Log4Shell는 우리의 서류를 고쳤지, 의존성을 고치지 않았다
패치가 나온 지 4년 뒤에도 Sonatype 조사에서 Log4j 다운로드 여덟 건 중 대략 한 건은 여전히 취약한 버전이었다. 우리는 깨진 의존성을 목록으로 정리하는 데는 아주 능숙해졌고, 그걸 배포하지 않는 데는 거의 나아지지 않았다.
블로그
프로토콜, 보안 사건, 그리고 인터넷이 실제로 작동하는 방식. 147편.
버그 바운티는 뒤틀린 인센티브를 만들었다
버그 바운티는 채택된 리포트당 돈을 준다. 그래서 보안이 아니라 채택된 리포트를 최적화한다. 그 틈은 AI 슬롭이 터지기 한참 전부터 조용히 메인테이너를 갈아 넣고 있었다.
DDoS의 경제학: 왜 공격 한 번이 1만 원인가
작은 사이트를 오후 내내 다운시키는 DDoS 공격 비용은 피자 한 판 값이다. 흥미로운 건 싸다는 사실이 아니라, 그 값을 실제로 누가 치르고 있느냐다 — 공격자는 아니다.
2026년의 포트 스캔: 알 수 있는 것과 없는 것
포트 스캔은 정찰의 첫 단계라고들 한다. 2026년에 타깃을 풀 스캔하면 대개 알려주는 건 '방화벽과 로드밸런서 뒤에 있다'뿐이다. 인터넷의 지도는 더 이상 스캐너가 그리지 않는다.
DNS 리바인딩은 브라우저를 내부자로 만든다
DNS 리바인딩이 호스트명 기반 경계를 넘는 원리, 브라우저·리졸버 방어의 범위와 내부 서비스 운영자의 점검 항목.
호모그래프 공격: 도메인 이름이 거짓말을 할 때
2017년, 한 연구자가 Chrome·Firefox·Opera 주소창에 apple.com으로 표시되는 도메인을 등록했다. 유효한 HTTPS 인증서까지 달려 있었다. 모든 글자가 키릴 문자였다. 이 문제가 고치기 어려운 이유는 버그 자체보다 더 오래되고 기묘하다.
서버는 당신이 봇이라는 걸 어떻게 아는가
User-Agent 문자열에는 아무 브라우저나 적어 넣을 수 있다. 그래서 아무도 그 필드를 믿지 않는다 — 그 아래에 깔린 TLS 핸드셰이크와 HTTP/2 설정은 당신이 아니라 당신이 쓴 라이브러리가 적은 것이기 때문이다.
"종단간 암호화"가 실제로 뜻하는 것 (그리고 뜻하지 않는 것)
모든 메시징 앱이 E2EE를 내세우고, 사용자 대부분은 그걸 완전한 비밀 보장으로 받아들인다. 실제 보장 범위는 그보다 좁고, 마케팅은 그걸 부풀린다.
MCP: 보안 도구에 어떤 의미인가
Model Context Protocol은 AI 에이전트에게 보안 도구를 호출하는 표준 방법을 준다. 정찰 워크플로우가 바뀐다. 판단 부분은 안 바뀐다.
패스키 vs 패스워드: 자꾸만 멈춰 서는 전환
패스키는 기술적으로 모든 면에서 우월하다 — 피싱 방지, 공유 비밀 없음, 생체인증 친화적. Apple, Google, Microsoft 모두 지원한다. 그런데도 거의 모든 곳에서 기본값은 여전히 패스워드다.
보안 점수는 의미 없다
보안 점수 시스템을 만드는 사람이 말한다. 점수는 실제 보안을 측정하지 않는다. 그런데도 계속 만드는 이유.