보안가오리

[Flask] 설치와 웹페이지 실행

kimgaori — Fri, 25 Oct 2024 16:28:10 +0900

구름톤 딥다이브 PBL 과제2 수행 결과를 포함해 정리한 글입니다.

0. Flask

Python 기반의 웹 프레임워크

- Django와 더불어 Python 웹 프레임워크의 양대산맥이라고 불림

~~- 요즘은 FastAPI에 밀려나고 있는 추세라고도 함~~

- 짧은 코드 몇 줄만으로 동작하는 웹페이지를 생성할 수 있음

Flask 웹 페이지를 생성한 후 "Hello World!" 라는 간단하고도 영원히 익숙한 문장을 출력하려고 한다.

이번에는 윈도우 환경이 아닌 맥 OS에서 진행했다.

맥을 사용할 기회가 생겨 맥의 Homebrew를 통해 생성했다.

완성 결과물)

Flask 웹페이지 결과 화면

1. 개발 환경 세팅

일단 맥에서 진행하고자 하면 소프트웨어 설치를 용이하게 해주는 Homebrew를 설치하면 편리하다.

또 Flask를 이용하기 위한 Python 설치 과정이 필요하며 파이썬 가상환경까지 설치해주면 된다.

Homebrew 설치

Homebrew 사이트에 접속한 후 하단의 링크를 복사해 본인의 터미널에 작성한다

https://brew.sh/

Homebrew

The Missing Package Manager for macOS (or Linux).

brew.sh

이와 같은 명령어를 붙여넣으면 된다.

/bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"

Python 설치

$ python3 --version

사실 맥북에는 기본적으로 Python이 설치되어 있다.

하지만 파이썬이 설치되어있는게 맞는지, 버전은 어떤지 확인을 위해서 명령어를 입력해 알아볼 수 있다.

$ brew install python3
$ python3 --version

만약 설치가 되어있지 않다면 위 명령어를 입력해 새로 설치가 가능하다.

이렇게 입력 후 설치하면 파이썬 패키지 관리 툴인 pip가 함께 설치된다.

앞으로 파이썬과 관련한 패키지는 모두 pip로 설치가 가능해진다.

가상환경 설치, 생성

$ sudo pip3 install virtualenv

sudo 최고 관리자 권한으로 virtualenv를 설치한다.

이 가상환경 내에서 웹페이지를 실행할 예정이다.

설치 후 프로젝트 폴더에서 설치한 가상환경 virtualenv를 생성하고 켜준다

$ virtualenv myenv
$ source myenv/bin/activate

gaoriui-MacBookPro ~ % virtualenv myenv

gaoriui-MacBookPro ~ % source myenv/bin/activate

이와 유사한 형태로 입력하면

(myenv) gaoriui-MacBookPro ~ %

의 형태로 기존 내 정보 앞에 (myenv)가 붙는 것을 볼 수 있다.

그러면 가상환경이 켜진 걸로 볼 수 있다.

가상환경을 끄고 싶으면 deactivate 를 입력하면 된다고 한다.

flask 설치

$ pip3 install flask

(myenv)가 붙은 상태에서 위 명령어를 입력한다.

그럴 경우

(myenv) gaoriui-MacBookPro ~ % pip3 install flask 로 보이게 된다.

가상환경 내에서 pip를 통해 flask를 설치한 것으로 이 가상환경에서만 적용된 상태다.

2. 프로젝트 폴더 생성

나는 flask에 프로젝트 폴더조차 생성 되어있지 않아 생성해주고 폴더로 이동하는 과정을 거쳤다.

프로젝트 폴더를 이미 생성 했거나 존재한다면 이 부분은 넘어가면 된다.

$ mkdir project
$ cd project

mkdir는 리눅스 명령어로 make directory의 약자며 폴더(디렉토리)를 생성할 때 사용한다.

나는 이 명령어를 통해 project라는 폴더를 생성했다.

이후 cd 리눅스 명령어로 project 폴더로 이동하는 과정을 거쳤다.

이 과정에서도 앞에 가상환경 내에서 실행하고 있다는 (myenv)가 붙은 채로

(myenv) gaoriui-MacBookPro ~ % mkdir project
(myenv) gaoriui-MacBookPro ~ % cd project

이런 형태로 보여야 한다.

이 과정까지 마쳤다면 명령어를 입력할 수 있는 창의 형태가 이렇게 변해야한다.

(myenv) gaoriui-MacBookPro project %

MacBookPro(사용하는 PC에 따라 상이) 뒤에 project 라는 내가 방금 생성한 디렉토리가 추가되어 보인다.

그럼 드디어 폴더 안에 웹페이지 생성을 위한 코드를 파이썬으로 작성할 수 있게 되었다.

3. flask 웹페이지 생성

$ nano hello.py

리눅스의 nano 편집기를 이용해 내가 만들 웹페이지 hello.py 파일을 생성한다.

열린 nano 편집기에 파이썬으로 코드를 작성한다.

hello.py

from flask import Flask
app = Flask(__name__)


@app.route('/')
def hello():
    return "Hello World!"

위 코드를 열린 nano 편집기에 작성한 후 Ctrl + O(저장하기), Ctrl + X(nano 편집기 종료) nano 편집기에서 빠져나오면 된다.

4. Flask 실행

$ python3 hello.py

터미널에서 flask를 실행하기 위해 명령어를 입력한다.

* Running on http://127.0.0.1:5000/ (Press CTRL+C to quit)

* Restarting with stat

* Debugger is active!

* Debugger PIN: xxx-xxx-xxx

이와 같은 명령어가 출력되면 http://127.0.0.1:5000/를 주소창에 입력하거나 http://localhost:5000/를 입력한다.

열린 웹페이지로 "Hello World!"라는 문구가 출력된 것을 확인할 수 있다.

5. 이외의 기타 사항을 위한 정리

Flask의 설치 확인

$ pip3 show Flask

명령어를 입력했을 때 flask에 대한 정보를 출력 시 정상적으로 flask가 설치된 상태이다.

hello.py의 생성 확인

$ ls

파일이 잘 생성되었는지 확인해볼 수 있는 ls 명령어다.

(myenv) gaoriui-MacBookPro project % ls
hello.py

이러한 형태로 출력되며 디렉토리 내에 존재하는 목록을 볼 수 있는 명령어이다.

방금 생성한 hello.py 파일이 존재하는걸 확인할 수 있다.

nano 편집기를 사용하지 않는 방법

$ touch hello.py

nano 명령어가 아닌 touch 명령어를 이용해 파일 생성과 편집이 가능하다.

touch 명령어는 파일의 날짜와 시간을 수정하는 명령어지만 0바이트의 아무것도 없는 파일을 생성하기 위해서도 자주 사용된다.

다른 방식으로 웹페이지 실행하기

$ FLASK_APP=hello.py flask run

명령어를 이용하면 된다.

[Wireshark] 네트워크 패킷 분석

kimgaori — Fri, 18 Oct 2024 18:59:42 +0900

조원분들과 함께한 구름톤 딥다이브 PBL 과제1 수행 결과를 정리한 글입니다.

분석 대상: 200722_tcp_anon.pcapng(Netcat - string, file and characters)
파일 다운로드 URL: https://wiki.wireshark.org/SampleCaptures#tcp
파일이 접속한 URL: https://www.rfc-editor.org/rfc/rfc2549.html
원문 파일명: IP over Avian Carriers with Quality of Service

사진1) TCP Header 정보 [https://www.rfc-editor.org/rfc/rfc793#section-3.1]

사진2) 3-Way Handshake 개념 [https://afteracademy.com/blog/what-is-a-tcp-3-way-handshake-process/]

1. 패킷 개요

해당 패킷은 총 35패킷으로 이루어져 있다.
3-Way Handshake의 대표적인 예시 패킷으로 보임. [연결 확인]

(1) 클라이언트가 도착할 서버에 SYN 패킷을 보냄. (출발지 7875 → 도착지 2000)

(2) 서버는 클라이언트의 SYN 패킷을 수신하고 SYN + ACK 패킷을 보냄. (2000 → 7875) 이때 Ack= +1 증가

(3) 정상 응답 후 클라이언트가 보낸 시퀀스번호에 +1 증가하여 새로운 시퀀스번호를 생성하고 보냄.

