[보안] 암호화, Poodle과 Apache 취약점

 

 

 

 

 

 

 

 

 

 

암호화에 대한 간단한 설명

 

 

 

 

암호화는 간단하게

서버와 클라이언트 간에 협상이라고 할 수 있습니다.

 

RSA-1024로 할지~

RSA-4096으로 할지~

 

둘이서 정하는 거에요!!

 

보통 클라이언트가 옛날 버전이라든지 기능이 저하되어있다면

 

Null, MDS, DES... 같은 것들로 지정이 되지만 이것들은 별로 보안상 좋지 않겠죠??

 

 

 

사실 우리가 쓰는 암호화 프로토콜은 SSL, TLS 입니다:)

각각 별개입니다

 

SSL : 사용자 세션 레벨에서 암호화 시킴

TLS : 네트워크 전송할 때 암호화 시킴

 

 

 

---

 

 

Poodle SSLv3 취약점

 

  POODLE

 

• Padding Oracle On Downgraded Legacy Encryption의 약자
• Padding Oracle 취약점을 통해 SSL이 적용된 암호문을 해독할 수 있는 MITM = 중간자 공격이 가능

 

 

 

 

Apache Struts2 취약점

 

• Jakarta 플러그인을 이용하여 파일 업로드 처리할 때의 취약점
• 원격에서 임의의 코드를 실행할 수 있는 취약점
• 공격자는 HTTP Request 헤더의 Content-type값을 변조하여 원격에서 코드 실행 가능
• 취약점 진단 방법 --> 파이썬 스크립트 이용해서 진단 가능