Internet Weekly | 2012. 3월. 4주 - KISA · 야후 칵테일 은 특히 웹 앱이 지닌...
36
Internet Weekly | 2012. 3월. 4주
Transcript of Internet Weekly | 2012. 3월. 4주 - KISA · 야후 칵테일 은 특히 웹 앱이 지닌...
Internet Weekly | 2012. 3월. 4주
목 차목 차
Issue Inside
▪ “소셜 TV” 시청 행태 확산...방송사와 광고주의 시청률 평가 지표로 활용 中 1
▪모바일 웹 표준화 주도하는 페이스북, 애플ㆍ구글에 이은 제 3세력
출범 예고3
▪다양한 웹 표준 포괄한 차세대 웹 앱 개발 플랫폼 '야후 칵테일', 웹
앱 생태계 선도6
▪애플, 하드웨어 성능 개선한 ‘뉴아이패드(New iPad)’ 출시...‘포스트
PC 시대’ 선언8
▪ 구글, 디지털 콘텐츠 통합 유통 플랫폼 ‘구글 플레이’ 출시 11
▪美 ․유럽연합(EU)의 규제 당국, 구글(Google)의 인터넷 사용자
개인정보 불법 수집 관련 조사 착수14
▪ 퀸즈랜드 대학, 호주의 개인정보 수집 및 이용에 대한 보고서 발표 16
▪美 육군, SNS 사진 상의 위치표시 지오태깅(Geotagging) 기능이
보안 위험이 될 수 있다고 경고18
▪英 Visiongain, 2012년 글로벌 NFC 애플리케이션 매출 100억
달러 넘어설 것으로 전망 19
▪ IE 9, Heap Overflow 제로데이 취약점 발견 21
▪그래픽카드 프로세서와 클라우드를 이용한 패스워드 크랙 서
비스 오픈23
목 차목 차
Issue Inside
▪ 일본정부, 공무원 대상 사이버 훈련에서 10%가 바이러스 감염 25
▪전원 어댑터 모양의 내부 네트워크 보안 점검도구 Pwn Plug
출시27
▪ 구글, 크롬 해킹 대회에서 취약점 발견에 따른 긴급패치 제공 28
▪ Symlink(Symbolic links) Bypass 해킹 기법 29
▪ Google Code 사이트를 통해 안드로이드 악성코드 유포 30
▪ ’핑크색 페이스북 앱‘ 설치를 유도하여 스팸 전파 32
▪ AV-TEST, 안드로이드용 백신 41종 테스트 결과 발표 33
- 1 -
“소셜 TV” 시청 행태 확산...방송사와 광고주의 시청률 평가 지표로 활용 中
’12. 3. 20(화) 정책연구실 정책기획팀 배병환
소셜 TV 시청자 증가세...TV 프로그램 관련 SNS 코멘트 폭주
❍ 최근 시청자가 트위터, 페이스북 등 SNS에 접속해, 시청 중인 TV 프로그램, 혹은 눈길을
끄는 TV 광고 등에 대해 지인들과 대화를 나누는 소셜 TV 시청이 확대되고 있음
- 소셜 TV 전문 분석 업체 블루핀 랩스(Bluefin Labs)에 따르면, 지난 2월 5일 개최된 美
프로미식축구 챔피언 결정전 '슈퍼볼(Super Bowl)'과 2월 12일 개최된 시상식 '그래미 어워드
(Grammy Awards)'등 대형 이벤트에 SNS 참여가 대거 이뤄진 것으로 나타남
- '슈퍼볼'은 미국 내 시청자만 1억 1,100만 명에 달한 대형 이벤트로, 시청자들이 경기 도중
페이스북, 트위터 등 SNS를 통해 남긴 관련 코멘트만 전년 대비 약 600% 증가한 1,220만 건에
달하는 기록을 세웠음
- '그래미 어워드'의 경우 시청자들이 시상식 방영 중 SNS를 통해 전년 대비 2,280% 증가한
1,300만 건의 코멘트를 등록하는 대기록을 달성했으며, 2012년 블루핀 랩스 선정 '美 소셜 TV
히트 엔터테인먼트 이벤트' 중 1위를 차지하고 있음
❍ 대형 이벤트와 관련한 소셜 TV 시청 행태가 폭주하면서, 지난해 말 발표된 광고 업계 전문
미디어 애드버타이징 에이지(Advertising Age)와 블루핀 랩스의 공동조사 결과도 다시금
이목을 끌고 있음
- 블루핀 랩스에 따르면 소셜 TV 시청 행태는 2011년 들어 급격히 확산된 것으로 나타남
- 2011년 2월 '아카데미 어워드(Academy Awards)' 방영 당시에는 약 99만 6,000개의 SNS
코멘트가 작성됐지만, 11월에 방영된 대중음악 시상식 '아메리칸 뮤직 어워드(American
Music Awards)'에서는 상대적으로 적은 규모의 이벤트임에도 불구하고 240만 개에 육박하는
SNS 코멘트가 발생함
- 한편, 2011년에 SNS에서 가장 많이 회자된 방송사는 지상파 방송사 폭스(FOX)로, 전체
방송사 관련 코멘트 중 13.2%를 차지한 것으로 드러났음
❍ 美 TV 시청자의 소셜 TV 시청 행태는 방송사 및 광고주들이 단순히 TV 시청률 집계에만
의존하지 않고 SNS를 통한 시청자들의 실시간 피드백을 반영해 전략을 수립하는 트렌드를
유발하고 있음
- 美 TV 프로그램 정보지 TV가이드닷컴(TVGuide.com)이 지난 2월 3,041명을 대상으로 설문
조사한 결과에 따르면, 17%의 응답자가 SNS를 통해 접한 정보로 인해 특정 TV 프로그램을
시청하기 시작했다고 응답
- 31%의 응답자는 동일한 이유로 특정 TV 프로그램을 지속적으로 시청하게 된다고 응답
- 이 같은 결과는 SNS상의 시청자 반응과 TV 시청률의 직접적인 상관관계를 시사하는 것으로,
TV가이드닷컴의 부사장 크리스티 테너는 "특정 TV 프로그램에 대한 기사 작성 여부를 소셜 TV
시청자의 반응을 토대로 결정하고 있다"고 밝히기도 함
- 2 -
소셜 TV, TV 시청 시간 증가에 일조...수익모델은 불안정
❍ 과거 방송 업계 일각에서는 인터넷의 출현으로 TV 시청 시간이 감소할 것이란 우려를 제기한 바 있음
- 하지만 TV를 시청하면서 채널을 이리저리 돌리는 대신, 세컨드 스크린으로 웹서핑을 하는
시청자가 증가하면서 TV 시청은 여전히 美 소비자들 사이에서 인기 있는 엔터테인먼트로
자리매김하고 있음
- 특히 소셜 TV 시청 행태가 확산되면서 다시보기 서비스를 이용하는 대신 TV 프로그램
방영 중 SNS를 통한 즉각적인 의견 교류에 동참하고자 하는 시청자들이 '실시간 TV
시청자' 즉, 본 방송 시청자를 증가시키는 예기치 않은 효과도 유발하고 있음
- 업계 관계자들은 소셜 TV 시청자의 SNS 코멘트를 통해 유포되는 소위 '소셜 스포일러
(Social Spoilers)'에 대한 우려로 일부러 본방송을 시청하려 하는 이들도 적지 않은
것으로 분석하고 있음
❍ 그러나 보다 광범위한 이용자 기반이 확보되지 않는 한 광고 수익을 기반으로 하는 소셜
TV 비즈니스 모델은 불안정하다는게 업계의 중론임
- 소셜 TV 애플리케이션 겟글루5(GetGlue5)의 알렉스 이스콜드(Alex Iskold) CEO는 "겟글루의
가장 중요한 목표는 이용자 기반 확대이며, 수익화 방안 및 광고주 수요 파악은 아직까지는
모색 단계"라고 언급
- 이스콜드 CEO는 "이번 '슈퍼볼'과 관련해 소셜 TV 업계 전반의 광고 수익은 크지 않은 것으로
안다"며, "광고주들이 소셜 TV 서비스에 TV 광고와 같은 막대한 광고비를 투자하지는 않고
있는 실정"이라고 덧붙임
- 그러나 일각에서는 향후 소셜 TV 서비스가 특정 시청자층을 공략하는 타깃 마케팅에 활용될
