매버릭스 업데이트 후 개발 중인 맥 앱에서 발생하는 문제

OSX 매버릭스로 업데이트한 후 XCode로 개발 중인 유틸리티 프로그램의 일부 기능이 작동하지 않는 현상이 발생한다. 원래 Alpha 버전으로 곧 배포할 예정이었는데, 이 문제로 배포가 늦어질 것 같다.

문제는 Objective-C와 Cocoa를 사용하여 전역 마우스 및 키보드 후킹(hook global mouse and keyboard event)을 사용하는 코드가 있는데, 그 중 키보드 이벤트만 캡춰링(capturing)할 수 없는 현상이 발생한다.

해결 방법

의외로 해결 방법은 간단하다. 먼저 OSX 매버릭스에서 변경된 보안 사항에 대해서 알 필요가 있다. 기술적인 내용은 아니므로 쉬엄쉬엄 다음의 글을 참고하기 바란다.

OS X 10.9 매버릭스(Mavericks)의 바뀐 메뉴 구조 때문에 정상 작동하지 않는 앱 실행하기 (보조 장비에 대한 접근 활성화)

즉, 기본적으로 매버릭스를 설치하면 ‘손쉬운 사용’에 의해 응용 프로그램이 맥이나 기타 장비를 제어하는 것이 차단된다. 필자는 매버릭스로 업데이트 이전에 ‘손쉬운 사용’을 활성화하여 장비에 접근할 수 있도록 설정되어 있었다. 하지만, 업데이트 후에 ‘손쉬운 사용’의 활성화 방법이 변경되면서 이 설정이 초기화 된 것으로 볼 수 있다.

해결 방법은 ‘시스템 환경 설정 -> 보안 및 개인정보’로 들어간 후, ‘손쉬운 사용’ 항목에서 Xcode를 체크해 주면 된다. 그럼 특정 응용 프로그램에서 사용하는 APIs 가 블럭 당하지 않는다.

[그림1] 손쉬운 사용의 Xcode 항목을 체크하면 APIs 가 블럭 당하지 않는다

IntelliJ 배포 오류

Gradle로 구성된 프로젝트가 여러개 있는데, 그 중 하나만 IntelliJ에서 제대로 인식하는데 실패한 적이 있다. Tomcat으로 올바로 구동이 되어야 하는데, 배포가 되었다고만 나오고 Tomcat Context에 로드되지 않는 현상이 발생한다.

관련된 오류를 검색해 보았다. 하지만 전혀 다른 문제의 답변이었다.

 Artifact XXX:war exploded: Server is not connected. Deploy is not available. 

그러다가 Modules 구성을 살펴보니 여기에 문제가 있었다. 일전에 우리팀 루피님께서 Spring 구성이 잘 안되었다고 봐준적이 있는데, 어찌어찌 시간이 없어 이제서야 다시 살펴보게 되었다.

아래는 올바른 모듈의 Spring 구성이다. 

아래는 올바르지 않은 모듈 구성이다.  

문제가 되는 모듈을 제거하자. 

Gradle을 Import 로 다시 불러오자. 

이제 Tomcat에서 Spring MVC 응용 프로그램이 올바르게 구성이 된다. 

[보안] 각종 보안 소프트웨어 우회 방법과 개인 정보 보호

개인의 보안 유출은 누구의 책임?

각종 엑티브 엑스(ActiveX)를 아무리 욕해도 분명 여러분은 은행권 등의 보안 엑티브 엑스(ActiveX)의 덕을 많이 봤으리라 믿는다. 엑티브 엑스를 옹호하는 것은 아니지만, 당장 이 개인 정보 보호 수단을 철회하면 훨씬 쉽게 여러분이 입력하는 키보드 문자를 엿볼 수 있고, 세션 타임 아웃 전에 당신의 쿠키를 취득하여 방문한 웹 사이트에 로그인 할 수도 있다. 그리고 보안에 취약한 옛날 브라우저를 사용한다는 이유로 특정 웹 사이트에 방문하는 순간 당신의 보안 정보를 외부로 보내 취득할 수 있다. (예를 들어, XSS-사이트 간 스크립트[1])

