자유시간

웹브라우저 Firefox를 개발하고 있는 Mozilla의 연구자들이 브라우저의 열람 이력만을 사용하여 높은 정밀도로 개인을 특정할 수 있다는 연구결과를 발표했습니다. 이 발표로 익명화된 열람 이력이 온라인 광고의 광고주 등에 악용되지 않는다는 지금까지의 생각이 뒤집힌다는 견해가 확산되고 있습니다.

Replication: Why We Still Can't Browse in Peace: On the Uniqueness and Reidentifiability of Web Browsing Histories | USENIX
https://www.usenix.org/conference/soups2020/presentation/bird

Mozilla: there is a high probability that your browsing history can be used to identify you - gHacks Tech News
https://www.ghacks.net/2020/09/01/mozilla-there-is-a-high-probability-that-your-browsing-history-can-be-used-to-identify-you/

Mozilla research: Browsing histories are unique enough to reliably identify users | ZDNet
https://www.zdnet.com/article/mozilla-research-browsing-histories-are-unique-enough-to-reliably-identify-users/

Mozilla의 보안연구자인 사라 버드 씨, 이라나 시걸 씨, 마틴 로버트카 씨는 UNIX 관련 연구개발 단체 USENIX가 2020년 9월 1일에 개최한 보안 컨퍼런스에서 브라우저의 열람 이력만으로 개인이 식별 가능하다는 연구 결과를 발표했습니다.

버드 씨 연구팀은 열람 이력의 개인정보보호 문제에 대해 지적했던 2012년의 연구에서 더 깊이 파고든 조사를 실시하기 위해, 실험 참가자로 Firefox 사용자 5만 2000명을 모집. 참가자가 제공한 주간 인터넷 사용 기록과 다음 1주간의 열람 이력을 비교하여 얼마나 정확하게 사용자를 특정할 수 있는지를 조사했습니다.

그 결과 연구팀은 4만 8919개의 사용자 프로파일을 만드는 데 성공했습니다. 이 프로파일의 99%는 고유한 것, 즉 같은 것이 없기 때문에 개인을 식별할 수 있는 프로파일이었습니다. 조사에서, 연구팀은 약 66만개의 도메인과 약 3500만개의 웹사이트의 열람 이력이 모여 있었지만, 불과 50개의 도메인에 대한 열람 이력을 사용한 데이터 세트만으로 약 50%의 정확도로 개인을 식별할 수 있었다고 합니다. 또한 도메인 수를 150개로 늘릴 경우에는 식별율은 80% 이상에 달했다고 연구팀은 보고하고 있습니다.

연구팀은 또한 조회수 상위 1만 사이트 중, Facebook가 방문 기록을 수집하는 사이트의 수는 7348개 사이트, Google의 모회사인 Alphabet의 경우는 9823개 사이트에 이르고 있음을 지적했습니다. 논문의 말미에서는 "Google이나 Facebook 등 기업은 방문한 모든 도메인을 파악하여 이번 연구와 거의 같은 정도의 식별율을 달성했을 우려가 있습니다."라고 결론지었습니다.

이 발표에 IT계 뉴스사이트 ZDNet은 "Mozilla의 조사결과는 분석 회사와 온라인 광고주가 사용자를 추적하는데 방대한 인터넷 사용 정보 등을 필요로 하지 않는다는 것을 시사하고 있습니다. 데이터를 익명화하고 사용자 이름을 삭제하거나 도메인 이외의 URL주소를 삭제한다 하더라도 사용자의 습관과 즐겨찾는 사이트를 알릴 뿐, 결국 정체가 밝혀집니다"고 지적합니다.

또한, 브라우저 관련 뉴스를 다루는 기술 블로그 Ghacks는 "브라우저의 보안 기능을 활용하여 타 기업의 추적 능력을 없애는 것을 권장하고 있습니다. 예를 들면, Cookie 비활성화 또는 제한 , Firefox의 컨테이너 기능 , 개인 설정을 변경하거나 정기적인 데이터 삭제, 개인정보보호를 강화하는 확장 기능의 도입 등의 방법이 있습니다. 그러나 이러한 방법을 가지고도 문제를 완전히 해결할 수 없다지도 모릅니다"라고 적어, 완벽한 개인정보보호는 더 이상 곤란하다는 견해를 나타냈습니다.

Microsoft는 인공지능(AI)으로 영상을 합성하여 위화감 없는 영상을 만들어내는 기술 '딥페이크'의 대책 툴인 "Microsoft Video Authenticator'를 발표했습니다.

New Steps to Combat Disinformation - Microsoft on the Issues
https://blogs.microsoft.com/on-the-issues/2020/09/01/disinformation-deepfakes-newsguard-video-authenticator/

Microsoft creates a new tool to spot 'deepfake' videos and images - SiliconANGLE
https://siliconangle.com/2020/09/01/microsoft-created-new-tool-spot-deepfakes/

AI가 영상을 합성하는 딥페이크 기술은 발전을 거듭해 '진짜 영상과 분별할 수 없게 되는 것은 아닌가?'라는 우려도 나오고 있습니다. 딥페이크를 활용하면 유명인이 실제로 말한 적이 없는 발언을 하는 동영상을 쉽게 만들어 낼 수 있습니다.

2020년 11월에는 미국대통령 선거가 다가오고 있어 딥페이크를 이용한 정치적 인상 조작이 다발할 것으로 예상됩니다. 이 딥페이크에 대항하기 위해 Microsoft는 정부기관과 협력하여 가짜 뉴스와 온라인 선거에 대한 해킹에 대항하는 프로젝트인 Defending Democracy Program을 추진. 그 일환으로 딥페이크 대책 툴인 'Microsoft Video Authenticator'을 발표했습니다.

Microsoft Video Authenticator는 동영상과 사진을 분석하여 딥페이크에 의해 발생하는 인간의 눈으로는 알 수 없는 수준의 퇴색 및 그레이 스케일 등을 감지하고, 딥페이크 의한 편집이 행해졌는지 여부를 판정하여 '신뢰 점수'를 산출. 딥페이크가 사용되었는지 여부를 한눈에 알 수 있도록 표시하여 줍니다.

Microsoft Video Authenticator를 사용하여 실제로 영상을 판정하는 데모도 공개되어 있습니다. 다음은 왼쪽이 무편집 동영상, 오른쪽이 딥페이크로 편집된 동영상입니다. Microsoft Video Authenticator는 발언하고 있는 여성의 얼굴에 테두리와 '신뢰 점수'를 표시하고 있습니다. 이 프레임이 녹색이면 딥페이크가 사용되지 않았을 확률이 높다는 것을 의미하고, 빨간색일 경우에는 딥페이크가 사용되었을 확률이 높다는 것을 의미합니다.

또한, Microsoft Video Authenticator에는 제작자가 디지털 해시와 인증서를 이미지와 동영상에 추가할 수 있는 기능도 탑재되어 있습니다. 이 디지털 해시와 인증서를 확인하여, 이미지와 동영상 편집되지 않았다는 것이, 높은 확률로 보장된다고 Microsoft는 적고 있습니다.

Microsoft Video Authenticator는 Microsoft의 클라우드 플랫폼 Microsoft Azure에서 실행된다고 합니다.

'해킹'이라고 하면 소프트웨어의 취약점을 이용하여 악성코드를 설치하거나 네트워크에 침입하는 것을 상상하지만, 컴퓨터의 인쇄회로 기판에 직접 작업을 하는, 하드웨어를 통해 이루어지는 해킹도 존재합니다. 그런 기판에 대한 해킹 수법과 대책에 대해 기술 표준화 단체인 IEEE가 운영하는 뉴스사이트 'IEEE Spectrum'이 정리하고 있습니다.

Three Ways to Hack a Printed Circuit Board - IEEE Spectrum
https://spectrum.ieee.org/computing/hardware/three-ways-to-hack-a-printed-circuit-board

2018년에는 Apple과 Amazon에 출하된 Supermicro사의 메인보드에 대해, 중국의 인민해방군이 데이터를 훔치기 위해 칩을 탑재했다고 Bloomberg가 보도. 결국 보도의 자세한 내용은 밝혀지지 않았습니다만, PCB를 통한 해킹이 이뤄질 가능성을 강하게 의식하게 하는 사건이 되었습니다.

인쇄회로 기판을 통한 해킹 기법을 이해하기 위해서는, 기판이 어떻게 만들어지는지를 알 필요가 있습니다. 인쇄회로 기판설계자는 먼저 보드의 모든 부품의 연결 관계를 담은 회로도를 작성. 다음은 회로도를 바탕으로 부품 각각에 참조 번호를 부여하고 보드의 부품 위치를 기록한 기판의 패턴을 만듭니다. 패턴은 2개의 ASCII 파일인 거버 파일과 드릴 파일로 추진됩니다. 거버 파일은 기판을 도형으로 나타내고 드릴 파일은 기판 구멍의 위치를 나타내는 것. PCB 제조업체는 이 두 파일을 바탕으로 기판을 제조합니다. 즉, 인쇄회로 기판을 해킹하려면 '회로도', '패턴', '거버 파일과 드릴 파일'중 하나를 조작할 필요가 있다는 것입니다.

설계도, 패턴, 거버 파일과 드릴 파일의 3가지의 단계 중 변조 탐지가 어려운 것이 설계도와 거버 파일과 드릴 파일의 2가지 단계라고 IEEE Spectrum은 설명합니다. 회로도는 설계자의 의도를 가장 정확하게 반영하고 있다고 생각할 수 있으므로 다른 무언가를 참조하여 공격을 알아내기가 어렵다는 것. 또한 거버 파일과 드릴 파일은 ASCII 형식의 파일이며, 암호화를 통한 보호 기능이 없어 인간도 해독이 가능합니다. 거버 파일은 업계 표준을 기반으로 하고 있으므로, 변조에 대한 지식을 얻는 것은 비교적 간단합니다.

이 중 하나의 설계 단계에서 조작에 성공한 공격자는 생산 공정, 수리 공정, 수송 공정의 어딘가에서 부품을 회로에 삽입해야 합니다. 생산 공정은 공급망 자체의 변경을 필요로 해서 어렵지만, 수작업을 필요로 하는 수리 공정은 부품의 추가를 쉽게 할 수 있습니다. 창고 등에 보관되어있는 기판에 직접 수작업으로 부품을 장착하는 것도 가능하다고 합니다.

IEEE Spectrum은 만일 공격자가 인쇄회로 기판의 해킹에 성공했을 경우에 전개되는 공격 내용도 설명하고 있습니다. 첫 번째는 SMBus에 액세스하여 공격합니다. SMBus는 메인보드의 전압과 클럭 주파수를 제어하는 칩으로 암호화가 수행되지 않습니다. 전원 컨트롤러 등을 추가하여 SMBus에 대한 접근에 성공한다면, 전압을 변경하여 부품을 손상시키거나 CPU와 보드의 센서 간의 통신을 방해할 수 있다고 합니다.

두 번째는 SPI 버스에 액세스하여 공격합니다. SPI 버스는 BIOS 등의 중요한 코드가 액세스에 이용하는 버스로, SPI 플래시메모리를 추가하여 SPI 버스에 액세스하여 BIOS를 통해 하드웨어 구성을 변경하거나 악의적인 코드를 실행할 수 있다고 합니다.

세 번째는 LPC 버스에 액세스하여 공격합니다. LPC는 전원 및 기타 중요한 제어 기능에 액세스할 수 있는 버스로, 공격자에게는 매력적인 버스. LPC 버스는 시스템관리 컨트롤러 BMC와 연결되어 있는 경우가 많으며, BMC를 통해 컴퓨터에 대한 원격 액세스를 가능하게 하거나 BMC를 통해 SPI 버스에 액세스하여 BIOS에 패치를 적용하는 게 가능하다고 IEEE Spectrum는 설명합니다.

이러한 기판의 해킹을 방지하기 위해 광학 검사 및 인공지능 등을 이용하는 경우도 있고, 직접 확인도 가능합니다. 참조 번호의 유무, 부품의 참조 번호와 회로도, 패턴, BOM에 나와 있는 참조 번호와 일관성, 부품의 형상, 기판상에 구현되지 않은 부품을 확인하여 해킹을 감지할 수 있습니다.