수 있는 가능성에 주목하면서 이미 광고 효과를 극대화할 수 있는 대안 중의 하나로 검토되고
있다고 주장
[출처]
1. Betakit, “Helping Broadcasting Measure Social Viewrs”, 2012/3/12
2. Hindu Business Line, “Social TV, the next big platform for marketers”, 2012/2/24
3. MediaTel Newsline, “Can social TV survive without appointment TV”, 2012/2/21
4. Seattle Post Intelligencer, “Social TV Survey Social Media Is Making You Watch More
TV!”, 2012/2/27
5. Washington Post, “The Oscars and social media: How online chatter is keeping live TV
relevant”, 2012/2/29
목 차
- 3 -
모바일 웹 표준화 주도하는 페이스북, 애플ㆍ구글에 이은 제 3세력 출범 예고
’12. 3. 20(화) 정책연구실 정책기획팀 유재필
페이스북, 웹 표준 협의단체 ‘coremob’ 결성...파편화된 HTML5 기반 웹 표준 정립에 박차
❍ 지난 3월 1일 막을 내린 '모바일 월드 콩그레스(Mobile World Congress, MWC) 2012'에서
페이스북의 브렛 테일러(Bret Taylor) 최고경영기술자 (CTO)는 현재 모바일 브라우저 상에서
기술 파편화가 만연되어 있다고 비판
- HTML5가 단일 표준을 표방하고 있는 것은 사실이나 모바일 단말 레벨에서 실제 적용될
때에는 서로 차이를 보이는 '개별화'가 이루어진다는 주장
- 테일러는 ▲하드웨어 가속 ▲디지털 저작권 관리(DRM) ▲단말 부속 카메라 접근 등의
기능이 단말별로 제각각 이식되고 있다고 지적
- 이로 인해 개발자들은 해당 기능을 활용하는 애플리케이션 개발 시 큰 불편을 겪고 있음
❍ 페이스북은 이 같은 HTML5 표준의 파편화를 막고자 주요 모바일 통신사 및 단말 벤더,
플랫폼 사업자 약 30개 기업과 W3C 산하 ‘모바일 웹 플랫폼 커뮤니티 그룹(Core Mobile
Web Platform Community Group, coremob)’을 결성
- 모바일 웹 브라우저 업체 모질라(Mozilla), 오페라(Opera), 단말 벤더 삼성전자, 노키아
(Nokia), HTC와 마이크로소프트, 인텔 등 HW/SW 벤더, AT&T, 버라이즌 등 통신사, 징
가(Zynga), 일렉트로닉 아츠(Electronic Arts, EA) 등 앱 제공업체 등 다양한 진영이 참여
< ‘모바일 웹 플랫폼 커뮤니티 그룹(coremob)’ 참여 업체 >
- 4 -
모바일 웹 플랫폼 표준 정립을 위한 페이스북의 행보
❍ 페이스북은 모바일 결제 시스템의 간소화를 위해 각국 통신사들과의 협력을 강화하고 있음
- 대부분의 모바일 앱 결제가 이통사의 SMS 인증을 거쳐야 하는 불편한 프로세스를 개선하기
위한 것이 목표임
- 페이스북은 자사 결제 시스템 '페이스북 크레딧(Facebook Credit)‘을 통해 모바일 웹 앱
결제 절차를 간소화하고, 이를 통신사 과금 체계 내에 포함시킬 계획
❍ 페이스북은 현재 웹 애플리케이션의 유통 방식도 개선되어야 한다고 주장하며, 애플 앱스토어와 같은
독자 유통 플랫폼 대신 전체 모바일 웹 애플리케이션을 포괄하는 통합 플랫폼 구축을 제안함
- 페이스북은 현재의 앱스토어 모델이 플랫폼 운영자 측의 관리에 의해 유지되므로 이미 시장
진출에 성공한 유명 개발업체에는 유리한 반면, 그렇지 못한 대다수의 영세 개발업체에는
큰 장해가 된다고 주장
- 페이스북은 이용자가 원하는 때에 원하는 애플리케이션을 접할 수 있도록 하는 모바일
앱 유통 시스템 '오픈그래프(Open Graph)'도 지속적으로 개선해 나갈 방침
※ 약 4억 2,500만 명에 달하는 자체 모바일 앱 이용자를 보유한 페이스북은 지난해 10월부터 iOS
기반 애플리케이션 및 웹 애플리케이션 검색을 지원하는 '오픈그래프' 서비스를 제공 중이며, 빠른
시일 내에 안드로이드까지 서비스를 확장할 계획
❍ 페이스북은 모바일 웹 브라우저 및 단말의 표준화 요소를 측정하는 '링마크(Ringmark)'도 공개
- 두 개의 크기가 다른 개별 원 이미지로 구성되어 있는 '링마크'로 직관적인 표준 테스트
진행이 가능하며, 기본적인 웹 표준 요소의 지원 여부부터 전체화면 지원 여부, 터치 지원
여부 등 보다 확장된 요소에 대한 표준 여부도 파악 가능
< 페이스북이 공개한 표준 테스트 도구 `링마크' 실행 예시 >
- 5 -
페이스북의 모바일 웹 표준화 행보, 애플·구글에 대한 견제 가능할까
❍ 페이스북을 중심으로 결성된 모바일 웹 표준화 연합 ‘coremob’은 애플 및 구글의 모바일
생태계 독주를 견제하고자 하는 업체 간 이해관계의 결과로 설명될 수 있음
- 표준화를 가치로 하는 모바일 웹 생태계에서 더 많은 기회를 잡을 수 있을 것이라는 참여
기업들의 계산이 작용한 것
- 일각에서는 페이스북이 모바일 웹 표준화를 통해 애플과 구글에 비견할 만한 웹 앱 생태계
구축을 꾀하는 것이라며, 페이스북의 의도가 순수하지만은 않다고 지적
❍ 2012년 상반기 기업공개(IPO)를 앞두고 있는 페이스북으로서는 모바일 웹 생태계 발전이
곧 수익 향상을 의미하는 것이기도 함
- 모바일 결제 시스템 간소화를 위해 '페이스북 크레딧'이 사용되는 것은 과거 애플이 앱스토어에서
누렸던 것과 같은 이득을 페이스북도 웹 애플리케이션 생태계 내에서 기대할 수 있다는 의미
❍ 페이스북의 모바일 웹 표준화 노력이 실제 성과로 이어질 수 있을지는 불투명하다는
부정적인 의견도 제기됨
- 구글과 애플이 이미 대부분의 모바일 단말을 자사 플랫폼의 영향력 하에 거느리고 있는
상황에서 모바일 웹 생태계 구축이 실효성을 거둘 지는 확실치 않음
- 최근 이용자 개인정보 활용에 대한 정부 당국의 규제 및 소비자 비난 여론도 페이스북이
모바일 웹 생태계에서 주도권을 취하기 위해 극복해야 할 장해 요소로 꼽힘
[출처]
1. Ars Technica, "Facebook and Others Aim to Make the Mobile Web a Competitive App
Platform", 2012/2/27
2. Facebook Developers, "Helping Improve the Mobile Web", 2012/2/27
3. Forbes, "Can Facebook Conquer Mobile Before it Gets Defriended by Users?", 2012/2/27
4. Forbes, "Facebook-led Mobile Ecosystem to Fight iOS, Android Strangleholds", 2012/2/27
5. GigaOm, "Facebook: Follow us to the mobile Web", 2012/2/27
6. PCWorld, "Facebook Pushes for HTML5 Standardization, Mobile Payments", 2012/2/27
