2025 Incognito Hacking Conference 참관
2025 INCOGNITO HACKING CONFERENCE 참관 내용
소속 동아리가 바뀐 채로 작년에도 참가했던 인코그니토 컨퍼런스에 다녀왔다
개인적으로 작년에 되게 재밌게 들어서 이번에도 기대를 안고 갔다
학여울역 바로 앞에 있는 SETEC 컨퍼런스홀에서 열렸는데 집에서 가는게 너무 빡셌다;;
버스 3번씩 갈아타거나 지하철도 3번씩 갈아타야 해서 그냥 지하철 타고 갔다..
버스 정류장에서 내려서 홀까지 걸어가려면 거리가 꽤 있어서 더울까봐 바로 학여울역으로 가고 싶었다
작년에는 오후 1시 정도부터 저녁까지 이틀 동안 했는데 이번엔 아침부터 저녁까지 하루 동안 진행됐다
전날에 잠을 많이 못 자서 졸까봐 걱정됐다..
길게 하다 보니 점심은 구내식당에서 해결했다
근처에 식당이 많이 없고 가려면 꽤 걸어야 해서 식권을 판매했다
본인은 작년에 네트워킹 세션 참여해보고 이번엔 안 하긴 했는데 만약 고민 중이시라면 해보는 것도 나쁘지 않음요
난 그때 만났던 사람들이랑 막 연락하고 하지는 않지만 그냥 뭐하고 계시는지 보면서 정보도 얻고 동기 부여도 받을 수 있다
개회식하기 30분 전에 도착해서 명찰 받았는데 스티커랑 티셔츠도 받았다
조금 늦게 오신 분들은 수량이 다 떨어졌는지 티셔츠를 못 받으셨다고 한다..
Beginner 세션과 Senior 세션 두 개가 동시에 다른 장소에서 진행되서 둘 중에 하나를 골라서 들어야 한다
본인은 그냥 Beginner, Senior 상관 없이 재밌어 보이는 곳으로 가서 들었다
난 왕초보인데 Senior 들었다가 너무 어려워서 이해 못하면 어떡하지 걱정을 조금 했지만 쉽게쉽게 잘 설명해주셔서 괜찮았던 것 같다
Session 1
Usability와 Security 관점에서 보안 메신저 비교 분석
사용성 및 보안성 측면에서 메신저마다 점수를 메겨 평가
Wickr, Telegram, Signal, PGP 네 개의 보안 메신저 점검
Wickr는 처음 듣는 메신저였는데 사용성과 보안성 모두에서 높은 점수를 받았다
AWS가 인수하였고 FIPS 140-2 인증을 받았는데 이건 Wickr가 유일하다고 한다
나쁜 짓은 Wickr로 하면 된다고 한다
Telegram은 비밀 대화가 아니면 카카오톡처럼 모든 정보가 서버에 평문으로 저장된다
PGP도 생소했는데 이메일 메세지 등에 사용된다고 한다
사용하기 어려워서 사용성에서 낮은 점수를 받았다
순위로 따지면 Wickr > Signal > Telgram > PGP로 할 수 있다
이에 대해 더 자세한 내용은 추가 평가 기준과 함께 곧 논문으로 나온다고 한다
Session 2
체크리스트 기반 금융권 오픈 API 보안 가이드와 아키텍쳐 설계
기존 금융권에서 사용되는 오픈 API 보안 가이드를 분석해서 한계를 찾아 보완
마이데이터 1.0에서 마이데이터 2.0 시행되면서 과도기적 시기
사후 처리에 비중이 있어 예방하기 쉽지 않을 수 있다는 문제
대략적인 내용은 이러한데 아직 잘 모르기도 하고 기억도 잘 안 난다..
기존 가이드라인을 보완해서 더 세부적인 단계로 나누고 내용을 추가하면서 보완하셨다
Session 3
이동통신 보안 들여다보기
1G, 2G, 3G, 4G, 5G 발전 시기별로 존재하던 보안 문제
분명 열심히 들었지만 잘 모르겠다;;
네트워크 너무 어려우이.. 네트워크 공부 진짜 해야되는데..
SKT 해킹 사고에 대해서도 다뤄주실 예정이었는데 정말 아쉽게도 시간 관계상 생략되었다ㅠㅠ
연사 특강
금융권 모의해킹
보안 분야가 너무 많다..
아직 모르는 분야도 많은데 모의해킹 분야에서 하는 일들에 대해서 알 수 있어서 좋았다
프로젝트 하나 주어지면 길게는 두 달 정도 진행하고 보통 일반적으로는 한 달 정도 진행된다고 한다
기업에서 사용하는 솔루션 프로그램의 취약점을 찾아내서 서버에 침투하고 장악하는 사례를 보여주셨다
(근데 솔루션으로 해킹 당하면 기업보다 솔루션 책임이 더 크지 않은가 생각했지만 이번 SKT 사건에서도 그렇고 솔루션을 제대로 검증을 안 했기 때문에 기업 책임이라는 의견이 주류인 것 같다.. 아님 말고!!)