최근의 메인보드는 수천 가지의 부품을 탑재하고 있어서 악용될 가능성이 매우 높다고 IEEE Spectrum은 주장하고 있습니다. 그러나 악성코드와 마찬가지로, 문제에 대한 감도를 높여 계획적으로 감시하면 공격을 방지할 수 있다고 말합니다.

'포켓몬GO(Pokémon GO)' 등의 인기 앱의 공략법을 설명하는 가이드 앱에서 잘못된 광고 표시를 하거나 단말기를 장악할 수 있는 악성코드 'FalseGuide'가 탑재되어 있었던 것이 밝혀졌습니다. 이 FalseGuide가 탑재된 앱은 Google Play 스토어에서 다운로드된 것으로, 피해자는 200만 명에 이를 것으로 보여지고 있습니다.

FalseGuide misleads users on GooglePlay | Check Point Blog
http://blog.checkpoint.com/2017/04/24/falaseguide-misleads-users-googleplay/

Beware! New Android Malware Infected 2 Million Google Play Store Users
http://thehackernews.com/2017/04/android-malware-playstore.html

보안업체 Check Point의 연구원이 Google Play 스토어에 등록된 40개 이상의 가이드 앱에 악성코드 FalseGuide가 탑재되어 있는 것을 발견했습니다. 60만대의 단말기에 다운로드 된 것으로 추산되었는데, Check Point의 후속 조사를 통해 가장 오래된 것은 2016년 11월에 Google Play 스토어에 등록된 것으로 2017년 4월까지 약 5개월간 색출되지 않고 다운로드가 가능한 상태로 등록되어 있었으며, 200만 명 이상이 피해를 당한 것으로 밝혀졌습니다.

FalseGuide가 포함된 앱은 설치할 때 관리자 권한을 요구하며, 이에 동의하면 앱을 사용자가 삭제하지 못하도록 합니다. 그 후 악성코드는 앱 개발자가 메시지를 보낼 수 있는 크로스플랫폼 서비스 'Firebase Cloud Messaging'에 단말기를 등록. 공격자가 단말기에 링크된 메시지를 보내 설치하고 악성 팝업 광고를 표시하여 광고 수익을 창출하는 구조입니다.

현재 발견된 피해는 악성 팝업 광고를 표시하는 데 그치고 있지만, FalseGuide은 기술적으로 감염된 단말기로 봇넷을 짜거나 터미널을 완전히 장악하거나 개인 네트워크에 침입할 수 있다고 Check Point는 경고하고 있습니다.

Check Point에 따르면, FalseGuide이 포함된 첫 번째 앱은 Sergei Vernik와 Nikolai Zalupkin라는 러시아인의 이름으로 등록된 것으로, 지금까지 확인된 FalseGuide 탑재 앱의 많은 수가 러시아어 이름의 앱이지만, 그중에는 'Guide or FIFA Mobile', 'Guide for LEGO City My City', 'Guide for Pokemon GO', 'Guide For FIFA 17' 등의 영어 제목도 있으며, 그중에는 'Guide for Shadow fight 3 and 2'와 같이 최대 50만 번 이상 다운로드 된 인기 가이드 앱도 있다고 합니다.

Check Point는 FalseGuide의 존재를 Google에 통지하고, 통지 후 즉시 해당 앱은 Google Play 스토어에서 삭제되었다고 합니다. 그러나 앱이 Google Play 스토어에서 삭제되었다 하더라도, 이미 사용자 단말기에 설치된 앱에 의한 피해는 계속될 것으로 생각됩니다.

Check Point는 FalseGuide이 가이드 앱을 대상으로 악성코드를 유포한 이유에 대해 "앱이 인기가 있기 때문"이라고 추측하고 있습니다. 또한, 주요 앱 업체와 달리 가이드 앱은 소규모의 개발자여도 개발이 가능하며, 사용자가 앱의 선택을 잘못하기 쉬운 측면일지도 모릅니다.

Google은 2020년 8월 31일(월)에 발표한 업데이트에 따르면, Google 이미지 검색에서 손쉽게 무료로 사용할 수 있는 이미지와 상업적 사용이 가능한 이미지를 찾을 수 있게 되었습니다. 찾는 이미지의 이용약관도 쉽게 접근할 수 있도록 되어 있습니다.

Learn how to find image licensing information on Google Images
https://blog.google/products/search/learn-how-find-image-licensing-information-google-images/

먼저 Google 이미지 검색하고 단어를 입력하고 엔터 키를 누릅니다.

이미지가 대량으로 표시되지만, 무료로 사용해도 좋은 로열티 무료 이미지와 전재 불가 유료 이미지가 혼합되어 있는 상태입니다. 이미지를 좁히려면 '도구'를 클릭.

'라이센스'를 클릭하면 'Creative Commons 라이센스'와 '상업 및 기타 라이센스'가 표시됩니다. 무료로 사용할 이미지만 표시하려면 크리에이티브 커먼즈 라이센스를 선택하십시오.

그러면 무료로 사용할 수 있는 이미지 목록이 쭉 표시됩니다. '사용 시 저작권자의 표시가 필요', '비영리 목적으로만 이용 제한', '수정 불가' 등의 자세한 사항은 각 웹사이트의 이용약관을 참조할 필요가 있으므로 주의.

'상업 및 기타 라이센스'는 주로 유료로 사용할 이미지와 라이센스가 필요한 이미지 등이 표시됩니다.

각 이미지의 상세한 이용약관을 확인하려면 이미지 왼쪽 하단에 표시된 '라이센스 가능' 배지를 클릭하여 '인증 정보'를 클릭. 각 웹사이트의 이용약관 페이지에 즉시 액세스할 수 있게 되어 있습니다.

다른 사람이나 자신의 IP주소 또는 수신된 메일이 어느 나라에서 보내져 온 것일까...
방법은 그다지 어렵지 않습니다.

웹사이트의 IP주소

1)
Windows에서 '시작'→ '모든 프로그램'→ '보조 프로그램'을 클릭하여 '명령 프롬프트'를 선택합니다. 명령 프롬프트에서 웹사이트에 ping을 보내면, 그 웹사이트의 IP주소를 확인할 수 있습니다.

2)
상대방의 URL로 신호(ping)를 보내면, 돌아오는 신호에서 웹사이트의 정보 및 ping의 응답시간을 알 수 있습니다.
명령 콘솔에 'ping [URL]'을 입력합니다.　
(예) : ping www.facebook.com

3)
웹사이트의 이름 옆에 IP주소가 표시됩니다. 이어 ping이 응답하는 데 걸린 시간이 초 또는 밀리 초 단위로 표시됩니다.

IP주소는 점으로 4개로 구분된 숫자로 구성되어 있습니다. 예를 들어, Facebook의 IP주소는 '31.13.91.36'입니다.

메일의 IP주소

1)
메일의 송신지 IP주소를 알기 위해서는, 메시지 헤더를 확인합니다.

2)
메시지를 엽니다. '보기' 메뉴에서 헤더를 표시하는 옵션을 선택합니다. 그러면 받는 사람/보낸 사람의 입력란에 헤더 정보가 표시됩니다.

Mac에서는 'View'→ '메시지'→ '전체 헤더보기'를 선택합니다.
Windows (Outlook)에서는 '대화 상자 시작 관리자'를 클릭합니다. '메시지 옵션'의 대화 상자(속성)의 '인터넷 헤더'에 헤더가 표시됩니다.

 
3)
'Received'이라는 필드 옆에 'from ...'라고 있는데, 그 안에 IP주소가 표시됩니다. 표시되는 IP주소 중 하나를 선택하고 복사하여 클립보드에 붙여넣습니다. 여기에서는 '66.220.155.163'를 선택하여 복사합니다. 헤더에는 메시지가 'mx-out.facebook.com'으로부터 보내졌다고 쓰여져 있습니다. 그러면 그것이 사실인지 아닌지 검증해 봅시다.
명령 콘솔을 열어, 여기에서는 ping을 기존의 웹사이트 주소에 보내는 대신 whois로 검색합니다.

4)
명령 콘솔 화면에서 whois 66.220.155.163를 입력하고 'Enter'키를 누릅니다. 입력한 IP주소가 데이터베이스에 보내져 조회를 거쳐 그 IP주소에 대한 등록 정보가 돌아옵니다.
이 경우에는 해당 메시지가 Facebook의 서버로부터 보내져 온 것임을 확인할 수 있습니다. 도메인 이름, 등록 기관의 주소도 확인할 수 있습니다.

대체 방법으로 ip-lookup 같은 IP주소 검색사이트를 이용하면 좋을 것입니다. 이 사이트에서는 whois 검색과 동등하거나 그 이상의 정보를 얻을 수 있습니다.

trace root의 실행

명령 콘솔을 열어 tracert <IP주소>를 입력합니다. trace root을 실행하면 상대의 IP주소까지의 경로 정보를 얻을 수 있습니다.

포인트

현실 세계에서는 영화와 같은 수는 없습니다. 메일을 보낸 사람이 누구인지를 찾으려면 상당한 노력이 필요할 것입니다.

주의사항

IP주소를 파악하는 것은 매우 간단합니다. 익명성을 유지하기 위해 이메일 주소를 위장하는 등 극단적인 조처를 하는 사람도 있습니다.

스마트폰의 매입 대리점인 CompareMyMobile이 데이트(매칭) 앱과 스마트폰의 기종에 관한 조사를 실시하여, 'iPhone 유저는 데이트 앱에서 76%도 매력도가 늘어난다'는 결과를 발표했습니다.

Tech me out | CompareMyMobile
https://www.comparemymobile.com/features/tech-me-out/

An iPhone makes you 76% more attractive on dating apps | Appleinsider
https://appleinsider.com/articles/20/08/28/an-iphone-makes-you-76-more-attractive-on-dating-apps

최근에는 데이트 앱 이용률이 증가하고 있을 뿐만 아니라, 코로나19의 유행에 따라 이용자 수와 활용도가 증가하고 있다는 보고도 있습니다. 이용자가 급증 중인 데이트 앱에서 마음에 드는 사람과 일치하는 것은 점점 어려워지고 있다고 합니다. 이용자는 자신의 프로필과 사진을 이성의 눈에 매력적으로 비치게 노력을 하고 있습니다만, 그것만이 아니라 '사용하고 있는 휴대전화'까지 신경을 써야 할 수도 있습니다.

CompareMyMobile의 조사에 따르면, 밀레니엄 세대 젊은이는 상대가 어떤 차를 타고 다니는지보다 상대가 어느 메이커의 스마트폰을 사용하고 있는지에 더 관심을 가진다고 합니다.

다음의 그래프는 '사용하고 있는 단말기에 따른 데이트 앱에서의 매칭율 변화'를 보여줍니다. Apple 제품은 일제히 매칭율이 상승하였고, 특히 iPhone 사용자는 평균보다 76%나 매칭율이 상승했습니다. 한편, Google(10%), 소니(14%), Huawei(23%), OnePlus(30%), BlackBerry(74%) 등 업체의 단말기를 사용하는 사용자는 매칭율이 감소한다고 합니다.

연령 및 성별에 따라 어느 정도 '상대가 어느 제조업체의 가젯을 사용하고 있는지를 신경쓰는가?를 정리한 것이 다음의 그래프. 왼쪽이 '남성이 상대가 사용하는 가젯에 영향을 받는 비율', 오른쪽이 '여성이 상대가 사용하는 가젯에 영향을 받는 비율' 세로는 연령층을 나타냅니다. 놀랍게도 상대가 사용하는 기기 제조업체에 영향을 받는 비율은 압도적으로 여성이 높고, 남성은 여성만큼 상대가 사용하는 가젯 업체에 구애되지 않는다는 결과가 나왔습니다. 특히 26세 이상의 남성에서는 상대가 사용하는 기기 제조업체에 영향을 받는 비율이 10% 미만으로 매우 낮습니다.

또한, 도시별로 보면 미국 뉴욕과 영국 런던, 미국 샌프란시스코, 미국 로스앤젤레스, 캐나다 밴쿠버, 영국 맨체스터 같은 도시 사람들이 특히 상대가 사용하는 업체에 영향을 받는 것으로 나타났습니다. 흥미로운 것은 도시별로 특히 매력적인 가젯이 다른 점으로, 뉴욕에서는 Apple의 EarPods, 런던과 로스앤젤레스, 밴쿠버에서는 iPhone 11, 샌프란시스코와 맨체스터에서는 Apple Watch가 가장 인기 있는 가젯이라고 합니다.

