 OpenCL의 경우 1.2를 베이스로 2.0의 기능들이 백포트 되가는 형태가 될 것이라고.. HIPity 코드 변환 툴의 기능향상이 눈에 띄는데 CUDA로 작성된 CAFFE 딥러닝 프레임웍을 변환하는데 99.6%의 코드가 자동 변환 되었고 5만 5천 라인의 코드의 포팅 작업을 완료 하는데 4일이 소요 되었다는 이야기가.. 이번 버전부터 폴라리스 하드웨어를 정식 지원하고 앞으로 ARM과 POWER8 플렛폼도 지원 예정이라는 소식.. 링크

기타

구글 클라우드에 2017년 초부터 GPU 서비스가 추가된다는 소식.. AMD와 NVIDIA 모두 지원하며 분당 과금 형태가 될거라고.. 링크

iPhone 6 Plus의 터치와 관련된 하드웨어 결함을 인정하고 수리 프로그램을 진행한다는 소식.. 149$의 수리비를 필요로 하고 혹시 더 많은 비용을 들여 수리한 이력이 있다면 추가 금액을 상환 해준다는 소식이.. 링크

보안

Facebook과 Google의 OAuth 2.0을 사용하는 써드파티 앱들의 보안 결함에 대한 소식.. 상당수의 앱들이 계정 정보를 탈취 당할 수 있는 위험에 놓여 있다고 하며 SSO 구현시 보안과 관련한 가이드라인이 명시되지 않은 점이 문제라고.. 기본적인 공격 방식은 피해자의 장비에 SSL 프록시를 설치하여 Man in the middle 상태를 유도하는 형태인데 써드파티의 백엔드 서버에서 클라이언트 앱에서 보내온 인증에 대해 재 검증 절차를 거치지 않는 헛점을 이용한다고.. 링크

BlackNurs 라고 불리는 새로운 형태의 DoS 공격에 대한 소식.. 일반적인 ping floods 공격의 경우 ICMP Type 8 Code 0 패킷을 이용하지만 새로운 방식의 경우 Type 3(Destination Unreachable) Code 3(Port Unreachable)를 사용하는데 적은 대역을 점유하면서 일부 방화벽 장비의 CPU에 과부하를 주는 형태로 네트웍을 마비 시킨다고.. 링크

11월 2주차 소식들..

소프트웨어

 MS의 Azure 클라우드에서 구글의 컨테이너 오케스트레이션 솔루션인 Kubernetes(K8S)에 대한 지원 강화 소식.. 개인적으로 아마존의 AWS와 비교해 K8S의 적용의 편의성 측면에서 어느정도 차이가 있을지 궁금해지는.. 링크

보안

NVIDIA의 드라이버 설치시 원격 정보수집을 위한 구성요소가 함께 설치된다는 소식.. 현재 사용자가 해당 기능의 On/Off를 선택할 수 있는 방법은 제공하고 있지 않아서 문제가.. 사업의 중심이 그래픽 분야에서 AI와 HPC 분야로 옮겨가는 추세라 그런지 개인적인 생각에 수집된 데이터로 머신러닝을 이용해 쓸만한 데이터를 추출해낼려는 건가 싶기도.. 링크

11월 1주차 소식들..

기타

스마트폰을 이용한 암 검출기 소식.. 스마트폰의 카메라에 부착하여 99%의 정확도로 다양한 종류의 암에 대한 생물학적 지표를 검출해낼수 있다고.. 약 $150 정도의 8채널 스마트폰 분광계를 사용하며 아이폰5에 대응해 개발 되었지만 다른 스마트폰에서 동작하도록 조정될 수 있다고.. 링크

분뇨의 원유 변환에 대한 소식.. 자연 상태에서 원유 생성 과정을 흉내낸 방식으로 걸리는 시간은 수세대가 아닌 수분에 불과하며 생성된 원유는 천연 상태의 원유와 비슷하며 산소와 물을 포함하고 있어 기존의 원유 정제 시설을 통해 이용할 수 있다고.. 2018년 부터 시설을 가동할 것으로 예상 된다는 소식.. 링크

10월 4주차 소식들..