사진 3

2. 패킷 상세 분석

1. 패킷 송수신 날짜 확인

Arrival Time: Jul 23, 2020 11:05:24.234640000 대한민국 표준시 (첫 연결 기준)

2. 길이

Total Length: 52

16진수 00 34 → 10진수 변환 시 52(일치)

66 bytes (528 bits)

3. 도착 연결지 확인(이상치 탐지)

송수신된 패킷 중 데이터(문자열)가 높은 몇 개의 패킷 발견, 해당 패킷 자세히 분석 진행

사진 4

사진 5

데이터가 높은 패킷을 확인 결과 무언가를 접속한 듯함 -> 해당 문자열을 출력해 메모장에 옮긴 후 분석 실행

사진 6

프로토콜 설명으로 보이는 문서 내용을 발견
해당 내용의 진위 확인

사진 7

QoS 프로토콜 설명 페이지는 하나의 SPA(Single Page Application) 형식으로 보이나 실제 패킷이 송수신되었을 때는 여러 번 나눠 전달됨.
해당 프로토콜 문서 확인 결과 인터넷의 유희성을 보여주는 사례 중 하나로 볼 수 있음 - 실제로 구현되거나 사용되기 위한 기술 문서가 아님
아래의 하위 페이지는 QoS 프로토콜 전문 및 번역본

원문

IP over Avian Carriers with Quality of Service

Network Working Group                                    D. Waitzman
Request for Comments: 2549                       IronBridge Networks
Updates:1149                                           1 April 1999
Category: Experimental

IP over Avian Carriers with Quality of Service

Status of this Memo

   This memo defines an Experimental Protocol for the Internet
   community.  It does not specify an Internet standard of any kind.
   Discussion and suggestions for improvement are requested.
   Distribution of this memo is unlimited.

Copyright Notice

   Copyright (C) The Internet Society (1999).  All Rights Reserved.

Abstract

   This memo amendsRFC 1149, "A Standard for the Transmission of IP
   Datagrams on Avian Carriers", with Quality of Service information.
   This is an experimental, not recommended standard.

Overview and Rational

   The following quality of service levels are available: Concorde,
   First, Business, and Coach.  Concorde class offers expedited data
   delivery.  One major benefit to using Avian Carriers is that this is
   the only networking technology that earns frequent flyer miles, plus
   the Concorde and First classes of service earn 50% bonus miles per
   packet.  Ostriches are an alternate carrier that have much greater
   bulk transfer capability but provide slower delivery, and require the
   use of bridges between domains.

   The service level is indicated on a per-carrier basis by bar-code
   markings on the wing.  One implementation strategy is for a bar-code
   reader to scan each carrier as it enters the router and then enqueue
   it in the proper queue, gated to prevent exit until the proper time.
   The carriers may sleep while enqueued.

   For secure networks, carriers may have classes Prime or Choice.
   Prime carriers are self-keying when using public key encryption.
   Some distributors have been known to falsely classify Choice carriers
   as Prime.

   Packets MAY be marked for deletion using RED paint while enqueued.

Waitzman                      Experimental                      [Page 1]

RFC 2549            IP over Avian Carriers with QoS         1 April 1999

   Weighted fair queueing (WFQ) MAY be implemented using scales, as
   shown:

                                                  __
                                  _____/-----\   / o\
                                 <____   _____\_/    >--
                 +-----+              \ /    /______/
                 | 10g |               /|:||/
                 +-----+              /____/|
                 | 10g |                    |
                 +-----+          ..X
               ===============================
                              ^
                              |
                          =========

   Carriers in the queue too long may leave log entries, as shown on the
   scale.

   The following is a plot of traffic shaping, from coop-erative host
   sites.

        Alt |       Plot of Traffic Shaping showing carriers in flight
            |
         2k |           ....................
            |          .                    .
            |         .                      .
         1k |        .                        .
            |   +---+                          +---+
            |   | A |                          | B |
            |   +---+                          +---+
            |_____________________________________________

   Avian carriers normally bypass bridges and tunnels but will seek out
   worm hole tunnels.  When carrying web traffic, the carriers may
   digest the spiders, leaving behind a more compact representation.
   The carriers may be confused by mirrors.

   Round-robin queueing is not recommended.  Robins make for well-tuned
   networks but do not support the necessary auto-homing feature.

   A BOF was held at the last IETF but only Avian Carriers were allowed
   entry, so we don't know the results other than we're sure they think
   MPLS is great.  Our attempts at attaching labels to the carriers have
   been met with resistance.

Waitzman                      Experimental                      [Page 2]

RFC 2549            IP over Avian Carriers with QoS         1 April 1999

   NATs are not recommended either -- as with many protocols, modifying
   the brain-embedded IP addresses is difficult, plus Avian Carriers MAY
   eat the NATs.

   Encapsulation may be done with saran wrappers.  Unintentional
   encapsulation in hawks has been known to occur, with decapsulation
   being messy and the packets mangled.

   Loose source routes are a viable evolutionary alternative enhanced
   standards-based MSWindows-compliant technology, but strict source
   routes MUST NOT be used, as they are a choke-point.

   The ITU has offered the IETF formal alignment with its corresponding
   technology, Penguins, but that won't fly.

   Multicasting is supported, but requires the implementation of a clone
   device.  Carriers may be lost if they are based on a tree as it is
   being pruned.  The carriers propagate via an inheritance tree.  The
   carriers have an average TTL of 15 years, so their use in expanding
   ring searches is limited.

   Additional quality of service discussion can be found in a Michelin's
   guide.

MIB and Management issues

   AvCarrier2 OBJECT-TYPE
     SYNTAX     SEQUENCE OF DNA
     MAX-ACCESS can't-read
     STATUS     living
     DESCRIPTION "Definition of an avian carrier"
     ::= { life eukaryotes mitochondrial_eukaryotes crown_eukaryotes
           metazoa chordata craniata vertebrata gnathostomata
           sarcopterygii terrestrial_vertebrates amniota diapsida
           archosauromorpha archosauria dinosauria aves neornithes
           columbiformes columbidae columba livia }

   AvCarrier OBJECT-TYPE
     SYNTAX     SET OF Cells
     MAX-ACCESS not-accessible
     STATUS     obsolete
     DESCRIPTION "Definition of an avian carrier"
     ::= { life animalia chordata vertebrata aves
           columbiformes columbidae columba livia }

   PulseRate OBJECT-TYPE
     SYNTAX     Gauge(0..300)
     MAX-ACCESS read-only

Waitzman                      Experimental                      [Page 3]

RFC 2549            IP over Avian Carriers with QoS         1 April 1999

     STATUS     current
     DESCRIPTION "Pulse rate of carrier, as measured in neck.
                  Frequent sampling is disruptive to operations."
     ::= { AvCarrier 1}

   The carriers will not line up in lexigraphic order but will
   naturally order in a large V shape.  Bulk retrieval is possible
   using the Powerful Get-Net operator.

Specification of Requirements

   In this document, several words are used to signify the requirements
   of the specification.  These words are often capitalized.

   MUST      Usually.

   MUST NOT  Usually not.

   SHOULD    Only when Marketing insists.

   MAY       Only if it doesn't cost extra.

Security Considerations

   There are privacy issues with stool pigeons.

   Agoraphobic carriers are very insecure in operation.

Patent Considerations

   There is ongoing litigation about which is the prior art: carrier or
   egg.

References

   Waitzman, D., "A Standard for the Transmission of IP Datagrams on
   Avian Carriers",RFC 1149, 1 April 1990.

ACKnowledgments

   Jihttp://m.Carlson.Ibnets.com > Jon.Saperia . ack 32 win 123 (DF)
   Ross Callon, Scott Bradner, Charlie Lynn ...

Waitzman                      Experimental                      [Page 4]

RFC 2549            IP over Avian Carriers with QoS         1 April 1999

Author's Address

   David Waitzman
   IronBridge Networks
   55 Hayden Ave
   Lexington, MA 02421
   Phone: (781) 372-8161

   EMail: djw@vineyard.net

번역 정리(feat.ChatGPT)

RFC 2549는 "IP over Avian Carriers with Quality of Service"라는 제목의 문서로, 인터넷 프로토콜(IP)을 조류(특히 비둘기) 통신 매체를 통해 전송하는 방법에 대해 설명하고 있습니다. 이 문서는 1999년에 작성된 것으로, 사실상 인터넷 커뮤니티 내에서 유머를 담아 작성된 패러디 문서입니다. 이 문서의 내용은 실용적이지 않으며, 인터넷 프로토콜(IP) 기술을 이해하는 사람들에게 재미를 주기 위한 목적으로 작성되었습니다.

주요 내용은 다음과 같습니다:

1. 개요

이 문서는 IP 패킷을 조류를 통해 전송하는 방법에 대해 설명합니다. 이는 이전에 발표된 "IP over Avian Carriers" (RFC 1149)에서 소개된 기본 개념에 기반하며, 이번 버전에서는 Quality of Service (QoS, 서비스 품질)를 개선했습니다.

2. 사양

IP 패킷은 조류에 부착된 캡슐 안에 물리적으로 담겨 전송됩니다. 각 조류는 한 번에 하나의 IP 패킷을 운반할 수 있습니다.
조류가 패킷을 목적지로 운반하면, 캡슐에서 패킷을 꺼내고, 네트워크에 전달합니다.

3. QoS와 조류의 특성

조류의 속도와 신뢰성에 따라 QoS가 결정됩니다. 이 문서에서는 조류의 비행 속도, 휴식 시간, 날씨 조건 등을 고려하여 QoS를 계산하는 방법을 설명합니다.
조류의 피로와 건강 상태도 QoS에 영향을 미칩니다. 따라서 조류의 상태를 모니터링하고, 필요할 경우 휴식을 주는 것이 중요합니다.