온라인 화상회의 서비스 Zoom가 Windows 클라이언트를 삭제할 때 브라우저의 Cookie를 읽거나 저장한다고 사이버보안 기업인 ThreatSpike가 보고했습니다. 조작된 Cookie의 유효기간은 10년으로 설정되어 있으며, EU가 인터넷상의 개인정보보호를 규율하는 ePrivacy 지침에 위배된다고 지적하고 있습니다.

ThreatSpike Blog : Zoom still do not understand GDPR
https://www.threatspike.com/blog/zoom_cookies.html

신종 코로나바이러스 감염의 유행에 따른 온라인 화상회의 서비스의 수요 증가에 따라 Zoom은 2021년 회계 연도 1분기에서 전년 대비 대폭적인 수익 증가를 달성했습니다. 한편, Zoom은 보안 및 개인정보에 관한 다양한 문제를 안고 있어, Google 및 SpaceX는 사내에서의 Zoom 사용을 금지하는 조치를 취하고 있습니다.

ThreatSpike는 Windows용 Zoom 클라이언트가 제거될 때 Google Chrome의 Cookie에 액세스하는 것을 감지했기 때문에, Zoom 클라이언트가 제거될 때 수행하는 작업에 대해 조사를 실시했습니다. ThreatSpike는 먼저 Windows에서 Chrome에 저장된 Cookie를 삭제한 후, Zoom 클라이언트를 설치. Chrome에서 Zoom의 홈페이지인 'https://zoom.us/'를 포함한 일부 웹사이트에 액세스하여 각각의 Cookie를 받는 작업을 했습니다.

그 후, Zoom 클라이언트를 제거 시의 동작을 관찰하면, Chrome에 저장된 Cookie의 내용이 로드되는 것을 발견. Zoom 클라이언트는 Zoom 웹사이트가 저장된 Cookie뿐만 아니라 다른 웹사이트의 Cookie까지 읽고 있었습니다. ThreatSpike은 이런 Zoom 클라이언트의 움직임에 대해 'Zoom의 웹사이트가 저장된 Cookie를 찾기 위한 검색 조작'이라고 결론을 내렸습니다.

또한 Zoom 클라이언트는 Cookie의 읽기뿐만 아니라 쓰기까지 하고 있던 것도 밝혀져. 작성된 일부 Cookie 중에서도 특히 'zm_everlogin_type'라는 Cookie의 유효기간이 10년으로 설정되어 있었습니다. everlogin라는 명칭에서 ThreatSpike는 Cookie의 사용목적을 '사용자가 Zoom에 로그인한 적이 있는지를 판별하기 위한 것'이라고 추측하는 동시에, Zoom을 제거하는 사용자에 대한 '로그인의 유무'에 대한 정보를 10년간 유지시키는 것은 Cookie의 저장 기간을 12개월까지로 정하는 ePrivacy 지침을 위반하고 있다고 지적하고 있습니다.

인터넷상에서 사용자의 활동을 추적하는 것 자체는 문제가 없지만, ePrivacy 지침과 EU 일반데이터 보호규칙(GDPR)을 존중하고, 인터넷에서 공정한 경험을 제공하는 것이 기업의 책임이라고 ThreatSpike는 말합니다.

모바일분석 기업인 Opensignal가 이미 5G서비스를 시작한 호주, 미국, 한국 등의 5G 네트워크 품질을 벤치마킹한 결과를 발표하고 있습니다.

Benchmarking the global 5G user experience | Opensignal
https://www.opensignal.com/2020/08/26/benchmarking-the-global-5g-user-experience

Opensignal는 5G 네트워크 속도를 측정하기 위해 독자적인 회선 측정 도구 'Download Speed Experience - 5G Users'를 개발하여, 5G 네트워크에서 다운로드 속도를 측정하고, 국가별로 평균 속도를 산출하였습니다. 국가별로 비교하고 고품질 5G 네트워크를 제공하는 국가와 4G 네트워크의 평균 다운로드 속도와 비교하여 '정말 빠른 모바일통신을 실현하고 있는 나라'를 밝혀내고 있습니다.

아래의 그래프는 이미 5G 서비스를 시작하고 있는 나라의 5G와 4G를 합한 평균 다운로드 속도를 보여줍니다. 가장 빠른 통신서비스를 제공하고 있는 사우디아라비아(144.5Mbps)부터 캐나다(90.4Mbps), 한국(75.6Mbps), 대만(71.5Mbps), 네덜란드(68.9Mbps), 스위스(56.4Mbps) 호주(48.7Mbps), 홍콩(48.2Mbps), 독일(44.7Mbps), 쿠웨이트(43.6Mbps), 미국(33.4Mbps), 영국(32.6Mbps)의 순입니다. 생각보다 통신속도가 빠르지 않은 이유로는 4G 통신속도를 포함한 평균값이기 때문입니다. 이 중 5G 채용 비율이 가장 높은 곳은 한국입니다.

국가별로 5G의 평균 다운로드 속도와 4G의 평균 다운로드 속도를 비교한 것이 아래의 그래프. 5G의 평균 다운로드 속도가 가장 빠른 국가는 사우디아라비아(414.2Mbps)로 차순위는 한국(312.7Mbps). 5G의 평균 다운로드 속도가 100Mbps를 밑도는 미국(50.9Mbps)와 네덜란드(79.2Mbps) 뿐. 미국의 밀리미터파(mmWave)을 이용한 버라이즌의 5G 서비스 평균 다운로드 속도는 494.7Mbps로 어느 나라의 5G 서비스보다 빠르지만, 미국에서는 중간 대역의 주파수 대역이 매우 제한되어 있으며, T- Mobile의 600MHz 대역과 AT&T의 850MHz 대역과 같은 낮은 대역의 주파수 대역이 매우 인기이기 때문에 속도가 매우 저하되어 있다고 합니다.

국가별 5G 및 4G의 가용성을 나타낸 것이 아래의 그래프. 5G는 2019년부터 시작한 서비스이며, 각국에서 서비스가 시작한지 ​​얼마 안되었기때문에 가용성이 낮은 것은 어쩔 수 없어 보입니다. 5G의 가용성이 20%를 초과하고 있는 나라로는 사우디아라비아, 쿠웨이트, 홍콩, 한국이 있으며, 이들 국가와 지역에서만 모바일 통신의 5분의 1 이상의 시간을 5G 네트워크로 이용이 가능합니다.

북한의 해커가 미국에서 2개의 가상화폐 거래소 및 여러 기업을 해킹하여 수억 원 상당의 가상통화를 훔친 것으로 밝혀졌습니다. 해커들은 중국인 트레이더와의 가상통화 거래를 통해 자금의 돈세탁을 한 것으로 보고되고 있습니다.

United States Files Complaint to Forfeit 280 Cryptocurrency Accounts Tied to Hacks of Two Exchanges by North Korean Actors | OPA | Department of Justice
https://www.justice.gov/opa/pr/united-states-files-complaint-forfeit-280-cryptocurrency-accounts-tied-hacks-two-exchanges

U.S. seeks to seize 280 cryptocurrency accounts tied to North Korean hacks - Reuters
https://www.reuters.com/article/us-usa-northkorea-crypto-idUSKBN25N39F

북한 해커들에 의해 가상화폐 거래소가 해킹된 것은 2019년 7월의 일로, 해커는 Proton Token, IHT Real Estate Protocol 등 27만 2000달러(약 3억 원) 상당의 가상통화를 횡령. 또한 2019년 9월에는 미국을 거점으로 하는 복수의 기업이 같은 해커에 의해 해킹되었습니다. 북한의 해커는 기업 및 파트너 기업이 소유하는 가상통화를 250만 달러(약 27억 원) 가량을 훔친 것으로 보고되고 있습니다.

사건은 미 국세청(IRS) 및 미국 국토안보부, FBI의 수사에 의해 밝혀졌습니다. 훔친 돈은 중국인 트레이더의 손에 의해 가상화폐 거래소에서 약 100개 이상의 계정을 사용하여 수개월에 걸쳐 돈세탁되고 있었다고 합니다. 또한 자금 이동을 위해 사용된 경로와 계정에는 북한과 강한 관련이 있다고 보고되고 있습니다.

사법부국가안보국의 법무장관 보좌관인 존 C · 데마즈 씨는 "북한이 파탄난 경제 · 정치체제의 자금원으로, 국제 금융시장에서 자금을 약탈하는 행위를 멈추는 일은 없을 것입니다"라고 말합니다.

또한, 사법형사부 브라이언 C 라빗 사법부장관 대리는 "이번 사건은 북한의 해킹 계획과 중국의 가상통화 돈세탁 네트워크와의 관계를 분명히 하고 있습니다. 우리는 북한 사이버 공격자에 의한 범죄 네트워크를 파헤치고, 부정하게 얻은 이익을 추적 · 압수하여 위협에 대응하기 위한 지속적인 노력을 강화하고 있습니다"라고 말합니다.

유엔 안전보장이사회의 조사에 따르면 2019년 현재, 북한은 대량살상무기에 개발자금 확보를 위하여, 사이버 공격을 이용하여 은행이나 가상화폐 거래소에서 정보를 훔쳐, 20억 달러(약 2조 2천억 원) 가랑을 얻고 있었다고 보고되어 있습니다. 북한 당국은 유엔의 주장을 부정하고 "북한의 이미지를 해치지 위한 조작이다"라고 주장하고 있습니다.

'동영상을 본다면?'이라고 묻는다면, 'YouTube'라고 대답하는 사람이 압도적으로 많을 것입니다.

그러나 그런 YouTube를 잡을 기세로, 인기를 끌고 있는 SNS 동영상 앱이 'TikTok'입니다

TikTok는 짧은 동영상을 게시하고 공유하는 앱으로, 업로드에 필요한 동영상의 길이는 15초에서 1분으로 진입장벽이 낮고, 가공 및 편집 기능이 다양하게 준비되어 있는 것이 매력입니다.

1. 음악이 흐르는 동영상

TikTok의 동영상 게시물은 앱 내에서 제공하는 음악을 사용할 수 있습니다. 음악에 맞춰 춤을 추는 동영상을 게시하거나 여행 및 이벤트를 정리한 사진을 음악에 실어 게시할 수 있습니다.

2. 동영상 편집이 재미있다

일반적으로 동영상을 편집하려면 전용 소프트웨어와 앱이 필요하지만, TikTok은 누구나 쉽게 동영상 편집을 할 수 있습니다.

- 배속에서 촬영
- 역으로 재생
- 얼굴이나 피부에 효과를 추가
...

수익화 프로그램이 없다

많은 사용자를 확보하는 데 성공한 TikTok에는 수익을 창출하는 비즈니스 모델이 없습니다.

YouTuber가 들으면 깜짝 놀랄 이야기입니다만,
다른 동영상 사이트에서 흔히 볼 수 있는 수익화가 현재는 존재하지 않습니다.

그러나 가능한 수익화 방법에는 여러가지가 있습니다.

1. 광고 모델

- 자사 제품 및 서비스 소개
- 이벤트 공지
- 캠페인 고지

메인 유저가 명확하고 1일 동영상 재생 횟수가 많아 광고를 전개하기에 적합합니다.

TikTok의 액티브 사용자(실제로 이용한 사용자)가 1억 명이 넘는다고 합니다. 고객 유치 및 구매의 기회가 더욱 늘어날 것은 틀림없습니다.

2. 영향력

기업의 상품을 간접적으로 소개하여 수익을 얻을 수 있으며, 후원 시스템을 도입하면 직접 사용자로부터 수익을 얻을 수 있습니다.

원격으로 컴퓨터에 액세스하기 위한 프로토콜인 SSH는 컴퓨터의 인증을 위해 공개키 암호화를 사용하고 있습니다. 공개키 암호화 방식인 RSA, DSA, ECDSA, EdDSA의 각각의 구조와 'SSH에 적합한 방식'에 대해 소프트웨어 기업 Gravitational의 Virag Mody 씨가 해설합니다.

