Blog - LINE ENGINEERING

TAG ARCHIVES: Security Engineering

Another one bites the apple!
장준호(ramses)2019-05-17
LINE에서 보안 업무를 담당하고 있습니다.
안녕하세요. LINE에서 보안 업무를 담당하고 있는 장준호입니다. 저는 LINE에서 제공하는 서비스들을 해킹하고, 어떻게 더 안전하게 만들 수 있을 지 연구합니다. 또한 취미로 다른 회사의 제품에서 보안 취약점을 찾고 리포팅하여 더 안전한 세상을 만드는 데에 기여하고 있습니다. 해커들 사이에서는 이렇게 보안 취약점을 찾는 행위를 버그 헌팅(bug hunting)이라고 표현합니다. 해커들은 버그 바운티를 통해 상금을 획득하거나 해커로서 명성을 얻기 위해, 혹은 순수하게 재밌어서 해킹을 하곤 합니다. 이번 포스팅에서는 많은 해커들이 버그 헌팅 대상으로 삼는 Apple 제품에서 버그 헌팅을 수행한 과정에 대해 공유하고자 합니다. 버그 헌팅 대상 선정 Apple에서는 MacBook, iMac, Mac Pro, iPhone, iPad, Apple Watch 등 다양한 제품을 판매하고 있는데요. 그 제품들을
- Security Engineering
자바 애플리케이션의 보안 검수 방법 살펴보기
최하늘2019-03-27
LINE에서 보안 업무를 맡고 있습니다.
안녕하세요. LINE에서 보안 업무를 담당하고 있는 최하늘입니다. LINE은 메신저 이외에도 많은 서비스를 론칭하고 있고 각 서비스는 새로운 기능이 추가되거나 버그가 수정될 때마다 수시로 업데이트됩니다. 보안 팀에선 새로 출시한 서비스나 업데이트한 서비스에 보안 상 문제가 없는지 확인하는데요. 이때 기존 코드에 이미 수행했던 동일한 보안 평가를 서비스에 새로 추가된 코드에 반복적으로 수행해야 하는 경우가 많았습니다. 그래서 보안 팀에선 자주 발견되는 보안 취약점 패턴을 정의하는 등 취약점을 자동으로 탐지해내기 위해 끊임없이 노력하고 있는데요. 이와 더불어 개발자들이 개발 과정에서 취약점을 자동으로 발견할 수 있는 도구를 사용한다면 보안 평가 과정에서 발견되는 보안 이슈가 훨씬 줄어들 수 있을 것입니다. 실제로 이를 위한 오픈소스나 상용 제품이 존재하며 LINE에서도 이를 적용하여 애플리케이션의 보안 이슈를 사전
- Security Engineering
FIDO at LINE: 패스워드 없는 세상으로의 첫 발걸음
신기은2018-12-27
LINE에서 보안 소프트웨어 엔지니어로 일하고 있으며 FIDO 프로젝트를 포함한 고급 인증 기술을 담당하고 있습니다. 2015년부터 FIDO Alliance의 회원이었으며 FIDO 사양과 W3C WebAuthn 표준에 기여하였습니다.
패스워드 없는 세상 안녕하세요. 오늘은 LINE의 인증서버가 서비스 제공업체로서는 전세계 최초로 FIDO(Fast Identity Online) Universal Server(모든 FIDO 인증 장치와 상호호환성을 보장하는 서버) 인증을 획득한 소식을 전해드리려고 합니다. LINE 사용자는 FIDO 인증을 통해 얼굴이나 지문 등의 생체정보나, Yubikey, Google Titan key와 같은 외부 인증 장치로 손쉽고 빠르게 로그인과 인증을 진행할 수 있습니다. FIDO 기술은 인증 장치의 유형과는 무관하게 패스워드나 PIN 등의 공유 방식의 암호화 대신, 공개 키 암호화 방식을 활용하여 매우 강력한 인증을 제공합니다. LINE의 여정 LINE 메신저는 출시 이후 인기가 급상승하면서 다양한 형태의 공격 시도를 받았고, 이에
안전한 SSL/TLS를 운영하기 위해 알아야 하는 것들
Lee Jihoon2018-10-22
보안 엔지니어입니다. 서비스 인프라 보호 업무를 주로 담당하고 있습니다.
안녕하세요. LINE에서 Security Engineering을 담당하고 있는 이지훈입니다. 제가 속한 팀은 업무 환경과 서비스 환경에서 사용되는 인프라를 더욱 안전하게 만들어가는 업무를 담당합니다. 그 일환으로 SSL/TLS 인증서 관리나 관련 가이드를 제공하는 활동도 하고 있습니다. 대규모 환경에서는 보안은 물론 클라이언트와의 호환성이나 서비스 환경도 고려해야 하는데요. 오늘은 이와 관련된 경험 중 일부를 공유할까 합니다. 우선 TLS(Transport Layer Security. 구(奮) SSL. 이하, 일반적인 표기에 따라 SSL/TLS로 표기)가 무엇인지 간단하게 살펴보는 것으로 시작하겠습니다. TLS는, 브라우저 같은 클라이언트가 공개된 인터넷 망을 통해 웹서버와 커뮤니케이션할 때, 여러 가지 보안 메커니즘을 제공하여 원하는 상대와 안전하게 연결될 수 있도록 도와주는 인터넷 프로토콜입니다. 현재 널리 이용되는 TLS 프로토콜의 기술적인 요건은 RFC 2246(TLS 1.
- Security Engineering
LINE and Intertrust Security Summit 2017 Spring, Tokyo 개최 후기 1
