보안 용어

2단계 인증(2FA, two-factor authentication)은 비밀번호 외에 OTP·보안 키처럼 성격이 다른 두 번째 인증 요소를 함께 요구해 계정 탈취를 어렵게 하는 보안 방식입니다. 비밀번호가 유출되더라도 두 번째 요소가 없으면 로그인할 수 없습니다.

51% 공격(51% attack)은 한 주체나 담합한 집단이 작업 증명(PoW) 네트워크 해시 파워의 절반 이상을 장악해, 최근 트랜잭션을 되돌리거나 특정 트랜잭션이 블록에 들어가지 못하게 막는 공격입니다. 과반수 공격 또는 다수 공격(majority attack)이라고도 합니다.

CVE-2012-2459는 비트코인 클라이언트(bitcoind, Bitcoin-Qt)의 머클 트리 계산 방식에서 비롯된 취약점으로, 공격자가 정상 블록과 블록 해시가 같은 변조 블록을 만들어 노드가 정상 블록을 거부하게 할 수 있었습니다.

SIM 재킹(SIM Jacking)은 SIM 스와핑(SIM 스왑 사기) 또는 포트아웃 사기라고도 알려진 사기로, 다른 사람의 전화번호를 탈취하여 해당 사람과 연결된 다른 계정에 접근하는 방법입니다.

가명성은 실명 대신 지속적으로 쓰는 식별자(가명)로 활동하는 상태입니다. 블록체인 주소가 대표적이며, 신원은 숨지만 활동 기록은 모두 연결될 수 있어 익명과 다릅니다.

공격 전략은 암호를 무력화하거나 블록체인을 오작동시키기 위해 공격자가 쓰는 방법을 통틀어 이르는 말입니다. 가장 잘 알려진 것으로는 무차별 대입 공격, 51% 공격, 생일 공격 등이 있습니다.

공격 트리(attack tree)는 보안 분석에서 공격자의 궁극적인 목표를 루트 노드로 두고, 그 목표에 이르는 여러 공격 방법을 가지(브랜치)와 하위 단계로 나누어 나무 구조로 정리한 분석 모델입니다.

공격 표면(Attack Surface)은 공격자가 시스템에 침투하거나 시스템에서 데이터를 추출하려 시도할 수 있는 소프트웨어 환경 내 지점입니다.

기밀(confidential)은 권한이 있는 사람만 접근할 수 있도록 비밀로 유지되어야 하는 정보, 또는 그런 상태를 가리킵니다.

다크넷(Darknet)은 특정 소프트웨어로만 접근할 수 있는 인터넷의 오버레이 네트워크 계층입니다. 불법 마켓플레이스와 불법 행위와 관련이 많아 다크넷으로 알려져 있습니다. 거래에 암호화폐를 사용한 최초의 네트워크 중 하나입니다.

다크센드(Darksend)는 Darkcoin(현재 DASH로 이름 변경)의 익명 전송 기능입니다. 넓게는 트랜잭션의 출처를 추적하기 어렵게 만들어 특정 코인을 비공개로 전송하는 것을 가리키기도 하며, 코인 믹서, 특정 코인의 내장 기능 또는 타사 서비스를 통해 이를 달성할 수 있습니다.

더스트 트랜잭션은 수수료보다도 가치가 작을 만큼 극히 적은 양의 암호화폐(더스트)를 주고받는 트랜잭션으로, 지갑 추적이나 주소 오염 사기 같은 공격에 악용되기도 합니다.

데이터 날조(data fabrication)는 실제로 존재하지 않는 가짜 데이터를 만들어 내는 행위입니다. 개인적 이익을 위해 의도적으로 데이터를 날조하는 것은 사기의 한 형태입니다.

디지털 신원은 이름, 주소, 주민등록번호 같은 개인 정보를 디지털 방식으로 묶어 저장한 것입니다. 블록체인은 분산된 방식으로 디지털 신원을 저장하는 데 도움이 될 수 있습니다.