Comparing SSH Encryption Algorithms - RSA, DSA, ECDSA, or EdDSA?
https://gravitational.com/blog/comparing-ssh-keys/

공개키 암호화는 암호화와 복호화에 다른 키를 사용하는 암호화 방식. 예를 들어, 밥과 앨리스가 통신을 할 때, 앨리스는 비밀 키와 공개키를 생성하고 공개키를 밥에 전달해야 합니다. 밥은 앨리스의 공개키로 메시지를 암호화하고 앨리스에게 보냅니다. 암호화된 메시지를 받은 앨리스는 자신의 비밀키로 메시지를 해독합니다. 공개키에서 비밀키를 만들 수 없으므로, 앨리스의 공개키로 암호화된 메시지를 읽을 수 있는 것은, 대응되는 비밀키를 가진 앨리스뿐. SSH는 이 구조를 이용하여 컴퓨터 간의 인증을 실시하고 있습니다.

공개키 암호화에는 RSA, DSA, ECDSA, EdDSA 등이 있고 각각 암호화 방식이 다릅니다.

◆ RSA
RSA는 1977년에 등장한 공개키 암호화 방식으로, 자릿수가 큰 반소수의 소인수분해가 매우 어렵다는 성질을 이용하고 있다고 Mody 씨는 설명합니다. 구체적으로는 자릿수가 큰 두 소수 'p'와 'q'의 곱인 'n'만 주어졌을 때, n을 p와 q로 소인수분해할 수 있는 것은 처음부터 p와 q라는 답을 알고 있는 사람 이외에는 있을 수 없다는 것. p와 q를 비밀 키의 요소로, n을 공개키의 요소로 이용하여 비밀 키에서 공개키를 이끌어낼 수는 있어도, 공개키로부터 비밀키를 이끌낼 수 없다는 암호가 완성되는 구조입니다.

◆ DSA
DSA는 이산대수 문제의 난해성에 근거한 암호. DSA의 중요한 포인트는 난수 'm'을 이용하여 비밀키 'k'와 함께 메시지에 서명하는 점이라는 것. m은 은닉해야 합니다.

◆ ECDSA와 EdDSA
ECDSA와 EdDSA는 DSA와 마찬가지로 이산대수 문제의 난해성을 이용한 암호화이지만, ECDSA와 EdDSA는 타원곡선 암호와 에드워즈 곡선을 이용하여 공개키의 크기를 줄일 수 있다고 합니다.

Mody 씨는 각각의 암호 방식에 대해서는 아래의 평가 기준으로 'SSH 공개키 암호화에 적합한 지 여부'를 평가하고 있습니다.

· 구현 : 기술자가 취급가능한 라이브러리가 풍부한 지 여부
· 호환성 : SSH 클라이언트가 암호화를 지원하고 있는가
· 성능 : 키 생성에 얼마나 시간이 걸리나
· 보안 : 공개키로 비밀키를 생성할 수 있는가

RSA는 오랜 역사를 가지고 있기 때문에 JavaScript나 Python, Go 등의 주요 프로그래밍 언어로 라이브러리에 포함되어 있습니다. OpenSSH의 호환성은, 해시 함수 SHA-1을 이용한 키 및 공개키의 키 길이가 2048bit 미만인 키를 사용할 수 없지만, 최신 OpenSSL에서 생성할 수 있는 기본 키 길이가 2048bit라는 것을 생각하면 호환성은 높은 편이라고 말할 수 있을 것입니다. 그러나 컴퓨터의 계산 성능 향상과 함께 보안 확보에 필요한 키 길이도 증가하고 있어, 성능면에서는 평가되지 않고 있습니다. 또한 특정 정수를 소인수분해하는 알고리즘도 존재한다고 합니다.

DSA는 1994년에 등장한 암호화 방식으로, RSA와 같이 라이브러리는 충실하다고 합니다. 그러나 DSA의 보안은 완벽하지 않습니다. DSA는 난수 m을 키 생성에서의 일회용으로 사용하는 nonce값으로 사용하지만, DSA는 이 m을 은닉할 필요가 있어서, 일회용이어야 할 nonce값이 특성상 키와 유사해진다고 합니다. 한편, 완전한 난수를 생성하는 것은 어렵고, 프로그램의 구현 실수로 일정한 법칙의 값을 m로 사용해버릴 수도 있어서, m의 분석을 통해 암호화가 돌파되어 버리는 일도 있습니다. 이 때문에 DSA는 OpenSSH 7.0에서 기본적으로 비활성화되어 있습니다

ECDSA는 DSA보다 키 길이는 작지만 보안이 향상된 것은 아니라고 합니다. ECDSA 대해 EdDSA는 nonce값을 난수 생성하는 것이 아니라, 충돌에 대한 강도를 높이기 위한 해시로 생성한다고 합니다. EdDSA는 비교적 새로운 암호화이기 때문에 RSA와 DSA에 비해 구현과 호환성면에서는 떨어지지만, 높은 성능과 보안을 가지고 있으며, 공개키 기반 산업은 점차 EdDSA로 이행하고 있다고 Mody 씨는 지적합니다.

Mody 씨는 마지막으로, 구현과 호환성을 중시하는 경우에는 공개키의 키 길이가 2048bit 또는 4096bit의 RSA를, 성능과 보안을 중시하는 경우에는 EdDSA를 권장하고 있습니다. DSA나 ECDSA는 사용하지 않도록 권고하고 있습니다.

이미지 파일로 위장하여 HDD(하드디스크)를 포맷하려고 시도하는 트로이목마가 12월 30일 인터넷에서 화제가 되고 있다. jpg, bmp 등의 이미지 확장자를 가진 파일이지만, JavaScript가 포함되어 있어 Internet Expolrer (IE)로 액세스하면 다수의 윈도우를 열어 HDD를 포맷하는 프로그램을 내려받으려고 한다.

인터넷에 게시된 정보에 따르면, 이미지 파일의 URL을 열면 다수의 창을 열어 사용자의 작업을 방해하는 이른바 브라우저 크래셔로 동작하는 것 외에 메일 클라이언트를 실행하거나 사용자의 HDD 디스크를 포맷하는 실행 파일을 다운로드하려고 한다.

Internet Explorer는 기본적으로 파일 확장명이 아닌 내용으로 파일 유형을 판단하여 실행하기 때문에, 이미지 파일에 스크립트를 삽입하는 공격은 이전부터 보고되고 있었다. 이미지 파일뿐만 아니라 텍스트 파일 등 다른 파일형식으로 위장하는 경우도 있다. Internet Explorer뿐만 아니라 Sleipnir와 Lunascape 같이 Internet Explorer의 엔진을 사용하고 있는 브라우저 및 응용프로그램에서는 위와 같은 트로이목마가 실행될 가능성이 있다 (Sleipnir와 Lunascape는 Internet Explorer의 엔진 외에 Gecko 엔진도 선택할 수 있다).

IE의 '파일 확장명이 아닌 내용을 기반으로 파일 열기' 설정은 인터넷 옵션의 보안 설정에서 해제할 수 있다. 그리고 당연하지만, 의심스러운 URL의 클릭은 주의해야 한다.

이번 트로이 목마에 대한 정보를 정리한 Wiki사이트(http://www13.atwiki.jp/burakura_hdd/)가 개설되어 있다. 유용한 정보가 전해지고 있지만, 누구나 쓸 수 있는 Wiki사이트이기 때문에 악의적 글이나 링크가 게시될 가능성도 있다. 안전을 위해 '파일 확장명이 아닌 내용을 기반으로 파일 열기' 설정을 해제하거나 Internet Explorer와 그 엔진을 이용한 브라우저 이외의 웹브라우저로 액세스 할 것을 권장한다.

출처 참조 번역
画像ファイルに偽装した，HDDをフォーマットしようとするトロイの木馬がネットで話題に
https://xtech.nikkei.com/it/article/NEWS/20071231/290405/

Android 앱은 일반적으로 Google Play에서 구할 수 있지만, 만일에 대비하여 설치하는 동안 앱 파일(apk파일)을 백업해두면 안심됩니다.

Android에서 apk파일을 백업해 두는 장점은 크게 두 가지가 있습니다.

- 앱 업데이트 후에도 apk로 다운그레이드 할 수 있다
- 사전 설치된 앱을 삭제해도 apk로 다시 설치할 수 있다

전용 앱으로 설치중인 apk를 추출하는 방법

'Apk Extractor'라는 앱을 사용하면 Android에 설치중인 앱 apk를 추출하여 내부 스토리지의 지정 폴더에 저장할 수 있습니다.

Apk Extractor
https://play.google.com/store/apps/details?id=com.ext.ui

1) Apk Extractor를 실행하면 Android에 설치중인 앱 목록이 표시됩니다.
앱 이름을 검색하면 빨리 찾을 수 있습니다.
2) 원하는 앱을 탭하면 내부 스토리지의 'ExtractedApks' 폴더에 apk파일이 저장됩니다.
파일관리 앱으로 확인되면 OK입니다.

adb코멘드로 설치중인 apk를 추출하는 방법

adb코멘드 환경을 갖춘 PC가 있다면, Android에 설치중인 앱의 apk를 추출하여 그대로 컴퓨터에 저장할 수 있습니다.

보안 문제에 대한 우려로 타사 앱을 사용하고 싶지 않은 분들에게 추천합니다.

이 방법은 사전에 2가지의 준비가 필요합니다.

- PC에서 adb코멘드을 사용할 수 있다
- Android에서 'USB 디버깅'을 활성화한다

스마트폰을 PC와 연결 후, adb코멘드로 apk를
추출합니다.

추출한 apk를 설치하는 방법

Android에서 '알 수 없는 소스의 앱'을 허용하여 추출한 apk를 다시 설치할 수 있습니다.

Google Play에는 수많은 앱이 배포되어 있지만 자주 업데이트되거나 배포가 중지될 수도 있으므로 사전에 apk로 추출 · 저장하는 것이 유용합니다.

apk파일이란?

Android용 앱을 구성하는 패키지. 파일 확장자는 '.apk'로, Android에 넣어 apk가 만드는 앱을 설치할 수 있습니다.

apk를 추출하기

APK Downloader
https://apps.evozi.com/apk-downloader/

Google Play 스토어 앱에서 직접 apk파일을 다운로드할 수 있는 사이트입니다.
이 사이트를 사용하면 간단하게 apk를 추출할 수 있습니다.

1) 사이트에 액세스
2) 대상 앱의 Google Play URL을 입력
* URL 대신 앱의 '패키지 이름'을 입력하여도 OK입니다.
3) 추출한 apk를 다운로드

PC에서의 작업을 권장하지만, Android에서도 OK로 모든 과정은 동일합니다.

추출한 apk파일을 사용하여 앱의 다운그레이드와 호환되지 않는 앱의 설치가 가능합니다.

추출한 apk를 설치하는 방법

Android에서 '알 수 없는 소스의 앱'을 허용하여 추출한 apk로 (Google Play를 통하지 않고) 앱의 설치가 가능합니다.

단말기에 설치된 앱의 apk를 추출하는 방법

이미 Android에 설치된 앱의 apk도 2가지 방법으로 추출할 수 있습니다.

- Android의 전용 앱으로 추출
- adb코멘드로 PC에서 추출

전용 앱으로 추출이라면 'Apk Extractor'라는 앱이 추천합니다.

Apk Extractor
https://play.google.com/store/apps/details?id=com.ext.ui

adb코멘드로 PC에서 추출이라면 컴퓨터에 adb코멘드 환경이 필요합니다.

Wikipedia의 관리자 중 1명인 AmaryllisGardener(아마릴리스의 정원사)라는 인물은 '스코틀랜드어를 구사하지 못하면서도 스코틀랜드판 Wikipedia에서 2만 3,000건 이상의 기사를 혼자서 쓰고, 게시된 20만 건 이상의 기사를 편집했습니다. AmaryllisGardener 씨가 관련된 거의 모든 기사가 스코틀랜드와 영어가 섞인 투박한 문장임이 밝혀져 큰 문제가 되고 있습니다.

Most of Scottish Wikipedia Written By American in Mangled English
https://www.vice.com/en_us/article/wxqy8x/most-of-scottish-wikipedia-written-by-american-in-mangled-english

Shock an aw: US teenager wrote huge slice of Scots Wikipedia | UK news | The Guardian
https://www.theguardian.com/uk-news/2020/aug/26/shock-an-aw-us-teenager-wrote-huge-slice-of-scots-wikipedia

미국에 거주하는 미국인인 AmaryllisGardener 씨는 2013년경부터 스코틀랜드의 Wikipedia를 편집하기 시작했습니다. AmaryllisGardener 씨는 약 6년 동안 많은 기사를 혼자서 수정했는데, 대부분의 기사가 스코틀랜드와 영어가 섞인 문장으로 쓰여져 있었습니다.