목 차
- 6 -
다양한 웹 표준 포괄한 차세대 웹 앱 개발 플랫폼 '야후 칵테일', 웹 앱 생태계 선도
’12. 3. 20(화) 정책연구실 정책기획팀 강재경
❍ 야후가 지난 2011년 11월 공개한 웹 애플리케이션 개발 플랫폼 '야후 칵테일(Yahoo
Cocktails)'을 통해 차세대 웹 앱 개발 플랫폼 선두를 도모하고 있음
- '야후 칵테일'은 각 웹 표준의 장점을 결합해 앱 보안 및 유통, 성능 강화에 주안점을 둔
개발 플랫폼으로, 개발자에게 풍성한 UI를 지원하는 한편 다양한 OS 및 단말에 걸쳐 동일한
코드를 사용할 수 있도록 지원함
- '야후 칵테일'은 HTTP, HTML5, CSS, 자바스크립트(JavaScript) 등 다양한 웹 표준 기술을
모두 포용하고 있음
❍ '야후 칵테일'은 특히 웹 앱이 지닌 5大 단점(보안, 유통/배급, 패키징, 성능, 접근성)을
보완하는 데 주목함
- (보안) HTML 및 자바스크립트 기반 웹 앱은 크로스사이트 스크립트 유출로 인해 코드
보안 취약성을 드러내고 있으나, 야후는 '야후 UI 라이브러리(YUI)'를 활용해 각 모듈을
분리함으로써 보안 문제를 개선
- (유통/배급) 웹 앱을 위한 유통망이 아직 구축되지 않은 상태에서 야후는 웹 앱을 네이티브
앱으로 변환하는 API를 제공함으로써 애플 앱스토어(App Store)와 같은 유통 플랫폼에
진출할 수 있도록 지원
- (패키징) 야후는 HTML5만으로도 파편처럼 흩여져 있는 개별 웹 모듈을 취합하여 대규모
용량의 웹 앱으로 패키징하는 기능도 제공
- (성능) HTML5 표준의 기술 구현 수준이 아직 네이티브 앱에 못 미치는 상황에서, 야후는
멀티미디어 콘텐츠 구현에 특화된 CSS 언어를 융합하여 네이티브 앱급의 성능을 보장
※ CSS : Cascading Style Sheets의 약자로 웹 문서의 전반적인 스타일을 미리 저장해 둔 스타일
시트를 의미함. 이를 통해 문서 전체의 일관성을 유지할 수 있고 세세한 스타일 지정의 필요성
을 줄여 이용의 편리함을 더할 수 있음
- (접근성) 야후는 모바일 단말의 제한적인 HW 성능을 고려하여 해당 단말에서 구현 가능한
수준까지의 콘텐츠만 제공함으로써 프로그램 구동에 걸리는 대기시간을 경감시켜 이용
경험을 극대화함
❍ '야후 칵테일'은 자바스크립트 기반의 웹 앱 프레임워크 '야후 모지토(Yahoo Mojito)'와 서
버사이드 자바스크립트 웹 호스팅 환경 '야후 맨하탄(Yahoo Manhattan)'도 제공 中
- '야후 모지토'는 모든 인터넷 지원 단말에 걸쳐 동일한 코드를 바탕으로 웹 앱 개발이
가능하도록 지원하며, 코드는 오픈소스 형태로 모두에게 개방됨
- '야후 맨하탄'은 '야후 모지토'를 기반으로 개발된 웹 앱에 대한 유통을 지원하며, 태블릿
PC, 스마트폰, 데스크탑 등 다양한 단말에 앱 제공이 가능함
- 7 -
< `야후 칵테일', `모지토', `맨하탄' 개요 >
출처: 야후, 스트라베이스 재구성
❍ 최근 모바일 단말을 통한 앱 다운로드가 폭증하며 웹 생태계가 웹사이트 중심에서 네이티브
앱 중심으로 재편되면서, 앱 對 웹 논쟁이 관련 업계의 최대 화두로 부상
- 네이티브 앱은 제공 기능 상에서 웹 앱보다 유리함에도 불구하고, 모바일 단말 플랫폼 세
분화로 인해 개발자 입장에서는 제작 비용 부담 문제를 야기하고 있음
- HTML5 웹 표준이 네이티브 앱의 대안으로 거론되고 있지만 아직 성능 구현이 뒤떨어져
웹 생태계 구축에는 무리가 있다는 지적도 제기됨
❍ 야후의 적극적인 웹 앱 생태계 구축 행보는 결국 한발 빠르게 개발자들이 수용할 수 있는
웹 앱 개발 플랫폼을 선보임으로써, 향후 확산세가 유력한 웹 앱 생태계에서 주도권을 잡
겠다는 의도로 풀이됨
[출처]
1. Cnet, "Why ambitious developers need more than just HTML5", 2012.03.01
2. GigaOm, "Are Yahoo Cocktails the answer for cross-platform apps?", 2011.11.03
3. Yahoo Developer Network, "Yahoo! Announces Cocktails – Shaken, Not Stirred",
2011.11.02
목 차
- 8 -
애플, 하드웨어 성능 개선한 ‘뉴아이패드(New iPad)’ 출시...‘포스트 PC 시대’ 선언
’12. 3. 20(화) 정책연구실 정책기획팀 민경식
‘뉴아이패드’, 전작에 비해 더욱 빠른 속도와 선명한 화질 자랑
❍ 애플이 미국 샌프란시스코 예르바부에나 아트센터에서 고해상도 디스플레이와 4G LTE를 지
원하는 ‘뉴아이패드’를 공개함(3.7)
- ‘뉴아이패드’는 아이패드2의 해상도보다 4배 가량 높은 2048×1536 해상도의 9.7인치 레티나
디스플레이를 장착하고 있어, 풀 HD TV보다 정밀한 화면과 풍부한 색감을 제공함
- 4G LTE 망도 지원해 3G 보다 최대 10배 가량 빠른 속도로 웹 서핑, 동영상 스트리밍,
콘텐츠 다운로드를 즐길 수 있음
- 한편 ‘뉴아이패드’의 두뇌에 해당하는 애플리케이션 프로세서(AP)는 듀얼 코어 CPU
(Central Processing Unit)와 쿼드코어 GPU(Graphic Processing Unit)로 설계돼 아이패드2에
장착된 A5보다 2배, 경쟁사 AP칩셋인 테그라3(Tegra3)에 비해 최대 4배 빠른 그래픽 처리
속도를 갖추게 됨
< 애플의 ‘뉴아이패드’ 발표회 현장>
❍ ‘뉴아이패드’는 후면 카메라 성능을 대폭 개선했을 뿐만 아니라 보이스 딕테이션(Dictation) 기능도 추가함
- ‘아이사이트(iSight)’로 이름 붙여진 ‘뉴아이패드’의 후면 카메라는 500만 화소를 지원하고
있으며, 아이폰4S에 적용된 것과 동일한 카메라 기술이 내장돼 있어 오토 포커스를 지원함은
물론 최대 10명의 얼굴을 인식해 각각의 초점과 노출을 자동으로 조정해줌
- 또한 ‘아이사이트’를 이용해 1080p의 풀 HD급 동영상 촬영도 가능
- 그 외에도 영어는 물론 프랑스어, 독일어, 일본어 등 4개 국어의 음성 메모가 가능한 ‘보이스
딕테이션(Dictation)’ 기능도 추가했음
- 9 -
❍ 대폭적인 성능 향상과 LTE 지원으로 인해 기존 아이패드2 보다 두꺼워지고 무게도 늘어났다는
것은 ‘뉴아이패드’의 약점으로 지적되고 있음
- ‘뉴아이패드’의 두께는 아이패드2에 비해 0.6mm 늘어난 9.4mm이며 무게 역시 아이패드2
와이파이 버전이 601g인 반면 ‘뉴아이패드’의 와이파이 버전은 652g으로 약 51g 증가했음
- 그러나 ‘뉴아이패드’는 휴대성을 일정 부분 포기한 대신 아이패드2에 비해 2배 가까이 증가한
배터리 용량을 확보하고 있음
- 덕분에 ‘뉴아이패드’는 하드웨어 성능을 향상시키고도 전작과 유사한 수준의 사용시간을
확보할 수 있게 됐음
❍ 업계의 이목이 집중됐던 ‘뉴아이패드’의 판매가격은 전작인 아이패드2와 동일하게 책정됨
- 와이파이(WiFi) 버전의 경우 16GB 모델은 499달러, 32GB와 64GB 모델은 각각 599달러와