라우팅 공격(Routing Attack)은 블록체인과 같은 웹 기반 시스템의 가동 시간 또는 참여에 영향을 주기 위해 인터넷 서비스 제공업체(ISP) 수준에서 시도되는 공격입니다. 공격자는 인터넷에서 데이터가 이동하는 경로를 조작해 노드 사이의 트래픽을 가로채거나 끊거나 늦춥니다.

러그 풀은 코인·토큰 개발자가 투자금을 모은 뒤 유동성을 빼거나 물량을 팔아 치우고 사라지는 사기 수법입니다. '깔개를 잡아당긴다'는 영어 표현에서 나왔습니다.

레이스 공격은 같은 코인을 쓰는 두 거래를 거의 동시에 전파해, 컨펌을 기다리지 않고 결제를 받은 상대방을 속이는 이중 지불 공격입니다.

메시지 보관함은 나중에 사용하기 위해 메시지를 보관하는 것을 말합니다. 메시지에 민감한 정보가 담겨 있어 해독 키가 필요한 경우에는 특히 관리가 까다롭습니다.

바이러스(Virus)는 자신을 복제하고 한 컴퓨터에서 다른 컴퓨터로 퍼질 수 있는 유해한 소프트웨어 조각입니다. 다른 파일이나 프로그램에 자신의 코드를 붙여 넣고, 그 파일이 실행될 때 함께 실행되며 퍼진다는 점에서 넓은 의미의 악성코드(멀웨어) 가운데 한 종류입니다.

버그 바운티(Bug Bounty)는 버그와 결함을 찾는 데 도움을 주는 사람들에게 보상을 제공하는 제도입니다. 암호화폐에서 버그는 자금 도난으로 이어질 수 있으므로 중요합니다. 많은 개발자는 이러한 사람들에게 상당한 양의 코인 또는 토큰을 보상으로 제공합니다.

범용 2단계 인증(Universal 2-Factor, U2F)은 2단계 인증을 위해 컴퓨터에 꽂아 사용하는 USB 형태의 하드웨어 보안 키 방식입니다. 소프트웨어 방식보다 높은 수준의 보안을 제공합니다.

보안 감사는 시스템, 스마트 컨트랙트 또는 블록체인이 공격이나 기술적 결함에 얼마나 안전한지를 평가하기 위해 독립 회사가 수행하는 체계적인 분석입니다.

봇넷(Botnet)은 악성 소프트웨어에 감염되어 소유자의 인지 없이 원격으로 제어되는 컴퓨터와 장치의 모음입니다.

분산 서비스 거부 공격(Distributed Denial of Service Attack, DDoS)은 공격자가 시스템 또는 네트워크 자원을 사용할 수 없게 만들어 인터넷에 연결된 호스트의 서비스를 방해하는 사이버 공격으로, 정상적인 요청을 처리할 수 없을 정도로 시스템에 과도한…

블랙 신호(Black)는 TEMPEST에서 암호문을 전달하는 전기 배선이나 신호를 가리키는 말로, 이런 신호는 노출되어도 위험하지 않은 것으로 봅니다.

비트그레일은 이탈리아의 암호화폐 거래소였으며, 2018년 2월 당시 약 1억 7천만 달러 규모의 나노(NANO, 구 RaiBlocks) 약 1,700만 개를 도난당한 사건으로 알려져 있습니다.

사기(Scam)는 거짓 약속이나 사칭으로 피해자를 속여 돈, 개인 정보, 또는 암호화폐의 경우 ‘개인 키’ 같은 가치 있는 것을 빼앗는 행위입니다. 사기를 꾸미는 쪽은 개인일 수도, 조직이나 회사일 수도 있습니다.

사기꾼(scammer)은 다른 사람을 속여 돈을 보내게 하거나, 개인 정보를 공유하게 하거나, 다른 가치 있는 것을 전송하게 하는 사람으로, 스캐머라고도 합니다. 암호화폐 산업에서 사기는 텔레그램, 페이스북, 링크드인, 트위터와 같은 소셜 네트워크를 통해 널리 퍼져 있습니다.