스코틀랜드인 Ultach 씨는 AmaryllisGardener 씨에 의해 스코틀랜드판 Wikipedia가 이상해져 버린 상황을 발견한 사람입니다. Ultach 씨가 Reddit에 공개한 조사 결과에 따르면, AmaryllisGardener 씨는 2018년의 시점에 스코틀랜드판 Wikipedia의 3분의 1 이상의 기사를 편집하고 있었다고 합니다. Ultach 씨는 "문제는 AmaryllisGardener 씨가 스코틀랜드어를 못한다는 것입니다. 최선을 다하고 있다고 생각하겠지만, 상당한 오류가 있습니다. 즉, AmaryllisGardener 씨는 스코틀랜드어에 대해 아무런 지식도 없는 것 같습니다"라고 지적합니다.

2016년의 시점에서는, AmaryllisGardener 씨는 Wikipedia 토론 문서에서 스코틀랜드인 사용자들로부터 많은 지적을 받아, "명백히 자신이 사용하지 않는 언어를, 우리의 모국어처럼 보이게 문장을 쓰고 있어, 언어에 대한 모욕으로도 볼 수 있습니다" "스코틀랜드 사람으로서 말한다면, AmaryllisGardener 씨가 쓴 문장은 실제 스코틀랜드어와 비슷하지 않습니다. AmaryllisGardener 씨가 사용하고 있는 언어는 영어로, 스코틀랜드어에 맞춰 맞춤법을 감추고 있을 뿐입니다. 이것을 진짜 스코틀랜드어라고 포장하는 것은, 스코틀랜드 사람에게 실례라고 생각합니다"며 비난합니다.

Ultach 씨는 "아마 AmaryllisGardener 씨는 먼저 기사를 영어로 쓴 다음 사전을 사용하여 개별 단어를 조사해, 단어를 스코틀랜드로 대체합니다. 해당 스코틀랜드어가 발견되지 않을 경우는 영단어를 유지하고 있었던 것 같습니다"며 AmaryllisGardener 씨의 기사가 왜 스코틀랜드와 영어가 섞인 이상한 문장이 되었는지를 분석하고 있습니다.

많은 비난에 대해 AmaryllisGardener 씨는 메타위키 페이지에서 "솔직히 다른 관리자가 내 편집을 모두 원점으로 되돌려 내 게시물을 삭제하고, 영원히 Wikipedia에서 나를 추방해도 상관없다고 생각합니다. 나는 좋은 일을 할 생각이었지만, 나의 기사가 많은 사람을 화나게 한 것을 이미 알고 있습니다. 내가 기사를 쓰기 시작한 시기는 12세의 어린이로, 젊은 시절 시작한 무언가가 해를 거듭할수록 도움이 되지 않는다고 눈치채기도 하는 것입니다. 나는 자신을 옹호할 생각은 없습니다. 단지 자신이나 관계자의 SNS로의 비판을 말리고 싶을 뿐입니다"라고 말합니다..

AmaryllisGardener 씨가 일으킨 문제는 "Wikipedia의 문제 중 하나를 부각시키고 있다"고 VICE의 에드워드 온구웨소 씨는 주장하고 있습니다. 온구웨소 씨는 "영어 · 스페인어 · 독일어 등 주요 언어의 Wikipedia에는 많은 편집자들이 모여 있지만, 언어에 따라 몇 명의 편집자 밖에 없는 소규모 Wikipedia도 있어서 몇 사람의 손에 의해 Wikipedia에 큰 영향을 주게 될 수 있습니다"라고 말합니다.

또한, Reddit에서는 "AmaryllisGardener 씨의 피해는 예상보다 심각할지도 모른다"고도 지적되고 있습니다. "AmaryllisGardener 씨의 행위는 문화파괴 행위이며, 많은 사람이 "스코틀랜드 어가 독자적 언어가 아닌, 무서운 정도로 변형시킨 영어표현이다"라는 오해를 줄 우려가 있습니다"며 "AmaryllisGardener 씨는 역사상 누구보다도 스코틀랜드어에 큰 데미지를 주었을 가능성이 있습니다"라는 코멘트도 게시되어 있으며, Wikipedia를 통해 스코틀랜드어의 인상이 왜곡되어 버릴 가능성이 우려되고 있습니다.

스코틀랜드판 Wikipedia의 관리자들은 AmaryllisGardener 씨가 관련된 기사를 완전히 제거 또는 스코틀랜드판 Wikipedia 전체를 2012년의 시점으로 복원할지의 판단에 고심하고 있습니다.

차세대 게임기 '플레이스테이션 5(PS5)'나 'Xbox Series X'는 2020년 말에 출시한다고 공지되어 있는데, 각각에 대해 밝혀지고 있는 정보 등 'PS5와 Xbox Series X가 나를 흥분시키는 6가지'를 해외 게임미디어 Game Informer의 앤드류 라이너 씨가 정리하고 있습니다.

Six Reasons To Get Excited For PlayStation 5 And Xbox Series X - Game Informer
https://www.gameinformer.com/2020/08/26/six-reasons-to-get-excited-for-playstation-5-and-xbox-series-x

◆ 1 : 로딩 시간

게임로드 시간은 항상 게임을 할 때의 스트레스 요인의 하나가 되어 왔습니다. 라이너 씨는 "The Elder Scrolls V : Skyrim을 100시간 이상 플레이했는데 건물 안으로 들어갈 때마다 로딩 화면을 보게 되었습니다. 로딩 시간은 사소한 것처럼 보일지 모르지만, PS5와 Xbox Series X에서 이를 크게 줄인다면 게임의 새로운 시대를 열게 될 것입니다"라고 적고 있습니다.

◆ 2 : PS5 전용 컨트롤러 DualSense

라이너 씨는 "Xbox One의 전용 컨트롤러는 역대 최고이며, Microsoft가 코어 디자인을 Xbox Series X에 계승하는 데 문제는 느끼지 않습니다"라고 적고, Xbox Series X 컨트롤러에 특히 문제를 느끼지 않는다고 지적했습니다. 한편, PS5 전용 컨트롤러인 DualSense에 대해서는 "아날로그 배치는 취향은 아니지만 새로 채용된 기술에 매료되어 있습니다."라고 썼습니다. 구체적으로는 DualSense의 R2/L2 버튼에 채용된 '어답티브 트리거'와 표현력 풍부한 느낌을 전하는 '햅틱 피드백'을 극찬하고 있습니다. 또한 라이너 씨는 "배터리 수명이 기존의 컨트롤러인 DUALSHOCK 4보다 훨씬 길어질 수 있기를 바랍니다."라고 적고 있습니다.

◆ 3 : 게이머를 기다리는 새로운 세계

PS5용 출시 타이틀로 발표된 'Horizon Forbidden West'나 '바이오해저드 빌리지',  Xbox Series X용으로 등장하는 'Halo Infinite' 등 이미 차세대 게임기를 위한 타이틀이 여러 작 발표되고 있습니다. 차세대 게임기에 대응한 초 고해상도 게임 화면에서, 전례 없는 아이디어로 넘치는 다양한 게임의 세계를 모험할 수 있게 될 것이라며 라이너 씨는 기대하고 있는 모습.

◆ 4 : 오래된 게임을 새것처럼 플레이 가능

과거 게임의 많은 작품이 리마스터화되어 있기 때문에, 사용자가 좋아하는 게임을 다시 새로운 게임기에서 플레이할 수 있습니다. 더 강력한 게임기에서 플레이하는 것으로, 지금까지 없는 체험이 가능하게 될 가능성도 있다고 라이너 씨는 말합니다.

◆ 5 : 콘텐츠 제작

PS5 및 Xbox Series X 컨트롤러에 새로운 버튼이 존재합니다. DualSense에는 'Create'라는 이름의 버튼이 존재하고 있으며, 이 버튼에 대해 소니는 "선수가 화려한 게임 플레이 컨텐츠를 만들어 세계와 공유하거나 간편하게 즐길 수 있는 새로운 방법을 개척합니다"고 설명합니다. 즉, DualSense의 Create 버튼은 게임의 플레이 영상을 만들어 공유할 뿐만 아니라 '그 이상의 무언가'를 체험할 수 있다고 라이너 씨는 말합니다.

Xbox Series X도 Share 버튼이 존재하고 있으며, 이 버튼에서 유사한 기능을 사용할 수 있을 것으로 간주됩니다. SNS 컨텐츠를 쉽고 빠르게 만들 수 있다는 것은 환영할만한 일이라는 라이너 씨.

◆ 6 : 아마 오래된 게임기에서 완전히 벗어날 수 있다

새로운 게임기가 등장해도 이전 세대의 게임기에서만 플레이 가능한 게임을 하고 싶어, 오래된 게임기를 유지하는 사람도 많을 것입니다. 그러나 PS5와 Xbox Series X는 강력한 호환성이 있기 때문에 차세대 게임기를 구입한 그날, 오래된 게임기를 끝장낼 가능성이 있습니다.

Amazon Kindle은 전자책 및 전자책 리더, 전자책 검색 앱 등 전자책에 관련된 다양한 서비스를 제공하고 있습니다. Kindle은 사용자 데이터를 수집하고 검색 기록에 근거한 제품 추천을 하는 등 다양한 기능이 탑재되어 있습니다. Amazon이 Kindle을 통해 어느 정도의 사용자 데이터를 수집하고 있는지를, DuckDuckGo의 엔지니어인 Charlie 씨가 조사했습니다.

Kindle Collects a Surprisingly Large Amount of Data
https://nullsweep.com/kindle-collects-a-surprisingly-large-amount-of-data/

Charlie 씨는 2007년에 등장한 Kindle 1부터 2018년 등장한 Kindle Paperwhite까지 빠짐없이 손에 넣어 온 Kindle 애호가였습니다. 그러나 사용자가 다운로드한 책을 Amazon이 Kindle에서 제거하는 경우와 Amazon에서 사용자 계정을 일방적으로 삭제하여 구입한 책에 액세스 할 수 없게 만드는 경우가 일부 발생함에 따라 Amazon에 대한 불신이 쌓여갔다고 합니다.

Kindle은 사용자의 사용 상황 등의 데이터를 수집하여 북마크 및 메모 · 마지막에 읽은 페이지 등을 단말 간에 동기화하거나, 검색 기록을 바탕으로 책을 추천하는 등의 기능이 탑재되어 있습니다. Charlie 씨는 'Kindle이 정말 서비스에 필요한 데이터만 수집하고 있는가'라는 점에 의문을 가져, 실제로 어떤 데이터가 Kindle에서 Amazon으로 전송되고 있는지에 대해 조사를 시작했습니다.

조사 결과 Charlie 씨는 "Kindle의 단말기 정보와 사용 현황 메타데이터를 계정과 연결하여 수집하고 있었습니다. 앱을 실행시키고, 책을 읽고, 페이지를 넘기거나 책을 닫을 때마다 100개 이상의 데이터가 Amazon의 서버로 전송되고 있었습니다. 기본적으로 Kindle은 사용자가 독서하는 동안 수행한 모든 작업을 추적하고 있다는 것입니다"라고 말합니다.

또한, Kindle은 로드된 모든 페이지에서 '페이지가 열린 시간', '페이지의 첫 글자', '페이지의 마지막 문자', '페이지가 이미지인가 아니면 텍스트인가 여부'라는 정보도 수집하고 있었습니다. 사용자가 단어를 강조하거나 누르거나 하면 요청이 텍스트와 함께 Bing이나 Wikipedia로 전송되며, Amazon에도 제출되어 있었다고 합니다. 또한 사용자의 개인정보를 수집하고 있으며, 거주국, IP주소, 단말의 화면 크기, 단말기 제조업체, 소프트웨어 버전이 Amazon으로 전송된 것을 Charlie 씨는 밝혀냈습니다.

Kindle이 수집한 데이터의 대부분은 로컬로 저장되고 나서 Amazon 서버에 업로드되는 모양. 사용자가 오프라인인 경우에도 수집된 데이터는 저장되어 온라인이 되었을 때 함께 전송되는 것 같습니다.

