"ゲーム保安責任を負う" イニテック百孝誠チーム長

戻る | HOME > Game About > GA最新情報

2006/10/17 15:36

※古い記事の画像は に置き換えられます。翻訳元にてご確認ください。

"ゲーム保安責任を負う" イニテック百孝誠チーム長

NCsoftの OTP 導入決定は案外だった. A 銀行の B 常務は自尊人を傷つけられるという話まで言った

イニテックは 1997年 6月, 一般インターネット利用者には疎い PKI(ゴングゲキギバングゾ) 情報保安事変身で始めて 10年という長い時間の間一分野で邁進した保安専門中堅企変身だ. 保安変身界では似ている時期に設立された安哲秀研究所といっしょに保安 1世帯で分類されて, 実力も変身界関係者なら誰も首をうなずくほどに高い水準だ. 一般人たちに広く知られた安哲秀研究所と差があったら, これらは個人ではない企変身あるいは金融圏をターゲットにしているというのだ.

イニテックはこのごろNCsoftの NC OTPを開発した企変身と知られている. しかしそのこと以外には彼らに対する情報がとても不足だ. イニテックは一般人たちが一回(番)くらい聞いて見た事が当然な系列社を持っている. 電子支払い決済サービスを提供する ´イニシス´が正しくそれだ. また, イニテックは公認認証で(INISAFE)を発給/管理するソリューションを開発した企変身であり, 1, 500万インターネットバンキング利用者中約 60%を担当している.

これらがゲーム変身界と密接な関係を結ぶようになったことはNCsoftの OTP 導入からだ. OTPは 2005年発生した一連のハッキング事故に対する保安対策中一つだ. イニテック技術戦略研究所百孝誠チーム長は 2005年までゲームユーザー達に疎かった OTPに対して "もう 2001年から金融圏で必要性が挙論されて来た保安システムだ"と説明した. OTPの安全性に対する問いに彼は "OTPは ´国家情報院´が主観して ´国家保安技術研究所´が去年から約 1年余間電子政府具現のための行政変身務など電子化促進に関する法律施行令第 34調剤 5項, 暗号モジュール試験及び検証指針規定による試験結果, 相応しさを検証受けた"と自信ありげに話して, 検証書を見せる. 引き続き彼は "私たちが検証受けた INISAFE 暗号モジュールは 1~4等級の中ですべての項目で 1等級を受けた. 国家保安技術研究所はこのモジュールのソースを提供受けて 1年余間徹底的に検証した"と言った.

そうだったら, 保安水準による等級はどんなに分けられようか. 金融監督院が ´電子取り引き安全性強化総合対策´で去年 9月公開した資料によると, 1等級 ´OTP発生器´, ´HSM 方式の公認認証で 保安カード´, 2等級 ´保安カード 携帯電話SMS´, 3等級 ´保安カード´で分けられる. (※ HSM(Hardware Security Module) : 公認認証でコピー防止のために使う保安性が強化されたスマートカード, USB 保存装置) 国内ゲーム社で普遍的に使われている SMS 認証方式は単一システムでは 3等級私の含まれないことを分かる.

百チーム長は国内ゲーム社たちの保安に対する考えを問おう "最近保安の大切さに対して皆深刻に受け入れているが, どうしても直接経験のない人々はそうではない人々より簡単に思うようにする"と惜しい顔をする. 引き続き彼は "幸いであることはNCsoftや NHNゲームス科みたいな大きい企変身が保安に対して大切さを感じてそれを実践するというのだ"と言った. (NHNゲームスは来る 26日から OTPをサービスする計画だ)

また, 百チーム長は "率直にNCsoftの OTP 導入決定は案外だった. A 銀行の B 常務は自尊人を傷つけられるという話まで言った. 彼らは金融圏と違い強制性もないし, すべての費用を直接負担しながら一番迅速に動いたからだ"と言って "最初計画とおりなら金融圏も今年の末まで企変身バンキング義務化から個人バンキングで OTP 利用範囲を拡大する予定だったが, 費用負担やその他銀行内部監査によって来年末まで持ち越された"と言った.

