13~14일, 서울교육문화회관에서 개최

국·내외 해커들 실제 해킹시연 및 대응법 공개

국제 해킹/보안 컨퍼런스 POC2008(www.powerofcommunity.net/home.html)이 오는 11월 13 ~ 14일 2일간 서울 양재동 서울교육문화회관 거문고홀에서 열릴 예정이다.

POC2008은 2006년에 시작돼 이번이 세 번째로 진행되는 POC 컨퍼런스다. 형식적인 논의에서 벗어나 실제 해킹/보안 기술만을 다루는 컨퍼런스로, 대부분의 발표자들이 실전해킹과 실전보안을 현장에서 직접 시연을 통해 보여주는 것이 POC만의 특징이다. 이것은 국내에서 열리는 형식적인 컨퍼런스와는 다르며, POC는 금전적 이익을 추구하지 않는 순수 비영리, 해킹 중심의 컨퍼런스로 자리매김하고 있다. 

지난 1~2회에서는 GNU 프로젝트와 프리 소프트웨어의 설립자 리차드 스톨만(Richard Stallman), 미국 정보기관 NSA 출신의 Dave Aitel, 중국 최고 보안 컨퍼런스 Xcon의 운영자 Casper, Defcon CTF 연속 우승팀의 리더 atlas 등의 발표와 삼성전자 VoIP 제품에 존재하는 취약점을 이용한 해킹방법을 독일 해커 Hendrik이 발표하기도 했다. 또한 국내 발표자들은 휴대폰 해킹, 닌텐도를 이용한 해킹, 국내외 포탈업체에서 운영하는 VoIP 서비스를 스니핑하는 기술과 금융권에 존재하는 보안문제를 이용한 해킹 방법 등이 발표되었다.

이번에 개최되는 POC2008의 발표자가 모두 확정되었다. 이번 컨퍼런스의 주요 발표자와 발표주제는 다음과 같다.

‘Stefan Esser’는 우리나라에 대해 애정을 많이 가진 독일 해커로서, PHP 관련 많은 보안 취약점을 발표했으며 마이크로소프의 XBOX의 DRM을 최초로 완벽하게 깨기도 했다. PHP 보안 프로그램인 ‘수호신 (Suhosin)’을 만들어 발표하기도 한 그는 POC2008에서 PHP 어플리케이션에 존재하는 취약점을 발견하는 방법과 공격에 대해 발표할 예정이다. 그는 현재 Hardened PHP 프로젝트를 운영 중이다.

국내 VoIP 취약점 발표...대응법 공개

‘GilGil’은 국내 VoIP 제품과 서비스에 존재하는 취약점에 대해 발표할 예정이다. POC2007에서는 스눕스파이를 발표하여 외국 보안계에서도 많은 호평을 받았던 그는 국내 대기업 등에서 운영하는 인터넷 전화를 도청할 수 있는 문제점과 해결책에 대해 발표할 예정이다.

미 공군에서 근무했다가 국내 보안회사 NSHC에 스카우트된 ‘Mudsplatter’는 물리적 해킹과 보안에 대해 발표할 예정이다. 특히 국내 IDC 센터의 물리적 보안 문제점을 지적할 것이며, 감시 카메라를 무력화시킬 수 있는 방법 그리고 ‘Lock Picking’ 등을 발표할 예정이다. 

일본 리버싱 엔지니어링 전문 회사인 NetAgent에 근무하며, Microsoft MVP award for Windows Security를 몇 차례 수상한 ‘Hasegawa’는 문자 인코딩을 이용한 공격법을 발표할 것이다. 그는 웹 브라우저에 존재하는 취약점을 여러 차례 발표했으며, 10월에 있었던 Black Hat Japan에서 최고의 발표로 사람들의 호평을 받았다.

러시아 언더그라운드 해커이자 베스트셀러인 “Hacker Disassembling Uncovered”의 저자인 ‘Kris Kaspersky’는 새로운 오버플로우 공격 기법을 발표할 예정이다. 특히 이 새로운 공격 기법을 이용하여 마이크로소프트의 제품에 존재하는 취약점을 공격하는 방법을 시연으로 보여줄 예정이다. 이 문제는 패치에 시간이 많이 걸릴 수 있는 문제라고 Kris는 말하고 있다.