Naohisa Ichihara2017-08-17
LINE Engineer
안녕하세요? LINE 보안실의 Ichihara라고 합니다. LINE이 제공하는 서비스의 보안 컨설팅, 계정 도용 및 어뷰징 대책, 인증 기술에 관한 조사/연구, 표준화 활동 등의 업무를 담당하고 있습니다. 오늘은 5월 17일에 LINE과 Intertrust사의 공동 주최로 열린 'LINE and Intertrust Security Summit 2017 Spring, Tokyo' 행사 후기를 전해드리겠습니다. 이 포스팅은 후기 1편입니다. 2편은 여기에서 보실 수 있습니다. 공식 사이트: https://www.intertrust.com/company/events/line/ 일시: 2017년 5월 17일(수) 10:00〜18:00 장소: 신주쿠 미라이나타워 LINE 오피스 내 auditorium 참석자 수: 약 140명 이번 컨퍼런스의 화두는 '엔드포인트 보안(end point security)'이었습니다. 여기서 말하는 '엔드포인트 보안'이란 PC나 모바일, IoT 기기 같은
- Security Engineering
LINE and Intertrust Security Summit 2017 Spring, Tokyo 개최 후기 2
Naohisa Ichihara2017-08-17
LINE Engineer
안녕하세요? LINE 보안실의 Ichihara라고 합니다. LINE이 제공하는 서비스의 보안 컨설팅, 계정 도용 및 어뷰징 대책, 인증 기술에 관한 조사/연구, 표준화 활동 등의 업무를 담당하고 있습니다. 오늘은 5월 17일에 LINE과 Intertrust사의 공동 주최로 열린 'LINE and Intertrust Security Summit 2017 Spring, Tokyo' 행사 후기를 전해드리겠습니다. 이 포스팅은 행사 후기 2편으로, 1편은 여기에서 보실 수 있습니다. 아직 1편은 보지 않으셨다면 1편 먼저 보시길 권장합니다. 공식 사이트: https://www.intertrust.com/company/events/line/ 일시: 2017년 5월 17일(수) 10:00〜18:00 장소: 신주쿠 미라이나타워 LINE 오피스 내 auditorium 참석자 수: 약 140명 Session 2: State-of-the-art Research and Technologies 두
- Security Engineering
Letter Sealing 확대 적용으로 더 안전해진 LINE
Shin Kibin2016-08-10
LINE에서 메신저 서버 개발자로 일하고 있습니다.
지난 '더 안전한 대화를 위한 Letter Sealing'이라는 기사를 통해 LINE에서 1:1 대화에 종단간 암호화(End-to-End Encryption, E2EE)가 적용되었음을 전해드렸습니다. 그 이후에도 LINE에서는 Letter Sealing을 더 많은 기능에 기본 적용하기 위해 많은 노력을 해왔습니다. 이 글을 통해 지금까지의 노력을 소개드리려고 합니다. 적용된 기능은? 1:1 대화에서 Letter Sealing이 기본으로 설정됩니다 안전한 메신저 대화를 위해 1:1 대화에서 Letter Sealing이 기본으로 설정되었습니다. 이전에는 원하는 사용자가 Letter Sealing 옵션을 켜는 opt-in 방식이었지만, 이제는 사용자가 opt-out 방식으로 끄지 않으면 Letter Sealing이 기본으로 켜진 상태가 됩니다. 처음부터 모든 사용자에게 Letter Sealing 기능을 기본으로 켜지 않았던 가장 큰 이유는 iOS 기기의 push 알림 처리 방식 때문이었습
- Security Engineering
LINE Bug Bounty 결과
이명재2015-12-16
LINE에서 보안 업무를 맡고 있습니다.
버그바운티를 준비하면서 안녕하세요. LINE에서 보안 업무를 맡고 있는 이명재(MJ)라고 합니다. 이번 블로그에서는 지난 블로그에서 소개했던 것처럼 LINE이 처음으로 도전한 2015년도 LINE Bug Bounty Program(8/24-9/23)이 무사히 마감되어 그동안 어떻게 진행되었는지를 여러분께 공유하려고 합니다. 서비스에 잠재된 취약점을 신속하게 발견하고 수정하여 사용자에게 안전한 서비스를 제공하는 것이 이 프로그램의 취지였는데요. 프로그램을 준비하는 과정에서 회사 내 여러 부서의 도움을 받았습니다. 프로그램을 준비하면서 가장 필요했던 것은 경영진의 서포트와 멤버 구성이었습니다. 우선 경영진은 예산집행에 있어서 후원을 아끼지 않았습니다. 보통 기업들이 Bug Bounty Program을 진행하는 데 있어 가장 어려운 부분이 충분한 예산 편성과 자금 확보입니다. 하지만 LINE의 경영진은 장기적으로 서비스 안전성을 확보하는 것이 나중에 보안사고로 발생하는 손실비용보다 더 효
- Security Engineering
- Bug Bounty

1 2