699달러로 책정됐음
- 와이파이와 4G LTE 망을 동시에 사용할 수 있는 제품의 경우 각 모델별 판매 가격에
130달러씩 추가를 하면 구매할 수 있음
- 애플은 ‘뉴아이패드’의 판매가를 아이패드2와 동일하게 책정하면서 강력한 가격 경쟁력을
확보하게 됐음
‘뉴아이패드’, LTE 망 확산과 포스트 PC 시대 앞당기는 촉매제로 작용
❍ 업계 일각에서는 ‘뉴아이패드’의 4G LTE 지원으로 향후 LTE 시장이 확대될 것으로 예상
- 경제 전문 매체 CNN 머니는 모바일 단말기 시장에서 LTE 단말기의 보급이 기대에 미치지 못했으나
‘뉴아이패드’가 LTE를 지원함에 따라 3G 시대의 종말이 시작될 것으로 내다봄
- 무엇보다도 애플은 ‘뉴아이패드’를 통해 LTE 서비스를 충분히 테스트 한 후 올 하반기
출시가 예상되는 아이폰5에 최적화된 LTE 기능을 적용할 것으로 보여짐
- 다만 태블릿 PC의 경우 이동통신사가 제공하는 네트워크를 사용하지 않고 와이파이만을 쓰는
모델의 판매량이 더 높기 때문에 LTE 확산에 대한 ‘뉴아이패드’의 영향력이 기대에 미치지
못할 가능성도 존재함
❍ 한편, ‘뉴아이패드’의 출시로 PC의 위상이 흔들릴 것이라는 전망이 연이어 제기되고 있음
- 뉴욕 타임즈는 애플의 ‘뉴아이패드’ 출시를 계기로 태블릿PC 시장 성장세가 한층 더
뜨거워질 것으로 예상
- 투자은행 파이퍼 제프리(Piper Jaffray)의 진 먼스터(Gene Munster) 애널리스트는 새로운
단말기의 연이은 출시로 2017년에는 태블릿PC 판매량이 PC 판매량을 추월할 것이라는
전망을 내놓기도 했음
- 업계 전문가들은 개인 PC에 비해 성능면에서 열세였던 태블릿PC가 ‘뉴아이패드’의 출시를 기점으로
하드웨어 사양이 대폭 개선되면서 포스트 PC 시대의 도래를 앞당길 가능성이 한층 높아졌다고 평가
- 10 -
[출처]
1. CNN Money, “New 4G iPad marks the beginning of the end for 3G”, 2012/3/7
2. New York Times, “Apple Adds Sharper Screen and Speed to New iPad”, 2012/3/7
3. ReadWriteWeb, “The New iPad is a Minor Update, But You'll Buy it Anyway”,
2012/3/7
4. Washington Post, "Apple describes post-PC era, surprise of success in unveiling new
iPad", 2012/3/7
목 차
- 11 -
구글, 디지털 콘텐츠 통합 유통 플랫폼 ‘구글 플레이’ 출시
’12. 3. 20(화) 정책연구실 정책기획팀 최수민
구글, 안드로이드마켓 및 디지털 음악ㆍ동영상 콘텐츠 마켓 통합
❍ 구글이 기존의 안드로이드마켓과 ‘구글 뮤직’, ‘구글 북스’, ‘구글 무비’를 통합해 신규
디지털 콘텐츠 원스톱 숍 ‘구글 플레이’를 출시했음(3.7)
- 조만간 오디오북 콘텐츠 역시 추가될 예정인 것으로 알려져 디지털 콘텐츠 제공 폭은 더욱
확대될 전망
- 이미 구입한 디지털 콘텐츠와 앱은 자동으로 ‘구글 플레이’로 연계됨
※ 구글은 ‘구글 플레이’ 오픈 초기 홍보를 위해 일주일 동안 특정 콘텐츠를 파격적인 할인가에
제공하는 이벤트도 진행했음
❍ 이용자들은 안드로이드 단말기 뿐만 아니라 다양한 기종의 스마트폰 및 태블릿PC는 물론
데스크탑을 통해서도 브라우저 접속을 통해 ‘구글 플레이’를 활용할 수 있음
- 애플 아이튠즈처럼 ‘구글 플레이’ 역시 클라우드 기반으로 서비스되므로 이용자들은 구글
계정을 통해 다양한 단말기에서 구매한 콘텐츠를 별도의 동기화 과정을 거치지 않고
자유롭게 활용할 수 있음
❍ 다만, ‘구글 플레이’ 콘텐츠는 국가별로 이용에 차등을 두고 있음
- 미국에서는 전체 스토어를 이용할 수 있지만, 캐나다와 영국에서는 영화, 전자책, 앱만
제공되며, 호주에서는 전자책과 앱만, 일본에서는 영화와 앱만, 여타 국가에서는 우선
모바일 앱만 활용할 수 있음
< ‘구글 플레이’ 서비스 화면 스냅샷 >
- 12 -
구글, 구글 플레이 내세워 애플과 아마존에 맞서는 ‘구글 생태계’ 형성 본격화
❍ ‘구글 플레이’는 단순히 흩어져 있던 구글의 디지털 콘텐츠를 통합하여 제공하는 데에서
나아가 구글식의 디지털 콘텐츠 허브를 창출했다는 전략적 함의를 내포하고 있음
- 시장조사기관 가트너(Gartner)의 미디어 애널리스트 마이클 맥과이어(Michael McGuire)도
구글이 디지털 콘텐츠 유통 창구를 일원화하면서 이용자들의 접근성을 향상시켰다는 점에서
긍정적으로 평가
❍ 서비스 측면에서는 클라우드 기반의 ‘구글 플레이’를 통해 기존의 웹 기반 서비스와 모바일
서비스를 하나로 통합할 수 있는 계기를 마련했다는 데 의의가 있음
- IT 전문 잡지 와이어드(Wired)는 클라우드 서비스가 기본적으로 단말에 구애받지 않고
정보를 공유할 수 있기 때문에 폐쇄적 전략의 애플보다는 개방성을 추구하고 있는 구글에
더욱 유리할 수 있다고 평가
❍ ‘구글 플레이’는 수익 모델 다변화라는 측면에서도 주목받고 있음
- 전체 매출의 90% 이상을 온라인 및 모바일 광고 수입에 의존하고 있는 구글은 ‘구글 플레이’
출시를 계기로 디지털 콘텐츠 매출 확대에도 본격적으로 나서고 있음
❍ 업계에서는 디지털 콘텐츠 시장 공략 강화에 나선 구글의 행보를 두고 향후 애플 및
아마존과의 경쟁 구도에도 관심을 모으고 있음
- 아이튠즈와 유사한 ‘구글 플레이’를 통해 디지털 콘텐츠 시장에서 애플과의 본격적인 경쟁에
나서는 것은 물론, ‘킨들 파이어’를 통해 모바일 시장 영향력을 확대하고 있는 아마존을
견제하기 위한 전략으로 풀이됨
< 구글의 디지털 콘텐츠 허브 ‘구글 플레이’ 등장의 시사점 >
출처 : 스트라베이스
- 13 -
[출처]
1. msnbc.com, "Will You Get It on Google Play?", 2012/3/11
2. Wired, "With Google Play, the Cloud Goes Prime Time", 2012/3/7
3. ZDNet, "Google Play: Google’s ultimate answer to Amazon and Apple", 2012/3/5
목 차
- 14 -
美 ․유럽연합(EU)의 규제 당국, 구글(Google)의 인터넷 사용자 개인정보 불법 수집 관련 조사 착수
’12. 3. 21(수) 정책연구실 정책기획팀 배병환
❍ 구글은 애플(Apple)의 사파리(Safari) 웹브라우저에서 사용자의 개인정보를 불법으로 수집한
것과 관련, 미국과 유럽연합의 규제 당국으로부터 조사를 받고 있음(‘12.3.15)
- 구글은 자사의 온라인 광고를 통한 쿠키(Cookie)를 불법으로 설치하여 사파리 사용자의 인터넷
활동내역 정보를 무단으로 수집
※ 쿠키(Cookie) : 인터넷 사이트가 방문자의 접속 정보를 기억하기 위해 사용자의 컴퓨터에 남기는
임시파일
- 현재 미국과 유럽연합의 규제 당국은 어떻게 구글이 사파리에서 기본적으로 설정되어 있는 서드