은행은 통상적으로 자신이 비밀번호를 외부에 직/간접적으로 알렸을 때, 여러분의 계좌에서 사고가 발생하면 은행은 책임지지 않아도 되는 면책권이 있다. 만약, 은행권 또는 결제시 필요한 엑티브 엑스를 전부 제거되었을 때, 여러분의 정보를 더 쉽게 뺄 수 있는데 이 때 발생하는 금융 사고는 누구 책임일까? 여러분이 직접 개인 보안 정보를 알리지 않았어도, 어쩔 수 없이 당해야 하는 백도어/악성코드 등으로 여러분의 PC가 외부로 보안 정보를 알린 것과 다름이 없다. 여러분의 PC의 문제는 누구도 아닌 여러분의 책임이 될 수 있을 것이다.

간혹 이런 문제로 외국의 사례와 PayPal 사이트를 언급되기도 하는데, 알라딘의 엑티브 엑스 없는 결제에서도 알 수 있듯이 모든 카드사가 이 서비스에서 이탈했다고 한다. 외국의 좋은 사례도 많지만, 사회적으로 긍정적인 합의가 먼저 이루어져야 대안이 나올 것이고, 실제 현실에 맞는 방안이 마련될 것이라고 믿는다.

아무튼 개인 정보가 중요하다는 것으로 이 글을 시작한다.

[이미지 출처] paypal hacker escaped jail

간단하게 해킹하는 방법을 알려 주겠다.

필자는 오늘 여러 분에게 매우 간단한 해킹 방법을 하나 가르쳐 주겠다. 일반인도 따라할 만큼 매우 쉬운 방법이다. '콜롬버스는 깨뜨리지 않고 달걀을 세우는 것' 처럼 방법만 알면 누구나 할 수 있는 해킹이다. (아마 ‘해킹’ 취급도 받지 못할지도...)

필자가 알고 있는 해킹[2] 방법 중 가장 기술적인 난이도가 낮은 방법이다. 보안에 예민한 곳이라면 이런 우회적인 방법도 있다는 것을 알려주기 위한 목적도 있다. 물론 여러분은 이런 방법을 악의적으로 사용해서는 안된다. 어설픈 해킹은 나를 추적할 수 있는 실마리를 많이 남기기 때문이다. 독자들은 ‘이런 방법도 있네?’ 정도로 봐주시면 좋겠고, 근본적으로 보안 의식을 강화하는 것에 의의를 두길 바란다.

2010년도에 필자가 실전에 사용할 수 있는 ‘해킹’ 동영상 강좌를 오픈 했는데, 사용 용도가 충분히 사회적인 파장을 일으킬 수 있을 거라 판단하여 동영상 연재를 계속 이어가지 못하고 중단한 바 있다. 그 아티클에 대한 자세한 링크는 꼬릿말[3]을 클릭해 보기 바란다.

생뚱맞고 주제넘게 왠 해킹...? 이라 생각할 것 같아서, 대단한 수준은 아니었지만 필자의 해킹(? 1990년대 '해킹’의 통상적인 의미를 일컬음) 이력을 간단히 소개하겠다. 지금의 컴퓨팅 파워와 시대와 기술이 뒤떨어지던 때라는 점도 감안하기 바란다.

• 각종 사설 BBS[4] 관리자 권한 획득 해킹 (호롱불 보안 취약점 이용)
• 다수의 쉐어웨어[5] 소프트웨어 크랙[6]
• 다수의 게임 소프트웨어 크랙
• 백도어 개발
• 크랙 및 백도어 배포(응?)
• 월간 잡지 ‘마이컴’ 에 일부 내용을 몇 차례 기고

필자는 어려서부터 해킹에 관심이 많았다. 초등/중학교 시절에 전화기 선을 연결하여 PC 통신 하던 시절에 집에서 호스팅 할 수 있는 '사설 BBS’의 역어셈블리 코드를 분석하여 취약점을 공격하는 방법으로 해킹을 실행해 보고, 또 백도어를 직접 만들어 심어보기도 했다. 필자가 초딩 때라 가능했던 무 개념한 행동이었을 것이다.

