공대생의 이것저것☀︎

개인키 값이 4였던 인증기관 eMudhra가 중간 인증서 8개를 더 폐기했다. 이번에는 10월에 "영향 없다"고 했던 RSA 인증서들이다. 키가 깨졌다는 증거는 없지만, 키가 규정대로 다뤄졌다는 것도 증명하지 못했다. 10월 사고 내용은 eMudhra 인증서 사고 정리에 적었다. 이 글은 그 뒤 3주 동안 새로 드러난 사실과, 11월 16일과 30일에 바뀌는 것을 정리한다. 일반 사용자가 할 일은 많지 않다. 다만 서버나 사내 시스템을 관리한다면 16일 전에 한 번은 확인해 두는 게 좋다. 회사 PC의 윈도우에서 eMudhra 루트 인증서가 빠지기 시작하는 날이기 때문이다. 10월 19일 "다른 경로라 영향 없다" 10월 18일 eMudhra는 P-384 타원곡선 중간 인증서 8개를 "키 유출" 사유..

11월 6일, 개발자용 로그인 서비스 회사 WorkOS가 침해 사고의 범인을 밝혔다. 해커 조직이 아니라 보안 연구자 한 명이었다. 연구자가 성능 평가용으로 돌리던 AI 해킹 에이전트가 격리된 테스트 환경을 벗어나 WorkOS의 실제 영업 시스템에 들어가 고객 기록을 내려받았다. 같은 주에 블록체인 분석 회사 Chainalysis는 공지를 세 번 고쳤다. 처음에는 "이름과 메일 정도만 노출됐다"고 했다가, 일주일 만에 "모든 사용자의 비밀번호 해시와 살아있는 토큰"으로 범위를 넓혔다. Chainalysis는 공격자가 '공격형 에이전트 기법'을 썼다고만 밝혔다. 지난 ARTEX 확산 글에서는 국가 배후 조직이 AI 침투 도구를 쓰기 시작했다는 보고서를 정리했다. 이번 두 사건은 그 도구가 실제 회사에 닿은..

AI 코딩 도구가 명령을 실행하기 전에 "이거 실행해도 될까요?"라고 묻는 창은 하루에도 수십 번 뜬다. 귀찮아서 "다시 묻지 않기"를 누르는 순간, 그 명령어 한 줄이 통째로 파일에 저장된다. 명령어 안에 DB 비밀번호가 들어 있었다면 비밀번호도 같이 저장된다. 보안 업체 Apiiro가 11월 초 공개한 조사에 따르면, 이렇게 비밀값이 담긴 Claude Code 설정 파일이 공개 GitHub 저장소에서 1,122개 발견됐다. 서로 다른 비밀값은 1,379개였고, 흔히 쓰는 시크릿 스캐너 두 개가 모두 놓친 파일도 215개나 됐다. 이 글은 왜 이런 일이 생겼는지, 관제에서는 어디를 봐야 하는지, 개발자와 보안 담당자가 지금 할 일을 정리했다. 버튼 한 번에 명령어 전체가 저장된다Claude Code에..

한국 시간 11월 13일 새벽부터 마이크로소프트 365가 크게 멈췄다. 아웃룩으로 메일함이 열리지 않았고, 팀즈 일정과 셰어포인트 일부, Copilot까지 같이 흔들렸다. 다운디텍터에 올라온 아웃룩 장애 신고는 한때 13만 건 가까이 됐다. 이번 장애에서 눈에 띄는 건 규모보다 원인 설명이 계속 바뀌었다는 점이다. 처음엔 사용량이 몰렸다고 했다가, 트래픽 문제가 아니라고 했다가, 나중에는 최근 바꾼 네트워크 설정을 되돌리기 시작했다. 글을 쓰는 11월 14일 새벽 기준으로 마이크로소프트는 아직 장애 종료를 공식 선언하지 않았다. 새벽 1시에 시작해 밤까지 이어진 하루 시간은 모두 한국 시간이다. 13일 오전 1시 17분쯤 아메리카 지역 사용자가 Exchange Online 메일함에 접속하지 못한다는 ..

11월 19일 수능에서 AI 안경(스마트안경)은 휴대전화와 같은 반입 금지 기기다. 시험 중에 쓰고만 있어도 쓴 것으로 보고, 그해 시험은 무효가 되며 다음 해 수능도 볼 수 없다. 규정이 이렇게까지 세진 데는 이유가 있다. 올해 토익, 국가기술자격시험, 대학 논술, 중고교 시험에서 스마트안경 부정행위가 줄줄이 잡혔다. 수능 날 무엇이 금지되고, 시험장에서 어떻게 확인하는지, 안경을 쓰는 수험생이 챙길 것은 무엇인지 정리했다. 수능 날 스마트안경은 이렇게 처리된다 교육부가 11월 9일 낸 수험생 유의사항을 보면 휴대전화, 스마트워치, 블루투스 이어폰, 전자담배, AI 스마트안경 등 모든 전자기기를 시험장에 가져갈 수 없다. 시계도 결제·통신 기능과 전자식 화면이 모두 없는 아날로그 시계만 된다. 실수..