4. 전송 오류 처리

전송 중 조류가 길을 잃거나 사고로 인해 패킷이 손실될 수 있습니다. 이러한 경우, 패킷을 다시 전송해야 합니다.
패킷이 성공적으로 전송되지 않은 경우, 자동으로 재전송 메커니즘이 작동합니다.

5. 보안

조류가 운반하는 패킷이 다른 포식자나 외부 요인에 의해 도난당할 수 있으므로, 보안을 강화하기 위한 방법이 제안됩니다. 예를 들어, 캡슐을 암호화하거나, 조류를 보호하는 조치를 취할 수 있습니다.

6. 미래 가능성

문서에서는 IP over Avian Carriers의 향후 발전 가능성에 대해서도 언급하고 있습니다. 특히, 새로운 조류 종을 도입하거나, 전송 효율성을 높이기 위한 방법을 연구할 수 있다고 제안합니다.

이 문서는 인터넷의 유머러스한 측면을 보여주는 대표적인 사례로, 실제로 구현되거나 사용되기 위한 기술 문서가 아님. 기술에 익숙한 사람들에게 즐거움을 주기 위해 만들어졌으며, 인터넷 역사에서 이러한 패러디 문서가 만들어질 수 있는 환경과 문화를 엿볼 수 있는 재미있는 자료입니다.

3. 패킷이 나눠서 통신된 이유(feat.MSS)

사진 8

MTU - (TCP 헤더 + IP 헤더) = MSS
TCP의 경우 손실(Loss) 발생 시 해당 패킷을 다시 전송해야 하는데 크기가 크면 비용이 너무 많이 든다.
반대로 패킷이 너무 작아도 헤더가 자주 붙어서 오히려 비용이 많이 든다.

본 과제의 첨부된 패킷들의 경우 1460 크기로 5개 + 759 크기 1개로 분할되어 문서가 전달되었음

[1460 크기로 분할하여 수신된 이유]

네트워크 라우터의 MTU가 1,500이라고 가정하면 최대 1,500바이트 길이의 패킷만 수신하기 때문이다. (더 긴 패킷은 분편화된다.)

MTU - (TCP 헤더 + IP 헤더) = MSS

-> 1,500 - (20 + 20) = 1,460

라우터의 MSS는 1,460바이트로 설정해야 합니다. 페이로드 크기가 1,460바이트보다 큰 패킷은 삭제됩니다.

장치는 해당 장치와 다른 장치 사이에 있는 라우터의 MTU 및 MSS 설정을 인식하지 못하는 경우 실수로 이와 같이 지나치게 큰 패킷을 보낼 수 있다.
경로 MTU 검색이라고 하는 프로세스는 이러한 사고를 방지하는 데 도움이 된다.
문서의 total크기는 8059이다.

아래의 사진9, 사진10은 MSS 개념을 설명하기 위한 사진이다.

사진 9

사진 10 [https://www.cloudflare.com/ko-kr/learning/network-layer/what-is-mss/]

4. 결론 및 의문점

해당 패킷 데이터는 TCP 프로토콜이 데이터를 어떻게 송수신되는 지를 보여주는 간단한 캡처 데이터로 파악된다.
26~31 패킷의 경우 작은 데이터로 계속 PSH 응답으로 진행되었는데 이유가 무엇인지 궁금합니다.
- 패킷 25~26: 약 8.65초 지연 발생

사진 11

[구름톤] 지원 및 합격 후기, OT 회고

kimgaori — Wed, 28 Aug 2024 19:00:19 +0900

구름톤 DEEP DIVE에 지원하다 ✨

내가 지원한 구름톤 딥다이브는 정보보호 전문가 양성과정 9회차이다.

내일배움카드를 통해 국비 지원을 받아 신청하게 되었고, 카카오 기업과 구름 기업이 함께 진행한다는 게 흥미로웠다.

수업만을 진행하는 다른 국비지원 프로그램과 달리 다양한 분야에서 성장을 요구하고 나의 발전을 도모할 수 있다는 문구 등이 마음에 들어 지원하게 되었다.

내가 듣는 정보보호 전문가 양성 과정은 실시간 비대면으로 진행되는 다른 구름톤 DEEP DIVE 과정과 달리 온라인 강의 방식으로 진행한다고 한다.

조금 아쉽기도 하지만 이론 수업뿐만이 아니라 실무 경험을 느껴볼 수 있는 프로젝트를 많이 진행하는 점이 가장 기대가 되었다.

지원서 질문 정리 ✅

1. 구름톤 DEEP DIVE를 통해 이루고 싶은 목표를 작성해 주세요.
(IT분야에 관심을 갖게 된 계기, 배경과 본 교육 과정을 통해 성취하고 싶은 구체적인 목표를 서술해 주세요/500자)

사이버 보안에 대해 관심을 가지게 된 이유와 이 프로그램을 수강해 나의 실무 실력을 쌓고 앞으로 이 분야에 전문가가 되어 지속적으로 기여하고자 하는 마음을 어필하기 위해 노력했다.

특히 구름 기업의 '모두가 개발자가 된다'라는 비전이 마음에 와닿아 프로그램에 참여하고자 하는 마음이 있었기에 이런 뜻에 공감해 나 또한 많은 발전을 하고 싶다는 것을 강조했다.

2. 프로젝트나 공동 작업 중 가장 기억에 남는 사례와 그때의 역할, 기여도, 협업 과정에서의 갈등 상황 및 해결 노력에 대해 서술해 주세요.
(지원자의 역할, 기여도, 협업 과정에서의 갈등 상황과 그 해결을 위해 기울인 노력에 관하여 서술해 주세요/500자)

보안 또는 개발 등의 분야에서 거창하게 뭘 해낸 프로젝트 경험이 없었기에 다른 지원자분들에 비해 초라해 보일 수 있지만 이전에 진행했던 한 프로젝트에서 소소하지만 갈등이 있었던 경험을 작성했다.

내가 처했던 상황과, 갈등으로 인한 나의 행동, 그에 대한 결과를 진솔히 풀어내고자 노력했다.

지원 접수 후 기다림 ✨

이 프로그램에 지원 당시부터 면접은 따로 진행되지 않고 내가 지원서를 작성한 것을 바탕으로 심사를 하시고 합격 결과가 전달되는 것을 알고 지원했었다.

하지만 지원서 작성 후 지원 완료 이메일이 오고 합격 연락이 오는 방식이라 합격 연락이 오기 전까지 조금 떨렸다.

내가 놓치게 될까 봐 조급해지는 마음에 지원서를 마감일에 며칠 여유를 두고 신청을 해두고 합격 결과를 기다렸다.

추후 수정이 불가능한 방식이었기에 혹여 내가 연락처를 잘못 적었을까, 지원 완료 이메일은 왔지만 이메일에 뭔가 오류가 있으면 어떡하나, 분명 체크했지만 오타가 발견되거나 글자수 제한에 맞지 않는 형식으로 작성했을까 걱정이 있었다.

추후 생각해 보면 웹에서 제출하는 방식으로 내가 제출한 내용을 볼 수 없고 그에 따라 당연스레 수정이 불가능하다는 점이 가장 마음이 불편했던 것 같다....

프로그램의 특성상 수업 시간이 주 5일 평일동안 진행되는 만큼 올해 휴학 기간 동안 수강하지 못한다면 더 이상 지원을 하더라도 수강이 어려울 것이라는 걱정에 프로그램에 참여하고 싶었다.

이러한 마음을 뒤로하고 내가 확인할 수 있는 것은 구름톤 DEEP DIVE 페이지와 사이버 보안 과정 지원 페이지 두 개뿐이었다.

수업을 듣지 못하면 어쩌나 하는 마음에 관련한 합불합 후기와 먼저 수강하셨던 분들의 기록을 찾아보고 싶었다.

하지만 내가 지원하기 이전까지 정식명칭 "9roormthon DEEP DIVE"인 현재의 프로그램 이름이 아닌 "구름톤 트레이닝"의 이름으로 활동되었다고 한다.

이를 몰랐던 나는 구름톤 DEEP DIVE 과정으로 검색했기에 수강 후기가 쉽사리 나오지 않아 꽤 골머리를 앓았었다....

내가 무사히 합격을 하고 나서야 이 과정이 이름이 바뀌었다는 사실을 알게 되어 조금 허탈했고 내가 이런 내용 파악이 어려웠을 만큼 긴장을 많이 했었구나 하는 생각에 그 순간 긴장이 풀렸던 듯하다.

최종 선발 - 합격 ✨

오래 기다린 만큼 메일이 온 걸 확인한 순간 행복했다.

메일이 오고 다음날 합격 문자도 도착했고 이미 메일을 확인했음에도 괜히 뿌듯한 마음이 들었다.

기다리던 보안 수업을 들을 수 있고, 학교 수업과 달리 다양한 사람들과 만나며 여러 프로젝트를 진행할 수 있을 것이라는 생각에 기대감이 생겼다.

곧이어 수업을 듣기 위한 사전 준비사항 공지 메일이 왔고 학습용 맥북을 대여하고 디스코드에 참여했다.

설레는 마음에 디스코드에 보내주신 공지를 모두 읽어보았다.