"Kindle은 프라이버시를 중대하게 침해하지는 않지만, 예상치 못한 정보를 많이 기록하고 있었습니다. 저는 약 1년에 걸쳐 Kindle에서 떠나려 노력하고 있고, 지금은 iPhone에서 Marvin를 사용하여 전자책을 즐기고 있습니다. 전자 종이가 그리워지지만, Kindle을 더 이상 사용하지 않을 것입니다"라고 Charlie 씨는 말합니다.

음악 스피커를 하나 밖에 가지고 있지 않는 Xperia Z1에서 Xperia Z2와 같은 2개의 스피커로 스테레오 재생을 활성화하는 해킹 방법이 XDA Developers에서 공개되었습니다.

이번 해킹은 Xperia Z1 상단의 통화용 스피커를 음악 등에서도 작동하도록 소프트웨어를 수정하는 것입니다. 상하 스피커의 배치는 대칭이 아니므로, 소리의 방향과 퍼지는 양상이 다르고, 사람에 따라서는 약간 이상하게 들릴지도 모르지만, Xperia Z2와 같은 스테레오 감각을 체험할 수 있습니다.

해킹 방법은 배포 중인 'StereoModUPDATE_v2.0.zip'을 ClockworkMod리커버리에서 설치하면 됩니다. 현재 버전에서는 '스마트 커넥트'앱이 헤드폰의 착탈을 오인식해버려, 재생이 때때로 중단됩니다. 백업을 하고 시도하는 것이 좋습니다.

아래의 동영상은 Xperia Z1(C6903)을 해킹한 후 음악을 재생하는 모습입니다. 스테레오 감각을 체험하기는 힘들지만, 통화용 스피커에서 소리가 재생되는 것을 확인할 수 있습니다.

Xperia Z1のステレオ再生を有効にする「True Real Stereo Sound Mod」の体験動画
https://www.youtube.com/watch?v=JyQvUEP053k

출처 참조 번역
True Real Xperia Z3 Files Super Stereo Sound
http://forum.xda-developers.com/xperia-z1/themes-apps/true-real-stereo-sound-earpiece-t2822691

웹브라우저 'Google Chrome'의 최신 안정 버전인 버전 85.0.4183.83이 출시되었습니다. 페이지의 표시 속도 향상 외에도 페이지에 파일을 드래그 앤 드롭 할 때 다른 탭에서 열기 등 편리한 기능이 추가되어 있습니다.

Chromium Blog : Chrome just got faster with Profile Guided Optimization
https://blog.chromium.org/2020/08/chrome-just-got-faster-with-profile.html

Chrome Platform Status
https://www.chromestatus.com/features#milestone%3D85

New in Chrome 85 : CSS Properties, content-visibility, getInstalledRelatedApps (), and lots more! - YouTube
https://www.youtube.com/watch?v=htAiPOarIwI

◆ 페이지 로딩속도가 향상

'프로필 기반 최적화'라는 방법을 이용하여 페이지로드를 최대 10% 정도 향상시킬 수 있습니다. 특히 CPU 리소스가 부족한 경우에 더 큰 효과를 발휘합니다.

◆ 페이지에 파일을 드롭했을 때의 동작을 개선

페이지에 파일을 드래그 앤 드롭하면 지금까지 그 페이지에서 파일이 열려 페이지에서 작업하던 내용이 손실되어 버리는 등의 문제가 발생했습니다. 이러한 문제를 해결하기 위해 Chrome 85에서는 새로운 탭에서 파일을 열리도록 변경되어 있습니다.

◆ Windows에서 아이콘에 바로가기 메뉴가 추가

Chrome 84에서 웹사이트를 작업표시줄에 추가할 때 마우스 오른쪽 단추로 바로가기 메뉴를 표시할 수 있다고 공지되어 있었지만, 이것은 오류로, 정확하게는 Chrome 85에서 구현되었습니다.

◆ 화면밖 콘텐츠의 동작을 CSS의 'content-visibility'에서 조작이 가능

CSS 속성에서 'content-visibility:auto'를 설정하면, 브라우저에 그 내용이 화면에 스크롤되어 올 때까지는 표현할 필요가 없음을 전할 수 있게 되었습니다. web.dev의 데모에 따르면, 이러한 변경으로 페이지 로딩속도를 7배에 개선했다고 합니다.

◆ CSS 변수의 폴백(fallback)을 CSS 내에서 정의가 가능

Chrome 78에서 'CSS 변수값이 부정한 것일 경우 폴백을 설정하는 기능'이 추가되었습니다. 이 기능은 JavaScript를 사용해야 했고, CSS를 설정이 다양한 장소에 분산되어 버리는 문제가 있었습니다. 

◆ 특정 Windows 응용프로그램이 설치되어 있는 것을 감지 가능

Windows 응용프로그램을 UWP에서 빌드할 때, 자신의 웹사이트의 정보를 포함하여, 해당 웹사이트에 액세스하면 '이미 응용프로그램을 소유하고 있다'고 통지되어, 응용프로그램을 이용하라는 메시지를 사정에 맞게 표시하는 등 개발자가 페이지의 표시를 더욱 최적화할 수 있게 되었습니다.

◆ JavaScript 업데이트

'Promise.any' 및 'replaceAll'이 추가되어 있습니다.

◆ Android 버전은 64bit로 전환

xdadevelopers에 따르면, Chrome 85 이후 64bit 프로세서를 탑재한 Android 단말기에는 64bit 버전의 Chrome이 설치된다고 합니다.

그리고 Chrome 85에는 20개의 보안 버그 수정이 포함되어 있습니다.

자신의 사이트 조회 수(PV) 및 사용자 유형을 확인하는 방법은 많이 존재합니다. 예를 들어 Google 웹로그 분석 및 Google 웹마스터 도구를 이용하면 사이트의 세세한 부분까지 알 수 있지요.

하지만 자신의 사이트가 아닌 경쟁 사이트와 인기 사이트 등 다른 사람의 사이트 방문 횟수 등이 궁금한 사람도 많습니다. 특히 사업 목적으로 홈페이지를 운영하고 있는 분은, 라이벌 사이트가 신경이 쓰이는 법입니다.

경쟁 사이트와 인기 사이트, 추천 사이트의 조회 수를 앎으로써 자기 사이트의 방향과 개선점을 생각하고 참고할 자료가 될 수도 있습니다.

다른 사이트의 액세스 수를 확인하는 무료 도구

SimilarWeb
http://www.similarweb.com

 
검색하고 싶은 도메인을 검색창에 넣으면 조회 수뿐만 아니라 검색 키워드, 참조 사이트, SNS에서의 유입 비율 등을 확인할 수 있습니다.

그래프의 디자인도 심플하고 보기 쉽게 배치되어 있습니다.

데이터 수(조회 수 등)가 적으면 그래프가 표시되지 않기 때문에 어느 정도 인기 있는 사이트가 아니면 확인할 수 없습니다.


SEOTOOLS
http://www.seotools.jp/

SEO에 주력하고 있는 분에게 도움이 되는 정보를 확인할 수 있는 도구입니다. 액세스 수를 중심으로 한 조사라기보다는 해당 사이트의 키워드 및 트래픽 순위, 인덱스 수나 링크된 수를 하나의 페이지에서 확인할 수 있습니다.

다양한 관점에서 사이트의 평가도 해주기 때문에 경쟁 사이트와 비교하면서 참고하면 좋습니다.

하나의 이메일 주소로 여러 웹서비스에 등록하면, 어딘가에서 개인정보가 유출되었을 때 위험을 증가시킵니다. 그렇다고 사용하는 웹서비스만큼 이메일 주소를 만든다는 것은 비현실적입니다. Mozilla에서 제공하는 'Firefox Relay'는 등록된 이메일 주소로 링크시킨 일회용 이메일 주소를 무작위로 생성하고 관리해주는 기능으로, 무료로 쉽게 보안을 강화할 수 있습니다.

Firefox Relay
https://relay.firefox.com/

Firefox Relay을 설치 후, 이메일 주소 입력란에서 마우스 오른쪽을 클릭. 컨텍스트 메뉴에서 'Generate New Alias'를 선택하면 '(랜덤 문자열)@relay.firefox.com'이라는 이메일 주소가 자동으로 생성됩니다.

생성된 메일 주소로 메일을 보내면 Firefox 계정에 등록된 이메일 주소로 그대로 전송됩니다.

또한 로그인을 한 상태에서 Firefox Relay의 사이트에 액세스하면 생성한 메일 주소로 사용하는 사이트의 도메인, 메일 전송 수 등이 표시되어 있습니다. 메일 주소(Alias)의 생성은 최대 5개까지 가능하다고 합니다

Firefox Relay는 2020년 5월부터 시험적으로 제공되는 서비스로, 초기에는 초대받은 사람에게만 제공했습니다. 그리고 2020년 8월 22일자로 누구나 이용할 수 있게 되었습니다. IT계 뉴스미디어 ghacks.net는 "향후 메일 주소(Alias)를 더 늘린 유료 플랜이 등장할 가능성도 있다"고 말합니다.

보안 기업 Snyk이 App Store에 있는 1,200개 이상의 앱에서 사용되는 인기 있는 광고 SDK가 악의적인 동작을 한다고 보고했습니다. 이 광고 SDK는 'SourMint'라고 불리며, 광고 사기 및 데이터 유출로 이어질 가능성이 있다고 지적되고 있습니다.

SourMint: malicious code, ad fraud, and data leak in iOS | Snyk
https://snyk.io/blog/sourmint-malicious-code-ad-fraud-and-data-leak-in-ios/

iOS ad developer kit reportedly steals click revenue, harvests user data | Appleinsider
https://appleinsider.com/articles/20/08/24/ios-ad-developer-kit-reportedly-steals-click-revenue-harvests-user-data

Snyk에 따르면, SourMint는 2019년 7월 중국의 모바일 광고플랫폼 업체인 Mintegral의 iOS 버전 광고 SDK에서 발견되었습니다. SourMint 광고 SDK를 사용하여 앱을 통해 열린 URL 기반 요청과 사용자의 활동을 기록하고 개인 식별 정보 및 기타 기밀 정보를 훔칠 수 있습니다. SourMint는 사용자의 광고 클릭을 부정하게 보고하여, 경쟁하는 광고 네트워크와 앱 개발자, 광고 게시자에게서 잠재적인 수익을 훔칠 수도 있다고 Snyk는 지적하고 있습니다.

다음 동영상은 광고 SDK · Mintegral에 탑재된 악성코드 SourMint가 실제로 정보를 훔치는 모습을 보여줍니다.

A demonstration of the SourMint Malicuous SDK from Mintegral - YouTube
https://youtu.be/MMuL5MaQeLM

Snyk에 따르면, Mintegral의 광고 SDK는 한 달에 3억 회 이상 다운로드가 되었으며, 1,200개 이상의 iOS 앱에서 사용되고 있다고 합니다. 이 광고 SDK를 사용하여 개발자는 코딩할 필요 없이 간편하게 앱에 광고를 삽입할 수 있게 되어 앱의 수익 창출이 용이합니다. 또한 Mintegral는 iOS뿐만 아니라 Android용도 무료로 광고 SDK를 제공하고 있습니다만, 현시점에서 악성코드의 존재가 밝혀진 것은 iOS 버전의 SDK뿐입니다.

Snyk에 따르면, SourMint가 탑재된 광고 SDK를 사용하는 앱을 사용하는 유저가 Mintegral의 광고 네트워크에 속하지 않는 광고를 탭하는 것을 기다리는 악의적인 기능이 존재한다고 합니다. 사용자가 광고를 누르면 SDK는 광고를 표시하는 프로세스를 탈취하여 사용자에게 Mintegral의 광고를 게재합니다.

"흥미롭게도, Mintegral의 광고 SDK는 연구자가 앱 배후의 동작을 발견할 수 없도록 설계된 것 같고, 많은 안티 디버깅 보호가 포함되어 있습니다"라고 Snyk는 적고 있습니다 . 악성코드는 스마트폰이 루팅되어 있는지를 판단하는 특정 루틴이 있다고 하며, 감시받고 있다는 조짐이 발견되면 SDK는 악의적인 동작을 숨기도록 동작을 변경한다고 합니다. 이로 인해 광고 SDK의 악의적인 행위가, Apple의 앱 심사 과정에 걸리지 않게 되어있는 모양입니다.