ゲーム社たちの保安水準はどうかな. 百チーム長の言葉によればNCsoftの場合銀行圏より高い水準であり, 銀行圏が 100点満点に 80点ならNCsoftは 81~82点だと言う. 百チーム長のこのような評価はNCsoftの保安を責任負けているギムフィガングチーム長に起因する. ギムフィガングチーム長は KAIST時代学校ハッカーサークル ´クス´ 会員で活動して去る 95年 ´浦項工科大ハッキング社でも´でいきなり解体されながら ´サイボカイスト´ 設立を主導した保安 1世代だ.

終りに百チーム長は保安変身界の話題ともうちょうど保安に目覚めているゲーム社たちのための助言を求めると, 次のように言った.

"全世界的な保安変身界の話題はフィッシングを效果的に対処するのだ. 国内/海外を問わず知られないフィッシングの被害が相当であり, 何より使用者の細心な注意が必要な攻撃方法だ. 現在フィッシングを元隻的に遮断する方法はないことのようだから格別の注意を要求する. ゲーム社は利用客の中でフィッシング攻撃の被害者が発生しないように基本的な防御法に対する指針書を提供する必要がある"

参照 : NCsoftが提供中のフィッシングに対する説明

[保安コラム] フィッシングと言う(のは)何か?

フィッシングと言う(のは)何か… あんまりインターネットブルログ, カフェーあちこちに一波万波広がっているから今ごろはみんな一度ほどは聞いて見たと思われる単語だが, 惜しくも(?) まだこれが何やらどんな被害をもたらすのか正確にご存じな方々がかなり多くないことで分かっている. それなら単語の意味から調べよう. フィッシング(Fishing)と言う(のは)何か.

フィッシングは Privacy(個人)と Fishing(釣り)の合成語で, 簡単に言って個人情報を釣って大まかにそんな話だ. どんな適切な偽装をして使用者のアカウントを入力受けることができるログイン窓を作っておいて, その所にアカウントを入力すればそのアカウント情報を自分に(ハッカー) 送るようにすることを言う. 概念正義は短く話したが, 類型は実に多様だ. アカウントハッキングの類型だというのに理論的にこれ以上詳らかに解いて見る必要があるか, どれがあるのか実際フィッシング画面を見ながら調べる.

<ゲームバグと欺いてアカウントを書いてくれれば実際にそのアカウントにお金を吹き入れてくれるという類型>

一応一番目で,自分だけが分かるゲームのバグと欺いて字イブリョックカンいくつ入れた単純な槍(窓)画面作っておいてこちらにアカウントを書いてくれればそのアカウントでゲームマネーを吹き入れてくれるという買うのを広げてアカウントを奪う方法だ. 当然そんなバグの存在するわけがない. しかし純粋なゲーマーたちはまるで自分だけがあの恩恵を得るという期待感に脹れたままアカウントをそっくりそのまま少ない. 当然入力したアカウントはあの画面を作ったハッカーの手の内に移るようになって, 3時間後ログインして見れば, 見えることはあふれるゲームマネーではなくてがらんと空いているアイテムポケットだけだ.

上のような類型は人より早くて簡単にゲームマネーを獲得したい非正常的欲求のため引っかかる場合だ. あんな不法的な試みはしなければ大丈夫だと思えるがフィッシングの類型はこれだけがない. ホームページログインページとまったく同じな画面を構えておいてゲームホームページであるようにログインを試みるようにする場合もある. 特別に不順な意図を抱いてゲームマネーが増えるという眩惑に浮気をするようにならなくても, 何の考えもなくただホームページログイン窓であったりして普通と違うことなしにログインをしたことだけなのに, アカウントがハッカーの手で移るようになる場合だ.

<こんなにゲームログイン槍(窓)とまったく同じく作って置く場合があったらざっと見てはてっきり引っかかってしまう. 株消暢を見ればもちろんゲームの正常ウェブサイト住所ではではなければが分かる>

こんな槍(窓)にアカウントを入力すれば当然そのアカウントはハッカーの手で移るようになって, こんな偽装サイトで装ってアカウントを奪い返すハッキングをすぐフィッシングの基本と同時に核心になる部分だ. 敢えて煩わしくて複雑にサーバーを攻撃する必要なしに使用者に直接アカウントを入力するようにして, 簡単に非番を送信受ければ終りのことで, ただ HTMLファイルだからワクチンにも検出されないし製作方法も簡単, 現在まで公開された卓越な予防方法もないというのなどを含んで実に単純ながらも莫強したハッキング方法だから見られる.