파티(Thrid Party) 쿠키차단 기능을 우회해 정보를 수집했는지에 대해 조사 중
※ 서드파티(Third Party) : 하드웨어나 소프트웨어 등의 제품을 제조하고 있는 계열 회사 또는 기술
제휴를 하고 있는 기업 이외의 기업을 총칭
- 美 연방거래위원회(FTC)는 이번 문제가 지난해 구글과 맺었던 사생활 보호 관련 협정을 위반한
것으로 드러날 경우, 위반한 일수에 대해 하루 1만 6,000달러의 벌금을 물어야 할 것이라고 언급
※ 구글은 SNS 서비스인 구글 버즈(Google Buzz)의 프라이버시 침해문제로 FTC로부터 개인정보보호
프로그램 시행과 20년간 감사 조치를 받음(‘11.4.1)
- 佛 국가정보처리자유위원회(CNIL)는 구글의 개인정보 통합정책과 함께 이번 사파리 우회
기술을 함께 조사하기로 함
※ <참조> 주간 인터넷 동향 '12년 2월 3주 ‘佛 국가정보처리자유위원회(CNIL), 구글(Google) 개인
정보 취급방침 변경 유보 요청’
❍ 한편, 구글은 마이크로소프트의 인터넷 익스플로러(Internet Explorer)에서도 비슷한 방법으로
사용자들의 이용 정보를 수집한 바 있음(‘12.2.20)
- IE는 P3P(Platform for Privacy Preferences) 프라이버시 정책을 통해 서드파티 업체가
쿠키를 이용해 사용자 이용 정보를 추적할 수 없도록 되어있음
※ P3P : 특정 웹 사이트의 개인정보 보호 정책을 사이트 접속자에게 알려줌으로써, 사용자가 자신
에 관한 정보를 제공할 지 여부를 결정할 수 있도록 하는 개인정보보호기술
- 하지만 마이크로소프트 부사장 하차모비치(Dean Hachamovitch)에 따르면, 마이크로소프트
자체 조사 결과 구글이 사파리에서와 유사한 방법을 통해 IE의 보안 설정을 피해갔다고 언급
❍ 구글 대변인은 이번 조사와 관련한 어떠한 물음에 대해서도 성실히 답변하겠다고 언급
❍ IT 주간지 eWeek에 따르면, 이번 사건으로 인해 전 세계 구글의 개인정보 통합정책 시행에
대한 비판적인 여론이 형성될 것이라고 전망
- 미국의 IT 조사기관 PEW Internet & American Life Project의 조사에 따르면, 전체 인터넷
이용자 가운데 83%가 구글 엔진을 통해 검색한다고 답변(‘12.3.9)
- 15 -
※ 이 중 73%는 구글이 자신의 개인정보를 수집하는 것에 대해 원치 않는다는 답변을 했으며, 68%는
맞춤형 온라인 광고를 받고 싶지 않다고 응답
[출처]
1. eWeek, "Google Facing Investigation Over Safari Privacy Issue: Report", 2012/3/17
2. Ars Technica , "US, Europe investigate Google's bypass of Safari Privacy settings",
2012/3/17
목 차
- 16 -
퀸즈랜드 대학, 호주의 개인정보 수집 및 이용에 대한 보고서 발표
'12. 3. 19(월) 정책연구실 법제분석팀 정용준
개요
조사명Australians' attitudes toward the collection and use of their personal information for
commercial purposes
조사책임자 Dr Mark Andrejevic
조사기관 UQ's Centre for Critical and Cultural Studies
조사대상 호주 성인 1,106명
조사방법 전화인터뷰(일반전화 및 휴대폰)
조사기간 2011년 11월 17일 ~ 12월 14일
조사결과
❍ 온라인에서의 개인정보 관련 규제 선호 여부
- 90% 이상이 개인정보 이용을 제한할 수 있는 규제를 선호
- 97%가 개인정보에 대한 심각한 침해에 대해서 법적인 조치를 취할 수 있어야 한다고 응답
- 기업이 이용자에게 개인정보 수집에 대해 거부할 수 있다는 것과 개인정보 삭제를 요청할
수 있음을 법적으로 개인정보 수집 시 고지하기를 원함
- 그러나, 기업의 고지 의무는 NPP(National Privacy Principle)-1, 2, 10에 의해서 이미 부과되고 있음
※ NPP-1,10(Collection), NPP-2(Use and disclosure), NPP-3(Data quality), NPP-4(Data security),
NPP-5(Openness), NPP-6(Access and correction), NPP-7(Identifiers), NPP-8(Anonymity),
NPP-9(Transborder data flows)
❍ 수집한 개인정보를 이용(수집한 개인정보를 결합한 경우를 포함)한 서비스에 대한 선호도
- 56%가 개인정보에 기초한 타켓광고를 선호하지 않으며, 64%는 맞춤형 뉴스를 원하지 않음
※ 구글이 최근 검색엔진, 이메일 서비스, 유튜브 등을 포함하여 운영하는 다양한 서비스에서 수집한
사용자의 개인정보를 결합하여 서비스를 제공할 것이라고 발표한 것과 관련됨
❍ 개인정보 수집 거부의 이유
- 69%가 개인정보를 지나치게 많이 수집하기 때문에 응용프로그램이나 웹사이트를 사용하지
않으며, 79%는 단순하게 개인정보 제공을 거절함
❍ 기업의 개인정보보호 정책
- 60% 이상이 웹사이트의 개인정보보호 정책을 거의 또는 전혀 읽지 않음
- 개인정보보호 정책은 어떻게 개인정보를 이용하는지 명확하게 적시하지 않으며, 경고 없이
변경하는 경우가 많음
- 17 -
❍ 개인정보 수집․이용에 대한 공개
- 75% 이상의 응답자들이 기업이 개인정보를 수집하고 이용하는 과정에 대해서 더 알아야
할 필요가 있다고 응답함
[출처]
1. UQ News Online, "Australians concerned for online privacy", 2012/03/14
2. CSO Online(Australia), "Australians value privacy – but are they willing to work to
protect it?", 2012/03/15
목 차
- 18 -
美 육군, SNS 사진 상의 위치표시 지오태깅(Geotagging) 기능이 보안 위험이 될 수 있다고 경고
'12. 3. 15(목) 침해예방단 침해예방기획팀 조진현
❍ 美 육군은 페이스북이나 포스퀘어와 같은 소셜미디어에 위치 정보를 올리는 것은 군인 본인과
가족에게 보안 위협이 될 수 있다고 경고
- 지오태깅(Geotagging)기능은 SNS 사용자가 친구들에게 위치를 알리는 편리한 기능으로,
스마트폰 상의 GPS 기능을 사용하며, 소셜미디어 사이트의 핵심기능으로 부상
- 친구와의 위치공유는 사회적 관계형성에 긍정적인 효과가 있지만, 개인의 위치정보가 의도하지 않은
제3자에게 공유될 경우 악용 가능성 존재
❍ 美 육군 관계자는 해외로 파병된 군인이나 가족들이 자신의 페이스북이나 SNS 계정에 지오태깅
기능을 활용한 사진을 올리면, 적에게 정확한 위치가 노출되어 주의 요청
- GPS기능이 내장된 스마트폰에서 촬영되는 사진에는 촬영 위치가 자동적으로 동시에 저장되어,
악의적인 제3자가 관련 정보를 이용한 범죄행위 가능
