엑셀 업로드 중 발생한 Zip Bomb 에러 파헤치기! 🥊
Zip Bomb 에러 소개 및 해결 방법 공유
devBlog
Security 글 모음
기업 기술블로그의 Security 관련 글 312개
엑셀 업로드 중 발생한 Zip Bomb 에러 파헤치기! 🥊
Zip Bomb 에러 소개 및 해결 방법 공유
멀티 테넌트 데이터를 격리하고 더 안전하게 만드는 방법
 # 들어가며 이번 글에서는 멀티 테넌트 서비스에서 테넌트 데이터 격리 방법과 격리 수준을 높일 수 있는 몇 가지 방법에 대해 알아봅니다. # 1. 테넌트 데이터 격리 **테넌트(tenant)**는 하나의 플랫폼을 사용하는 사용자나 조직, 프로젝트를 의미합니다. 일반적인 클라우드 서비스나 플랫폼 서비스
삼성 리서치와 Team Atlanta, 사이버 추론 시스템으로 DARPA AIxCC에서 호평
DARPA AIxCC는 생성형 AI 기술을 활용해 보안 문제를 해결하려는 취지에서 탄생한 대회입니다. 삼성 리서치는 유수 대학의 연구원들과 연합 팀을 구성해 이 대회에 참가했으며, 준결선에서 우수한 성적을 거두어 내년 결선에 진출하게 되었습니다. 이 블로그에서는 AIxCC 대회를 소개하고 저희 팀이 구현한 CRS 디자인에 대해 설명합니다.
URL이 이상해요! Java와 Spring 중 범인은 누구?
카카오페이 알림피드 서비스에서 발생한 장애 원인과 해결 과정을 공유합니다.
B2B를 위한 인가 체계 구축기: 워크스페이스 프로젝트
Open Policy Agent(OPA)로 JIRA 권한 구현하기
본 글은 SK플래닛에서 OPA(Open Policy Agent)를 이용하여 사내 JIRA의 권한을 구현한 사례를 공유하며, 아래와 같이 크게 세 가지 작업을 정리하고자 합니다. 첫번째는 개발 중인 ITSM 시스템에서 권한 부분을 OPA를 이용해 구현합니다. 정책은 Rego로 작성합니다. 두번째는 작성된 정책을, data API…
DevSecOps를 위한 한걸음: Sonarqube를 활용한 지속적인 코드 품질 및 보안 관리
카카오페이에서 Sonarqube를 어떻게 활용하고 있을까
Steam 게임 어뷰징 방어하기
PC 패키지 게임이 한창 유행이던 때, 게이머들이 레벨과 능력치를 임의로 변경해 손쉽게 게임을 진행하던 시절이 있었다. 당시 게임 유저들이 즐겨 쓰던 어뷰징 툴(PC Tools, 게임 위자드 프로그램 등)을 이용해 빠르게 엔딩을 보거나 숨겨진 미션을 찾는 것이 유행이었다. 그 모습들을 보며 놀랐던 기억이 난다. 지금 생각해 보면 이때의 경험이 기자를 게임보안 업무로 이끈 주요 동기 중 […]
누가 내 쿠키를 먹었을까?
누가 내 쿠키를 먹었을까? 왜 iOS 웹뷰의 세션쿠키가 사라졌을까? 안녕하세요. 쏘카에서 프론트엔드 개발을 담당하고 있는 리우입니다. iOS 웹뷰에서만 세션쿠키가 갑자기 소실되는 현상을 마주한 적이 있나요? 해당 문제가 무엇이고, 왜 발생하고, 어떻게 해결했는지 실제로 겪은 사례를 통해 설명드리겠습니다. 여기서 세션쿠키는 Expires 또는 Max-Age가 없는 쿠키를 의미합니다. 세션쿠키는 브라우저를 닫는 순간 삭제됩니다. 개발자 도구→애플리
누가 내 쿠키를 먹었을까?
iOS 웹뷰 환경에서 세션쿠키가 소실되는 이유와 해결방법을 알아봅니다.
은행에서 AI를 private하게 사용하는 방법 (feat. Azure)
카카오뱅크의 보안기술아키텍처팀에서 일하는 Levi입니다. 이번 글에서는 AI 도입에 대한 카카오뱅크의 고민과 해결 방안을 다루었습니다. 특히 Azure를 활용한 AI 아키텍처 구성, 보안 절차, 네트워크 아키텍처에 대해 자세히 설명드립니다. 금융업에서의 AI 도입에 관심이 있는 분들에게 유익한 정보가 될 것입니다.