또한, SourMint는 Mintegral의 광고 SDK를 사용하는 앱 내에서 행해지는 모든 URL 기반 요청을 캡처하기 위해, 요청된 URL뿐만 아니라 인증 토큰 및 기타 기밀 정보, 앱의 코드 중에서 사용자 패턴을 파악하는 데 도움이 될만한 것들, 심지어는 장치를 식별하는 데 사용되는 고유한 난수로 생성된 장치식별자(IDFA), IMEI 등을 훔치는 것이 가능합니다.

또한, Apple은 Snyk 보안 연구원과 협의하여 Mintegral의 광고 SDK가 사용자에게 실제 손해를 끼치고 있다는 정보는 얻지 못했다고 말하고 있습니다. Apple은 2020년 후반 iOS 14에서, 개인정보 및 보안에 중점을 둔 업데이트를 발표했으며, 그 이유의 하나로서 '타사 SDK가 악의적인 기능을 통합할 수 있기 때문'이라고 설명하고 있습니다.

애플의 지문인식 시스템 'Touch ID'를 악용한 신종 사기 앱이 등장해 논란이 되고 있다고 WIRED가 보도합니다.

アップルの指紋認証「Touch ID」を悪用、新手の詐欺アプリが問題に
https://wired.jp/2018/12/06/iphone-touch-id-scam-apps/

앱 사용 중에 Touch ID 센서에 대한 권한을 요구하고, 승인하면 일방적으로 10만 원 정도의 금액이 괴금되어 버린다는 합니다. 지문인증 후 승인 프로세스가 없는 맹점을 찌른 수법이지만, 편리성을 해치지 않고 문제를 해결할 수 있을지 의문입니다.

악성 앱은 칼로리 계산에 필요하다고 속이거나 심박수를 측정하는 등의 이유로 Touch ID 센서에 대한 권한을 요구해 옵니다.

거기서 홈 버튼에 손가락을 두고 인증을 하면 인앱 결제가 승인되었다는 내용의 팝업이 잠깐 표시됩니다. 금액은 90~ 120달러 정도로, 팝업의 글을 읽기 어렵게 하기 위해 스크린을 일시적으로 어둡게 하는 프로그램도 포함되어 있다고 합니다.

또한 일부 앱에서는 지문인증을 거부하여도 그대로 설정을 진행하라고 독촉하며, 그 다음에는 다른 종류의 앱 내 과금 사기에 유도할려고 한다고 합니다.

순식간에 끝나는 부정행위

앱에서 부정 또는 부당한 청구를 하는 것은, App Store의 이용약관 위반입니다. 지금까지 'Heart Rate Monitor', 'Fitness Balance app', 'Calories Tracker app'등 겉보기에는 평범한 앱들이 플랫폼에서 제거되었습니다.

같은 개발자가 여러 앱을 만들고 있는 것인지, 아니면 앱마다 개발자가 다른지는 밝혀지지 않았습니다. 공통되는 것은 악성코드를 섞는 것이 아닌, Touch ID를 이용한 인증 사기라는 형태를 취한다는 점입니다.

사이버보안 업체 ESET의 스티븐 콥 씨는 '홈 버튼에 손가락을 놓으면 바로 지문 스캔이 시작되기 때문에, 순식간에 인증이 끝납니다'라고 지적합니다. ESET은 블로그에서 이러한 사기 앱의 존재를 소개하고 있습니다. 콥 씨는 '누군가가 사용자가 요구하지 않는 것을 불법으로 강제하기 위한 교묘한 방법을 짜낸 것입니다'며 주의를 당부했습니다.

Touch ID는 오래전부터 잠금해제 이외의 목적으로도 사용되어 왔습니다. Apple Pay의 결제 승인 외에도 다양한 앱이 로그인 및 권한 등으로 지문을 채용하고 있습니다.

최근 몇 년간 지문 및 얼굴인식 등의 생체인식 기술이 폭넓게 활용되고 있다. 그 용도는 결제와 공항에서의 수하물 체크인, 항공기 탑승 등 다양하다. 이러한 기술은 사용자의 인증 경험을 간단하게 하는 점도 있지만, 동시에 생체인증 데이터의 수집과 보존에 관한 개인정보보호의 문제도 새롭게 태어난다.

미국에서는 생체인증 데이터의 증가에 따른 우려에 대해, 주의 규제 당국이 법률을 제정하거나 제안하는 등 대응하고 있다. 먼저 이러한 법안을 통과시킨 것은 일리노이주로, 2008년에 생체인식정보 개인정보법(BIPA:Biometric Information Privacy Act)을 제정하고 있다. BIPA는 민간 조직의 생체인증 데이터의 수집 방법과 이용 방법, 저장 방법을 규제하는 것으로, 생체인증 데이터의 오용에 의한 피해를 입은 경우, 개인이 기업을 고소할 수도 있다.

BIPA는 약 10년 전에 제정된 법률이지만, 2019년 1월 Rosenbach 대 Six Flags의 일리노이주 대법원의 판결로 최근 다시 주목받게 되었다. 이 재판은 어느 아동의 부모가 일리노이 가네루 유원지, Six Flags Great America를 고소한 사건으로, 동의 없이 생체인식 데이터를 수집하는 것은 BIPA 위반이라고 주장했다. 덧붙여서, 개인 티켓을 스캔한 후 회전 게이트에서 생체검사를 요구 유원지는 증가 추세에 있다. 이 과정은 주로 부정 방지 대책으로 이루어지고 있으며, 티켓이나 패스를 분실해도 생체인증 데이터를 고객서비스 카운터에 제공하면 새로운 티켓이나 패스를 이용할 수 있도록 되어있다.

일리노이주 대법원은 하급 법원의 판결을 뒤집어 Six Flags가 BIPA을 침해했다고 판결했다. 중요한 것은 원고 측이 생체의 수집에 의한 손상이나 피해(도용 등)을 입을 필요가 없다고 일리노이주 대법원이 판단한 것이다. BIPA는 생체인증 데이터를 부적절하게 수집하는 것만으로, 소비자가 조직을 고소하는 것이 가능하다는 것이다.

이 판결은 소비자와 프라이버시권의 승리라고 할 수 있다. 향후 BIPA 대한 법적 대결의 증가가 예상되며, 재판 제도를 통한 움직임도 이미 많다. 놓칠 수 없는 것은 현재 샌프란시스코의 제9 순회항소법원에서 심사 중인 Patel 대 Facebook 소송에서 Facebook이 사이트에 업로드한 얼굴 사진을 태그하는 것에 대해 다투고 있다.

매사추세츠, 뉴욕, 미시간에서도 BIPA과 같은 의무를 부과하는 개인정보보호 법안을 마련하는 중이며, 다른 국가에서도 생체인증 데이터의 수집, 저장을 규정하는 법률을 고안할 전망이다.

이러한 움직임은 있지만, 이것이 생체인증의 멸망으로 이어지는 것은 아니다. 이것은 단순히 생체인증 데이터의 수집을 검토하고 있는 기업이라면, 개인정보보호를 전제한 설계 방식을 준수해야 한다는 것이다. 또한, 복잡해지는 법적 환경에 주의하고, 생체인증 데이터의 수집과 보존에 관해서는 새로운 법률을 준수하고 있는지 확인해두어야 할 것이다.

출처 참조 번역
生体認証データの収集に関する法規制の動き、その影響を探る
https://japan.zdnet.com/amp/article/35137279/

세계젹인 보안 소프트웨어 업체인 카스퍼스키가 스마트폰과 개인정보를 안전하게 유지하기 위한 5가지 팁을 공개하고 있습니다.

Androidで定期的にチェックすべき5つのこと
https://blog.kaspersky.co.jp/five-regular-checks-for-android/28894/

데이터라는 자산을 제대로 파악하고 관리하려면 정기적인 유지 보수가 필수적입니다. 매일 아침 하는 양치질과 같습니다.

1. 앱의 체크

우선 설치되어 있는 앱을 나열하여 사용하지 않는 앱을 제거합시다.

앱 제거 효과는 여러가지로 저장용량이 비어 성능이 향상되고 백그라운드에서 실행되던 앱이 제거되어 배터리를 낭비를 막습니다. 그리고 보안이 개선됩니다. 합법적인 앱도 해킹되거나 개발자가 모르고 악성 라이브러리를 앱 코드에 사용할 수도 있습니다. 설치된 앱이 적을수록 그러한 영향이 미칠 가능성은 낮아집니다.

2. 권한 체크

앱의 동작과 조작을 위해 필요한 최소한의 권한 만 부여하십시오.

특히 장치관리 앱이나 사용자 보조 기능에 관한 권한은 100%? 신뢰할 수 있는 앱에 한정합시다.

만일 권한을 취소한 앱이 제대로 작동하지 않거나 일부 기능이 사라진다면 언제든지 권한을 다시 할당할 수 있습니다. 대개는 앱으로부터 권한 할당을 요청하는 알림이 표시됩니다.

3. 업데이트 확인

업데이트에는 중요한 취약점 수정이 포함되어 있어서 업데이트를 적용하면 공격에 이용될 수 있는 '구멍'을 막는 수 있습니다. Google Play에서 설치한 앱은 대부분 자동으로 업데이트됩니다.

Android OS 업데이트의 경우는 별개의 문제입니다. 자동 업데이트를 기다리는 것이 아니라 수동으로 업데이트를 확인합시다. 재빨리 OS의 업데이트를 하여, 잠재적인 위험에 미리 대처합시다.

4. 안티바이러스 앱으로 스캔

Google Play 스토어에서는 자체 바이러스 백신인 'Google Play 보호'가 저장소에 업로드되는 앱을 확인하고 있습니다. 따라서 이 스토어에서 내려받는 앱은 대체로 안전하다고 생각됩니다.

일반적으로 무료 보안 앱은 스캔을 수동으로 실행해야 합니다. 새로운 앱을 설치할 때 또는 앱을 업데이트한 후 실행하십시오.

5. 정보유출을 체크

Android 장치에는 엄청난 양의 개인정보가 저장되어 있습니다. 사진 등의 데이터도 그렇고, 친구와의 채팅 내용 등 다양한 정보가 있습니다. 그리고 불행히도 데이터 유출은 '자주 있는 일'이 되어가고 있습니다. 만일 암호나 신용카드 정보가 사이버 범죄자의 손에 넘어가 버리면 계정을 사용할 수 없게 되거나 사기를 당할 수 있습니다. 따라서 발생한 정보유출에 대해 아는 것이 중요합니다.

유출에 대한 정보는 다양한 곳에서 입수할 수 있습니다만, 대부분은 정보유출이 발생한 기업에서 고객에게 연락하는 경우입니다. 또는 IT 관련 뉴스사이트에서도 정보를 얻을 수 있습니다.

세계젹인 보안 소프트웨어 업체인 카스퍼스키가 스마트폰의 앱에 대한 권한부여의 위험성을 알리고 있습니다

Androidゲームに付与してはいけない5つの権限
https://blog.kaspersky.co.jp/five-permissions-android-games-do-not-need/28935/

스마트폰의 앱에 할당된 권한은 초기설정 상태에서는 상당히 제한되어 있습니다. 앱이 데이터에 액세스하려면, 그리고 어떤 위험을 일으킬 수 있는 Android 기능에 액세스하려면 이용자의 명시적 동의를 얻어야 합니다. Android가 이렇게 설계된 것은 보안상의 이유 때문입니다. 요점 권한이 악용될 가능성이 있다면 초기설정 상태에서는 앱에 권한을 두지 않는 것이 바람직합니다.

앱이 작동하기 위해서는 다소의 권한이 필요한 것은 사실입니다. 예를 들어 AR게임을 플레이하려면 카메라에 대한 액세스가 필요합니다.

사용자 보조

권한 내용 : 다양한 사람들, 특히 장애를 안고 있는 사람의 단말기 사용을 지원하는 Android 기능군입니다. 내게 필요한 권한을 부여받은 앱은 화면상에서 이루어지고 있는 모든 것을 볼 수 있으며, 이용자 본인처럼 모든 것을 제어할 수 있습니다. 설정을 변경하거나 다른 앱에서 작업하는 등 다양한 작업이 가능합니다.

사용자 보조 권한을 필요로 하는 앱 중 하나가 음성 지원 앱입니다. 음성 지원 앱은 권한에 따라 음성 명령을 실행하여 음성으로 정보를 읽습니다. 이러한 기능은 게임에는 필요하지 않습니다.

