← 메인으로

🔓 전자금융 보안 모의해킹 · 취약한 HTTPS 프로토콜 제한

Target: 금융 서비스 HTTPS 웹서버
평가기준: 위험도 5 WEB-SER 취약 HTTPS 프로토콜(034)
💡 쉽게 말하면
낡은 자물쇠 규격을 계속 허용하면 도둑이 일부러 그 낡은 자물쇠로 바꿔 끼워 만능열쇠로 엽니다. 새 규격(TLS 1.2/1.3)만 받도록 하면 낡은 자물쇠 자체를 쓸 수 없습니다.
🔓 공격 시뮬레이션 (Red Team)
🛡️ 대응 방안 (Blue Team)
TLS 프로토콜 스캔🔒 Secured Channel
웹서버가 SSLv3 / TLS1.0 / TLS1.1 같은 구버전 프로토콜을 계속 허용하면, 공격자는 협상 과정을 가로채 약한 버전으로 다운그레이드시키고 POODLE·BEAST 기법으로 암호화 통신을 복호화할 수 있습니다.
⚡ 프로토콜 다운그레이드(POODLE/BEAST)
nmap ssl-enum-ciphers로 구버전 허용 확인
OFF
🖥️ 금융 시스템 처리 로그
[SYSTEM] Core Banking Channel ready.
[INFO] 거래 요청 대기 중...
⚖️ 컴플라이언스 위반 분석
공격 실행 후 분석 결과가 표시됩니다.
[심각] 전자금융 보안 기준 위반 감지
  • 평가기준 [전자금융] 취약한 HTTPS 프로토콜 제한(위험도 5)
  • 전자금융감독규정 제32조: 전송구간 암호화 강도 미흡
  • TLS 권고(RFC 8996) SSLv3/TLS1.0/1.1 사용 폐기 위반
🛡️ 대응 코드/설정 실습

웹서버는 TLS 1.2 이상(권장 1.3)만 허용하고 SSLv3·TLS1.0·TLS1.1 구버전을 비활성화해야 합니다. 아래 Nginx 설정을 보완하세요.

📚 금융보안원 평가기준 / 조치 가이드

1. 점검 항목

서버 보안 > 취약한 HTTPS 프로토콜 제한

2. 위험 분석

  • SSLv3/TLS1.0/1.1 허용 시 다운그레이드 공격
  • POODLE·BEAST로 암호화 통신 복호화

3. 조치 방법

  • TLS 1.2 이상(권장 1.3)만 허용
  • SSLv3·TLS1.0·TLS1.1 비활성화
  • 다운그레이드 방지 옵션 적용
🏗️ 현대 금융 IT 환경에서의 변형
ALB 보안정책TLS 1.3IaC

어디가 달라졌나

클라우드에서는 프로토콜 버전을 웹서버 설정 파일이 아니라 로드밸런서의 보안 정책 이름으로 정합니다. ssl_protocols 를 아무리 고쳐도 앞단 ALB 가 TLS 1.0 을 받고 있으면 의미가 없습니다 — 점검 지점이 옮겨 갔다는 것이 이 항목의 핵심 변화입니다.

현대 스택에서의 조치

  • ALB 리스너에 TLS 1.2 이상 정책을 적용합니다(ELBSecurityPolicy-TLS13-1-2-2021-06 등).
  • CloudFront 는 Minimum Protocol Version 을 별도로 설정합니다 — ALB 와 따로 놉니다.
  • 정책을 IaC 로 고정하고, 콘솔에서 바꿔도 다음 배포에 되돌아가게 합니다.
resource "aws_lb_listener" "https" {
  protocol   = "HTTPS"
  ssl_policy = "ELBSecurityPolicy-TLS13-1-2-2021-06"   # 1.2/1.3 만
  # 레거시 단말 호환이 필요하면 별도 리스너로 분리하고 기한을 정해 폐기
}
놓치기 쉬운 곳 — 내부 서비스·배치 API·파트너 연동 엔드포인트는 점검에서 빠지기 쉽습니다. 외부 공개 도메인만 스캔하고 끝내면 남은 TLS 1.0 을 못 찾습니다.