해킹 잡지 프렉(Phrack)에 3번이나 발표를 한 Grugq은 그의 주 분야인 Anti-Forensics에 대해 발표를 하며, 이 과정에서 OS 엑스파일 시스템 공격법과 제로데이를 발표할 예정이다.

국내 보안계의 미래라고 할 수 있는 Dual과 gotofbi는 국내 케이블 모뎀에 존재하는 취약점을 이용해 익명으로 인터넷을 사용하고, 무료로 인터넷을 사용하며, 그리고 케이블 모뎀에 존재하는 다른 문제점들과 해결책을 제시할 예정이다.

중국 KnownSec의 CEO이자 중국 유명 해킹 그룹 0x557의 멤버인 ‘ICBM’은 우리나라 인터넷에서 가장 큰 문제가 되고 있는 중국 해커들의 악성코드 공격에 대해 발표할 것이다. KnownSec은 중국 유명 해커들이 함께 만든 회사로, 악성코드 전문 회사이다. ICBM은 그동안 Windows에 존재하는 취약점을 여러 차례 발표한 적이 있다.

리눅스 시스템 공격 및 전자여권·하이패스카드 복제 등 시연

‘Xpl017Elz’는 리눅스 시스템에서 보안 대책으로 사용되고 있는 ‘이엑스이시-shield’ 보호 시스템을 우회하여 원격으로 공격하는 새로운 방법을 보여줄 것이다. 아울러 실제 보안 취약점을 찾아내는 디버깅 과정을 보여줄 예정이다.

‘Lukas Grunwald’는 8월부터 시작된 우리나라의 전자여권과 고속도로 하이패스 카드, 기타 출입증 등의 복제 및 변조 가능성 여부를 확인할 계획이다. Lukas는 세계 최초로 전자여권 복제를 Black Hat 2006에서 보여주어 전 세계를 놀라게 했었다.

미국 마이크로소프트 기술자를 대상으로 열리는 Bluehat 컨퍼런스에서도 올해 발표를 했던 ‘Kuza55’는 자바스크립트 하이재킹 공격 등을 비롯해, 발전된 웹 해킹 공격 기법에 대해 발표할 것이다. 이 발표에서는 Google에 존재하는 취약점에 대한 제로데이 공격 코드를 발표할 예정이며 웹 공격에 사용되는 몇 가지 툴을 공개할 것이다. 

POC2008의 주요 이벤트로 올해 처음으로 안철수연구소와 함께 개최한 리버싱 엔지니어링 대회 Hackers’ Dream이 지난 10월 15일 끝이 났으며, 그 결과가 11월 1일 발표되었다. 1095개의 단일 IP가 참가했으며, 나라별로 분류하면 미국, 중국, 러시아, 일본 등 19개의 나라가 참가했다. 이 대회 우승자는 POC2008에서 정식으로 발표하며, 우승자가 발표를 하지 않을 경우 상위 입상자가 발표할 예정이다. 이 대회 입상자들은 안철수연구소 입사 지원 시 가산점을 받을 수 있다. 그러나 대회의 순수성을 위해 우승팀에게 상금이 지급되지는 않으며, 대신 상패와 ‘드림백’을 챔피언의 상징으로 받게 된다.

현재 후기 등록이 진행 중이며 후기 등록은 11월 7일 끝이 난다. 현장등록도 가능하다. 등록 기간별로 등록비가 차등이 있으며, POC2008에는 스폰서와 기존 발표자를 제외하고는 무료 초대권이 없다. 무료 초대권을 남발할 경우 컨퍼런스의 질적 발전을 막을 수 있기 때문이다.

외국 일반 참가 신청자들도 작년에 비해 증가했다. 데프콘과 블랙햇 운영자 제프 모스, SysCan 컨퍼런스 운영자, 블랙햇 Japan 운영자도 참가 신청을 했다. 미국 국방부에서도 신청을 했으며 싱가폴의 정부 공무원, 중국 CN-CERT 출신의 인력, 기타 각국의 보안 관계자들이 참가를 신청했다. 그리고 데프콘 CTF 본선에 2년 연속 진출한 스페인 팀인 Sexy Panda팀의 리더와 멤버도 같이 오며, 외국 회사 헤드 헌터도 참가하여 국내 보안 인력들과 접촉할 계획이라고 한다. 또한 외국 언론사들도 참가를 신청을 했다.

POC2008 등록 및 각종 정보 관련해서는 운영자에게 메일(pocadm@gmail.com)을 발송하면 된다.

[길민권 기자(reporter21@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>