❍ 이라크 반군은 페이스북에 올려진 사진의 지오태깅을 이용하여 AH-64 아파치 공격헬기의
위치를 파악하여 파괴하는 사건 발생(‘07)
- 페이스북으로 공유된 정보가 테러리스트 공격에 사용된 예로, 육군 관계자는 소셜미디어에
사진을 올리는 행위가 매우 위험한 행위임을 인식해야 한다고 밝힘
❍ 美 연방정부는 소셜미디어의 활용이 증가하여, 많은 기관들이 소셜미디어 사이트에 정보를
공유함으로써 발생할 수 있는 보안 위험을 최소화하기 위한 공식 정책 및 가이드라인 발표
- 美 육군도 소셜미디어 사용에 관한 핸드북(SOCIAL MEDIA HANDBOOK)에서 일반 군인
및 지휘관들이 소셜미디어 사용 시 지켜야 하는 사항을 세분화하여 제공(’11.1)
․ 일반 군인의 경우, 지오태깅 금지, 작전보안 사항 포스팅 금지 등
․ 지휘관의 경우, 개인적, 금전적 이익을 위한 사적인 사용 금지 및 홍보팀을 통한 미디어 대응
❍ 페이스북의 새로운 기능인 타임라인은 사용자의 과거 활동 및 사용자 프로파일에 보여주고
사용자가 표시된 모든 위치를 지도상에 표시하기 때문에 더 위험하다고 밝힘
- 해커나 범죄자들이 군인들의 이동경로, 취미 등을 파악하는 방법으로 악용 가능하며, 범죄자들은
1달 정도의 자료를 활용하여 일정한 패턴을 발견하고 이를 이용해 공격 가능
❍ 영국군의 경우, 아프카니스탄과 같은 작전지역에서의 휴대전화 사용을 금지시켰으며, 스마트폰
사진촬영에 특별한 주의 요청
[출처]
1. Information Week, "Army: Social Network Geotagging Puts Soldiers At Risk", 2012/3/13
목 차
- 19 -
英 Visiongain, 2012년 글로벌 NFC 애플리케이션 매출 100억 달러 넘어설 것으로 전망
'12. 3. 12(월) 침해예방단 서비스인프라보호팀 김지원
❍ 영국 시장조사업체 Visongain은 'NFC 결제, 도전과 기회 2012-2017(Monetising NFC:
Challenges and Opportunities 2012-2017)' 보고서에서 2012년 NFC 시장이 106억 달러에
이를 것으로 전망(‘12.3.11)
※ NFC(Near Field Communication)는 전자태그(RFID)의 일종으로, 10cm 이내에서 핸드폰과 단말기 간
데이터를 전송할 수 있는 비접촉식 근거리 무선통신 모듈임
❍ Visongain은 NFC가 의료부터 자동차에 이르는 다양한 산업에 적용될 수 있으며, 최근 다양한
분야에서의 NFC 발전과 스마트폰 관련 기업의 NFC 진출이 시장 활성화를 이끌었다고 판단
- 삼성전자는 NFC 탑재 스마트폰을 출시하며 NFC 시장에 진입했으며, 이는 시장 성장의 신호탄이
될 것으로 예상됨
※ 삼성전자 NFC 탑재 스마트폰 : 넥서스S ('11년 2월), 갤럭시S2 ('11년 4월)
- 구글은 안드로이드(Android)(버전 2.3.5이상)에 NFC 지원 기능을 탑재하여 자체 브랜드인
m-지갑(m-wallet) 서비스를 2011년 5월부터 실시 중
- 애플은 2009년부터 최근까지 NFC 결제(iWallet) 관련 특허를 23개나 보유하고 있으며, 해당
특허기술을 차세대 모바일(iPhone, iPad)에 적용한다면 애플의 생태계와 함께 엄청난
시너지효과를 낼 것으로 예상됨
< 전세계 NFC 휴대폰 출하량 전망 (2008~2015) >
자료 : Visiongain
❍ Visiongain은 다른 지역보다 높은 NFC 채택률과 성장세를 보이는 우리나라와 일본의
사례를 보고, 저개발 국가에 대한 초보적인 로드맵을 제안함
- 국내에서는 이동통신 3사가 NFC 탑재 스마트폰을 출시했으며, 교통카드 결제를 시작으로
방송통신위원회와 그랜드 NFC연합은 서울 명동지역에 NFC 결제 시범서비스 실시(’11.10)
※ 그랜드 NFC연합(Grand NFC Korea Alliance)는 SK텔레콤, KT, LG U+와 국내 주요 카드사, 카드결제망
사업자(VAN)등 19개 사업자 등으로 구성된 협의체
- 또한, 다른 성장 가능성 있는 지역으로 결제회사인 비자(Visa)가 NFC, 비접촉 결제시스템
적용을 계획하고 있다는 점에서 북미를 선정
- 20 -
[출처]
1. Visiongain, "Monetising NFC: Challenges and Opportunities 2012-2017", 2012/3/5
2. 금융보안연구원, "모바일 NFC기반 보안 동향", 2011/7/8
3. Zdnet, "NFC서비스, 개인정보 보호하려면...", 2012/3/2
목 차
- 21 -
IE 9, Heap Overflow 제로데이 취약점 발견
'12. 3. 12(월) 침해예방단 운용기술팀 김성호
❍ 캐나다 밴쿠버에서 개최된 2012년 ‘PWn2Own’ 해킹 대회에서 Internet Explorer 9에 대한
제로데이 취약점 발견
※ Pwn2Own 해킹대회 : 2007년부터 시작된 컴퓨터 해킹 대회로, 웹브라우저와 모바일 플랫폼을
대상으로 취약점을 분석하며, 2011년까지 아이폰, 안드로이드, 사파리 브라우저, IE8, 모질라 파이
어 폭스 등의 취약점 발견
- 프랑스 보안업체인 뷔펭(Vupen) 연구팀에서 Heap overflow를 이용하여, 윈도우 7 환경의
Internet Explorer 9 보호모드 샌드박스에서 빠져나와 루트 권한을 획득할 수 있는 취약점 발표
※ 샌드박스(Sandbox) : 보호된 영역 안에서 프로그램을 작동시키는 보안 기법
- Heap overflow는 할당된 메모리의 크기보다 더 큰 데이터를 입력하여 프로그램에서 가리키고 있는
메모리의 내용을 변경함으로써, 프로그램에서 정상동작을 수행하지 않고 다른 동작을 수행하게
하는 취약점을 의미
❍ 이 취약점을 통해 윈도우7에서 루트권한을 획득하여 사용자의 민감한 정보에 접근하거나
중요한 자료를 삭제할 수 있음
데이터 저장 공간으로 16 바이트의 크기를 할당받은 변수에 20 바이트의 데이터를 입력하여
뒤에 4바이트는 다른 곳에서 사용되는 메모리 내용을 덮어써서 아래와 같이 루트 권한을 획득
< 취약점을 이용한 악의적인 행위 예제 >
❍ 마이크로소프트 보안 팀은 곧바로 취약점 정보를 넘겨받고 대처 방안 마련 중
❍ 마이크로소프트는 2011년 'Pwn2Own' 해킹 대회에서도 Internet Explorer 9를 분석 대상으
로 제시하였으나, 취약점 발견 되지 않아 안전하다고 발표한 바 있음(‘11.3)
※ Internet Explorer 6, 7, 8 등 이전 버전에서는 루트권한 획득, DNS 서버 공격, 다운로드 공격 등
많은 취약점이 발견되었음
- 22 -
[출처]
1. Kaspersky Lab, 'IE 9 Falls to Pair of Zero Days at Pwn2Own', 2012/3/8
2. StatCounter Global Stats, 'Top Browser Versions from Q01 2010 to Q01 2012'
3. Bloter.net "IE 6, 7 겨냥한 보안 취약점 발견“, 2009/11/23
