Information Security

SSL Pinning은 HPKP(HTTP Public Key Pinning)에서 주로 사용되는 용어입니다. HPKP(HTTP Public Key Pinning) 이란? 클라이언트가 SSL/TLS 암호화 통신에 사용할 인증서를 최종서버의 인증서로 고정(Pinning)하는 방식을 HPKP라고 합니다. 이렇게 클라이언트가 최종서버의 인증서를 고정하면 중간에서 보안장비 또는 공격자가 제공한 임의의 인증서를 맞지 않는 인증서라 판단하여 거부할 수 있습니다. 모바일 앱을 진단할때 통신하는 부분을 확인하기 위해 프록시 툴(Burp Suite, Fiddler)을 사용하려면 인증서를 설치하거나 SSL Pinning을 우회해야 합니다. 우회하는 방법은 여러가지가 있지만 간단하게 SSL Pinning 우회 도구를 설치하여 ..

안드로이드 앱에서도 BurpSuite를 연동하여 웹처럼 모의해킹을 할 수 있다 연동하는 방법에 대해 설명하겠다. 1. App과 Burp를 연결하기 위해서는 같은 Wi-Fi를 사용해야 한다. 2. Wifi를 클릭하여 "고급 옵션" 에 접속하고 수동으로 변경해준다. 3. CMD에서 ipconfig 명령어를 통해 IP 주소를 알아낸다. 4. 모바일의 "프록스 호스트 이름" 란에 IPv4 주소를 입력한다. 5. 아래 사진과 같이 버프에서 Port와 IP를 설정해준다. 6. 설정 후 모바일 앱에 접근하였을 때 userID와 userPW가 노출되어 변조가 가능하다.