’크래킹’ 이라고 해서 게임이나 쉐어웨어 소프트웨어의 사용 제한을 영구적으로 풀어 이를 크랙 파일로 만들어 배포해왔다. '삼국지 3, 4', '프린세스 메이커' 등 게임을 실행하면 암호표를 보고 매번 바뀌는 비밀번호를 입력하는 방식인데, 이 암호표 자체를 무력화 시켰다. 비밀번호를 아무렇게 입력해도 올바른 입력으로 간주하거나 아예 암호 입력 루틴을 점프해서 바로 게임을 시작하도록 할 수 도 있다. 그 이후 '삼국지 시리즈’는 내부적으로 방어 코드가 상당히 늘어나 난이도가 점점 높아지면서 결국 크랙킹에 손을 땠다.

실전 해킹, USB 보안 소프트웨어 무력화 하기 (우회하기)

'USB 보안 소프트웨어'는 컴퓨터에 달린 USB 포트를 이용해서 사용자가 USB에 데이터를 저장하지 못하게 하여 정보 유출을 막기 위한 소프트웨어이다. 필자가 다니던 곳에서는 USB 읽기만 가능하고 보안 소프트웨어가 쓰기를 제한했다. 필자가 과거에 수행한 모 반도체 프로젝트에서는 반입되는 모든 장비의 USB 포트를 스티커로 막아 놓는다. 혹여 스티커를 한 번 뗐다 붙이면 티가 많이 나는 스티커를 쓰므로 장비를 반출할 때 보안 점검에 반출을 제지 당하게 된다.

요즘은 보안 소프트웨어의 기술력도 높아서 직접 이걸 깨부스고 싶지만 그러기엔 만만치 않다. 그래서 필자는 주로 직접 해킹하는 대신 우회 방법을 찾는다. 이 방법도 USB 보안 소프트웨어를 우회하기 위해 여러 시도 끝에 알게된 방법 중 하나 이다.

1. 제한 사항

최근 USB 보안 소프트웨어는 윈도우 운영 체제를 부팅 할 때, 유저 모드(UserMode), 안전 모드(SafeMode)[7]를 막론하고 작동한다. 그래서 안전 모드로 부팅 해도 보안 소프트웨어가 작동한다. 또, 파일을 강제로 삭제하거나 소프트웨어를 제거 하는 것도 불가능 하다.

• 안전 모드에서도 보안 소프트웨어가 작동함
• 정상적인/비정상적인 방법으로 보안 소프트웨어의 파일 삭제가 불가능
• 필자는 윈도우 7 운영 체제가 설치된 컴퓨터를 사용하였음

필자는 이 글을 쓰는 시점에 윈도우 운영체제를 구동할 수 있는 개인 PC가 없다. 아니 윈도우를 쓰지 않기 때문에 다른 사람이 올린 이미지를 사용하였다. 글에 첨부된 이미지는 Creative Common 허가 조건에 상응하는 범위 내에서 사용한다.

2. 사전 준비물

없다. 전혀...

3. 본격 시작

다음의 순서대로 따라하면 USB 보안 소프트웨어 뿐만 아니라 모든 보안 소프트웨어를 우회하여 어떤 제약도 받지 않는다. 너무 간단하다고 비웃을 수 있으나 악의적으로 이용하려고 마음 먹으면 PC에 설치된 모든 보안 소프트웨어를 우회하므로 상당히 강력한 효과를 볼 수 있다.

