테크엔카

1. 개요 Heartbleed는 2014년 OpenSSL 라이브러리에서 발견된 심각한 보안 취약점(CVE-2014-0160)으로, SSL/TLS 통신을 사용하는 서버에서 민감한 정보를 유출할 수 있는 공격이다. OpenSSL의 Heartbeat 확장 기능에서 발생한 취약점을 악용하며, 서버 메모리의 내용을 무단으로 읽어낼 수 있다. 이를 통해 암호화 키, 사용자 비밀번호, 세션 쿠키 등 민감한 정보가 노출될 수 있다. 2. 공격 원리    1) Heartbeat 프로토콜        - Heartbeat는 TLS 연결에서 클라이언트와 서버 간 연결 상태를 유지하기 위해 사용되는 확장 프로토콜이다. 클라이언트가          "Heartbeat Request"를 보내면, 서버는 해당 요청에 대한 응답("..

도메인 입력시 프로토콜 입력 없이 접속할 경우 자동으로 https 로 접속하게 설정해야 할 경우가 있다. 최근 WAS를 설정하며 경험한 사항을 아래에 정리해본다.  1. web.xml 설정   vi 명령어로 web.xml를 열어 제일 아래 아래의 내용을 넣어준다. (vi server.xml)                               Protected Context                 /*                                   CONFIDENTIAL                위의 설정은 톰캣(Tomcat) 서버의 웹 어플리케이션에 대한 보안 제약을 설정하는데 사용된다.  보안 제약을 설정하기 위한 최상위 요소이다. 이 요소 안에는 보안 관련 설정들이 포함된다...

vi 명령을 이용하여 ( vi server.xml ) conf 디렉토리에 있는 server.xml 에 아래 내용을 넣는다. ＊ port: HTTPS 연결을 받을 포트 번호. 보통 443 포트를 사용하나 톰캣은 보안상 하위포트를 사용할 수 없어 8443 이나 4443을 많이 사용한다. ＊ protocol: 사용할 프로토콜을 지정한다. 일반적으로 org.apache.coyote.http11.Http11NioProtocol을 사용. ＊ SSLEnabled: true로 설정하여 SSL을 활성화함. ＊ keystoreFile: SSL 인증서를 저장한 키스토어 파일의 경로를 지정. ＊ keystorePass: 키스토어 파일의 암호를 지정. tomcat 서버를 재시작 한다. /bin/shutdown.sh (톰캣 종료..