저는 보안업계에 종사하고 있는 사람입니다.

길더라도 읽어보세요. 게임 해킹을 보는 시각이 바뀌실 것이라고 생각합니다.

OTP는 안전하지 않습니다.

이 글은 OTP에 대해 지나친 과대 망상을 가지고 계신 분들이 많이 보여서 쓰게 됐습니다.

참고로 현재 아키에이지 게시판들 보시면 OTP를 사용하고도 해킹당했다는 사연이 계속 보이고 있습니다.

OTP(One Time Password)는 매 1분마다 난수 생성으로 시간 동기 방식입니다.

해커는 OTP의 '매 1분마다' 라는 특성을 악용해서

여러분의 컴퓨터에 스파이웨어를 설치하고

여러분이 게임 하기를 기다리고

여러분이 로그인에 성공하고 OTP를 입력하려고하면 일반적으로 Network Traffic을 차단시킵니다.

그러면 OTP를 다 입력하고 확인을 눌러도 송신이 안되므로 무응답 상태가 됩니다.

OTP 입력한거 다 보았고 해커가 그다음 1차적으로 하는 일은 OTP를 해지시켜버립니다.

(현재 아키에이지 OTP 해지 방식은 2가지가 있는데 첫번째가 본인 인증방식, 두번째가 현재 OTP 번호 입력방식입니다.)

그러므로 해커들은 두번째 방식을 이용해 OTP를 해지시켜버리고

본인의 핸드폰으로 OTP를 가입하죠 ㅋ -------------- 확인해본 결과 아키에이지 OTP 가입은 본인 명의만 가능합니다.

게임 접속이 계속 안되고 있는데 사용자가 가만히 있지는 않겠죠.

해커는 이 때 취향에 따라 선택합니다.

어떤 선택을 하냐고요?

여러분이 키고 있는 게임을 꺼버릴지

조금 해커 성격이 앞뒤 생각안하는 악동 싸이코라면 하드 MBR을 파괴시켜버릴 수도 있고요....
(진짜 하드 MBR 파괴시키면 부팅안되고요. 저런 짓을 했다는 것은 걸리지 않을 자신 있는 짱깨들일 가능성이 높음)

이런 식으로 어떻게든 여러분이 게임하는 것을 방해 하겠죠.

그리고 여러분은 겨우겨우 되기까지 기다리다가 접속이 되면 기뻐하겠죠

그러나 접속이 된 이유는 해커가 이미 다 정리하고 쓸모가 없어서 놔준 상태라는 것을 곧 깨닫게 됩니다.

그리고 사용자는 기뻐한 만큼 2배로 빡쳐서 경찰서에 달려 갈테지만

십중팔구는 중국입니다. 중국에서 해킹한 경우라면 시간도 엄청 오래걸리고 거의 못잡습니다.

해커들은 거의 이중 삼중 Proxy를 사용하거나 익명성이 더 보장된 Tor를 써서 못잡게 합니다.

그 정도는 기본이거든요. 여러분이 신고해서 해커를 잡았다면 다행히 그 해커가 초짜였던겁니다.

따라서 OTP는 안전하지 않습니다.

가장 안전한 것은 여러분 컴퓨터의 MAC ADDRESS 같은 컴퓨터 고유주소를 등록시키고 비교하는 PC 등록입니다.

PC 등록은 해커가 매우 싫어하는 방식입니다. 제가 해커이니 보장합니다.

사용자 컴퓨터를 Proxy Server로 쓰거나 Tor Server로 쓰더라도 PC 등록 통과가 안됩니다.

또 그런 Server를 쓰려면 사용자 pc가 켜져있고 Network Traffic 또한 정상적이어야 가능하니 사용자도 똑같이 접속할 수 있게 되므로 힘듭니다.

따라서 pc 등록 짱

일단 OTP를 사용하는 것과 사용하지 않는 것은 비교가 되지 않을 정도로 차이납니다.

OTP를 사용하면 거의 해킹당할 일이 없어지는 것은 맞습니다.

그러나 요즘 중국 해커들은 저런 식으로 해킹하는 경우가 많습니다.

왜냐하면 비싼 아이디 일 수록 OTP가 쳐져있기 때문이죠.

힘들게 OTP 뚫고 갔는데 레벨 5짜리고 5금 밖에 없고 이러면 해커가 빡쳐서 여러분 컴퓨터 박살낼지도 몰라욘 ㄷㄷ

그리고... OTP는 재생성 누른다고해서 이전에 OTP 번호가 사라지는 건 아니에요.

1분이 지나지 않는 이상 그 OTP 번호는 사라지지 않습니다~

OTP를 사용해도 안전한 방법은

뭐 그냥 몇십번이고 들어보신 컴퓨터 관리 잘하시면 됩니다.

비밀번호는 다른 사이트와 똑같게 하시면 안되고!

특히나 제 경험상 특정 게임의 프리서버 같은 곳에선 비밀번호를 평소에 쓰던 것과 똑같이 쓰시면 안돼요~~~~

운영자는 그런 개인정보 막 봅니다~~

백신 최신 업데이트 잘하시고!

Windows Update는 귀찮다고 미루거나 아예 꺼버리지 마시고요!

바이러스 검사는 자기 전에 하루에 한 번씩!

PC방에서 게임할 시에는 Process Clean 같은 Process를 정리해주는 프로그램을 사용합니다!