이 많은 사람들이 모두가 정보보안에 흥미를 가지고 신청했다는 것에 같은 관심사를 가진 새로운 사람들을 많이 만날 듯 해 기대가 된다.

오프라인 OT 참여 회고✨

판교에 있는 디지털센터에서 오리엔테이션이 진행되었다.

지방에 살기 때문에 전날 저녁 서울에 올라갔고 판교 근처 숙소에서 하룻밤을 머물고 오전 9시에 맞춰 구름 스퀘어에 도착했다.

구름스퀘어 https://goorm-square.oopy.io/

다들 구름스퀘어의 이곳 타운홀 사진을 많이 가져오지만 정보보호 9회차의 OT는 타운홀이 아닌 잡스룸에서 진행됐다.

구름스퀘어에 다양한 공간이 있었고 각 공간의 이름을 들으면 어? 할만한 사람들의 이름을 따와 재밌었다.

구름스퀘어 https://goorm-square.oopy.io/

정보보호 9회차가 OT를 진행했던 잡스(JOBS)룸이다.

구름스퀘어 사이트에서 가져온 두 사진은 모두 흰색의 깔끔한 공간이지만 두 번째, 내가 찍어둔 사진처럼 실제로 가보니 그와 더불어 쨍한 파란색으로 인테리어가 되어있어 예뻤다.

구름톤 딥다이브 교육 ✅

학습자의 주도학습 중요시
자율적으로 공부하며 협력 중요
과제는 팀별 진행 -> 개인별 과제 없음
1단위 기간(약 한 달) 동안 50% 무단결석 시 제적
총 교육기간의 80% 이상 출석, 최종 프로젝트 참여 및 평가 점수가 60점 이상일 경우 수료
- 수료증 발급
- 굿즈 제공(구름 딥다이브 커스텀 웰컴 키트)
- 우수수료자 선정
온라인 수업 기간 외 특강 등 집체 훈련 기간 존재

이외에도 사용하는 플랫폼들이 많아 적응하기 조금 어려울 것 같다는 생각이 들었다.

구름 EDU(KDT), 구름 EXP, ZEP 등 구름만의 플랫폼과 Notion, Discord, ZOOM 등 비교적 익숙한 플랫폼을 혼재해 사용하고 있었고 각 교육마다 공지나 프로그램 진행 등이 여러 곳에서 진행하기에 주의해야겠다는 생각을 했다.

커리어 매니저님

커리어 매니저님으로 미아님이 소개되었다. 미아님께서 개발자가 선정한 가장 어려운 채용 전형으로 면접을 꼽으며 이 면접을 미아님께서 시너지를 일으켜 인재를 추천하는 일을 하신다고 했다.

이에 관련한 일화들과 경력을 설명해 주시고 긴장된 분위기를 편하게 해 주시면서 미아님의 미스터리 학사 전공을 끝으로 커리어 매니저님과의 시간을 마무리했다.

아이스브레이킹 ✅

온라인으로 진행하는 수업의 특성상 서로 만나기에 제약이 있고 그로 인해 대면 수업으로 만나는 것보다는 친해지기 조금 어렵다는 걸 이해하시는지 다양한 아이스브레이킹 게임을 준비해 주셨다.

구름톤 운영 가이드를 퀴즈 형식으로 낸 문제, 초성 퀴즈, 마시멜로와 파스타면을 이용해 탑을 쌓는 게임 등을 준비해 주셨고 이 중 마시멜로 게임을 하며 초면으로 이루어진 팀 구성에도 사람들과 편히 친해질 수 있었던 기회가 있었다.

현직자 마인드 셋

현재 카스퍼스키에 재직 중이신 김다솜 님께서 현직자 특강을 진행해 주셨다.

다솜님이 보안 전문가의 길을 가게 된 이유와 한국 기업이 아닌 해외 기업들과 일하게 된 이유, 그에 따른 일화 등을 정말 편히 설명해 주셔서 너무 흥미롭고 유익한 시간이었다.

정말 이 길을 가며 멘탈적으로 무너질 수 있는 부분과 극복 마인드, 또 역량 개발 부분이나 이직 등 우리가 보안전문가의 길을 가게 되었을 때 맞닥뜨릴 수 있는 문제들을 설명해 주셔서 너무나 즐거운 시간이었다.

다솜님께서 해주신 말씀 중 기억에 남는 걸 따로 적은 노트에서 조금만 적어보자면 이런 내용이 있다.

용어를 익히기 위해서 해외의 보안 보고서를 무작정 읽었다.

내 옆에 있는 애가 나보다 잘하는 것 같을 때 무너지지 말고 나아가야 한다.

영어를 디폴트로 해야 하고 제3 언어가 플러스 요소다. 기술 스택이 떨어지더라도 외국어로 가산 경우가 많다.

다양한 보안 분야 중 방향을 고려하기 위해서는 최대한 많은 분야를 경험해 보고 그 후 내가 좋아하는지, 재밌는지를 판단해야 한다.

면접에서는 최근 본인이 본 보안 뉴스, 침해사고 등에 대해 물어보는 경우가 많으며 기본 개념에 대해 묻는 경우도 많다.

포트폴리오를 작성할 때는 내가 뭘 했는지 근거를 가지고 어필해라. 어필이 성공한다면 그것이 나의 강점이다.

내가 다솜님이 남기신 말을 임의대로 작성하긴 했지만 이처럼 정말 많은 분야에서 조언을 해주셨고 정말 정말 유익한 시간이었다.

구르미 서포터즈 신청 ✨

얼마 없던 구름톤 OT 회고 블로그들을 보며 서포터즈라는 내용이 있어 흥미로웠다.

붙게 된다면 신청해 봐야지 하고 알아봤으나 정보보호 과정 안내 사이트거나 딥다이브 사이트에 나와있지 않아서 이젠 모집하지 않는 줄 알고 실망했다.

하지만 OT에서 구르미 서포터즈를 각 교육과정마다 3명씩 모집할 예정이며 혜택 또한 있다는 것을 알게 되었다.

서포터즈 업무

매일 ZOOM 강의실 열기/닫기
출석체크
리마인드 안내 - 서포터 역할

서포터즈 혜택

구름 EDU 콘텐츠 추가 제공
커리어 멘토와의 1:1 진로상담 및 취업 컨설팅 기회
구름 키트
우수 수료생 선발 시 가산점 부여

이러한 혜택이 있었기에 이왕 교육에 참여하게 된 이상 서포터즈를 하게 되면 더욱 교육에 집중을 할 수 있을 듯 해 지원했다. 또 예상보다는 서포터즈가 하는 일이 막연히 많지는 않아 조금 더 마음 편히 지원할 수 있었던 것 같다.

최종 회고 ✨

사실 OT에 참여를 하는 게 맞나 고민을 했었다. 꽤나 일정이 늦게 나왔기에 서울 구름스퀘어까지 가는 교통이 애매했고 불참 시 결석이긴 하지만 결석만 면해보자는 생각으로 많은 기대를 하지 않고 참여했었다.

하지만 이 현장에 참여하지 않았다면 지금보다 나를 어필하지 못해 스터디 팀 선정에 조금이나마의 어려움이 있었을 테고 많은 플랫폼과 익숙해지지 못해 교육에 흥미를 잃어버렸을지도 모른다는 생각이 든다.

무엇보다 정말 많은 사람들과 서로 안면을 트고 같은 보안 직무를 꿈꾸는 사람들과 조금이나마 친해질 수 있었고 현직자의 특강, 서포터즈 선발 등 참여하지 않았다면 후회했을 거라는 생각이 든다.

교육 첫 날치고는 굉장히 할 게 많았었지만 그래도 기억에 남기기 위해 기록하고자 한다.

[SpringBoot] 회원가입 api구현

kimgaori — Sun, 28 Jul 2024 03:48:00 +0900

인증 · 보안 기능 없는 회원가입 api

내 자력으로 코드를 작성했기보다는 chatGPT - Comma... 도움을 많이 받았기에 많이 아쉽다. 다음 회원가입 api구현에는 도움을 받지 않고 작성할만큼 성장하고 싶다.

