[유머] 노벨피아 개인정보 유출 이슈

[우지직]

중국 기업으로의 개인정보 유출 의혹 뜸

아직은 문제 제기 단계라서

진짜 문제인게 맞으면 심각해질듯

출처 : https://m.dcinside.com/board/github/84410

[레넨트]

아 씨...

[비주얼 스튜디오]

이런 니미?

[하얀멍멍띠]

왓더헬?

[NA☆NI?!]

아니 실화냐

[신차원벨]

상습적으로 런치던 작가님집에 택배가 많아지는데..

[루리웹-4587101291]

노벨짱 이새끼가?

[촉툴루]

잠잠하다 싶으면 꼭 뭐가 터지네

[Azathoth]

이제 중국 스파이가 님의 TS 취향을 온사방에 들키기 싫으면 기밀을 빼내와 그러는거야? ㄷㄷ

[루리웹-0049893824]

통신사 건으로 개인정보 빡시게 돌리는 것 같던데.. 하필 타이밍이?

[얗얗]

잘모르긴한데 저거는 그냥 팔아넘긴수준같아보이는데..?

[코딩노예48]

해싱도 복호화 가능한 해싱이 있고 불가능한 해싱이 있는데
불가능한 해싱은 '맞는지 아닌지'만 판별할 수 있어서
줘봤자 못쓰긴 함

근데 뭐.... 저게 어느 방법으로 해싱한건지는 우리가 알 길이 없지

[모뢰반지]

복호화 안되더라도, 저쪽 업체도 충분한 유저 데이터가 있으면, 해싱알고리즘만 공유되면 맞춰서 누군지 특정 가능하지. 저 업체 자체의 고유 uuid같은게 아니라 이메일 주소같은거면 똑같은거 있을 수 있으니

[모뢰반지]

그리고 복호화 가능한 해싱은 아마 잘못 기억하는듯?
비대칭 암호 같은걸 복호화 가능한 해싱이라고 오해한거 같은데

[스크립트알럿도큐멘트쿠키스크립트]

해시는 해시화 하면서 원본 데이터가 손실되기 때문에 이론적으로 언해시화가 불가능한데 암호화 알고리즘이랑 햇갈린거 아니실까요? 제가 지금까지 정보보안 쪽에서 일하면서 언해시화 가능한 알고리즘은 들어본적이 없어가지구요

[코딩노예48]

할 수 있냐 없냐를 따지면 가능이야 하겠는데
애초에 비교할만한 이메일을 갖고 있는 시점에서 쓸데 없는 정보지 않아?

[코딩노예48]

나도 스프링에서 제공해주는 간단한 암호화정책만 써봐서 자세하게 아는건 아닌데
다른 암호화랑 헷갈린게 맞는 듯
복호화 되는 암호화, 안되는 암호화 로 구분해서 외웠으니까
해싱은 안되는구나 지식이 늘었슴

그럼 저거는 진짜 못쓰는 데이터네

[모뢰반지]

쓸모 있냐 없냐는 구현한거에 따라 다르고
브라우저에서 추천 광고 뜨는 알고리즘 같은거만 해도 그냥 특정 유저가 특정 사이트 방문했다, 특정 컨텐츠 클릭했다 이런거 수집하는거 만으로 추천 광고 만드는거라 쓰기 나름임

[東方☯藤原妹紅]

MD5같은 건 충돌 찾기 쉬우니 원본값 찾아낼 수 있을듯

[무작위인생]

흠.. 같은 값이면 유추할 수 있긴 한데. bcrypt 같은거 쓰면 그것도 불가능..

[東方☯藤原妹紅]

아니 원본값이라기보단 해싱값을 만들어낼 수 있는 후보 값이라고 표현하는 게 맞으려나... 아무튼 그게 전화번호의 형식으로 고정되어있으니 갯수를 크게 줄일 수 있겠지

[東方☯藤原妹紅]

아 근데 본문에 sha256이라고 써있었네 머쓱;;;

[편안한 집]

똑같은거 있어도 어짜피 연결 되는게 모르는 정보의 sha256 해시값인데 그게 유의미한 정보가 될까?
예를 들어 틱톡이 이메일만 알고 있었어서 이메일 sha256 키 비교로 연결된 저 정보를 이어도 알수 있는건 그 사람 폰 번호의 sha256 해시값이잖아.

[Arken]

해싱이 복호화가 가능하다고?

