데이터베이스에 보관된 내 개인정보나 비밀번호가 해킹 사고로 유출되더라도, 암호화 기술이 적용되어 있으면 해커가 그 내용을 읽을 수 없도록 안전하게 보호되나요?

Question

데이터베이스에 보관된 내 개인정보나 비밀번호가 해킹 사고로 유출되더라도, 암호화 기술이 적용되어 있으면 해커가 그 내용을 읽을 수 없도록 안전하게 보호되나요?

Answer 1

안녕하세요. 최정훈 전문가입니다.

암호화가 되어 있다고 하더라도 보안 방식이랑 키 관리 상태를 따라서 해커가 읽을 수 있는지 결정됩니다. 일단 일반 개인정보는 풀 수 있는 열쇠가 있습니다. 그래서 해커가 이 열쇠까지 훔치면 내용을 그대로 다 볼 수 있죠. 거기다가 복구 불가능한 암호화를 써야 하는 비밀번호도 단순한 암호화만 하면은 해커의 추적 프로그램에 쉽게 뚫릴 수도 있습니다.

그래서 결국에는 비밀번호 복구가 불가능한 해시 알고리즘과 복잡한 섞기 기술이 필수이죠. 왜냐하면은 무작위 문자 열을 섞어서 암호화하지 않으면 미리 계산된 해독표로 원래 비밀번호를 금방 맞춰 버리기 때문이죠. 그리고 기업에서는 키를 따로 보관하고 무작위 값을 섞는 고도화된 방식을 써야만 유출된다고 해도 안전하게 보호할 수가 있는 것입니다.

Answer 2

안녕하세요. 강세훈 전문가입니다.

암호화가 적용되어 있으면 해커가 내용을 바로 읽기는 어렵지만 100% 안전한 것은 아닙니다. 비밀번호와 개인정보의 종류에 따라 보호 수준이 다르고 암호화 키 관리가 부실하면 유출 시 해독될 수 있답니다.

Answer 3

안녕하세요.

최근에 은행들에서 개인정보가 탈취되었었는데

해킹 방식을 보니 랜덤으로 비번을 입력하는 방식이었습니다.

통상 5회 시도시 잠기는데

그걸 감안하고 4회까지만 시도하고 일정시간동안 쉬었다가 다시 4회를 시도하는 방식이었습니다.

그러다가 해킹시도가 포착되면 IP를 다른나라로 옮겨서 다시 시도하는 방식이었습니다.

결과적으론 유출인데

해킹방식은 한번에 뚫은게 아니라 같은곳을 계속 파고드는 방식입니다.

물론 사람이 하는게 아니라 프로그램을 돌리고 몇날이고 몇개월이고 계속 겨두면 언젠가 뚫리는 방식입니다.

뚤었다고해도 안에 돈이 없으면 해킹범들이 데이터를 파기할겁니다.

사실상 가치가 없다고 느끼기 때문이죠

해킹도 결국 돈때문에 하는라 돈이 없는 계좌면 흥미를 잃기 마련이죠

Answer 4

안녕하세요. 이수민 전문가입니다.

어느 정도는 보호되지만, 정보 종류와 처리 방식에 따라 안전한 정도가 달라요.

비밀번호는 원래 암호화가 아니라 해시라는 일방향 변환으로 저장해요. 비밀번호를 되돌릴 수 없는 문자열로 바꿔 두고, 로그인할 때 같은 방식으로 바꾼 값끼리 비교해요. 그런데 해커는 흔한 비밀번호 수십억 개를 해시로 바꿔 대조해 봐요. 그래서 '1234'나 생일처럼 단순한 비밀번호는 금방 맞춰져요. 사용자마다 다른 임의 값(솔트)을 섞고 bcrypt처럼 계산이 일부러 느린 방식을 쓰면 이런 대입 공격이 훨씬 어려워져요.

주민등록번호, 카드번호, 계좌번호는 국내 법에 따라 되돌릴 수 있는 양방향 암호화로 저장해야 해요. 이건 열쇠가 있으면 풀려요. 열쇠를 같은 서버에 두었다가 함께 털리면 암호화가 소용없어져요. 이름, 전화번호, 주소, 이메일은 암호화 의무 대상이 아니에요. 그대로 저장된 경우가 많아서 유출되면 바로 읽혀요.

사용자 쪽에서는 사이트마다 다른 비밀번호를 쓰고 2단계 인증을 켜 두세요. 그러면 유출이 생겨도 피해가 다른 계정으로 번지는 걸 막을 수 있어요 :)

Answer 5

안녕하세요. 김재훈 전문가입니다.

암호화 기술이 적용된 데이터베이스가 유출되면 일반 개인정보는 양방향 암호화로 인해 복호화 키가 없는 한 해커가 알아볼 수 없는 문자열로 보호됩니다. 특히 비밀번호는 복구가 불가능한 단방향 해시 함수에 고유 난수를 더해 저장되므로 데이터베이스 파일 자체만 탈취당했을 때 원래 비밀번호를 알아내는 것은 매우 어렵습니다 하지만 해커가 DB와 함께 서버 내부의 암호화 키까지 함께 탈취하거나 비밀번호 추측 공격을 시도할 경우 해독될 위험이 존재합니다 따라서 암호화는 매우 강력한 방어선이지만 키 관리 부실이나 취약한 비밀번호 설정 등의 조건에 따라 완벽한 안전을 보장할 수는 없으므로 다층적인 보안 관리와 복잡한 비밀번호 사용이 병행되어야 합니다