보안

ARM의 SaaS 플렛폼인 mbed 클라우드 소식.. IoT 장비가 동원된 대규모 DDoS 소식 이후 근본적인 문제를 해결하기 위한 움직임이.. 해당 플렛폼을 통해 장비의 연결과 설정, 보안키 관리와 펌웨어 업데이트와 같은 기능을 제어할 수 있다고하며 ARM을 탑제하지 않은 장비에서도 사용 가능하다고.. 링크

Joomla 의 계정 등록이 비활성 된 상태에서도 계정을 생성하고 권한을 상승시킬 수 있는 결함에 대한 패치 소식.. 3.6.4 버전에서 패치 되었지만 패치에 대한 빠른 리버스 엔지니어링을 통한 구버전 사이트의 공격 사례가 급격히 증가하고 있다고.. 아직 패치를 하지 않은 상태라면 이미 사이트가 탈취된 상태일 가능성이 높다고 함.. 링크

중국의 SSL 인증 발급 업체인 WoSign이 현재는 사용하지 않는(2016년 1월부로..) SHA-1 알고리즘 기반의 인증서를 발급하고 있어 모질라, 애플에 이어 구글 역시 WoSign과 StartCom(WoSign이 인수한..)에서 발급한 인증서는 허용하지 않기로 결정 했다고 하며 크롬 56부터는 사용할 수 없게 된다고.. 링크

10월 3주차 소식들..

기타

이산화탄소를 에탄올로 전환할 수 있는 기법에 대한 소식.. 나노공학을 이용한 탄소, 구리, 질소와 같은 저렴한 원소를 이용한 촉매에 전압을 인가하면 점화 반응과는 반대 과정의 복잡한 화학반응을 통해 이산화탄소를 물에 용해시켜 63% 수율로 에탄올을 만들 수 있다고.. 반응을 일으키기 위한 전력공급에 기존의 재생에너지를 이용할 수 있을 것 같다는 이야기가.. 링크

소프트웨어

Java JDK9의 일정 연기 소식.. Project Jigsaw로 인해 4개월 연기된 2017년 7월말 정식 발표로 일정이 잡혔다고.. 링크

리눅스 커널 4.7의 지원 중단 소식.. 4.7.10을 마지막으로 지원이 중단되며 4.8과 같은 최신 브랜치로 이전하길 권고한다는 소식이.. 링크

이전에도 한번 소식을 다뤘던 LRNG(Linux Random Number Generator) 패치가 커널 4.9에 병합되기 시작 했다는 소식이.. 링크

보안

대규모 서비스 장애를 초래한 Dyn의 DNS 서비스에 대한 대규모 DDoS 공격의 배후에 IoT 봇넷인 Mirai와 Bashlight가 있었던 것으로 확인 됐다는 소식이.. Mirai의 경우는 깃헙에 소스가 공개된 상태라 변종 봇넷이 많이 등장할 가능성이 있어 보이는.. 링크

Cisco의 Talos 팀의 윈도 시스템의 MBR 보호툴인 MBRFilter에 대한 소식.. 디스크의 섹터0을 읽기 전용으로 변경해서 MBR을 타겟으로 하는 랜섬웨어로 부터 보호한다고.. 링크

오라클의 10월 정기패치 소식.. 이번에도 253개의 수정사항을 포함한 역대급 규모의 패치가.. 링크

x86 플렛폼에서 메모리 상의 비트 데이터 데이터 조작을 통한 해킹 기법인 Rowhammer가 ARM 칩에서도 동작하는 것이 확인 됐다는 소식이.. Rowhammer에 대한 개인적인 기억으로는 왜 DDR4 세대에 와서까지 ECC가 기본 기능으로 탑제되지 않는가라는 리누스 토발즈의 이야기가 있었던 것 같은데(물론 100% 막을 수 있는 건 아니고 해킹이 어려워지는 수준이지만..) 최근 AMD의 CPU아키텍쳐에 ARM을 메모리 암호화 처리용 칩으로 내장할 것이라는 이야기도 이런 문제들과 연관이 없는건 아닌듯한.. 여하튼 안드로이드 플렛폼에서는 좀더 진화한 Drammer라고 불리는 기법이 되었고 루트 권한을 획득할 수 있는 문제가 있다고.. 소프트웨어적인 결함보다는 하드웨어적인 취약점을 파고드는 기법이라 완벽히 막는데는 시간이 걸릴것으로 보임.. 링크