추가로 바이러스 검사까지 해주면 센스만점

아무튼 해킹당하지 맙시다!

+

추가하겠습니다.

댓글을 읽어보면서 마치 OTP까지 해킹하는 해킹프로그램이 ID와 PW만 단순히 해킹하는 해킹프로그램보다

훨씬 기술적으로 어렵고 전문 해커들만 할 수 있다고 생각하고 거의 이런 경우까진 생각할 필요가 없다고 보시는데

지금 아키에이지에서도 이런 해킹을 당하는 분들이 많이 생기고 있습니다.

또 둘의 기술적인 차이가 무엇인지 살펴볼까요?

ID와 PW를 해킹하는 스파이웨어를 만드려면 무슨 기능이 있어야할까요?

ID, PW만 해킹

1. 키로그(키보드 입력값을 실시간으로 받아옴)
2. 아키에이지가 실행되면 해킹프로그램이 작동함.(프로세스에서 Archeage.exe 를 발견할 경우)

ID,PW, OTP까지 해킹 (밑에 영상에 직접 만든 모의해킹프로그램이 있습니다.)

1. 키로그(키보드 입력값을 실시간으로 받아옴)
2. 아키에이지가 실행되면 해킹프로그램이 작동함.(프로세스에서 Archeage.exe 를 발견할 경우)
3. 인터넷 연결 끊음 ( ID와 PW를 입력한 부분이 키로그를 통해 받아오고 OTP로 보이는 숫자를 입력할 경우)
4. 뭐 여기선 기타 해커 취향(가볍게 컴퓨터 강제 끄기, 하드 MBR 파괴 등등 컴퓨터를 방해하는 행위)

이게 끝입니다.

딱 저 뒤에 2가지 기능만 덧붙여지면 OTP까지 해킹하는 스파이웨어가 만들어집니다.

사실 더 복잡해야하지만 아키에이지의 OTP가 허술한 겁니다!

왜냐고요? OTP를 키보드로 입력하니깐!!!

원래 마우스로 클릭하면 해커가 원격제어까지 사용해야하는데 그게 아니잖습니까!!!!

이해되십니까?

이게 정말 어렵다고 보십니까?

요즘 해커 대부분 이렇습니다.

정말 착각하지 마세요! 제발 부탁합니다!

OTP까지 해킹하는 해커가 소수일 것이라 생각하는 분!

정말 언젠가 그 생각이 당신을 위협할겁니다!

감사합니다!

다음은 해킹 시연 동영상인데... 동영상 편집 기술이 부족해서 만지작 거리다가 그냥 올려봅니다...

순차적으로 보시면 됩니다...

+ (영상 추가)

밑에 영상은 제가 개인 컴퓨터 2대를 이용해서 모의 해킹하는 영상입니다.

모든 프로그램은 직접 만들었으며 해킹 클라이언트는 2007년도에 만든 것이라..... 부족함이 많습니다.

그런데 아직도 백신에 걸리지도 않고 잘만 되더군요.

심지어 xp 환경을 위해 만든 프로그램인데 7, 8 에서도 문제가 없었습니다.

이 영상을 보시면! 해커들이 어떻게 얼마나 쉽게 여러분의 아이디 비밀번호와 otp까지 가로채가는지

충분히 보실 수 있습니다.

감염자 컴퓨터의 백신은 카스퍼스키 인터넷시큐리티 2013을 사용했습니다.

http://virustotal.com 사이트에서 전체백신 검사를 해본 결과 어떤 백신에도 검출되지 않았습니다.

이렇듯 백신은 완전체가 아닙니다!

새로나오는 바이러스에는 취약합니다!

꼭 기억하세요!

밑에 영상 화질이 안좋으실 경우 1080p 까지 지원가능하니 좋은 화질로 바꾸세요~

영상 시간이... 조금 차이가 나는데 영상 초짜라 여러번 찍다보니 시간이 걸렸네요. 이해 바랄게요.

**

• • 운영자님의 간곡한 요청으로 영상은 삭제처리하였습니다.*

영상을 보셨으니 이제 아시겠죠

백신이 여러분을 지켜주나요?

저기에 세계 1,2 위를 다투는 백신이 눈을 부릅뜨고 있었지만

백신은 찾지 못했습니다.

제가 백신 하나 추천하고 끝나면 되는 걸까요?

저는 그렇게 생각하지 않습니다.

해킹을 당하지 않으려면 백신이 바껴야 하는 것이 아니라

사람이 바껴야 해킹을 당하지 않는 것 입니다.

/////////////////// 운영자님만 보세요 ////////////////////////////////////

이 글을 통해 운영자님에게 건의하고 싶은 것 세가지가 있습니다.

첫번째, OTP 해지시에는 현재 인증번호를 쓰면 해지할 수 있는 방법을 지워주세요.
어차피 핸드폰이 없으면 OTP도 받을 수 없고 핸드폰이 있다면 본인인증도 문제없을겁니다.

두번째, OTP 입력시에 키보드 입력이 아니라 마우스로 랜덤한 숫자를 클릭해서 입력하는 식이었으면 합니다.

세번째, 로그인 성공 후 OTP 입력에서 연결이 끊길 경우 다른 PC 에서 접속을 일정 시간 막는 방법은 어떨까요?
이 방법은 실효성이 부족할 것 같지만 보안에는 유용할 것 같습니다.