それでもコンピューターに少しでも知識がある方々やちょっと几帳面な方々は誰がイランゴにあうのかと聞き返すかも知れないのに, フィッシングに引っかかる被害者は決して少なくない. もしやゲームマネーがヌルオナルゴというそんなおぼろげな期待感を抱いてまさか? しながら入力するとか, フィッシング画面かも知れなくて普段常に見ているゲームサイト画面なので何の考えもなくログイン試みをしてからひどい目に会うなど, ほとんど対策なしに引っかかる場合が決して少なくない. もうあった方々にはすごく申し訳ない話だがぴったりざっくばらんに言ってコンピュータ知らずに近い方々や他人達をよく信じる非常に純粋な方々主として被害を被っていると見られる.

それならどんなふうにアカウントが送信されるのか知りたくないか. その過程を詳らかによく見る.


1. 右に出て見たプログラムが本当にお金を生成してくれるのかそれとも本当に悪意的目的を持ったフィッシングなのか詳しく分析して見る. マウス右側ボタンを押して “ソース表示”を選択する.

2. HTMLになっているタッグが出る. タッグをちょっと見る方はすぐ分かるが, 分からない方々のために表記をして置いた. 赤い四角で親所が, 入力されたアカウントを送るサイトで, value値段で誰かの電子メール住所が盛られている. 入力されたアカウントを私 xxxxnse-x-xxtic.com というサイトで処理して, あの電子メールに送るのだ. 一度テストサムよあの電子メール住所を本人の電子メール住所で置き変えてテストをして見よう.

3. 筆者の電子メール住所に変えて見た. そして保存.

4. 次のようにテストで入力して見た. 入力された内容は下の画面のようだ (パスワードは test_passwd)

5. 下のような内容が電子メールに送信された. IDとパスワードは絶対保存にならないですという上の表現がぎこちなくなる部分だ.

とてもよく整理してメールに送ってくれる. 良い(-_-) サイトだ.


http://xxxxnse-x-xxtic.com/ (xでモザイク処理する)というサイトは, フォームタッグに入力受けた内容が分かって整理してくれた後, 願う電子メールでその内容を送ってくれるサイトだ. 效率的な文書整理のために製作されたサイトで, 当然こちらは厳然に合法的サービスをしているサイトなのは勿論だ. しかしその方法をこのようなフィッシングに悪用して無茶な目的に使われている. 海外にはこれに似ているサイトが多くの人あるのに皆ハッキングに悪用されている方だ.

このようなフィッシングは海外で金融圏サイトを中心に派生されたことであり, オンラインゲーム文化が発達された国内にまで流入されてこのように多い被害を発生させている. したがって敢えてオンラインゲームだけでなく銀行サイトみたいな画面を作って流布させてインターネットバンキングアカウントを狙う場合も珍しく登場しているから, ゲーマーではないとしてもこんなハッキング方法があるというの自体が分かることはインターネットを使う者なら誰も分からなければならない重要な部分の一つだ.

実はフィッシングはインターネットエクスプローラの住所槍(窓)部分だけ見ても, これがフィッシングなのか正常なウェブサイトなのか区別することができる. それで人々がこの程度チェックだけでフィッシング有無を判別するということに着眼して, 最近には住所槍(窓)まで完璧にそのサイトで記入する高性能フィッシングまで登場した状態だ. ジャバスクリプトを利用して URL槍(窓)の入力フォームを修正する方法だ. 下の絵を見ればその状況を確かに分かる.

そのまま見てはゲームの住所までまったく同じだから正常なゲームウェブサイトと思いやすい. 一体どんな部分が他のことだろう? すぐ与えなさい槍(窓)の左側部分である, “Address” 部分だ. これが元々は“住所(D)”になっていなければならない. ところでスクリプトを利用してその部分だけ “Address”という他の字に偽造した後,住所槍(窓)内容には元々のゲーム住所を書いて置いた. 住所脹満大まかにチェックしてはこれがフィッシングなのか絶対疑うことができない. ジャバスクリプトを利用した最近登場の高性能フィッシング方法だ.

