Seon's IT Story

[TLS] Extended Master Secret(EMS) 정리

앞 글에서 TLS 1.2의 Triple Handshake 공격을 정리했다. 서로 다른 두 세션의 마스터 시크릿을 같게 맞춘 뒤, 세션 재개와 재협상을 이어 붙여 공격자의 데이터를 피해자 인증 아래로 밀어 넣는 공격이었다.https://hsunnystory.tistory.com/322이번 글은 그 공격을 막으려고 나온 EMS(Extended Master Secret, RFC 7627)를 다룬다. 실무에서 이 확장 때문에 iOS 27 앱 설치가 막혔던 일은 따로 정리해 두었다.https://hsunnystory.tistory.com/3211. EMS의 마스터 시크릿 계산 방식기존 TLS 1.2의 마스터 시크릿은 pre-master secret과 양쪽 난수만으로 계산했다. EMS는 난수 자리에 ClientKe..

[TLS] Triple Handshake 공격 정리

얼마 전 iOS 27에서 인하우스 앱 설치가 실패하는 문제를 겪었다. 원인은 서버가 TLS 1.2에서 EMS(Extended Master Secret)를 협상하지 못한다는 것이었다.https://hsunnystory.tistory.com/321해결할 때는 "EMS가 없으면 안 된다"는 사실만 따라갔는데, 정작 EMS가 무엇을 막으려고 생긴 건지는 몰랐다. 찾아보니 EMS는 2014년에 발표된 Triple Handshake 공격을 막기 위해 만든 확장이었다. 이번 글에서는 그 공격을 먼저 정리하고, EMS 자체는 다음 글에서 다룬다.1. TLS 1.2 마스터 시크릿 계산 방식TLS 1.2에서 데이터를 암호화하는 키는 마스터 시크릿(master secret)에서 나온다. 마스터 시크릿은 핸드셰이크 중에 클라..

1. 증상고객사에서 사내 배포(인하우스) 앱이 설치되지 않는다는 연락을 받았다. 설치 페이지는 정상적으로 열리는데, 설치 버튼을 누르면 "TLS 오류로 인해 보안 연결이 실패했습니다." 라는 메시지만 뜨고 진행이 되지 않았다.확인해 보니 iOS 27로 업데이트한 기기에서만 발생했다. iOS 26 이하와 안드로이드는 그대로 설치가 됐고, 서버 쪽은 최근에 작업한 게 없었다.아이폰을 Mac에 연결하고 Xcode 콘솔에서 로그를 확인해보니 아래와 같은 로그가 있었다.Manifest for UPP: https://app.example.co.kr:8443/store/apps/iOS/MyApp.plist clientID: itunesstoredDownloading requested manifest at URL: h..

1편에서 스크립트 체인, 2편에서 Windows 서비스의 레지스트리 스냅샷, 3편에서 JAVA_HOME이 두 번 설정되는 구조를 알아보았다.https://hsunnystory.tistory.com/318이 시리즈를 시작하게 만든 증상은 따로 있었다. 같은 배포본, 같은 설정 파일인데 bin\startup.bat으로 띄우면 설정 안의 경로를 ../resources/...로 적어야 잡히고, 서비스로 띄우면 resources/...로 적어야 잡혔다. 홈도 같고 JDK도 같은데 상대 경로의 기준만 달라졌다.자바는 상대 경로를 무엇을 기준으로 해석하고, 그 기준은 실행 방식에 따라 왜 달라지는가?이번 포스팅에서는 상대 경로의 기준점이 어디서 결정되는지, 실행 방식별로 그 값이 어떻게 달라지는지, 그리고 어떻게 고..

1편에서 톰캣의 스크립트 체인을, 2편에서 Windows 서비스가 레지스트리 스냅샷으로 뜨는 구조를 알아보았다.https://hsunnystory.tistory.com/317톰캣 7 시절부터 수백 곳에 같은 방식으로 납품해 온 배포본이 있었는데, 톰캣 9로 재패키징한 새 배포본이 개발 PC에서는 서비스 등록까지 잘 되던 게 정작 고객사 서버에서는 등록이 실패하는 상태였다. 파일을 전부 열어보고 비교해보니 이전 패키지들(톰캣 7)은 JAVA_HOME이 두 군데 적혀 있었고, 새 패키지(톰캣 9)는 한 군데에만 적혀 있었다.자바가 설치되어 있지 않은 서버에 JDK를 내장해서 배포할 때, bat 기동과 서비스 기동 두 경로 모두가 그 내장 JDK를 바라보게 하려면 어디에 무엇을 적어야 할까?이번 포스팅에서는 ..