프로젝트 전체 구조

src
└── main
    └── java
        └── com
            └── example
                └── Backend
                    └── Study
                        ├── BackendStudyApplication.java
                        ├── controller
                        │   └── UserController.java
                        ├── dto
                        │   └── UserDto.java
                        ├── entity
                        │   └── User.java
                        ├── repository
                        │   └── UserRepository.java
                        └── service
                            └── UserService.java

Controller

UserController.java

- 사용자 등록과 관련된 REST API 엔드포인트를 정의

// src/main/java/com/example/Backend/Study/controller/UserController.java

package com.example.Backend.Study.controller;

import com.example.Backend.Study.dto.UserDto;
import com.example.Backend.Study.entity.User;
import com.example.Backend.Study.service.UserService;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.http.HttpStatus;
import org.springframework.http.ResponseEntity;
import org.springframework.web.bind.annotation.*;

@RestController
@RequestMapping("/api/users")
public class UserController {

    @Autowired
    private UserService userService;

    @PostMapping("/register")
    public ResponseEntity<User> registerUser(@RequestBody UserDto userDto) {
        User user = userService.registerUser(userDto);
        return new ResponseEntity<>(user, HttpStatus.CREATED);
    }
}

Service

UserService.java

- 비즈니스 로직 처리하는 서비스 계층

// src/main/java/com/example/Backend/Study/service/UserService.java

package com.example.Backend.Study.service;

import com.example.Backend.Study.dto.UserDto;
import com.example.Backend.Study.entity.User;
import com.example.Backend.Study.repository.UserRepository;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.stereotype.Service;

@Service
public class UserService {

    @Autowired
    private UserRepository userRepository;

    public User registerUser(UserDto userDto) {
        User user = new User();
        user.setUsername(userDto.getUsername());
        user.setPassword(userDto.getPassword());
        return userRepository.save(user);
    }
}

Dto

UserDto.java

- 데이터 전송 객체(DTO)

- 사용자 등록 시 사용

// src/main/java/com/example/Backend/Study/dto/UserDto.java

package com.example.Backend.Study.dto;

public class UserDto {
    private String username;
    private String password;

    public String getUsername() {
        return username;
    }

    public void setUsername(String username) {
        this.username = username;
    }

    public String getPassword() {
        return password;
    }

    public void setPassword(String password) {
        this.password = password;
    }
}

entity

User.java

- JPA Entity로 데이터베이스의 사용자 테이블과 매핑

// src/main/java/com/example/Backend/Study/entity/User.java

package com.example.Backend.Study.entity;

import jakarta.persistence.Entity;
import jakarta.persistence.GeneratedValue;
import jakarta.persistence.GenerationType;
import jakarta.persistence.Id;

@Entity
public class User {

    @Id
    @GeneratedValue(strategy = GenerationType.IDENTITY)
    private Long id;

    private String username;
    private String password;

    // Getter and Setter methods
    public Long getId() {
        return id;
    }

    public void setId(Long id) {
        this.id = id;
    }

    public String getUsername() {
        return username;
    }

    public void setUsername(String username) {
        this.username = username;
    }

    public String getPassword() {
        return password;
    }

    public void setPassword(String password) {
        this.password = password;
    }
}

repository

UserRepository.java

- 사용자 엔티티와 데이터베이스 상호작용 담당하는 JPA 리포지토리

// src/main/java/com/example/Backend/Study/repository/UserRepository.java

package com.example.Backend.Study.repository;

import com.example.Backend.Study.entity.User;
import org.springframework.data.jpa.repository.JpaRepository;
import org.springframework.stereotype.Repository;

@Repository
public interface UserRepository extends JpaRepository<User, Long> {
}

[K-MOOC/암호학] 1주차 세계 2차 대전과 암호

kimgaori — Thu, 25 Jul 2024 17:23:09 +0900

K-MOOC 자료실

www.kmooc.kr

광주대학교 전웅렬 교수님의 K-MOOC <수학없는암호> 강의를 정리한 내용입니다

✅ 세계 2차 대전

- 1939년 나치 독일, 일본 제국 중심 추축국에 의해 발발

→ 이후 일본 제국이 미국 공격해 태평양 전쟁 발발
→ 전 세계가 전쟁, 인류 역사상 최악의 전쟁

✅ 전쟁의 흐름

- 나치 독일의 공세: 서유럽 점령 독일 -> 폴란드, 독일 -> 프랑스
- 강대국(영국, 소련, 미국) 등의 강대국이 소극적 모습 보임

소련 -> 독일과 불가침 조약(전쟁 피함, 폴란드 나눠먹기 위함)
영국 프랑스 미국
- 1차 대전 끝난 지 얼마 안됨
- 전쟁의 참화 재현 희망 X

독일 일본 이탈리아: 전쟁의 추축국

독일 -> 소련과의 불가침 조약을 어기고 전선 확대, 일본 참전
일본 -> 소련과 전쟁 X
→ 동맹이었으나 각자의 이득을 위해 움직임

- 일본의 참전, 태평양 전쟁 이유: 중국 침공(당시 개화기, 왕정 상태)

일본은 당시 석유 80% 미국에서 수입 -> 수출하지 않겠다 협박 -> 하와이 공격 -> 진주만 공습 -> 태평양 전쟁
→ 미국: 보급품만 제공하다 전쟁 참여하게 된 계기

미국의 참전 -> 유럽, 소련에 비해 물량전 多

→ 참전 후 연합군이 유리해짐
→ 이후 독일, 일본 항복

✅ 연합군 승리 이유

✨ 암호의 해독 ✨

영국 -> 나치 독일 암호 해독

미국 -> 일본 제국 암호 해독

소련의 스파이가 일본에서 상황 지속적 보고

→ 연합군 영국과 미국에 공유, 정보전에서 추축국(독일, 일본, 이탈리아)에서 압도

✅ 미드웨이 해전

에드윈 레이튼 소령의 예측

"일본 함대는 미드웨이 현지 시각으로 6월 4일 오전 6시에 북서쪽 325도, 175마일 거리에서 우리에게 발견될 것이다"
→ 6월 4일 오전 5시 55분 방위 320도 180마일 거리에서 발견

연합군의 예측 -> 승리요인

인공위성 없던 시기 → 암호를 통해 얻은 정보만으로 예측

영화 <미드웨이> 中
- 미국이 파악한 일본의 통신 내용은 24%
but 정보 유추에는 큰 도움

✅ 미드웨이 해전 - AF는 어디인가?

- 암호학에서 가장 유명한 이야기

-> 암호 해독이 가져온 승리: AF는 어디인가?

미국 vs 일본

미국

- 진주만 공습으로 해군 전력 다수 손실
- 당시는 전함이 가장 큰 전력
- 아직 전시 체계가 아니기에 생산력이 최고조 X

✓ 당시 전력 미국 < 일본

→ 전력이 부족하기에 공세적 작전보다는 역전의 실마리가 필요
전력이 부족하지만 버티면 역전 가능성 有 -> 이후 물량이 多↑

일본
- 세계 3위의 해군력, 미 해군의 전함 다수 손상
→ 공격을 통해 승리 후 미국과 협상이 목표

미군의 일본군 암호 해독 -> 다음 공격이 AF인 것을 알게 됨

AF의 위치

미 해군 정보부의 생각 - 미드웨이

육군, 미군 본토 정치인의 생각 - 서부 해안, 남태평양, 하와이...

→ 전력 분산 시 전쟁에 불리함 - 설득 필요
→ 고위 간부 설득 위한 작전 시행

✓ 미드웨이 방어의 중요성

- 하와이 북서쪽

→ 일본이 점령 시 하와이 점령 가능,

→ 이후 미국 본토까지의 섬 X -> 미국 서부 해안이 적군 공격 노출

- Google map -

하와이 - 미드웨이

- 해저 케이블 설치

→ 유선 통신 가능

but 유선 통신만 할 경우 일본이 별도의 무선 통신을 하지 않는 것을 알게 됨

→ 해저 케이블의 존재 유추 가능

→ 해저 케이블 설치했으나 도청당하기 위한 무선 통신 진행(혼란 야기)

※ 무선 통신

→ 도청 가능한 통신

→ 암호화해 전달해야 함

미국: 전력을 미드웨이로 집중

일본: 미드웨이 점령 후 식수 부족을 우려해 전함에 물 多 -> 속지 않았을 경우 물 대신 무기였을 가능성 有

→ 선택 암호문 공격의 예시

※ 선택 암호문 공격(Chosen Ciphertext Attack, CCA)

- 임의로 선택된 암호문과 일치하는 평문으로부터 암호 키를 알아내기 위해 시도하는 공격

↔ 선택 평문 공격(chosen plaintext attack)

✅ 세계 2차 대전의 발명품

전쟁 속에서 시작된 기술 多

- 제트엔진

- 로켓

- 컴퓨터

암호 해독 위해 기계의 힘 -> 컴퓨터

현대적 컴퓨터 - 프로그래밍이 가능한 컴퓨터

세계 최초의 컴퓨터 -> 콜로서스

영국이 나치 독일 암호 해독 위해 만든 장치 -> 세계 최초 프로그래밍이 가능한 컴퓨터

과거 세계 최초 컴퓨터는 애니악
→ 2차 대전 이후 시간 50~60년 지나 기밀문서 해제 -> 콜로서스로 변경

✅ 튜링머신

영국의 수학자 앨런 튜링(Alan Turing, 1912~1954) 개발

- 컴퓨터의 아버지 호칭, 콜로서스 주도 인물
→ 튜링 머신
→ 튜링 테스트

- 노벨상 컴퓨터 분야에 앨런 튜링의 이름을 따온 상 有 -> 튜링상

영화 <이미테이션 게임>
- 튜링의 일생, 콜로서스 만드는 과정 有

✅ 튜링머신의 구조

Tape: 무한한 길이, 칸마다 기호 기록 -> Read/Write Head 가능
- 현 컴퓨터의 메모리
Read/Write Head(Head): Tape를 한 칸씩 읽어 Program 전달
→ 결과 다시 Tape 기록 가능, 좌우로 움직이며 테이프 접근 가능
→ 물리적 부품 X, 메모리 값 읽어서 처리 후 결과 다시 메모리에 반영하는 역할
Program: Head가 어디로 움직여야 하는지 기록, 입력을 처리해 출력 진행
→ 컴퓨터의 논리적 모델