<これが正常ゲーム画面だ. 住所(D)になっている部分を目を注ごう>

このようにイックスプルロの入力フォームをスクリプトに変えることができるというの一つだけ見ても, もうフィッシングは単純な目測で確認しにくくなったし, ハッカーの攻撃自体ももうちょっと高度化になったということを証明する. この方法に対する原理は上内容に比べてもうちょっと悪質的な悪用の素地があるので詳しい内容を略する.

フィッシングにあわない方法は?
もうフィッシングと言うのがどれなのか大まかに分かったから, ハッキングだと呼ぶにもきまり悪いこのようなあっけない述策にあわないように予防しようとすればどうすれば良なのかを調べるようにする. 上に簡単に言及したりしたが, 実はフィッシングは正常な HTMLファイルであるだけだから, ワクチンにも検出されないし, 防火壁なんかに濾過される事はもっとがない. 結局使用者が気を付けなければならないということが一番重要だという話なのに, 一応ユチグックに浮気をするようにならない “断固たるヌンサルミ”が必要だ.

1. ゲームバグが存在するという虚構を信じないで. もちろんバグは存在することもできる. しかしあんな式でバグを利用して無料でゲームマネーを歌われてくれるという話は通り過ぎる犬が笑うに値する話だ. このようなものたちは 100% アカウントハッキングを目的にしたフィッシング. したがってあんな文を見つけたらその所にアカウントを入力する手数をかける時間にかえってゲーム社に申告をしよう. “ソース表示”を利用して少しだけ下がってみると電子メール住所を簡単に捜すことができる.

2. 現在自分がアカウントを入力する槍(窓)がゲーム社のホームページ画面なのか確かに確認しよう. 単純に与えなさい槍(窓)部分だけ見てもこれが私のコンピューター中のファイルなのかホームページ上の画面なのか簡単に区別することができる(住所が迎えると言っても, 周辺槍(窓)模様までもうちょっと綿密に検討すると). ちょっと加えた固守フィッシングの場合は “お客様のアカウントに問題があり得たらパスワードを変更してください” して親切に槍(窓)を作ってメールを振り撤く場合もある(外国フィッシングのスタイル). こんな場合は住所槍(窓)部分だけ見ては分かることができないから, これがゲーム社で直接送ったか, わからない不始末な画面なのか注意深く必ずよく見よう. 見分けにくければ電子メールで伝達した画面ではログイン自体を試みない. 必ずゲーム社ホームページに訪問してログインをしよう.

3. アンチフィッシングプログラムを利用しよう. フィッシングは単純 html ファイルであるだけだからワクチンや防火壁はもちろんキーボード保安ソリューションとも全然連関性がないなくてこの前にはフィッシングに対する明らかな対策がなかったが, 最近には多くのアンチフィッシングソリューションが登場した状況だ. なかでも簡単に使うに値する代表的なことが MSNのツールバー機能だ. MSNのツールバーを設置すればアンチフィッシングに対するオプションがあるのに,これでフィッシングに対する予防がどの位可能だ. 設置と利用方法まで扱うことはこの内容の範囲を脱するので詳しい内容は http://www.microsoft.com/korea/athome/security/online/phishing_filter.mspx を参照しよう.

その外フィッシングに対する対備策ではウィンドウズ XP サービスパック2 ではジャバスクリプトオプションを遮断して, 外国製ワクチンの電子メール感知器ではフィッシングの危険が潜在するサイトのリストを作っておいた後そっちの方へ何か内容を送ろうと思う時あらかじめ危険を知らせてくれるなどの方法が用意されている. そしてまもなく正式でフィッシング予防機能まで含まれたインターネットエクスプローラ 7.0の正式版が発表される予定だ(現在ベータ板は公開資料室でダウンして設置して見られる). ウイルスでもないのがますます知能化されて彼に合わせて対応法も持続的に用意されているのにとにかくこんな保安装置も無視したまま結局使用者が不注意した姿を見せてあちこちアカウントを入力してしまったら続く保安策も結局無用の物になるだけだ. アカウントに対する完全な保護をその誰が保障してくれることができるか. 安全装置にだけ全面的に頼らないで使用者自ら気を付ける姿を取り揃えるのが一番良い方法だから見られる.

文 : インカインターネットゲーム保安事変身本部ゲーム保安センターガングビョングタック()

戻る | PAGETOP | HOME > Game About > GA最新情報