리눅스의 메모리 서브시스템의 결함을 이용한 DirtyCOW(copy-on-write) 결함 소식.. 무려 9년이나 존재했던 버그라고 하며 현재는 패치가 배포된 상태.. 공격자가 루트 권한을 획득할 수 있는 문제가 있고 원격지에서 직접 권한상승 결함을 이용할수는 없지만 외부에서 접근 가능한 쉘을 제공하는 서비스 업체의 경우는 문제가 된다고.. 추가로 안드로이드의 경우 역시 영향을 받고 패치가 필요하다고.. 링크 링크

Cloud9에 Oracle JDK8 설치하기..

참고 : http://www.webupd8.org/2012/09/install-oracle-java-8-in-ubuntu-via-ppa.html

여러 장비에서 해커랭크의 문제를 심심풀이로 풀다보니 소스코드 관리가 필요하지는 않지만 코드를 저장할 수 있는 언제 어디서나 접근 가능한 작업 공간이 필요해졌다. 방법을 생각하다보니 클라우드 기반 IDE가 적당한 솔루션인 것 같아 보였고 최근에 많이 쓰이는 서비스로 Cloud9, Codenvy, Codeanywhere가 있었다.

비교 자료를 보면 가장 강력한 툴로는 Codenvy가 언급되고 있기는 했지만 가볍게 알고리즘 문제 정도만 작성하고 실행해 볼 수있으면 되는 무료 툴을 원하다 보니 얼마전 아마존에서 인수한 Cloud9을 사용해 보기로 하였다.

기본적으로 우분투 리눅스 컨테이너 이미지를 기반으로 동작하며 Bash 콘솔을 제공하기 때문에 무료 사용자에게 허용된 시스템 리소스 한도 내에서는 원하는대로 세팅이 가능하며 그래서 인지 기본 세팅에서는 Java 어플리케이션 개발 환경이 정상적으로 세팅이 되어 있지 않다...

위 코드는 기존에 설치된 jre를 제거하고 Oracle JDK8을 설치하는 방법을 기술하고 있으며 여러개의 JDK가 설치되어 있는경우 Java 8을 기본 사용으로 설정하는 방법 역시 포함하고 있다.

10월 2주차 소식들..

하드웨어

새로운 메모리 인터페이스 개발을 위한 Gen-Z 컨소시엄 소식.. 로열티 없는 공개 비영리 표준을 만드는게 목표라고 하며 최근 머신러닝의 보급이 확산 되면서 다뤄야하는 데이터셋의 크기가 점점 증가하고 이에 따라 메모리 계층의 다변화와 추가로 이기종 컴퓨팅이 보편화 되고 있는 상황의 문제를 해결하기 위한 하드웨어와 소프트웨어 인터페이스 정의를 위한 움직임이.. 링크

보안

결제 정보 탈취를 위해 공격자가 JavaScript 코드를 삽입한 사이트에 대한 소식.. 리스트에 포함된 co.kr 주소는 파나소닉 코리아 온라인샵이.. 링크 링크

폭스콘 펌웨어를 포함한 안드로이드 장비의 Pork Explosion 보안 결함 소식.. 해당 장비를 USB에 연결한 상태에서 reboot-ftm(필드 테스트 모드) 명령어를 통해 각종 보안 설정을 우회할 수 있는 문제가 있다고.. 링크 링크

10월 1주차 소식들..

보안

구글의 V8 자바스크립트 엔진의 BadKernel이라 불리는 보안 결함 소식.. 3.2 - 4.2 사이의 버전이 영향을 받고 공격자가 휴대폰의 모든 권한을 취득할 수 있는 문제가 있다고.. V8 엔진이 탑제된 대표적인 앱들을 살펴보면 크롬, 오페라 브라우저와 이밖에 WebView 안드로이드 컴포넌트(앱에 브라우저 기능 제공을 위한..)를 사용한 다수의 앱이 존재하며 안드로이드 4.4.4 에서 5.1까지가 결함이 있는 버전의 WebView를 기본으로 사용한다고.. 앱들은 항상 최신버전으로 유지하길 권장하고 해당 버그에 대한 분석 자료가 원문 링크에 이미지로 포함된.. 링크

소프트웨어

구글의 오픈 폰트 라이선스의 NOTO 폰트 소식.. 800여개의 언어를 지원한다고 하며 폰트에서 표현할 수 없는 문자를 사각 박스로 표시 하던걸 해결한 폰트라고.. 이름도 no more tofu의 약어라고 하며 tofu는 일본 표현인데 우리나라에선 두부라고 부르는.. 링크

9월 4주차 소식들..