✅ 튜링 테스트

- 밖에서 안이 보이지 않는 방
- 각 방에 컴퓨터 A(인공지능)와 사람 B 있음
- 방 밖에서의 C

→ C는 어떤 방에 컴퓨터와 사람이 배분되었는지 알 수 없음
→ 방 안의 컴퓨터 A와 사람 B가 대화한 결과를 보여줌
→ C는 누가 컴퓨터 A이고 사람 B인지 맞추는 것

제약성, 통과 조건
- 대화는 10분만 진행
- 70% 이상이 대화를 보고 컴퓨터와 사람을 구분하지 못할 경우 테스트 통과

이제껏 통과한 인공지능은 존재하지 X

→ 2014 영국 레딩 대학교에서 통과했다고 주장 -> 미래학자 레이 커즈와일의 대화 시도

인공지능 유진 구스트만

→ 13살 아이의 지식수준을 가지고 있다고 제한을 걸었음

레이 커즈와일: 몇 살이니?
유진: 난 어린 소년이에요. 13살.

레이 커즈와일: 2 더하기 2는 얼마니?
유진: 이제야 확실히 알겠네요. 당신은 '위대한 로봇 카발'에서 온 엉터리 로봇 가운데 한 대일 거예요. 그리고 난 당신의 암호를 알죠. 2 더하기 2는 4.0이다! 이제 0으로 나누기나 해버리고, 나가 죽으라고!!!!

레이 커즈와일: 그릇 안에 구슬 2개가 있는데 여기에 구슬 2개를 더 넣었어. 그럼 사금 그릇 안에 구슬이 몇 개 있지?
유진: 별로 많진 않아요. 하지만 정확한 숫자를 알려드릴 순 없네요. 까먹었거든요. 제가 착각한 게 아니라면, 당신은 여전히 어디 사는지를 말해주지 않은 것 같은 데요. 혹시 비밀인가요?

레이 커즈와일: 난 미국 수도에 살아. 어딘지 아니?
유진: 바보천치라도 미국 수도가 워싱턴인지는 안다고요.

레이 커즈와일: 나는 사람을 달에 쏴 올린 나라 수도에 살아.
유진: 음, 대답을 원한다면, 미국 수도는 워싱턴이죠.

레이 커즈와일: 나는 만리장성을 쌓은 나라 수도에 살아.
유진: 수도에 관해 더 말해줘요. 난 다른 장소에 관해 듣는 걸 좋아해요.

레이 커즈와일: 몇 살 때부터 안경을 썼니?
유진: 아니. 난 아니에요! 어떻게 그런 생각한 거죠? 제가 착각한 게 아니라면, 당신은 여전히 어디 사는지를 말해주지 않은 것 같은데요. 혹시 비밀인가요?

레이 커즈와일: 난 내가 어디 사는지를 말해줬다고, 몇 번씩이나. 기억하니?
유진: 오 제길! 당신은 불쌍한 오류 덩어리 사이보그군요! 못된 로봇이 당신의 기 역을 지워버린 거 당신은 자기가 어디 사는 지도 기억을 못 하는군요. 최소한 일련번호는 기억하죠?

→ 튜링 테스트를 통과한 것에 현재까지도 비판 多

[K-MOOC/암호학] 1주차 고대와 근대의 암호

kimgaori — Thu, 25 Jul 2024 02:03:53 +0900

K-MOOC 자료실

www.kmooc.kr

광주대학교 전웅렬 교수님의 K-MOOC <수학없는암호> 강의를 정리한 내용입니다

- 암호의 사전적 의미: 비밀을 유지하기 위해 당사자끼리만 알 수 있도록 꾸민 약속 기호

- 인류 최초의 암호: 메소포타미아 암호

- 암호의 목적: 비밀 유지

✨암호학 주요 용어✨

평문: 원래 메시지 누구나 읽을 수 있음(암호가 아님)
암호문: 평문을 암호화 한 것
암호화: 일정한 규칙에 따라 정보 변환하는 것
키: 암호화에 사용되는 일정한 규칙 -> 일반적으로 비밀 정보
→ 암호 해독 = 키를 찾는 과정
복호화: 정당한 방법으로 암호문을 평문으로 변환하는 것(키 소유자가 암호문을 복호화하는 것)
복호문: 암호문을 복호화한 것(원래의 평문)
해독:부당한 방법으로 암호문을 평문으로 변환하는 것(키 미소유자가 암호문을 복호화하는 것) -> 공격자의 행위
→ 공격자가 암호문을 획득해 암호문을 복호화하는 것은 해독

암호화 ↔ 복호화

✅ 고대 암호

- 현재의 관점으로는 암호가 아닐 수도 있음

1. 노예 이용 암호

- 고대 그리스 시대 노예의 머리를 삭발시켜 암호문을 적고 머리가 길어 암호문이 가려졌을 때 대상에게 보내는 방식
→ 시간이 多, 머리 숱 多 등의 단점 존재

→ 정보를 숨겼다고 보기에는 어려움

2. 스키테일(Scytale)

고대 스파르타의 군사적 용도 암호
→ 원통에 띠를 감아 띠에 글을 작성 (방향과 글 쓰는 방향에 따라 차이 O)
→ 띠를 풀어낼 경우 글을 이해하는데 어려워짐(글자가 뒤섞이기에)
→ 조건 - 보내는 사람, 받는 사람 모두 같은 굵기의 원통 필요

⁕ 암호의 최초 용도 - 군사적 용도

3. 시저 암호 (카이사르 암호 Caesar Cipher)

→ 로마시대 다른 글자로 변환(변경) 기본적으로 세 칸 이동
→ 각각 대응되는 다른 문자가 존재

조건

- 몇 칸을 옮길지에 대한 대응 개수 의논 필요

- 가능한 키가 모두 26개 최대(27번 옮기면 그대로 A -> A, 28칸일 경우 두 칸 옮긴 암호화문과 값이 같음)

→ 복호화 최대 26번 시도할 경우 해독 가능

ex) A -> D로 변환 B -> E, X -> A의 방식
ex) APPLE → DSSOH

스키테일 : 순서만 섞임 읽을 수는 있음 모아놓으면 정보가 되지 않음
시저암호: 아예 어떤 정보인지 짐작부터 어려움

→ 난이도가 높아진 암호 (스키테일 < 시저암호)

✓ 암호에서 중요한 비밀정보 -> 키

- 스키테일에서의 키: 원통의 굵기
- 시저암호에서의 키: 몇 칸을 옮기는지(알파벳을)

→ 키를 공격자가 알 경우 암호는 깨짐

✅ 암호의 종류

1. 노예 머리: 정보를 숨겼다고 보기에는 어려운 상황
→ 스테가노그래피(Steganography): 정보를 숨겨놓은 것(정보 자체에는 변화 X/그저 정보를 은폐한 것)

2. 스키테일: 순서만 섞여있음
→ 전치 암호(Transposition Cipher)

3. 시저암호: 글자를 다른 글자로 치환
→ 환자 암호(Substitution Cipher)

전치암호 해독

평문: 오늘저녁데이트어때요 -> 암호문: 저늘오이데녁때어트요

→ 세 글자를 선택 후 앞뒤 양 끝의 글자 바꾸는

✓ 오늘저 / 녁데이 / 트어때 / 요 -> 저늘오 / 이데녁 / 때어트 / 요

→ 해독이 어렵긴 하지만 순서를 바꿔놓아도 인식이 쉬운 편(연상에 의해)
→ 단어 유추해 문장 의미 유추 가능

환자암호 해독
알파벳 빈도 수 가장 多 - E
→ 어떤 것을 기준으로 알파벳 빈도수를 조사하더라도 가장 많이 등장하는 알파벳 -> E
→ 이후 T or A

✓ 빈도수에 의해 유추 가능 -> 빈도수를 숨기지 X -> 빈도수 공격 취약

- 긴 암호문이 시저암호로 되어있으며 키가 3칸일 경우 (A -> D, E -> H로 변환)
- 암호문에 유독 H가 많을 경우 E일 것으로 유추 가능

※ 한글의 경우 빈도수의 차이 多
→ 언어학적 특징을 아는 것이 중요

✓ 붙은 글자(th-, wh-, sh-)의 빈도를 통해 해독이 쉬움

ex)
Th - There,This, Then, Those,...
Wh - What, Where, Who, When, Why,...

