비밀번호나 주민등록번호 알아내는게 그렇게 쉬운가요?

짱깨들이 이미 우리들의 신상정보를 다 털어가서

주민번호를 알아내고 뭐고 할것 없이 이미 다 배포되고 있습니다... ㅠ;

이번의 사건은 각각의 사용자를 직접 로그인 시도 등을 통해 털어낸 사건이 아닙니다.

SK컴즈의 회원정보 DB가 있는 서버가 직접 털린 사건이라 로그인 같은 것과는 상관이 없습니다...

저도 로그인 기록은 확인해보았지만 아무것도 없었습니다...

보니깐 MD5 암호화하던거같던데 이거 풀린다고 하더라구요 .. 시간문제지 ..

숫자 12자리 이하

영문 소문자 10자리 이하

영문 소문자 + 숫자 8자리 이하

등등

위에 해당되는 암호들은 쉽게 풀수 있다더군요.

과거에는 언제가 풀리겠지였는데...

그 암호체계를 정리해서 저장해놓은 자료가 약 2테라 정도면 받을수 있다더라고요.

그거 받아놓고 암호풀면 순식간이랍니다.

파코즈에 올라온 내용 읽어보세요

무작위 대입법이란게 로그인을 계속 해본다는게 아닙니다.

실제 서버에서 사용하는 암호화 알고리즘과 동일한 알고리즘을 사용해서

크래커(보통 해커라고 잘못 부르죠...)가 직접 암호화를 해서 비교해 보면 되는거죠.

MD5나 SHA1, CRC32 같은건 널리알려진 해쉬 알고리즘이기 때문에,

크래커도 그 알고리즘을 사용해서 비교작업 하면 됩니다.

(대부분의 해쉬나 암호화 알고리즘은 역연산이 불가능 하기 때문에, '해독' 작업이 아니죠.)

예를들면, 어떤 사용자가 1234567 이라는 암호를 쓰고, 서버에선 MD5 알고리즘을 쓴다고 가정한다면,

크래커가 훔쳐간 DB에는 MD5로 해쉬화 된 fcea920f7412b5da7be0cf42b8c93759 이라는 값이 들어있을겁니다.

그러면 크래커는 패스워드로 쓰일만한 문자열 목록을 직접 만들어서 (0123, 12345, a1235 ,1234567, .....)

그 문자열로 MD5 해쉬값을 생성합니다.

그 해쉬값을 가지고 훔쳐온 DB와 대조해서 같은걸 찾는겁니다.

아마 자주쓰이는 패스워드 문자열을 미리 해쉬화 시켜놓은 데이터도 있을겁니다.

(그 바닥에선 사전이라고 부르죠 아마...)

우리가 실제로 로그인 할때도 서버에서 똑같은 짓을 합니다.

DB에 저장된 암호화된 문자열을 다시 원래대로 복원시켜서 비교하는게 아니라,

우리가 입력한 패스워드를 다시 암호화 해서 DB에 저장된 암호화된 문자열과 비교하는거죠.

만약, 표준 알고리즘이 아니라 서버에서 자체적으로 만들어서 사용하는 알고리즘이 있다고 치고,

그걸 모르면 해쉬값 비교고 뭐고 할 수 없는 상황이라고 가정하더라도,

크래커가 서버의 DB를 훔쳐 올수 있을 정도면, 서버에서 쓰는 OS의 패키지도 몽땅 가져올 수도 있다고 봐야죠.

젠장....

네이트 겨우 MD5로 암호화해놨다더군요...

13자리 MD5 돌리면 내주민 나오는건가...

진짜 그 데이터베이스 나한테 있으면 나라도 주민 뽑아낼수 있겠다

고수분들이 맘만 먹으면 뭘 못할까요... 정말 무서운 세상...

https://www.parkoz.com/zboard/view.php?id=my_tips&no=14629

보안수준 참 허술하네요

이러니 뚤릴수밖에는~

많은 의견 감사합니다. 좋은 의견 잘 받았습니다!

암호화 공부를 해봐야 겟네요...

암호화 복호화 공부헀는데

아무 쓸데없는짓입니다

실제 전혀 필요 없는 것만 가르쳐주는 학교 ;;

우리나라 개인정보 알아내려면 한가지만 있으면 됩니다.

'돈'이요.