사용자 인증(User Authentication)은 장치나 소프트웨어가 네트워크 자원에 접속하는 사람의 신원을 확인하는 과정입니다. 사용자가 필요한 자격 증명이나 기타 인증 수단을 갖추었는지 확인하는 것이며, 사용자의 실제 신원을 식별하는 것과는 별개입니다.

사전 공격은 흔히 쓰이는 비밀번호·단어·유출된 비밀번호 목록을 차례로 대입해 비밀번호나 키를 맞히는 공격으로, 모든 조합을 시도하는 무차별 대입보다 훨씬 효율적입니다.

설계 결함 공격은 코드 구현 실수가 아니라 프로토콜·스마트 컨트랙트·시스템의 설계 자체에 있는 약점을 이용하는 공격입니다. 결함을 일부러 숨겨 둔 악성 설계도 포함됩니다.

신호 정보(SIGINT, Signals Intelligence)는 신호를 가로채 정보를 수집하는 활동입니다. 대상은 통신(COMINT), 그 밖의 전자 신호(ELINT), 또는 둘 모두일 수 있습니다. SIGINT는 암호화된 신호를 다루는 경우가 많아 암호 해독이 포함되기도 합니다.

운영 보안(OpSec)은 아군의 활동이 상대의 정보 수집에 의해 관찰될 수 있는지 판단하기 위해 중요한 정보를 식별하고, 상대가 얻은 정보가 그들에게 유용하게 해석될 수 있는지 판단한 다음, 상대가 아군의 중요한 정보를 악용하지 못하도록 이를 제거하거나 줄이는 선별된 조치를…

정보보호에서 위협(Threat)은 보안을 침해할 수 있는 잠재적 가능성으로, 해를 끼칠 수 있는 주체·상황·능력·행위·사건이 존재할 때 생깁니다. 암호학에서는 특히 상대방(공격자)이 무엇을 알고 무엇을 할 수 있는지를 가리키며, 이를 정리한 것이 위협 모델입니다.

위협 모델은 시스템이 무엇을 보호해야 하는지(자산), 누구로부터 보호해야 하는지(공격자), 공격자가 어떤 목표와 능력·접근 권한을 가진다고 가정하는지, 그리고 어떤 전제(신뢰 가정)를 두는지를 명확하게 정리한 분석 틀입니다.

채굴자가 블록체인에서 새 블록을 찾은 뒤 그 사실을 네트워크에 바로 알리지 않고 비공개로 다음 블록을 이어 채굴하는 전략을 이기적인 채굴(Selfish Mining)이라고 합니다.

이클립스 공격은 공격자가 특정 노드의 P2P 연결을 모두 자신이 통제하는 노드로 채워, 그 노드를 정직한 네트워크로부터 고립시키는 공격입니다.

익명이란 신원이 드러나지 않는 상태를 말합니다. 블록체인에서는 이름 대신 주소만 보이지만 모든 거래가 공개 원장에 영구히 남기 때문에, 비트코인 같은 공개 블록체인의 거래는 엄밀히 말해 익명이 아니라 가명(pseudonymous) 상태에 가깝습니다.

암호화폐 네트워크에서 익명성은 연결 불가능성을 의미합니다. 이는 트랜잭션의 송신자와 수신자 외에는 누구도 교환에 참여한 사람과 교환의 세부 사항을 알 수 없다는 것을 의미합니다.

인증(authentication)은 메시지나 트랜잭션이 실제로 그 작성자가 보낸 것임을 보장하는 일로, 암호학의 목표 중 하나입니다. 암호학적 인증에는 공개 키의 진위를 확인하는 키 인증, 트랜잭션을 전파할 권한을 확인하는 출처(사용자) 인증 등이 있습니다.

인증 코드는 계정에 로그인하는 사람의 신원을 확인하기 위해 두 번째 기기 또는 다른 통신 수단으로 전송되는 코드입니다. 2단계 인증도 참조하십시오.

자격 증명(Credentials)은 계정에 로그인할 때 사용되는 개인 정보입니다. 일반적으로 사용자 이름 또는 이메일과 비밀번호를 포함합니다.