기타

서구의 금융권에서 3년내로 블록체인을 이용한 거래 시스템을 구축할 것이라는 이야기가 많이 나오고 있는 요즘.. MS도 Bank of America와 블록체인을 이용한 금융 거래와 관련한 파트너쉽을 맺었다는 소식이.. 여전히 금융권 SI는 MS의 주요 수입원인듯.. 링크

소프트웨어

MS의 어플리케이션 바이너리의 보안 결함을 찾는데 이용할 수 있는 클라우드 서비스인 Project Springfield 소식.. 기존에 MS 내부에서 사용하던 화이트박스 퍼징툴인 SAGE가 전신이라고..  현재는 윈도우 바이너리만 지원하지만 리눅스역시 지원할 예정이라고.. 링크

애플의 Swift 3와 구글의 Angular 2.0의 하위 호환성 문제에 대한 소식.. Swift 3의 경우 Objective-C 코드의 기존 변환 코드가 새버전과 호환이 되지 않아 새로 임포트 해야하는 문제가 있고 표준 라이브러리 역시 명칭이 변경된 경우가 많다고.. Angular 2.0의 경우 완전히 새로 작성되서 구버전과 호환되지 않는 문제가.. 추가로 앱을 작성할 때 MS의 TypeScript를 사용하길 추천한다고.. 링크 링크

사이버 보안을 위한 아파치 재단의 새로운 프로젝트인 Spot 소식.. 인텔의 Open Network Insight라는 프로젝트가 ASF의 인큐베이터로 이전된 프로젝트라고 하며 실시간 데이터를 분석하는데 머신러닝을 사용하는 형태라고.. 링크

HTML 5.1 스펙 런칭 준비가 끝났다는 소식이.. HTML 5.2 역시 작업이 시작 된 상태이고 5.1은 5에서 큰 변화 없이 외적인 부분들의 트윅이 이뤄진 버전이라고.. 링크

하드웨어

이더넷 표준인 802.3bz에 대한 소식.. 새표준에서는 일반적인 Cat 5e 케이블로 2.5Gbps의 데이터 전송이 가능해 지며 Cat 6 케이블은 5Gbps의 대역을 제공한다고(기존엔 1Gbps).. 물리적 구조는 10GBASE-T와 비슷하지만 주파수가 400Mhz가 아닌 200Mhz 혹은 100Mhz를 사용해서 비싼 실딩 케이블이 필요하지않고 오류정정 방식이나 신호변조 방식에 차이가 있다고.. 일반 가정에 새로운 표준이 적용된 장비가 언제 되입될지는 아직 미지수인 상태.. 링크

직물 형태의 태양광과 풍력을 통해 전기를 발생시킬 수 있는 소재에 대한 소식.. 태양광과 마찰을 통해 전기를 발생 시키는 천 형태의 소재라는데 산업용 방직기를 통해 생산이 가능하고 2V까지의 소형 상업용 커페시터를 1분안에 충전 가능하다고.. 통기성과 유연성을 갖춘데다 튼튼한 편이고 햇빛 아래에서 걸을 경우 80mW/cm² 회로에서 해당 소자를 통해 전력을 사용중에도(로드 저항 10KΩ - 10MΩ일때) 0.5mW의 출력을 갖는다고 하며 텐트와 같은 곳에도 전기를 공급할 수 있을거라는 이야기가.. 링크

IBM의 인간의 뇌와 비슷하게 동작하는 칩인 TrueNorth에 대한 소식.. 상호 연관에 기반한 의사결정이나 확률과 같은 영역의 처리를 수행할 수 있는 칩인데 IBM이 언급 하기로는 전통적인 방식의 딥러닝에 필요한 칩인 CPU, GPU, FPGA에 비해 25-275mW의 매우 적은 전력으로 같은 작업을 수행할 수 있고 이는 스마트폰과 같은 장비에도 사용 가능한 전력 소모라고.. 인간의 뇌의 규모에 필적하는 칩을 만들 계획을 가지고 있고 이런 거대한 컴퓨터에 걸맞는 알고리즘과 어플리케이션을 개발하는 것이 문제라는 소식.. 링크

