회원K 2014-01

form submit를 하면, https로 전송합니다.

zepinos김종화 2014-01

form submit 이라고 해도 주소에 https 안붙어있으면 http 전송이고, 내용 다 보입니다.

노리 2014-01

그 걱정이 맞는것 맞습니다.
확인용 키값은 sniffing

어느 누구나 다 할수 없는것이 그나마 다행인거겠죠.
참고로 우리나라가 그렇게 보안을 중요시하는 나란 아닙니다.

보안을 중요시한다면
우선 무선부터 사용을 않해야 할테닌까요....

타미케이 2014-01

무선도 인크립션이 있잖아요...

zepinos김종화 2014-01

보니까 은행들이 그냥 다 http 를 쓰네요... <-- 당장 제 주거래 은행인 국민은행도 HTTPS 전송입니다. 기업은행도 대문만 http 이고 온라인뱅킹 쪽으로 넘어가면 https 입니다.

https 로 바뀐게 오래된 것 같지는 않은데, 그게 가능했던게...개인적으로 욕을 바가지로 하는 공인인증서 때문입니다. 한국의 대표적 비표준인 공인인증 방식도 일반 사설인증(?) 방식인 SSL(HTTPS)과 마찬가지로 공개키-개인키 방식의 인증입니다.

타미케이 2014-01

그런데 기본적으로 http 로 전송되는건 다 보이지 않나요? 스니프하면?

zepinos김종화 2014-01

http 전송이면 다 보입니다.

단지, 공개키/개인키 방식의 경우 개인키를 배포해놓고(우리가 흔히 받는 공인인증서) 그걸로 암호화를 해버리면 개인키를 가진 사람만이 원래 문자열을 볼 수 있습니다. 그러니까 공인인증 프로그램이 하는 일은 전송될 데이터를 미리 개인키로 암호화한 다음 http 에 데이터로 보내버리는 겁니다. 그럼 그 데이터는 중간에 가로채더라도 복호화가 안되서 안전하다는 것입니다.
일반적인 인증서(SSL 등)는 브라우져에 그 기능이 내장되어 있는데, 대한민국의 공인인증서라는 놈은 이름과는 다르게 브라우져 개발사에서도 개무시를 해버려서 인증 방식을 지원 안해줘서 부득이하게 엑티브엑스로 저런 작업을 우회해서 하는 겁니다. 하는 일은 거의 동일하다고 보셔도 됩니다. 물론 인증서의 보안레벨을 낮은 것 밖에 못쓰는 상태에서 부득이하게 높은 인증레벨을 쓰기 위해 개발했다는 변명을 해대지만, 그건 정말 정부에서 해야할 말이고, 그 인증 프로세스를 다른 방식(자바 애플릿 등)에서 못다룰 때 하는 소리고...엑티브엑스를 써서 해야한다고 자기들 규약에 묶어버린 금융결제원(심지어 국가 기관도 아님)이 할 소리는 아니죠.

타미케이 2014-01

아 하 정보 감사합니다. 저도 그런거 비슷한거라고는 추측(?)을 하고 있기는 했지만 혹시나 하고 있었습니다. 강제로 마이크로 소프트를 쓰게 만드는일을 나라에서 참여하여 하고 있는건가요? 차라리 그냥 ssl 라이센스를 사는게 더 싸게 먹히지 않을까요? 어짜피 공인인증도 개발비며 유지비며 기타등등 돈이 들어가기는 마찮가지아닌가요? 제가 몰라도 너무 몰라서 헛소리를 하고 있는것일수도 있으니 너그럽게 받아주시기를 부탁 드려요~

모르면 배워서 알게 만들면 된다가 제 신조입니다. ㅋㅋ

zepinos김종화 2014-01

모르는 사람이 더 많은 부분이 이 공인인증서입니다. 공인이라는 이름이 들어가니 국가가 저렇게 만든걸로 착각하기 쉬운데, 금융결제원이라는 곳에서 정해서 하는 것이고, 금융결제원은 금융감독원(국가기관)의 감독을 받는 은행들의 대표기관 같은 곳입니다. 국가 기관도 아닌 것들이 윈도우즈&엑티브엑스 기반으로 보안솔루션을 구성한다고 명시를 해버려서 수년간 고생하고 있고, 오픈웹에서 소송까지 했는데도 지기도 했습니다.
웃긴게, 은행(아마 증권도 포함?) 대표기구로 만든 금융결제원의 지침이라 모든 은행이 IE 을 비롯한 각 브라우져에서 공식적으로 지원하는 SSL 을 사용하지 않고 모두 엑티브엑스로 만들어진 한국형(?) 인증 시스템을 쓴다는 겁니다.

타미케이 2014-01

정말 너무 말도 안되는 씨스템인거 같습니다. 너무 비효율적이고... 어디 들어가면 계속 뜨는 그놈에 엑티브엑스 API 설치 메세지... 지겹습니다...  저는 웬만하면 전화기에서 이체합니다... 컴퓨터에서 하면 더 편해야하는데... 매번 뜨는 엑티브엑스 설치 메세지 때문에... 한번 은행 싸이트에 들어가는데 4~5개정도의 엑티브엑스를 까는거 같습니다... 매번...

타미케이 2014-01

다 라는 것은 수정하겠습니다... 신한은 그렇네요 ㅎㅎ

말짱황 2014-01

음.... 보통 홈페이지에 보여지는것은 TEXT로 보여 집니다.
그러나 이체내지 조회 같은 은행 업무에서는 툴이 설치되어 암호화 하여 보내집니다.
보통 처음 은행 페이지 들어 가면 쓸데없을만큼 많은 툴이 설치 됩니다.
보안부터 자기네들 프로그램 까지요.
일반 사용자에게는 뭐가 뭔지 모를정도로 많이 설치 합니다.
그러니 너무 걱정은 안하셔도 될듯 합니다.
아직 신**은행 해킹 되었다는 말은 없으니까요.. 하하하

AKs 2014-01

그것 때문에 [보안프로그램] 이라고 쓰고 [쓰레기]라고 읽는 엑티브-X를 까는 거지요..
어지간한 데이터들은 그 보안프로그램의 탈을 쓰고 있는 쓰레기프로그램들이 암호화를 해서 보낸다고 주장하고 있습니다.