[모뢰반지]

payload만 보지 말고 저 http 통신 자체가 헤더나 메타정보에 어떤 플랫폼의 어떤 페이지에서 보냈나 적혀있으니 선호도나 사용자 액션, 조회사이트 등 빅데이터 수집이 되지...

[코딩노예48]

내가 다른 암호화랑 착각했나봐

[편안한 집]

애초에 그거 하려고 수집하는거 같은데. 받는 곳이 analytics 광고쪽인거 보면..
근데 그게 개인정보 유출은 아닌거 같음 난..

[코딩노예48]

내가봐도 개인정보 유출이라고 부를만한 이슈는 아닌거같음
근데 그래도 해시값 자체를 외부로 내보내는 경우가 있나? 싶으면 보통은 없잖아? 보안 DB에 들어있는 데이터니까
'유출되도 괜찮도록 암호화 한 데이터' 라고 해서 진짜로 '마음대로 유출 시키자' 라고 생각하는 사람이 어딨어?
먼가 찐빠가 난거 같은데
무슨 찐빠가 나야 저런 상황이 되는지 상상도 안가네

[코딩노예48]

아 하나 생각났다
A라는 사용자가 A'라는 작품을 좋아한다는 정보를 보내서 광고에 쓰는건데
그 A라는 사용자의 메타정보를 같이 보내야 데이터 중복 수집같은 걸 막을텐데
그 메타정보를 새로운 메타 정보를 만드는 게 아니라
'어차피 해시된거니까' 하면서 이메일 같은걸 통째로 보낸거지

이런 시나리오 어때

[편안한 집]

A인지 아닌지 구분하는건 그냥 anonymous_id만 있어도 될거 같은데..
이메일이나 폰으로 통계 구분할거 같지도 않고.
그냥 찐빠 맞거나 틱톡에서 불필요한 정보를 요구하는 것 같음. 개인정보 유출은 아닌데 이상한 행동이긴 하다 정도..

[루리웹-3766672839]

진짜 이나라엔 사기꾼 양아치들 진짜 존나 많구나.............

[란설하]

이건 또 뭔 소리여

[스크립트알럿도큐멘트쿠키스크립트]

데이터 3법 개정되고 나서 가명 처리된 데이터는 3자 제공 허락 안받아도 되는 걸로 아는데

물론 저게 가명처리된건지 아닌지는 확인이 필요하긴 하지만

[유린쟝]

설레발로 보이는데..?

[어맛무스마]

아니 ㅅㅂ 이제 공모전 달리려고 하는데 뭔일이야

[앍혀]

법적으로 해시(단방향 암호화) 데이터는 개인정보로 취급되지 않을걸?

해시는 복호화가 불가능하다. 그냥 이 사람인지 아닌지 판별만 하는 용도로 사용되지.

[앍혀]

주민번호같은 초-민감한 데이터조차 해시처리해버리면 개인정보 아니라고도 하는 일도 있는데,
이메일 주소 따위는 해쉬처리하면 논란의 여지조차 없을걸?

[루안네츠]

해싱되면 개인정보가 아닐텐데

[루안네츠]

틱톡 쪽 비즈니스 웹비콘인 거 같고
그냥 광고 쪽 정보인가?

[달밤의자U]

저번에 해외ip차단걸려서 문의해보니까, 노벨피아 고객문의 파트랑 시스템쪽이랑 좀 동떨어진 느낌이긴 하더라.

해외아이피 일괄차단에서 예외처리해달리나까(구독도 했음) 어렵다고 그러더니만 몇일 지나서 가능하다고, 알려달라하더라고.

그래도 묵묵부답하는 것 보다는 나으니 분명 개발자 조인트 까서라도 챙기긴할거임.

[라그나롴]

SHA256이면 복호화 안 되는 일방향 암호화니까 해싱된 데이터를 가져갔다고해도 의미없을 듯 한데

[cxyvvliq9y1c8fp2]

sha-256으로 암호화 했다는데 이걸로 하면 슈퍼컴퓨터로 몇년내내 돌려야 암호화를 풀 수준이라던디 그냥 설레발 같은데.

[dreadlock928]

이건 개인정보가 아니지 않나? 좀 설레발같은데...

[아쓰맨]

SHA-256도 소금 안 치고 그냥 쓰면 사전대조방식으로 일부 복호화가 가능하다.