정보 보안(INFOSEC, Information Security)은 정보에 대한 무단 접근, 사용, 공개, 중단, 수정, 검사, 기록 또는 파괴를 방지하는 행위, 그리고 이를 위한 원칙과 조치를 통틀어 이르는 말입니다.

중간자 공격(Man-in-the-Middle Attack, MITM 또는 MitM)은 공격자가 통신하는 두 당사자 사이에 몰래 끼어들어 오가는 데이터를 가로채고, 필요하면 조작한 뒤 원래 목적지로 전달하는 공격입니다.

책임추적성은 시스템에서 일어난 행위를 그 행위를 한 사용자나 프로세스까지 추적해 책임을 물을 수 있게 하는 정보보호 목표입니다.

침해(compromise)는 공격자가 비밀 키·비밀번호를 알아내거나 시스템 통제권을 얻어 기밀성·무결성·가용성이 깨진 상태를 말합니다.

코인 리딩방은 텔레그램·오픈채팅 등에서 '전문가'가 특정 코인의 매수·매도 시점을 알려 주는 대화방입니다. 유료 회원 모집, 시세조종, 투자사기로 이어지는 경우가 많습니다.

크립토재킹(Cryptojacking)은 해커들이 다른 사람의 컴퓨터를 허락 없이 사용하여 암호화폐를 채굴하기 위해 흔히 사용하는 기술입니다.

텀블러(Tumbler)는 코인 믹싱 서비스의 다른 이름으로, 믹서와 같은 뜻입니다.

템페스트(TEMPEST)는 전자 장비가 작동하면서 의도치 않게 내보내는 전자파 등의 방사(compromising emanations)를 통해 처리 중인 정보가 새어 나가는 보안 취약성과, 이를 막기 위한 미국 국가안보국(NSA)의 보안 기준을 함께 가리키는 코드명입니다.

토르(Tor)는 ‘The Onion Router’의 약자로, 인터넷을 통해 익명으로 데이터를 전송하는 onion 라우팅 방식과 이를 구현한 무료 오픈 소스 소프트웨어를 가리킵니다.

통신 보안(Communications Security, COMSEC)은 허가받지 않은 사람이 통신 내용을 얻거나 통신을 위조하지 못하게 하는 조치로, 암호·전송·방사·물리 보안으로 구성됩니다.

피싱(Phishing)은 악의적인 공격으로, 악의적인 행위자가 사용자의 계정에 무단으로 접근하기 위해 사용자 자격 증명을 얻으려고 시도합니다.

피싱 공격(Phishing Attack)은 로그인 정보와 신용카드 번호 등 사용자 데이터를 훔치는 데 자주 쓰이는 사회공학적 공격입니다. 실제 주소와 매우 비슷해 보이는 가짜 주소와 앱을 흔히 사용하므로, 접속하는 주소의 철자를 확인하는 것이 매우 중요합니다.

해커(Hacker)는 프로그래머 및 사이버 보안 전문가를 포함하여 컴퓨터 시스템과 네트워크에 대한 고급 이해력을 가진 개인을 말합니다. 이러한 이해를 바탕으로 대부분의 사람들이 할 수 없는 방식으로 시스템을 탐색하고 조작할 수 있습니다.

허니팟은 공격자나 피해자를 끌어들이도록 일부러 만든 미끼를 뜻합니다. 암호화폐에서는 주로 살 수는 있지만 팔 수는 없게 만든 사기 토큰·스마트 컨트랙트나, 개인 키가 유출된 것처럼 꾸민 미끼 지갑을 가리킵니다.

형식 검증(Formal Verification)은 수학의 형식 기법을 사용해 특정 형식 명세나 속성에 비추어 시스템 기반 알고리즘의 정확성을 증명하거나 반증하는 행위입니다.

휴리스틱(Heuristic)은 경험 법칙을 이용한 계산이나 문제 해결 방식으로, 알고리즘과 대비되는 개념으로 쓰이기도 합니다. 분석과 증명 대신 실험, 상식, 시행착오를 통해 배우며, 항상 최적의 답을 보장하지는 않지만 충분히 좋은 답을 빠르게 찾는 것을 목표로 합니다.