Donghwi Shin

TTESays

OWASP Top 10 2025, A1: Broken Access Control ‘확장된 접근제어’

💡Editor Pick - OWASP Top10 2025 RC의 A1 변화 분석 - OWASP Top10 카테고리 세부 항목을 이해할 필요가 있음 - OWASp Top10 2025 RC A1에서는 접근 제어 개념 확장성 제시 OWASP가 발표한 Top 10 2025에서 A1 항목인 Broken Access Control은 이전과 동일하게 가장 심각한 웹 애플리케이션 보안 위험으로 분류되었다. 그러나

TTESays

OWASP Top10 2025 RC: 최신 웹 애플리케이션 보안 전망과 주요 변화

OWASP Top10 2025의 RC(Release Candidate) 버전이 공개되었다. 이번 2025년판은 이전 에디션과 달리, 두 가지 새로운 카테고리가 추가되고 기존 항목이 통합되는 등의 구조적인 변화를 보여 준다. 이번 2025 RC는 OWASP Top10의 8번째 개정판으로, 데이터 기반 위험 분석을 한층 강화하는 동시에 기존 버전에서 제기된 여러 한계점을 보완하려는 시도가 돋보인다. 이번 기사는

TTESays

모의해킹의 현실과 CVE 활용의 한계 — ASM 기반 실무적 대응 프레임워크

💡Editor Pick - CVE에 등장하는 취약점 대응 미흡 - 취약점의 패치 결정 및 효과적인 대응 방향성 수립 필요 - ASM과 PTaaS, Intelligence 연계 통한 대응 프레임워크 제안 최근 기업 보안 점검의 핵심 수단으로 자리 잡은 모의해킹과 취약점 점검은 여전히 현실적 제약에 직면해 있다. “공격자보다 먼저 약점을 발견한다”는 목표는 유효하지만,

TTESays

주기적인 모의해킹/취약점 점검과 반복되는 사고

💡Editor Pick - 2025년 보안 사고의 증가는 ‘사건의 폭증’이 아니라 ‘탐지·보고 역량의 향상’일 가능성 - 반복되는 취약점 문제는 모의해킹을 형식적으로 수행하고 결과를 단순 패치로만 처리하는 관행에서 비롯 - 진정한 해결책은 취약점의 Exploit·파급력·근본 원인까지 가시화 - PTaaS, Git·이슈 트래커로 라이프사이클을 연동해 지속적으로 추적 2025년, ‘사건’

Security

PetoWorks팀, Pwn2Own Ireland 2025서 Canon 프린터 제로데이 성공

💡Editor Pick - Pwn2Own Ireland 2025에서 73개 0Day에 102만 달러 상금 지급 - PetoWorks팀 Pwn2Own에서 Canon 프린터 0-Day 성공 73개 제로데이 공개 2025년 10월 아일랜드 코크(Cork)에서 열린 글로벌 보안 경연대회 Pwn2Own Ireland 2025가 성황리에 막을 내렸다. 이번 행사는 트렌드마이크로(Trend Micro)의 Zero Day Initiative(ZDI) 가 주관했으며,

TTESays

[TE머묾] 미국의 로보콜 차단 시도, 한국 방미통위와 비교돼

💡Editor's Pick - 미국 국민들 괴롭히는 사기 전화 공격에 대책 마련하려는 미국 연방 정부 - 그런데 그 미국 정부는 현재 셧다운 상황 - 한국 방미통위는 아직 당파 싸움 때문에 개점휴업 상태인데 미국 정부가 셧다운 상황임에도 불구하고 사이버 사기 공격을 줄이기 위해 로보콜(robocall) 단속 법안을 마련해 통과시키고 있다.

TTESays

DEFCON: 새로운 패스워드 파일 korear.kr

💡Editor Pick - korear.kr_plain_text_password.txt 파일은 무엇인가? - 한글 패스워드 저장 파일로 GPKI 인증서 크랙에 활용 - 한글 패스워드에서 사용하는 주요 특수문자 : !, @, *, ^ 올해 데프콘에서 프랙(Phrack)을 통해 공개된 자료들을 본지에서는 계속해서 분석해 나가고 있다. 이번 주에는 result.txt와 pass.txt를 분석해 보도했다. 이번 기사에서는 korear.

Security

캄보디아 가짜 사이트 차단해야 할 방미통위, 접속했더니 오류

💡Editor's Pick - 캄보디아 가짜 구인 사이트 차단 못한다는 위원회 - 위원회 사이트도 접속하면 오류 메시지 내보내 - 알고 보니 인증서 문제...불행인지 다행인지 최근 캄보디아 범죄 조직들이 한국인들을 유인한 후 납치, 감금해 각종 피해를 발생시키고 있다는 뉴스가 전국을 들썩이고 있다. 이들은 주로 불법 구인 광고 게시물을 통해

TTESays

데프콘 : GPKI 패스워드 크랙(세부버전)

💡Editor Pick - 데프콘 : GPKI 패스워드 크랙의 세부 내용 버전 공개 기초자료 GPKI 인증서 관련 파일에 대해 논한 글에서 이미 제시했지만 관련 파일들 목록을 다시 살필 필요성이 있어 표를 다시 가져왔다. 파일명 설명 생성일 allzip.sh gkpi20200425 하위에 있는 ZIP 파일의 압축해제 5초마다 zip 파일 확인 2016.04.27 allzipex.

TTESays

데프콘 : GPKI 패스워드 크랙

💡Editor Pick - GPKI 패스워드 크랙시도가 있었던 흔적 - GPKI 패스워드 크랙을 성공했을 가능성도 있으므로 검증 필요 - 상세 분석 자료는 별도의 자료로 공개 예정 올해 DEFCON을 통해 공개된 파일 덤프를 계속해서 살피고 있다. 이번에는 GPKI 인증서에 관한 내용을 정리해 보고자 한다. GPKI 인증서는 행정기관과 공공기관, 일부 교육기관 등에서 사용하는

TTESays

데프콘: GPKI 관련 파일들… 표준API 신청? 우리는 그들의 행위를 어떻게 검토해야 하는가?

💡Editor Pick - GPKI 관련 파일을 외부에서 구할 수 있는지 검토 - GPKI 표준 API 관련 파일 유출은 표면적으로 드러난 내용만 바라보면 위협 수준 판단이 일부에 불과 Phrack 잡지에 관련된 파일 work.zip에 있는 내용들을 살펴보던 중, /work/home/user/Desktop/desktop/uni_certs 경로에 다수의 인증서 파일 존재하는 것을

TTESays

데프콘 : pass.txt 파일 세부 내용 분석

💡Editor Pick - pass.txt 에 저장된 문자열 한글 자판 기준으로 변환 가능 - 한글 변환한 패스워드 통해 한글 기반 패스워드 패턴 파악 가능 - pass.txt 파일의 용도 파악과 대응 방안 한국에는 유독 특별한 행사였던 2025년 데프콘(DEF CON 33)이 마무리 된 지 벌써 2개월이 넘어가는 시점이다. 이