4. ITWorld, "마이크로소프트, 'Pwn2Own'에서 IE9 버그 제로“ 발표, 2011/03/15
5. Wikipedia, "Pwn2Own", 2012/03/12
목 차
- 23 -
그래픽카드 프로세서와 클라우드를 이용한 패스워드 크랙 서비스 오픈
'12. 3. 12(월) 침해예방단 연구개발팀 이환진
❍ 모바일 및 임베디드 분야의 해커로 유명한 Moxie Marlinspike가 그래픽카드 프로세서와
클라우드를 이용한 패스워드 크랙 서비스 ‘CloudCracker'를 오픈함
- 무선랜 보안 기술인 WPA/WPA2와 윈도우 네트워크 인증 프로토콜인 NTLM(Windows
NT LAN Manager)에 대한 패스워드 크랙 서비스를 제공
※ “[붙임] CloudCracker 이용방법 소개(WPA/WPA2)” 참조
- Moxie Marlinspike는 악의적인 목적보다 네트워크 보안에 대한 취약점테스트, 감사 등에
활용할 수 있도록 ‘CloudCracker' 서비스를 시작함
< CloudCracker 서비스 메인화면>
❍ ‘CloudCracker' 서비스는 400개 CPU와 70개 그래픽카드 프로세서에 기반을 둔 클라우드
분산컴퓨팅 기술로, 한 시간에 최대 24억개의 단어를 대입하여 패스워드 사전 공격
(Dictionary Attack)을 시도
- 패스워드 크랙을 위한 사전 DB로는 영어사전, 전화번호, 2WIRE 사전을 이용하며, 서비스
이용 요금은 최소 17달러(6억개 단어)부터 최대 136달러(48억개 단어)임
※ 2WIRE 사전 : 숫자 10자리의 조합(0000000000~9999999999)으로 구성된 사전
- 노트북에서 한달이 소요되는 시도량을 30분만에 수행가능하며, 48억개 단어를 모두 대입
하여 패스워드를 크랙을 수행하는 소요시간은 최대 두 시간임
※ 그래픽카드 프로세서(GPU)는 CPU와 달리 수많은 작은 연산처리장치들로 구성되어 병렬처리가
가능하며, CPU대비 20배 이상 암․복호화 처리속도 향상 가능
❍ 향후, 개발자들이 다양한 프로그램들뿐만 아니라 안드로이드, 아이폰 앱에서도 해당 크래
킹 자원을 이용할 수 있도록 분산컴퓨팅 기술에 대한 API를 제공할 예정
- 24 -
[출처]
1. forbes, “Moxie Marlinspike's CloudCracker Aims For Speedier, Cheaper Password
Cracking”, 2012/2/14
[붙임] CloudCracker 이용방법 소개(WPA/WPA2)
순서 이용 화면 설명
1
o 크랙에 사용할 Handshake File 선택
※ Aircrack 등과 같은 무선랜 크랙 S/W를 이용
하여 Handshake File 생성
2 o 크랙 정보를 받기위한 이메일 주소 입력
3o 크랙에 이용할 사전 선택
- 영어사전, 전화번호, 2WIRE 사전
4
o 크랙에 이용할 사전의 단어 수 선택
※ 6억개(17달러), 12억개(34달러),
24억개(68달러), 48억개(136달러)
5 o 서비스 이용 요금 결제
목 차
- 25 -
일본정부, 공무원 대상 사이버 훈련에서 10%가 바이러스 감염
'12. 3. 12(월) 침해예방단 보안관리팀 강연정
일본 정부, 사이버공격 대응 모의훈련 결과 발표(’12.1.24)
❍ 일본 내각관방 정보시큐리티센터(NISC)는 국가 방위산업 및 정부․재외공관의 사이버공격에
대비하여 정부부처 공무원 6만명을 대상으로 사이버공격 대응 모의훈련을 실시(’11.10~12)
- 정상 메일로 위장한 악성코드 메일을 통해 정부부처 공무원을 표적으로 한 정보유출을
시도하는 사이버공격에 대비한 모의훈련을 실시함
- 사이버정보공유협의체(J-CSIP)는 정부부처와 방위산업 등 주요 민간 기업의 정보보호강화 및
체계적인 사이버 침해사고 대응, 정보 공유 등을 위해 민관 협력체계의 일환으로 구성됨
(’11.10.25)
❍ 사이버공격 대응 모의훈련의 사전 교육이수 및 예고에도 불구하고, 6천여명(10.1%)이 악성
코드 메일을 통해 바이러스에 감염되어 정보보호 인식 수준이 미흡한 것으로 나타남
- 바이러스 감염 외, 부재알림 기능을 통해 부재사실을 공격자에 알리거나 보낸 사람이 명확치
않은 메일의 회신하는 등으로 조직내부의 주요정보를 유출하는 문제에 대해 대책이 요구됨
❍ 각 정부부처별 사이버공격 대응 모의훈련 결과를 기반으로 사후교육 대상자에 대한 재교육 등
조치여부를 확인할 예정임(’12.4)
< 모의훈련 추진 구성도 >
일본의 ‘민관 정보보호 강화 대책’ 현황
❍ ‘주요 인프라의 정보보호대책 제 2차 행동계획’ 등 국가 주요 시설의 보안조치 강화 대책 추진
- 동일본대지진 및 방위산업의 표적형 공격 등 주요 침해사고 사례를 기반으로 정보시스템의
기술적․관리적 보안대책, 제어시스템 운영지침 등을 재점검하고 기준을 강화할 예정임
❍ 정보보호 인식수준 강화를 위한 ‘정보보호의 달(2월)’ 활성화 및 국가적 사이버공격 모의훈련 추진
- 정부부처 및 유관기관 직원 대상 사이버공격 모의훈련(NISC), 초중고 학생 및 보호자 대상
정보보호교육(경찰청, 문부과학성 등), 가정 및 학교의 안전한 인터넷 이용강좌(경제산업성)
등 추진
- 26 -
[출처]
1. nisc, 平成２３年度 標的型不審メール攻撃訓練結果の概要（中間報告), 2012/1/24
2. Itpro, サイバー攻撃：6万人対策訓練 霞が関職員、感染1割, 2012/3/8
목 차
- 27 -
전원 어댑터 모양의 내부 네트워크 보안 점검도구 Pwn Plug 출시
'12. 3. 12(월) 침해사고대응단 종합상황관제팀 권혁
❍ Pwnie Express는 일반적인 전원 어댑터 모양의 내부 네트워크 보안 점검도구인 Pwn Plug를
출시(`12.3.5)
- Pwn Plug는 리눅스 OS가 탑재된 소형의 저전력 장비로, 고급 모델의 경우에는 GSM
무선통신도 가능함
< Pwn Plug >
- 어댑터에서 제공하는 LAN선을 통해 내부 네트워크에 대한 보안 점검도구로 활용 가능
※ 지난 `11년 5월 국립은행 내부 침투 테스트를 위해 고용된 보안 전문가인 Jayson E. Street는 전원
안정화 작업을 이유로 기술자 복장으로 국립은행 지점 10곳을 돌아다니며, 내부의 네트워크에
Pwn Plug를 아무런 제재 없이 설치함
- 다만, 내부 네트워크에 해당 도구가 연결될 경우 데이터가 해당 어댑터에 저장되어, 중요
데이터의 유출․파괴 등 해킹도구로 악용될 소지가 있어 주의가 필요함
[출처]
1. ars technica, "The Pwn Plug is a little white box that can hack your network", 2012/3/5
목 차
- 28 -
구글, 크롬 해킹 대회에서 취약점 발견에 따른 긴급패치 제공
’12. 3. 12(월) 침해사고대응단 탐지조치팀 양인승
❍ 구글(Google)은 지난 3월 7일부터 캐나다 밴쿠버에서 열리는 Pwnium 해킹대회에서 밝혀진
크롬(Chrome)의 두 가지 취약점에 대해 긴급패치를 제공하고 있음(’12.3.10)
- 세르게이 글라주노프(Sergey Glazunov)는 구글플러스에서 브라우저 샌드박스 보안을 우회
