비밀번호 입력창에 최대 길이 제한을 두는 것만으로 서버 마비형 공격을 막을 수 있어요

Question

'❗️보안관련 소소한 팁❗️ 방과후학교에서 실습했던 내용입니다. 1. Hash연산을 악용한 CPU고갈 공격 2. 메모리 고갈 및 버퍼 오버플로우 공격 3. 랜섬웨어, 디도스 비슷한 공격. 흔히들 비밀번호를 최소 몇 자 이상 입력하는 것에만 조치를 취하는데, 비밀번호가 입력되는 텍스트의 양을 몇 자 이하로 한정시켜버리는 것이 도움이 될 때가 있습니다. 입력된 비밀번호를 저장하는 임시공간, 암호문 저장공간, 그 둘을 비교하는 프로세스가 필요한데, 사이트 마비가 목적인 해커는 비밀번호 칸에 프로세스가 감당하지 못할 만큼의 데이터를 집어넣습니다. 그러면 그 서버에서 제공하는 모든 기능이 영향을 받고, 로그인단에서 아예 기능을 마비시키는 공격을 반복하게 됩니다. 간단하게는 <<비밀번호 입력 최대 범위를 정하는 것>>만으로도 위 공격을 막을 수 있습니다.'

@창욱 · Accepted Answer

저희가 쓰는 플랫폼도 최대 길이 제한이 있나요 그럼? 고건 몰랐네요.

@Neil · Answer

아마 보안 관련 조치에서 AI가 알아서 최대 길이 제한을 해놓았을 수도 있는데, 따로 지시하지 않으면 그냥 무한히 입력할 수도 있을 거예요. '이 프로그램 로그인할 때 비밀번호 최대 입력 길이 제한이 되어 있어?' 라는 느낌으로 물어보시면 바로 확인할 수 있습니다.

@아인T · Answer

실제 사례로, 제 배우자 학교에서 선생님이 행사용으로 만든 바이브코딩 사이트를 학생이 디도스 공격 했어요. 근데 그냥 되는지 궁금해서 한 거라 뭐가 잘못인가? 라고 생각하더라고요. 가르쳐 줘야 알겠구나 싶었습니다.

비밀번호 입력창에 최대 길이 제한을 두는 것만으로 서버 마비형 공격을 막을 수 있어요

선생님들의 답 3개