Apache.org 사이트 해킹 당해 정보 유출

웹 서버로 유명한 아파치 웹 사이트가 해커에 의해 공격당했다. 문제가 된 사이트는 버그트랙 관련

시스템이 운영중인 issues.apache.org 이다. 4월6일날 해킹이 당했고, 공격방법은 XSS 를 이용한 것이다.

글을 하나 등록하면서 XSS 가 포함된 스크립트를 삽입하여 세션을 얻어간 것이다. 올린 글 문구는

아래와 같다 :

ive got this error while browsing some projects in jira http://tinyurl.com/XXXXXXXXX [삭제]

즉, tinyurl.com/XXXXXXXX 에 XSS 가 있었고, 관리자가 클릭을 하면서 관리자의 세션이 노출이 된 것이다.

어찌되었든 그것이 기초가 되어 해킹에 까지 성공한 것이다. JIRA DB 가 유출되어 사용자들의 아이디,

패스워드가 노출되었다. 비록 SHA-512 로 해쉬화 되어 저장되어 있었지만, 간단한 패스워드를 사용한

경우라면 Brute Force 공격을 통해 비밀번호를 얻어낼 수 있는 상황이다.  이번 사건과 관련해 4월14일 새벽에

다음과 같은 메일이 나에게 왔다.

issues.apache.org 가 해킹 당했으니, 패스워드를 업데이트 하라는 내용이다. 보통, 다른 온라인

사이트에서도 같은 패스워드를 사용하는 경우가 많으니 업데이트 해줄것을 당부하고

자세한 내용을 블로그에 기재해 놓았다. 다음 블로그를 방문하면 자세한 내막을 알 수 있다.

https://blogs.apache.org/infra/entry/apache_org_04_09_2010

블로그에서도 자세한 내용을 공개하는 것은 이번 사례를 통해 다른 사람들이 배우기를 원하는 것이다.

비록 이런 사건이 일어나서 안타깝지만, 발생 사실을 비교적 세세하게 공개하여 교훈을 얻을 수 있도록 한

점이 맘에 든다. 다만, 해킹 사건 이후 즉각적으로 알려지지 않아 아쉽지만.... 만약 이런일이

우리나라 사이트에서 일어났다면 어땠을까 ? 숨기기에 급급했을까..아니면...