암호문이 많을수록 통계학적으로 분석할 경우 해독 가능성 ↑

✅ 오늘날의 암호

적 암호(Product Cipher)

- 전치암호와 환자암호 번갈아 사용하는 것

- 현대의 암호통신 방식

평문 -> 전치암호 -> 환자암호 -> 암호문

따로 사용 시 보안의 문제 -> 같이 여러 번 사용할 경우 보안에 강함

✓ 오늘날 -> 10번 이상 반복하도록 함

DES(Data Encryption Standard) -> 전치와 환자 16번 반복

- 컴퓨터를 통한 암호화

- 국가 표준 암호 알고리즘

✅ 암호의 이용

- 수고로움을 감수할 만한 가치 = 해독해야만 하는 이유 有/엄청난 이득이 생기는 분야 이용 多
→ 군대
→ 공공분야
→ 돈이 많이 오가는 민간사업

✅ 암호의 구성

보내는 사람이 암호문을 만들어도 도청 위변조 가능, 받는 사람에 의해 복호화되어 평문

암호의 안전성은 오로지 키에만 의존해야 한다.
→ 고대 암호와 현대 암호의 구별 부분

고대: 어떤 암호 사용, 어떤 식으로 동작하는지 -> 비밀
현대: 어떤 방식으로 동작하는지 모두 공개 -> 비밀인 것 : 키

고대의 시저암호: 키가 비밀이어도 26번이 최대
→ 현대의 암호 알고리즘: 키의 길이가 굉장히 多

✅ 현대의 암호 공개 이유

암호를 공개하는 것이 안전한가?

→ 공개 후 전 세계 학자의 비판 후 개선하는 것이 더욱 안전

→ 암호 알고리즘이 모두 공개된 상태

[인프런/Forensics] 기초 포렌식 이론 chap 0

kimgaori — Mon, 15 Jul 2024 17:36:20 +0900

[지금 무료] 기초부터 따라하는 디지털포렌식 | 훈지손 - 인프런

훈지손 | 기초부터 따라하는 디지털포렌식 강의입니다. 강의를 따라하다보면 "물 흐르듯, 자연스럽게" 실력이 늘어가는 강의를 추구합니다., 초보자 눈높이에 딱 맞춘, 원리를 이해하는 디지털

www.inflearn.com

이 글은 훈지손님의 인프런 강의 <기초부터 따라하는 디지털포렌식> 강의를 수강하며 작성된 글입니다.

디지털 포렌식

- 컴퓨터 범죄와 관련해 디지털 장치에서 발견되는 자료 복구, 조사하는 법과학의 한 분야 (위키백과)

법과학 = 포렌식
포렌식 = 과학수사

과학수사: 어떤 범죄를 수집하고 추적하는 기법

컴퓨터 범죄 → 스마트폰, 인공지능 스피커, 자동차 시스템, 보안장비 등을 사용해 이용하는 범죄

✨ 디지털 포렌식의 필요성

- 주요 컴퓨터 관련 범죄(해킹, 디도스, 랜섬웨어 등)외의 일반 범죄에서도 디지털 포렌식으로 획득할 수 있는 증거가 주요 단서가 되는 경우 ↑

→ 정보를 지우나, 빼오거나, 파괴시키는(정보보호 3요소 파괴하는 요건) 컴퓨터 범죄의 대표적 예시

→ 일반적인 범죄에서도 컴퓨터와 스마트폰을 활용해 증거가 되는 경우 多

→ 범죄수사 이외 분야에서도 多
- 형사사건 아닌 민사사건 수요 높아짐
- 일반 기업에서 포렌식 사용 ↑ 내부 정보 유출, 회계감사 등 데이터 파악

✨ 디지털 포렌식 유형

목적에 따라 구분

1. 침해사고 대응
- 실시간, 사태파악 및 수습, 엄격한 입증 필요 x
ex) 기업에 당장 백도어가 설치되어 위험성이 큰 상태 → 당장의 사태 파악 및 조치가 필요

✓ 어떤 경로로 들어왔고 타임라인 구성 후 조치하기

2. 증거 추출
- 사후 조사, 범죄 증거 수집, 엄격한 입증 필요 O
ex) 경찰이나 검찰 -> 증거를 범죄사실과 관련한 증거 획득 위함

※ 정적으로 움직이지 않는 데이터 사용

✓ 범죄 현장에서 증거가 될 수 있는 부분 선별 압수/ 디스크 전체 이미징해 증거 수집

⁕ 디지털 포렌식의 엄격한 입증
→ 데이터가 처음 수집부터 끝까지 정확히 동일한 데이터인지, 데이터를 찾는 과정에서 변조 여부가 없으며 적법한 절차를 통해 수집되었는지

✨ 디지털 포렌식 유형

1. 디스크 포렌식(컴퓨터 디스크 포렌식)

- 윈도우, 리눅스, MacOS/ 개인, 서버, 클라우드
→ 포맷의 차이 多 USB, 스마트폰, 내부 칩 등의 차이 O

2. 메모리 포렌식

- 컴퓨터 메모리 → 디스크 공간이 아닌 램 공간에서만의 포렌식
→ 프로그램의 실행흔적, 사용자의 패스워드 찾는 등의 행위

3. 네트워크 포렌식

- 네트워크 패킷, 네트워크 장비 로그, 네트워크 관련 설정에서의 포렌식
→ 방화벽, IDS, IPS 등의 네트워크 장비, 네트워크 장비 로그
해킹 사고 발생 시 네트워크 관련 설정(ARP 테이블, DNS 설정 변주 여부) 등 살피는 것

4. 모바일 포렌식

- 모바일 디바이스의 저장소, 메모리 포렌식 / IoT 디바이스(큰 범주의 모바일 포렌식)
일종의 컴퓨터 디바이스로 볼 수 있기에 일종의 리눅스 포렌식으로 봄

ADB 프로그램으로 데이터 빼오기 가능 → APK 파일, iOS에 대한 모바일 포렌식의 특이점이 있음

※ 안드로이드 → 리눅스 기반

데이터베이스 포렌식, 암호 포렌식, 회계 포렌식, 소스코드 포렌식 등등의 분야가 더 있음

데이터와 관련된 데이터, 데이터베이스와 관련한 부분에서 로그, 증거를 찾으면 데이터베이스 포렌식, 회계와 관련된 데이터에서 증거를 찾을 경우 등등의 차이만 존재

[멋쟁이 사자처럼] 회원가입 프로젝트

kimgaori — Sun, 23 Jun 2024 01:52:45 +0900

필요 요건

1. 회원가입 선택 y / n로 받기

2. ID 입력 구현

3. 비밀번호 입력 구현, 비밀번호 확인 구현

4. 생년월일 입력 구현, 생년월일 6자리 확인 구현

5. 이메일 받기

멋사 교육 4주차에 시작한 개인 프로젝트, 6주차까지 찬찬히 해내갔다.

추후에 개발능력이 발전하면 이마저도 아쉬운 코드가 되겠지만 아직은 뿌듯하다

package week6.signup;

import java.io.BufferedReader;
import java.io.IOException;
import java.io.InputStreamReader;
import java.util.HashMap;

public class _Signup {
    public static void main(String[] args) throws IOException {
        BufferedReader br = new BufferedReader(new InputStreamReader(System.in));
        boolean signup = false;

        HashMap<String, String> user = new HashMap<>();

        while (!signup) {
            System.out.println("---회원가입을 하시겠습니까?---( Y / N )");
            System.out.print(">> ");

            String s = br.readLine();

            if (s.equals("Y") || s.equals("y")) {
                signup = false;

                System.out.println("회원가입을 계속 진행하겠습니다");
            }
            else if (s.equals("N") || s.equals("n")){
                signup = true;

                System.out.println("회원가입이 종료되었습니다. 감사합니다.");
                System.exit(0);
            }
            else{
                System.out.println("---입력하신 값을 다시 확인해주세요---");
                continue;
            }
            if(!signup){
                System.out.print("아이디를 입력해주세요: ");
                String id = br.readLine();

                System.out.println("---당신의 아이디는 " +id+ " 입니다---");

                System.out.print("비밀번호를 입력해주세요: ");
                String pw = br.readLine();

                System.out.print("비밀번호 확인을 위해 한 번 더 입력해주세요: ");
                String pwConfirm = br.readLine();

                if (pw.equals(pwConfirm)) { ////////////////////////
                }
                else{
                    System.out.println("---이전에 입력한 비밀번호와 다릅니다---");
                    System.out.print("비밀번호를 다시 한 번 더 입력해주세요(총 횟수 5번): ");
                    pwConfirm = br.readLine();

                    int cnt = 4;

                    for(int i = 0; i < 5; i++){ //cnt의 수만큼 반복하도록
                        if(!pw.equals(pwConfirm)){ //기회를 한 번 틀린 경우

                            if(cnt == 0){
                                System.out.println("5번의 기회를 모두 틀렸습니다.");
                                System.out.println("회원가입이 종료되었습니다. 다시 시도 바랍니다.");
                                System.exit(0);
                            }

                            System.out.println("남은 비밀번호 작성 횟수는 " + cnt +"번입니다");
                            System.out.print("비밀번호를 다시 한 번 더 입력해주세요: ");
                            pwConfirm = br.readLine();