1. 복구 모드로 부팅
   윈도우 7 이하 버전은 부팅 시 F8을 눌러 복구 모드로 진입할 수 있다. 윈도우 8의 경우 SHIFT 키를 누른 채로 ‘다시 시작’ 버튼을 클릭해야 한다. (단, 윈도우 8에서는 테스트하지 않음)

   
   [이미지 출처] Creative Common 표기에 따라 저작권 표시/상업적 이용 불가/콘텐트 변경 불가

2. 명령 프롬프트 선택
   명령 프롬프트를 선택하면 어떤 보안 소프트웨어도 로드되지 않는 명령 프롬프트가 시작된다. USB, CD-ROM 장치가 사용 가능한 경우 여기에 접근이 가능하다. 보안 프로그램으로 복사가 제한된 파일이 있다면 이제 원하는 파일을 USB로 복사하면 된다.

   
   [이미지 출처] Creative Common 표기에 따라 저작권 표시/상업적 이용 불가/콘텐트 변경 불가

이제 명령 프롬프트를 이용해서 원하는 작업을 진행하면 된다. 보통 보안 소프트웨어는 스스로 구동에 필요한 파일을 제거하지 못하게 보호한다. 이 파일들을 의도적으로 지우려고 하면 정책에 따라 보안 관리자에게 알림이 갈 수도 있다. 그래서 이 보안 소프트웨어를 제거할 방법이 없다. 하지만, 이 명령 프롬프트에서 보안 소프트웨어를 지우면 된다. 운영체제를 재부팅하면 보안 소프트웨어가 완전히 제거된 상태이므로 보안 소프트웨어에 전혀 영향을 받지 않는다.

결론

지금까지 보안 소프트웨어를 완전히 우회하는 방법을 소개하였다. 해킹이라고 말하기에 기술적으로 매우 낮은 수준이지만, 이 방법을 악의적으로 이용한다면 아마도 ‘해킹’ 이라고 불러야 할 것이다. 최근의 보안 정보의 유출은 외부에 의한 공격보다 내부에 의해 일어나는 사고가 증가하고 있다. 정보가 DRM에 걸려 있다면 화면을 갈무리(Capture)해서 이미지 파일로 만들어서 유출해도 되겠다. 화면 갈무리를 보안 소프트웨어가 차단한다 해도 역시 우회 할 수 있는 방법은 여전히 많다.

필자가 하고 싶은 말은 "개인 정보는 자신이 지켜야 한다". 

이런 방법으로 내부인이 당신의 PC에 중요한 파일을 유출할 수 있으니, 최대한 운영체제가 권장하는 보안 수준을 준수하기 바란다. 특히 개발자들은 개발 편의를 위해 대부분의 보안 상태를 낮추게 되는데, 대부분의 개발자 PC가 가장 허술한 상태일 가능성이 높다. 혹시나 텍스트 파일이나 안전하지 못한 메모 프로그램을 사용하여 서버/데이터베이스 등에 접근할 수 있는 보안 정보를 절대 저장해 두지 말기 바란다. 여러분의 가족 사진이나 여자/남자 친구와의 낭만적이고 비밀스런 사진들도 여러분이 잘 관리해야 할 것이다.

여러분의 개인 PC를 지키는 것 역시 여러분의 몫이다.

• 운영체제가 권장하는 보안 수준을 반드시 이행할 것 (방화벽 또는 보안 업데이트 등)
• PC에 중요한 파일을 절대 저장해 놓지 말 것
• 검증되지 않거나 회사에서 허가하지 않은 소프트웨어를 절대 사용하지 말 것
• 로컬에 캐시를 만드는 클라우드 서비스에 중요 정보를 저장하지 말 것 (에버노트, 드롭박스 등)
• 사용자 로그인 계정에 절대로 관리자 권한을 주지 말 것
• 문서 등은 운영체제가 권장하는 폴더 하위에 저장할 것
• 각종 소프트웨어와 웹 브라우저는 최신 버전을 사용할 것
• 웹 브라우저의 아이디와 비밀번호 자동 저장 기능을 사용하지 말 것