가상화에 대한 짧은 단상
지마켓 정보보안실 김용재 IT세상에는 가상화에 관련된 개념이 아주 많이 존재한다고 본다. 컴퓨터의 기본 구조에서 보면, 메모리가 아주 귀했을 때 나왔을 거 같은 디스크와 메모리를 섞어 사용하는 가상 메모리부터, 반대로 하드 디스크(SSD)가 현재에 비해 아주 느렸을 때 잠시 나왔던 메모리를 디스크로 사용하는 램 디스크(이건 요즘 Redis 등 예전에 비해 많이 싸진 메모리를 기반으로 빠르게 동작하는 디비의 롤 모델라는 느낌도 든다), 예전에 CD를 이용해 게임이나 프로그램을 실행하던 때에 느린 CD 대신 디스크의 이미지로 해당 데이터를 옮겨서 CD 인 것처럼 프로그램을 속였던(아무래도 그때는 CD를 강제한 불법 복제 방지 로직을 피하는 목적들도 있었다) “Virtual CD, DAEMON Tools,..
VulShot으로 시작하는 DevSecOps & 보안 점검 자동화
안녕하세요, 카카오뱅크 어플리케이션 보안팀의 Jinny입니다. 저희 블루팀은 고객의 정보를 안전하게 보호하며, 보안 프로세스를 자동화하는 DevSecOps에도 큰 관심을 가지고 있습니다. 이번 글에서는 카카오뱅크의 다양한 보안 활동 및 이를 자동화하는 과정에서 겪은 고민과 경험을 소개합니다. 특히, 취약점 자동화 진단 서비스인 VulShot의 개발 과정과 주요 기능을 중점적으로 다루고 있습니다. 보안에 관심 있는 분들이라면 흥미롭게 읽으실 수
Gmarket Mobile Web Vip 악성 봇 대침투 사건
안녕하세요 저는 VI Engineering 팀 김윤제입니다.Gmarket Mobile Web Vip(View Item Page = 상품 상세)를 담당하고 있는 Backend Engineer 입니다. 올해 1월 6일부터 Gmarket Mobile Web Vip에 악성 봇 트래픽 유입에 따른 서비스 다운이 주기적으로 발생했었는데요.한 달 정도 평일, 주말 밤 낮 없이 원인을 찾기 위해 모니터링을 하며 끝나지 않을 것만 같던 고통(왜 나에게만 이런 일이)을 받았었습니다. 우선 악성 봇으로 판단이 되자마자 서버의 Scale Up을 하고 Scale Out을 하였으나이것은 임시방편으로 추후에 봇이 들어오는 케이스가 달라지면 또다시 발생할 문제였습니다.이에 근본적인 해결책을 고민하다 Gmarket Mobile Web..
세계 최초로 cert-manager 버그를 발견하고 해결하기
cert-manager의 버그로 의도와 다른 인증 체인이 사용되는 문제를 디버그하고, 업스트림에 기여한 과정을 소개합니다.
CentOS7, Apache를 활용한 HTTPS 환경 구성(자체 서명 SSL/TLS)
안녕하세요, 씨앤텍시스템즈 황순호 연구원입니다. 이번 포스트는 Apache 웹서버를 활용하여 HTTPS 웹 환경을 구성하는 방법에 대해 작성하도록 하겠습니다. HTTPS는 웹 트래픽을 암호화하는 프로토콜로 클라이언트와 웹 서버 사이에 주고받는 정보를 보호합니다. 개발 환경에서 이러한 HTTPS 구성이 필요한 이유는 타 도메인에 대한 쿠키 전송이나 webRTC와 같은 기술을 적용할 때 HTTP 환경에서는 웹 브라우저 보안 정책 상 제한되는 기능이
인공지능, 너 이 문제 내 가설로 푼 거 맞니? : XAI 활용기
카카오뱅크에서 XAI(설명가능한 인공지능)를 연구하는 데이터 사이언티스트 Thomas가 작성한 이번 글에서는 XAI 알고리즘의 개발과 이를 다양한 사례에 적용한 경험을 공유합니다. 스마트미러 앱, 자연어처리, 이상거래탐지와 같은 실제 사례를 통해 XAI가 어떻게 결과를 해석하고 개선점을 도출할 수 있는지 알아보세요. XAI에 관심이 있거나 AI의 신뢰성과 성능 개선에 관심이 있는 분들에게 유익한 내용을 담았습니다.