https://meeco.kr/notice/29121498
미코라는 사이트 혹시 아시고 계시나요?
요약하자면, 운영자가 회원들간의 친목여부를 확인하기위해 회원의 동의없이 쪽지DB를 열람해서 회원들 간의 사적인 대화를 열람해 크게 터진 사건인데요
혹시 이와 관련해서 외국의 CMS또는 다른 CMS에서는 어떠한 조치를 취할 수 있는지 궁금합니다.
라이믹스에서도 쪽지는 암호화되지 않고 보관되는게 맞나요?
-
?
감청 위법이죠. 이건 쪽지 뿐 아니라 문자, 채팅, 메신저 다 동일합니다. -
?
암호화 하는건.. 좋지만, 어차피 풀릴 암호라면 안하는게 좋지 않을까 .. 싶습니다. -
수신자는 어떻게 보죠?? 이건 암호화해도 어차피 풀어야 합니다.
- 단방향 암호화 할 수 없는 컨텐츠 인거죠.
-
쪽지 형태의 보안은 기술적으로 발신자,수신자,시스템 이외의 다른 타인이 볼 수 있느냐의 문제입니다.
지금 링크해 주신 사례는 감청을 한 것입니다.
기술적으로 깊숙히는 모르겠지만 외부에 유출이 되어서 누구도 해석하지 못하게 단방향으로 암호화 한다는 것은 의미가 있겠지만
누군가 감청을 하지 못하게 하기 위해 양방향으로 암호화 하는 것은 의미가 없다고 봅니다. 어찌 되었던 복호화 되면 보인다는거고(수신자는 봐야 하기 때문에) 최고관리자라면 권한만 부여하면 즉시 복호화된 평문을 볼 수 있기에 이건 감청을 하지 않는다는 사고의식이 없으면 즉시 무력화 될 것 입니다.
감청을 절대 하지 않는다는 것을 운영자 스스로가 늘 항상 마음속에 담고 있어야 한다고 생각합니다. -
뭐 xe로 만든 사이트는 비번 걸어도 운영자는 다 보게 되어 있죠 -
어쨋거나 저 사이트 운영자가 결국에는 잘못한게 맞다는 소리군요
저도 항상 경각심을 가져야겠네요 -
쪽지를 열람할 수 없다면 오히려 문제가 되는 경우도 많습니다. 예를 들어 불특정 다수의 회원들에게 스팸 쪽지를 발송할 목적으로 가입하는 회원이 종종 있지요. 공개된 게시판에서의 행적만 보면 그 회원이 무엇을 잘못했는지 알 수 없습니다. 스팸쪽지 수신자의 말만 듣고 제재하더라도 문제가 될 수 있습니다. 규모가 좀 있는 커뮤니티에서는 한 사람에게 불이익을 주기 위해 여러 명이 짜고 거짓신고를 하는 일이 비일비재하니까요. 실제로 누가 누구에게 어떤 쪽지를 보냈는지 관리자가 객관적으로 확인할 수 있어야 제재할 수 있습니다.
웹앱에서 종단간 암호화는 무의미합니다. 복호화에 필요한 모든 정보가 서버에 이미 저장되어 있고, 무슨 수를 쓰더라도 사용자가 내용을 열람하는 순간에는 결국 평문으로 화면에 뿌려지니까요.
이런 현실 속에서 사이트 운영자와 이용자 모두의 권리를 보호하기 위해서는 게시물뿐 아니라 쪽지에 대해서도 이용약관이나 개인정보처리방침에 분명하게 규정할 필요가 있다고 생각합니다. 쪽지 시스템을 악용하여 사이트 운영자 또는 제3자를 공격하거나, 스팸을 발송하거나, n번방처럼 불법적인 정보를 주고받는다는 합리적인 의심이 있는 경우 운영자는 회원의 쪽지를 열람할 수 있다, 만약 열람하더라도 수사기관이 아닌 사람에게 그 내용을 공개해서는 안 된다, 그 밖의 경우에는 열람할 수 없다, 등등...
-
?
로그인할때 비밀번호에서 복호화키를 유도해서 로그인 쿠키로 저장하도록 하는건 어떨까요?
가입떄 공개키-비밀키 생성(클라이언트서) 공개키는 DB에 저장하고 비밀번호에서 DB에 저장된 해쉬랑 다른 salt로 유도해서 만든 키로 암호화(자바스크립트로)-> 암호화한 비밀키랑 쪽지용salt 사이트에 저장
쪽지 열람시 비밀번호 다시 묻고 DB에서 암호화된 비밀키 로드- 입력된 비밀번호로 비밀키 복호화 시도 - 유효한 형식의 키가 나오면 성공/ 실패시 비밀번호가 다른거니까 거절
서버 관리자가 코드 만지면 당연히 볼수 있겠지만 -
?
마지막줄에 쓰신 이유 때문에 결국 눈가리고 아웅이죠. 서버에서 보내준 js를 어떻게 믿어요. ㅎㅎ
-
?
그럼 결국 네이티브 앱도 오픈소스 재현가능 아니면 못믿는건 똑같으니까요
-
저 사이트 운영자분도 여기사이트에 가입되어 있을겁니다.
저는 저 사이트를, 기존의 어느사이트가 폭파되어서 반사이익을 본 사이트라고 기억하고 있네요.
사건의 모든 글을 읽어보지는 않았지만 서비스 운영자는 개인정보를 보호할 의무가 있습니다.
대부분의 기업에서는 개인정보보호 손해배상책임보험에 들어야하고, 임원급의 개인정보 보호 책임자와, 개인정보 보호 관리자를 두어야하며, 개인정보 관리대장을 운영하고, 개인정보 관련 교육도 수료해야합니다.
서비스 운영자는 적법하게 수집한 근거를 토대로만 말을 해야합니다. -
개인정보 정말 중요합니다.
암호화는 힘들 것이고.. 기진곰님의 댓글처럼 가입시 약관에 넣어두는게 최고인 것 같습니다. -
중요한 사항 하나 또 배워갑니다.
찾아 보니 통신비밀보호법 위반이라고 하네요 저 미코라는 사이트도 라이믹스 사이트 같고요
https://www.hankyung.com/society/article/2002100775308
https://news.sbs.co.kr/news/endPage.do?news_id=N1000751842
내부 규칙상 회원간 친목을 금지할 거면 쪽지나 친구 기능도 안 쓰는 게 맞는 거 같아요; DB 열어 보는 거 찜찜하네요 저는
저는 커뮤니케이션 모듈 자체를 안 쓰고 있는데 시험 삼아 보니까 암호화는 안 되고요
요렇게 다 뜨네요
한 달 정도 된 거 같은데 저 사이트도 링크한 기사처럼 법적 조치를 진행했는지 궁금하네요