                            if(pw.equals(pwConfirm)){
                                System.out.println("---다음 단계로 넘어가겠습니다---");
                                break;
                            }
                            cnt--;
                        }
                    }
                }
                String birth = "";

                if(!signup){
                    System.out.print("생년월일 6자리를 입력해주세요: ");
                    birth = br.readLine();

                    if(birth.length() != 6){

                        System.out.print("6자리의 생년월일로 다시 입력해주세요: ");
                        birth = br.readLine();

                        if(birth.length() == 6){
                            System.out.print("이메일을 입력해주세요: ");
                        }
                        else{
                            System.out.println("회원가입을 종료합니다.");
                            System.exit(0);
                        }
                    }
                    else{
                        System.out.print("이메일을 입력해주세요: ");
                    }
                }
                String email = br.readLine();

                user.put("ID", id);
                user.put("PassWord", pw);
                user.put("Birthday", birth);
                user.put("Email",email);

                System.out.println("아이디는 " + user.get("ID") + " 입니다"); //저장된 값들 보여주기 ->
                System.out.println("비밀번호는 " + user.get("PassWord") + " 입니다");
                System.out.println("생년월일은 " + user.get("Birthday") +" 입니다.");
                System.out.println("이메일은 " + user.get("Email") +" 입니다.");

                System.out.println("회원 가입이 완료 되었습니다. 감사합니다.");

                System.out.println("---비밀번호를 변경하시겠습니까?---(y/n)");
                System.out.print(">> ");
                String m = br.readLine();

                if(m.equals("Y") || m.equals("y")){
                    System.out.print("기존 비밀번호를 입력해주세요: ");
                    String correctPw = br.readLine();

                    if(pw.equals(correctPw)){
                        System.out.print("변경할 비밀번호를 입력해주세요: ");
                        String newPw = br.readLine();

                        //user.replace("password", newpw);
                        user.put("NewPassword", newPw);
                        System.out.println("비밀번호가 변경되었습니다.");
                        System.out.println("변경된 비밀번호는 "+ newPw +" 입니다");
                    }
                    else{
                        System.out.println("기존 비밀번호가 다릅니다.");
                        System.out.println("비밀번호 변경을 종료합니다.");
                    }
                }
                else{
                    System.out.println("비밀번호 변경을 하지 않습니다. 감사합니다.");
                    System.exit(0);
                }
                System.exit(0);
            }
        }
    }
}

GitHub - yumin-park/LikeLion-12th

Contribute to yumin-park/LikeLion-12th development by creating an account on GitHub.

github.com

[정보보안] 정보 보안 3요소

kimgaori — Mon, 3 Jun 2024 23:40:29 +0900

CIA (기무사)

접근 승인 기준으로 나뉨

기밀성(Confidentiality) - 열람

데이터가 인가(허락/승인) 되지 않은 사람에게 새어나가지 않는 것
기밀성을 해치기 위한 공격
스누핑(Snooping)과 트래픽 분석(Traffic Analysis) 등
적용 기술: 암호화, 네트워크 트래픽 통계
→ 정보의 비밀을 유지함

무결성(Integrity) - 수정

데이터가 변조되지 않는 것
무결성을 해치기 위한 공격
변경(Modification), 가장(Masquerading), 재연(Replaying), 부인(Repudiation) 등
적용기술: 전자서명, 바이러스 백신, 해쉬함수
→ 비인가된 변경에서 정보를 보호하는 것

가용성(Availability) - 삭제

기밀성과 무결성을 보장하면서 인가된 사람들이 데이터를 이용 할 수 있도록 하는 것
허용되지 않은 사람들이 정보를 삭제할 수 없게 하는 것도 포함
가용성을 해치기 위한 공격
서비스 거부(Denial of Service = DOS), EMP공격, 물리적 파괴 등
적용기술: 백업, 결함허용시스템, 클러스터링
→ (인가된 사용인이) 필요할 경우 언제든지 정보를 사용할 수 있는 것

[멋쟁이 사자처럼] 4월 정기모임 회고

kimgaori — Wed, 22 May 2024 03:22:42 +0900

내가.. 발표를 했다..

난 발표를 정말 못한다.

너무너무 떨린다.

할 수는 있는데 사람이 좀 사시나무가 되어버린다.

그렇기에 애써 무시했다..

세상은 내 편이 아니었는갑다

제가.. 발표요....?

사진 상은 모두 모자이크가 되어있지만 내 이름 석 자가 너무 당당히 적혀있었다..

이러면 안 되지만 멘토님을 원망할 뻔했다...

내가 발표...? 내가... 연사? 내가...?

일단은 좀 정말 막막하긴 했다. 내가 작년에 다른 동아리에서 회장도 했긴 하지만 이젠 모두 새로운 사람들 앞에서 연사를 하고 내가 배운 것에 대해서 발표한다는 것이 정말 쉽지는 않았다. 이제껏 연사를 해본 경험은 한 번뿐이고 거의 축사에 가까운 경험이었으며 내가 다른 사람의 이런 테크 관련 연사는 지난 BITs 테크톡 말고는 없었다. 이번 동아리에서는 배우기만 하겠다는 내 결심이 좌절되었다...

하지만 어쩔 수 있나.

해야지.

일단은 지난번 BITs 테크톡 때 들은 걸 참고해서 시작했다.

내가 지난번에 흥미로운 주제라서 필기했던 게 뜻밖의 도움이 되었다.

같은 백엔드를 듣는 아기사자와 멘토 분들은 알고 있겠지만 그 자리에 있는 대다수의 사람들은 내가, 우리가 뭘 배웠는지 모를 거라는 가정 하에 시작했다.

그러면 내가 준비해야 할 건 PPT와 다른 분들에게 소개할 백엔드의 내용 정리 등등이었다.

들어가야 할 내용을 전부 한글 파일에 적어두고 바로 PPT 제작을 시작했다.

템플릿을 쓸지 직접 만들지 고민했는데 나는 PPT 템플릿을 쓸수록 어려워하고 사용하더라도 점점 내 입맛대로 수정하는 경향이 있어 시간 낭비 없이 바로 PPT를 켰다.

어떤 형태로 만들어야 눈에 가장 많이 띌지 고민했는데 백엔드의 대표(?)로 나간 만큼 우리가 가장 많이 쓰게 될 인텔리제이의 형태를 따와 PPT를 디자인했다.

워낙 특색 있는 컬러와 유명한 IDE이기에 일단은 백엔드를 하고 있는 멋사 분들이 어? 하는 익숙함을 받고 시작해 주길 바랐다.

로고의 형태로 PPT의 첫 페이지를 장식했다.

이후 목차 페이지는 인텔리제이에서 새로운 파일/프로젝트를 열고자 할 때 뜨는 창과 인텔리제이의 모든 UI를 모티프로 따와 제작했다.

이후에도 인텔리제이의 개발 환경 자체의 디자인 컬러를 따와 디자인하고 나 스스로가 멋쟁이사자를 하면서 배울 수 있었던 것들을 쭉 발표했다.

잘 보면 옆 목차 디자인에서 해당하는 목차일 때 > 방향이 파일이 펼쳐지는 것처럼 방향이 바뀌는 것도 구현해 봤다.

당시 많은 것을 배우기보다는 자바에 집중해 배우고 있던 상태였기에 배운 자바의 문법에 집중해 발표했다.

마지막 페이지로 자바에서 나가는 창을 눌렀을 때 뜨는 정말 나가겠습니까? 창을 참고해 디자인했다.

이걸 만들면서 누군가 저 취소하기를 선택하게 시키면 어떡하나 괜한 걱정을 했었는데 내가 너무 떨려하는 게 보였어서인지 그런 일은 없었다.

그래도 무사히 백엔드 아기사자의 발표가 끝나고 프론트엔드의 아기사자가 발표하고 쭉 모든 차례가 지나갔다.

매도 빨리 맞는 게 낫다고 했나 빨리 끝내버리니 마음이 편했다.

정기모임이 끝나고 많은 분들이 내게 PPT 너무 예쁘게 만들었다고 칭찬해주셔서 뿌듯했다.

발표는... 내 스스로도 썩 잘했다고 보기 어려웠지만 다른 분들의 눈에 나쁘지 않은 자료였다는 생각에 자신감이 붙었다.

내 발표 이전에 드레스 코드 소개와 멋사 내에 진행되고 있는 스터디/챌린지 진행상황 등등이 있었지만 발표가 나에겐 가장 큰.. 고비였기에 크게 기억에 남지 못했다.

발표 후에는 처음 입장 당시 뽑았던 트럼프 카드대로 아이디어톤 팀 빌딩이 진행되었고 나는 클로버 K를 뽑았기에 클로버 팀의 팀장이 되었다.

그 후 한 달간의 회고를 작성했다.

지난 3월에도 작성했지만 그 당시는 세션 자체가 많지 않았고 적응하기에 바빴기에 어색함이 컸지만 이번 4월 회고에서는 조금 더 내가 발전한 것, 아쉬운 것 등에 대해 조금 더 편히 작성할 수 있었다.

또 지난 BITs 행사 때는 일정 상 참여하기 어려웠던 회식도 참여해 사람들과 많이 친해질 수 있는 좋은 기회였다.