이전 포스팅에서 톰캣의 디렉터리 구조와 CATALINA_HOME, 그리고 startup.bat에서 catalina.bat, setenv.bat으로 이어지는 스크립트 체인을 알아보았다.https://hsunnystory.tistory.com/3161편 마지막에 "서비스로 뜨는 톰캣은 이 스크립트 체인을 전혀 거치지 않는다"고 적었다. 처음 이 사실을 확인했을 때 꽤 당황했던 기억이 있다. 배포본의 setenv.bat에 내장 JDK 경로를 지정해 두고 서비스로 돌리고 있었는데, 정작 서비스는 그 파일을 읽은 적이 없고 install하던 날 PC에 깔려 있던 다른 JDK로 계속 돌고 있었기 때문이다. 버전이 우연히 같아서 아무 증상이 없었을 뿐이다.이번 편은 Windows 서비스로 등록된 톰캣이 실제로 어떻게..

최근 사내 배포본을 정리하다가 이상한 증상을 하나 만났다. 같은 톰캣 배포본인데 bin의 startup.bat으로 실행할 때와 Windows 서비스로 실행할 때 설정 파일의 상대 경로가 서로 다르게 해석되는 것이다. 한쪽에서는 resources/...로 잘 잡히던 경로가 다른 쪽에서는 ../resources/...로 고쳐줘야 동작했다.처음에는 설정 문제라고 생각했는데, 원인을 따라 내려가 보니 결국 톰캣이 기동되는 구조 자체를 제대로 이해하지 못하고 있었다는 결론에 도달했다. 톰캣을 몇 년씩 운영하면서도 startup.bat을 실행하면 내부에서 무슨 일이 일어나는지, CATALINA_HOME이 어디까지 영향을 주는지 정확히 설명할 수 없었던 것이다.이번 시리즈에서 그때 추적했던 내용을 원리부터 정리해 보..

2025년 1회 정보보안기사 필기에 합격한 지 1년이 훌쩍 지났지만.. 실기까지 마무리된 김에 기억을 더듬어 필기 후기부터 써보려고 합니다. 제 블로그 예전 글을 보신 분들은 아시겠지만, 사실 제가 정보보안기사에 처음 발을 들인 건 2020년이었습니다. https://hsunnystory.tistory.com/194 정보보안기사 취득 준비 시작오랜만에 자격증을 취득해보려고 한다. 지금 회사에서 하고있는 업무가 정보보호이고 앞으로 이 분야에 있을 것 같으니 미래를 위해 도전..! 시험 일자는 2020-05-30 이니 주말에 시간내서 공부하hsunnystory.tistory.com 학부 때 정보보안 동아리를 하면서 이쪽 일에 로망이 있었고 (해킹 같은 게 멋있어 보였습니다 ㅎㅎ), 2017년에 정보처리기사..

기능 개발을 마치고 로컬 서버를 띄운 뒤, Postman으로 API를 호출해 DB에 정상적으로 저장되는지 확인한다. 콘솔에 출력된 쿼리와 로그를 눈으로 훑고 나서야 PR(Pull Request)을 올린다. 실무를 경험하며 누구나 거쳐왔을 익숙한 흐름이다. 하지만 서비스 규모가 커지고 비즈니스 로직이 복잡해지면, 이러한 수동 테스트는 명확한 한계를 드러낸다. 첫 번째로 짚고 넘어가야 할 부분은, 왜 비용을 들여가며 테스트 코드를 작성해야 하는가에 대한 근본적인 이유다. 눈으로 확인하는 수동 테스트의 함정수동 테스트는 실행 비용이 높고 반복하기 엉렵다. 특정 비즈니스 로직의 분기문이 10개라면, 모든 엣지 케이스를 검증하기 위해 서버를 재시작하고 파라미터를 바꿔가며 10번의 API 호출을 수행해야 한다. ..

이전 포스팅에서 테스트 코드가 없는 레거시 환경에서 GitLab Runner를 구축하고 스모크 빌드(Smoke Build)를 통해 컴파일과 패키징 무결성을 확보하는 과정에 대해 알아보았다. 스모크 빌드로 기본 파이프라인의 뼈대를 갖추었다면, 다음 단계는 코드 레벨의 결함을 사전에 차단하는 품질 게이트(Quality Gate)를 설계하는 것이다. 테스트 검증 없이 빌드 산출물만 뽑아내는 파이프라인은 버그가 포함된 산출물 또한 자동으로 배포하는 위험을 내포한다. 레거시 Java/Spring 프로젝트에 JUnit/Mockito 기반 단위 테스트를 작성하는 기준과, JaCoCo를 활용해 최소 코드 커버리지를 시스템적으로 강제(Build Break) 하는 방법에 대해 알아본다. 1. 레거시 환경에서의 단위 테스트..