Session 4
라즈베리파이 피코 자동차 모의해킹
제목 그대로 라즈베리파이 피코 자동차 모의해킹하는 과정에 대한 세션이다
항상 느끼는 것이지만 IoT나 하드웨어 해킹하는 것 보면 되게 신기하고 재밌어보인다
그래서 그런지 사람이 엄청 많아서 맨 뒤에서 봤다..
앱으로 조종하는데 패킷 잡아내서 패킷 조작하고 했다
또 네트워크.. 진짜 공부해야겠다
Session 5
AI 시대를 맞이하는 보안 꿈나무들에게 전하는 말
우리나라 많은 학생들이 오펜시브 쪽으로 공부를 많이 하지만 실제 보안 직무 중에서 레드 팀이 차지하는 비율은 매우 작다
레드팀을 운영하는 곳도 드물고 우리는 오펜시브가 아닌 쪽에서 일하게 될 가능성이 크기에 시야를 넓혀야 한다
AI가 개발자를 완전히 대체할 수 있을지에 대해서 몇 년 전에는 근들갑이라 했지만 지금은 어떻게 될지 모르겠다
개인적으로 미국 빅테크 기업에서 몇 천 명이 짤리고 이런 사례는 기업이 코로나 때 너무 많이 뽑은 인원들을 짜르고 싶어서 명분으로 삼는 것이 아닐까 라고 생각하신다고 한다ㄷㄷ
보안을 공부하더라도 최신 AI 기술 정보나 지식은 따라가는 것이 좋다
왜인지는 나중에 알게 될 것..
연사특강
컨텐츠 및 직무별 보안 공부하는 방법
가장 기억에 남는 특강..
스터디를 하든 프로젝트를 하든 일단 깃에 올려서 작업
기록을 남겨야 함
워게임, CTF나 버그바운티 참가
CTF 그냥 나간다고 해서 스펙이 되지 않음 (입상을 해야 함)
다만, 엄청 많이 하고 그걸 잘 녹여내면 스펙이 될 수 있을 수도..
워게임 풀 때 라이트업 그냥 보라고 한다.. (띠용)
실무에서 거의 쓰이지도 않는 기법들 가지고 고뇌하고 연구하지 말고 현대 기술까지는 일단 오고 난 뒤에 공부하라고 하신다
근의 공식을 우리가 외워서 쓰지 처음 배울 때 유도해서 쓰지 않지 않는가.. (오..)
일단 라이트업 보면서 현대 기술까지는 오고 CTF 했을 때 이제 정정당당하게 겨뤄도 되겠구나 싶을 때부터 공부하면 된다고 하신다
생각해보니 맞는 말 같은데 기존 공부 방식에서 탈피해봐야겠다
웬만한 회사들은 코테 본다
코테 보기 싫으면 해킹 대회 우승을 해라 « 어떻게든 인사팀에서 빼돌려서 들여보내 준다고 한다..
자격증은 의미 없음
국내 논문은 거들떠도 보지 말고 해외 탑급 논문 보기
어려울까봐 쫄지 마라 탑급 논문은 필력도 탑급이라 번역체도 급이 다름
보안 뉴스 이런거 제발 보지 말라고 하신다
(동아리 홍보 목적이면 인정)
대학원 추천함
석사가 학사보다 많이 배우고 돈도 더 벎
학년별 공부법
- 1학년
- CS 마스터 (운영체제, 네트워크, 컴퓨터 구조 등)
- 언어 떼기 (C++은 Modern C++이 아니면 C++이 아니다..)
- 2학년
- 개인 프로젝트 무조건
- 대외 활동
- 3학년
- BoB하기 최적의 시기
- 2-3월 즈음에 수료와 탑10 등이 결정 나서 취업 시기와 잘 안 맞음
- BoB가 군대처럼 되버려서 안 할거면 이유가 필요함
- 4학년
- 소마 추천
연사특강
저는 CPU를 샀습니다만?: CPU를 사면 끼워주는 유용한 보안 관련 기능들
CPU 구조와 관련해서 2005년 이전부터 현대까지 CPU 발전 과정과 함께 어떤 보안 문제들이 있었고 어떻게 해결해왔는지에 대해서 설명해주셨다
말씀도 재밌게 하시고 내용도 좋아서 재밌게 들었다
국보연에서 일하다 오셨는데 특강 마지막 파트로 어떤 보안 문제에 대해서 막 설명하시고 어떻게 보완하는지 한참 설명하시다가 마지막에 이거 제가 만들었습니다 라고 하셨다..ㄷㄷ
솔찌 내 수준에 어려워서 그냥 그런가보다 하면서 들었는데 Gosu시다
연사특강
Offensive Security: How Theori Thinks, Works, and Wins
티오리 연구원 두 분이 오셔서 해주셨다
두 분 다 스펙이 상당하다..
여기서도 사례로 솔루션의 취약점을 이용해 서버를 탈취하는 과정을 보여주셨다
근데 그 솔루션에서 제로데이를 4개나 발견하셨다ㄷㄷ 진짜 미친(긍정) GOSU..
지금까지 작업한 곳들 중 안 뚫리는 곳이 없었다고 한다..
티오리는 어떤 곳일까..