보안

XSS 방지를 위해 웹페이지에 설정한 CSP(Content Security Policy)의 유효성을 체크하고 구성을 도와주는 툴인 구글의 CSP Evaluator와 CSP Mitigator 크롬 플러그인 소식.. 링크

구글 플레이에 올라온 멀웨어를 포함한 앱들에 대한 이야기가.. 스토어의 관리에 대해 전부터 이야기는 많았지만 DressCode 라는 멀웨어가 포함된 정상적인 앱으로 위장한 앱이 10만에서 50만건이 다운로드 된 후 마켓에서 제거된 일이 있었고 NAT로 보호된 네트웍을 우회할 수 있는 문제가 있었다고.. 감염된 장비에 SOCKS proxy를 설치하고 범용 터널을 구축하며 해당 장비를 공격용 봇으로 만들어 다수의 감염된 장비를 통해 봇넷을 구축하여 DDoS 공격등이 가능해진다고.. 링크

탈취된 IoT 장비를 이용한 봇넷의 DDoS 공격에 대한 소식.. 보안관련 블로그에 대해 665Gbps에 달하는 공격 트래픽이 발생해서 Akamai에선 해당 고객을 차단하는 결정을 내렸다고.. 공격에 대한 분석을 통해 비슷한 유형의 공격에 대비할 수 있는 툴을 준비할 계획이라는데 전부터 우려되던 일이 현실로.. 링크

9월 3주차 소식들..

보안

MySQL의 0-day 버그 소식.. 어떤 경로를 통했든 공격자가 MySQL 서비스에 접속 권한을 취득하게 되었을 때 동작하는 버그인데 권한 상승을 통한 루트 권한을 취득할 수 있게 되는게 문제라고.. 7월에 리포트되어 현재 MariaDB와 PerconaDB는 패치가 제공된 상태이지만 Oracle의 경우 10월 정기 업데이트에 패치를 제공할 것으로 보이고 해당 결함의 이용에 대한 제한된 정보의 POC 코드가 공개된 상태.. 링크

FTP 연결을 통해 배포되는 Monero 코인을 채굴하는 멀웨어 소식.. 감염된 상당수의 서버에 Seagate Central NAS 장비가 포함되어 있으며 전파 방식은 해당 장비에 원격 파일 접근이 가능하게 설정되어 있고 익명으로 파일을 업로드 할 수 있는 경우 공격자가 위장된 파일을 공개 폴더에 업로드해 사용자가 무심코 실행하게 되는 경우 채굴 소프트웨어가 설치되는 형태라고.. 개인 용도라도 보안에 신경써야.. 링크

하드웨어

HP 프린터에 HP의 정품 잉크 카트리지를 사용하지 않을 경우 카트리지와 관련한 오류가 발생 하도록 날짜가 프로그램 되어 있었던 것 같다는 이야기가.. 사용자들의 항의가 거세지자 HP에서는 펌웨어 업데이트의 영향인 것 같다고 밝혔지만 네트웍에 연결되어있지 않은 프린터역시 문제가 발생해서 펌웨어의 영향이 아닌것 같다고.. 링크

소프트웨어

MIT의 빅 데이터 처리시 메모리 병목을 해결하기 위해 만들어진 Milk라는 언어 소식.. OpenMP 기반 언어로 기존 방식 대비 4배 이상의 성능 향상이 있다고.. 동작 방식은 메인 메모리에 접근하는 것은 CPU의 캐시에 비해 느리기 때문에 필요한 데이터를 발견하면 즉시 메모리에 요청 하는게 아니라 내부에 주소 리스트를 저장하여 모든 코어가 풀에 공유하고 리스트가 충분히 길어지면 가까운 주소끼리 그룹지어서 코어들에 재분배 하여 처리해 캐시효율성을 높이는 방식이라고.. 링크

Vim 8.0 소식..  추가된 기능들은 링크를 참고 하시길.. 링크