할 수 있는 크롬 취약점을 찾아냈으며, 이 취약점을 이용 시 해커가 좀비PC를 만들어 악용할
수 있다고 밝힘
※ 구글플러스 : 구글이 운영하는 페이스북과 같은 소셜 네트워크 서비스로 현재 약 9천만명이 이용
- 두 번째 도전자는 PinklePie(aka PwinePie) 닉네임을 사용하고 있는 해커로, 잘못된 플러그인
로딩과 GPU(Graphics Processing Unit, 그래픽 처리 장치) 프로세스 메모리 변조 문제로, 역시
크롬에만 존재하는 취약점으로 밝혀짐
❍ 구글은 글라주노프와 PinklePie(aka PwinePie)에게 각각 최고 상금인 6만달러를 지급
※ 구글은 총 1백만 달러 이내에서, 크롬의 결합을 발견하는 사람에게는 4만 달러, 타 브라우저에는 없고
크롬에만 존재하는 버그를 발견하는 사람에게는 6만 달러를 제시했었음
< 크롬 해킹대회를 통해 발견된 취약점 업데이트 배포화면 >
❍ 이번 해킹대회를 통해 도전자들에 의해 취약점이 발견되는 것은 구글이 철저한 보안을
자랑하는 크롬 브라우저의 취약성을 공개적으로 알리게 될 수 있음
- 하지만, 구글은 궁극적으로 크롬 브라우저의 버그를 고치고, 보안성이 더욱 강화될 것으로 기대
※ 구글의 크롬 브라우저는 타 브라우저(인터넷 익스플로러, 사파리, 파이어폭스 등)과 달리 ’09년
이후 열린 해킹대회에서 해킹된 사례가 없었음
[출처]
1. CNET, “Chrome hacker wins $60,000 for finding 'full' exploit”, 2012/3/8
2. Google Chrome Releases, “Chrome Stable Update”, 2012/3/10
목 차
- 29 -
Symlink(Symbolic links) Bypass 해킹 기법
’12. 3. 12(월) 침해사고대응단 해킹대응팀 이동수
❍ 유닉스/리눅스 시스템의 Symlink(Symbolic links) Bypass를 이용해 동일 서버에서 운영되는
다른 웹사이트의 주요 설정 파일 등의 정보를 획득할 수 있는 동영상이 공개됨
※ Symlink(Symbolic links) : 윈도우 계열의 바로가기와 동일한 기능으로 유닉스/리눅스에서 사용되는 기능
❍ 공격자는 업로드 취약점을 가진 웹사이트를 통해 동일 서버에서 운영되고 있는 다른 웹사이트의
DB 설정 등 시스템 주요 설정 파일 정보를 Symlink Bypass를 이용하여 획득 가능
- 가상 호스트를 통해 운영되는 웹사이트들은 동일 서버에 있는 다른 웹사이트의 파일에 접근이
제한되어 있으나, Symlink Bypass를 이용하여 접근이 제한된 파일에 접근이 가능
- Samba 서비스를 제공하는 시스템에서도 Symlink Bypass를 이용하여 정보 획득이 가능
※ Samba : 디스크나 프린터와 같은 자원을 네트워크를 통해 공유하는 서비스
< Symlink Bypass 해킹 기법 >
❍ 국내 웹호스팅 업체들 대부분이 가상 호스트 방식을 이용하여 한대의 서버에서 다수의 웹
사이트를 운영하기 때문에 유닉스/리눅스 계열 시스템의 경우 Symlink Bypass 기법에 취약할
것으로 예상
[출처]
1. Breakthesecurity, "How to hack a websites using Symlink Bypassing?", 2012/2
2. SecurityStreer, "Exploiting the Samba Symlink Traversal", 2012/2/5
목 차
- 30 -
Google Code 사이트를 통해 안드로이드 악성코드 유포
'12. 3. 14(수) 침해사고대응단 코드분석팀 지성배
❍ 구글 코드(Google Code)의 특정 프로젝트 페이지(installapk1)을 통해 안드로이드 악성 앱을
유포한 사례 발견
※ Google Code : 오픈소스 프로젝트 개발자들에게 무료 협업환경을 제공하는 구글의 서비스
< 구글 코드 사이트를 통해 유포된 악성 앱 개요도 >
❍ 해당 악성 앱은 정상적인 메모리 최적화 앱 중국어 버전을 변조하여 사설 안드로이드 마켓을
통해 최초 유포
- 기기가 재부팅될 때마다 원격 URL로부터 추가 악성 앱 유포지 정보를 전달받아, 악성 앱이
스마트폰 내부에 생성한 DB에 저장하면서 악성행위 수행
※ 추가 악성 앱 유포지가 구글 프로젝트 사이트로 지정되어 있음
- 사용자의 동의 없이 유포지로부터 앱을 다운로드 후, 시스템 업데이트를 가장하여 설치 시도
※ 특정 앱이 다운로드, 설치, 실행되었는지 DB에 업데이트하여 기록
- 추가 설치된 악성 앱은 IMEI, 전화번호 등과 같은 개인정보를 원격 서버에 전송
< 안드로이드폰에 저장된 추가 다운로드 악성 앱 관련 DB >
❍ 유포지로 악용된 구글 코드 프로젝트 페이지는 현재 구글에 의해서 삭제 조치됨
- 31 -
[출처]
1. McAfee, "Google Code Projects Host Android Malware", 2012/3/1
목 차
- 32 -
’핑크색 페이스북 앱‘ 설치를 유도하여 스팸 전파
'12. 3. 12(화) 침해사고대응단 스팸대응팀 백은주
❍ 파란색 페이스북 테마를 핑크색으로 변경하고 싶어하는 페이스북 이용자를 현혹하여 스팸
메시지를 게시하는 앱(App) 발견
❍ 담벼락에 표시된 URL을 클릭하면 앱 설치를 위한 ‘검증’ 단계를 거치는데, 이 때 페이스북
이용자의 프로필 접근 및 담벼락 게시에 대한 권한을 획득
<핑크색 페이스북 앱 화면>
❍ 스패머는 앱 설치로 획득한 이용자의 계정으로 금전을 목적으로 하는 스팸 메시지를 게시
- 핑크색 페이스북 앱이 발견된 것이 처음은 아니나 그 이전과는 달리 매우 광범위하게 전파
되었으며, 현재까지 확인된 바에 따르면 모두 스페인어로 작성
- 해당 앱을 설치한 페이스북 이용자는 앱에 부여된 프로필 접근 권한을 취소하고, 자신의
페이스북 친구가 피해를 당하기 전에 앱이 자동으로 게시한 메시지를 모두 삭제해야 함
❍ 소포스는 YouTube(유튜브)를 통해 해당 앱 삭제 등에 대한 내용을 제공 중
[출처]
1. Naked Security, Pink Facebook Survey Scam, 2012/2/27
목 차
- 33 -
AV-TEST, 안드로이드용 백신 41종 테스트 결과 발표
'12. 3. 19(월) 침해사고대응단 코드분석팀 서상욱
❍ 독일의 보안업체인 AV-TEST는 전세계 안드로이드용 백신 41종에 대한 모바일 악성코드
진단․치료 성능 및 백신 기능에 대한 자체 테스트 결과(버전 1.1a)를 발표함('12.3.15)
< 모바일 백신 테스트 결과 >
❍ 테스트에 포함된 국내 안드로이드용 백신은 이스트소프트사의 알약 안드로이드 1종이며,
진단율은 40%미만으로 발표됨
- 본 테스트는 백신사들의 사전 동의 및 테스트용 악성코드에 대한 정보 제공 없이 진행됨
- 진저브레드(v2.2)가 설치된 안드로이드 에뮬레이터 및 삼성 갤럭시텝(GT-P1010), 갤럭시
넥서스(GT-I9250)가 테스트용 기기로 사용됨
[출처]
1. AV-TEST, "Test Report: Ant-Malware solutions for Android (v1.1a)", 2012/3/15
목 차