위험한 이유 : 권한을 부여받은 앱은 장치에서 거의 무엇이든 할 수 있습니다. 예를 들어 온라인뱅킹 거래를 실행, 이메일 및 기타 메시지를 읽고 쓰고, 화면 설정 변경 등을 할 수 있습니다. 기능의 이름과 달리 큰 위험을 내포한 권한입니다.

장치관리 앱

권한 내용 : 장치관리 앱은 장치를 원격으로 조작하는 데 사용됩니다. 예를 들어 업무용 스마트폰의 경우 기업의 시스템 관리자가 스마트폰에서 액세스하기 위해 이 권한을 필요로 할 수 있습니다. 일반적인 앱이 필요로 하는 권한이 아닙니다. 당연히 게임에 권한을 부여해서는 안됩니다.

위험한 이유 : 관리 권한이 부여된 앱은 장치의 암호 변경, 화면 잠금 해제, 파일을 삭제할 수 있습니다. 또한 관리 권한을 부여받은 '게임'을 완전히 제거하기는 쉽지 않습니다. 이 권한은 기업의 관리 앱에 사용되는 것을 상정한 것으로, 당연히 이러한 앱은 직원들이 손쉽게 스마트폰에서 삭제해서는 안되는 것입니다.

알 수 없는 앱의 설치

권한 내용 : 알 수 없는 앱을 설치할 권한이 있으면 Google Play 이외에서도 앱을 다운로드 할 수 있습니다. 게임이 이런 기능을 필요로 하지 않습니다.

위험한 이유 : 게임 앱 자체는 악의적인 것이 없었다고 하여도, 이 권한을 부여받으면 스마트폰이나 태블릿에 '파트너 앱'을 다운로드 할 수 있으며, 이러한 앱을 나중에 제거하려고 하여도 매우 어려울 수 있습니다. 그리고 이러한 파트너 앱에서 실제로 악성코드가 숨어 있을지도 모릅니다. 이 권한을 부여하지 않도록 하는 동시에 앱은 반드시 공식 출처에서 다운로드하십시오.

다른 앱 위에 겹쳐서 표시

권한 내용 : 실행중인 다른 앱보다 위에 자신의 창을 표시할 수 있는 권한입니다. 예를 들어 Facebook Messenger는 이 기능을 사용하여 이용자가 다른 앱을 사용하는 경우에도 Facebook Messenger 채팅 아이콘이 표시되도록 합니다.

위험한 이유 : 이 권한이 이용자에게 제공하는 혜택은 매우 제한적인 반면 큰 피해를 입힐 수 있습니다. 이 권한을 사용하여 다른 앱의 화면에 배너 광고를 표시할 수 있습니다. 앱의 행세를 한 악성코드에게 권한을 주었을 경우, 화면 잠금 후 몸값을 요구해 오거나, 가짜 양식으로 은행의 카드정보를 입력시키려고 시도할 수 있습니다. 이 밖에 가상키보드 위에 가짜 키보드를 표시하여 사용자가 입력한 정보를 훔치려 하는 경우도 있습니다.

사이버 범죄자는 이 기능을 사용하여 더 강력한 권한을 얻기 위해, 이용자의 승인을 받으려 할 수 있습니다. 예를 들어, 사용자 보조 권한을 요구하는 화면에 '이 콘텐츠는 일시적으로 사용할 수 없게 되었습니다'등 특별히 문제없을 것 같은 메시지를 표시하는 합니다. 사용자 보조 권한을 요구하는 화면은 메시지 아래에 숨겨져 있고, 진짜는 권한 부여에 동의하는 'OK'버튼뿐입니다. 의심할 여지없이 그 버튼을 누르면 사이버 범죄자는 사용자 보조 권한을 손에 넣는 수법입니다.

SMS

권한 내용 : SMS 권한을 손에 넣은 앱이 SMS 메시지, MMS 메시지, WAP 푸시 메시지를 읽고 보낼 수 있게 됩니다. 게임에서 이런 메시지 서비스는 불필요하고, 문자메시지를 처리하는 기본 앱으로 그 게임을 지정하지 않는 한 이런 종류의 권한을 손에 넣을 수는 없습니다. 그러나 게임을 사칭한 악성코드가 이 권한을 요구할 가능성이 있습니다.

위험한 이유 : 텍스트 메시지에 액세스 할 수 있는 앱은, 마음대로 메시지를 보내고 유료 서비스에 가입할 수 있습니다. 그리고 귀하의 연락처 목록에 등록된 사람에게 스팸메시지를 보낼 수 있습니다.

게임에는 불필요한 권한을 주지 않는다

Android에는 이 밖에도 많은 권한이 있습니다.
그다지 고급 기능이 필요하다고 생각할 수 없는 게임이 카메라와 마이크에 대한 액세스를 요청하면 단호히 거부합시다. 권한을 부여하지 않아 게임을 사용할 수 없는 경우에는 그때마다 권한을 부여하면 좋습니다.

암호의 관리방법으로서 유효한 것 중 하나가 싱글사인온(Single Sign-On)입니다. 싱글사인온(SSO)은 하나의 ID와 비밀번호로 인증하여 여러 웹서비스나 클라우드 서비스에 액세스 할 수 있습니다. 많은 서비스에 로그인을 할 수 있는 계정과 암호 등을 중앙에서 관리할 수 있는 매우 유용한 도구입니다.

클라우드 기반의 암호관리 도구는 과연 안전할까요?

과거, 보안에 정평이 나 있는 클라우드 기반 암호관리 도구인 'LastPass'가 해킹에 의한 정보유출이 발생했습니다.
유출된 정보는 이메일 주소, 비밀번호를 잊어버린 경우의 질문, 암호화될 때 부여되는 응보, 인증 해시 등이 유출된 것 같습니다. 유출된 사용자 수에 관련한 정보는 공개되어 있지 않지만, 암호화된 사용자 계정 데이터 및 사용자 계정에 대한 무단 액세스는 없었다고 합니다.

유출된 정보는 강력히 암호화가 되어 있어서, 암호가 해석되는 것은 아니라고 하지만, LastPass를 사용하는 모든 사용자에게 마스터 암호를 변경하도록 요청했습니다.

이 사건에 관하여 사용자가 피해를 입은 것은 아니었지만, 아무리 강력한 보안을 구축하고 있어도 해킹되는 경우가 있는 것 같습니다. 내부자에 의한 범행도 가능한 것입니다.

클라우드 기반 암호관리 도구 이외의 관리 방법

1. PC의 메모 기능으로 관리
2. 종이에 기록하여 관리
3. 머리로 기억
한 대기업 임원은 암호관리 도구가 충돌하여, 모든 암호를 상실한 이후 기억만으로 관리하고 있다고 합니다. 시도하면 의외로 가능합니다.


종합적으로 생각하면 결국 클라우드 기반 암호관리 도구를 사용하는 것이 가장 쉽고 안전하게 관리 할 수 있습니다. LastPass가 정보유출은 발생했지만, 강력한 암호화를 통해 피해는 없어, 결과적으로 보면 안전하다고 말할 수 있습니다. 그 점에서 뒤돌아보면 정보는 유출되었지만, LastPass는 자사의 보안성을 어필할 수 있는 값진 기회를 얻었던 것일지도 모릅니다.

모바일 데이터의 사용 요금이 많은 경우 1GB 단위이기 때문에, 계약상의 통신 용량과 그 잔량을 '기가'이라고 부르는 사람도 흔히 있습니다. 영국의 통신회사 Cable.co.uk가 발표한 '세계 228개국의 모바일 데이터 가격 조사결과'를 보면 한국을 포함한 세계 각국의 '기가'가 얼마인지를 알 수 있습니다.

Worldwide Mobile Data Pricing League | Cost of 1GB in 230 countries - Cable.co.uk
https://www.cable.co.uk/mobiles/worldwide-data-pricing/

Cable.co.uk가 제작한 아래의 지도에서는 1GB당 통신료가 높은 나라일수록 진한 색으로 표시되어 있습니다.

228개국 중 가장 저렴한 인도에서는 1GB당 평균 가격은 0.09달러(약 110원)입니다. 인도의 모바일 데이터가 이렇게 저렴한 이유에 대해서 Cable.co.uk는 "인도는 젊은 인구가 많고, 테크놀로지에 대한 의식도 높은 데다, 스마트폰 시장에서는 활발하고 치열한 경쟁이 벌어지고 있습니다. 따라서 모바일 데이터가 놀라울 정도로 저렴하게 제공되고 있습니다"라고 분석하고 있습니다

위의 인도를 포함한 '1GB당 모바일 데이터가 저렴한 나라 톱5'의 그래프가 다음. 동심의 그래프는 안쪽부터 인도(0.09달러), 이스라엘(0.11달러), 키르기스스탄(0.21달러), 이탈리아(0.43 달러), 우크라이나(0.46달러)입니다.

한편, 워스트5가 다음. 그래프는 안쪽부터 São Tomé e Príncipe(28.26달러), 버뮤다(28.75달러), 나우루(30.47달러), 포클랜드 제도(40.41달러) 세인트 헬레나섬(52.5달러)입니다.

워스트5가 모두 섬나라인 이유로, Cable.co.uk는 "섬나라에는 광섬유 인프라가 부설되는 경우가 적어, 더 비싼 위성통신 등을 도입할 수밖에 없으므로 그 비용을 소비자가 부담하게 되어 있습니다"고 지적합니다.

국가별이 아닌 지역별로 나눈 결과가 다음. 모바일 데이터 1GB당 평균 가격이 높은 지역을 순서대로 나열하고 있습니다.

Cable.co.uk는 모바일 데이터의 가격이 가장 비싼 북미 지역에 대해 "세계에서 가장 풍요로운 국가인 미국과 캐나다는 1GB당 평균 가격이 각각 8달러와 12.55달러로, 각각 단독으로도 순위에서 상당히 낮은 것으로 되어 있습니다. 그린란드도 9.56달러로 상당히 비싼데, 북극권에 위치한 이 지역에는 모바일 서비스 제공자가 1개밖에 없습니다"라고 말하며, 선진국인 북미 2개국과 경쟁이 적은 북극권 국가가 북미 지역 통신요금을 끌어올려 놓은 것을 지적합니다.

아시아 국가에 대해서는 "모바일 데이터 요금이 가장 저렴한 인도를 포함하여, 세계에서 가장 저렴한 국가의 상위 20중 무려 3분의 1이 아시아 국가가 차지하고 있습니다. 한편, 1GB당 평균 가격이 10.94달러인 한국 등 기술 선진국의 모바일 데이터 요금이 세계에서 가장 높은 부류에 속하는 것은 놀라운 사실일지도 모릅니다. 일본, 대만, 홍콩도 아시아에서 가장 모바일 데이터가 높은 나라였습니다"고 분석하고 있습니다.

모처럼 쓴 '최신 블로그 게시물'이 그대로 복사&붙여넣기로 복제되어, 그것을 Google 크롤러가 데이터를 수집하고, 복제물이 먼저 Google에서 'index(인덱스)'되는 등의 피해를 입을 수 있습니다.

대책1)

복사&붙여넣기를 할 수 없도록 방지하는 하나의 대책으로 효과적인 것이 'WP-Copyright-Protection'라는 플러그인입니다

이 플러그인의 특징은 플러그인을 넣는 것만으로

- 왼쪽 클릭으로 '드래그'를 할 수 없다!
- 오른쪽 클릭에서 '복사'도 할 수 없다!

다만 독자가 모르는 단어를 검색하고 싶거나 키워드를 복사하길 원할 때 불만을 유발하는 단점이 있습니다. 또한 다른 사이트에 인용되어 소개되는 기회도 줄어듭니다. 이런 단점을 숙지하고 사용을 판단하도록 합시다!

대책2)

플러그인 'Check Copy Contents'

플러그인 'Check Copy Contents'는 어느 부분이 복사되고 있는지 안내하여 줍니다.
따라서 자주 복사되는 부분의 키워드는 관심을 받고있는 것이 많으므로, '새로운 블로그 게시물'의 제작에도 참고할 수 있습니다.

대책3)

복제할 수 없는 '자신만의 서비스'를 제공하는 것입니다. 왜냐하면 복사&붙여넣기해도 그 사람을 '재현'할 수는 없기 때문입니다.

그 밖에도 '독자적 포지션'으로 블로그를 전달하여 '차별화'를 시도합시다.