AO3 해킹당해, 사용자 데이터베이스 유출 가능성 배제 못 해
Archive of our own (AO3) hacked
Organization for Transformative Works가 AO3에서 보안 사고 증거를 발견하고 사이트를 폐쇄했다. 작품과 북마크 등 데이터는 삭제되지 않았지만, 사용자 데이터베이스에는 아이디, 이메일, IP 주소, 해시된 비밀번호가 포함되어 있어 유출 가능성을 완전히 부인하지 못했다. 복구에는 최소 2주, 최대 4주가 걸릴 전망이며, 그동안 일부 기능만 제공되는 상태로 재개될 수 있다.
AO3는 실명을 수집하지 않으므로 노출될 수 있는 실명은 없습니다.
HN 토론
34- swyx
오늘早些 시각, 우리는 AO3에서 보안 사고의 증거를 발견했습니다. 우리는 아직 이 보안 사고에 대한 대응 초기 단계에 있으며 그 범위를 파악하는 중입니다. AO3는 현재까지 발견된 사항을 계속 조사하고 대응하는 동안 다운된 상태로 유지될 것입니다. 그러나 몇 가지 점을 분명히 하고자 합니다:
첫째, AO3의 어떤 데이터도 삭제되지 않았습니다. 여러분의 모든 작품, 북마크, kudos 등은 안전합니다.
둘째, 현재로서는 사용자 데이터베이스가 탈취되었다고 믿지는 않지만, 그 가능성을 배제할 수도 없습니다. AO3 데이터베이스에는 사용자 이름, 이메일 주소, IP 주소, 그리고 해시된 비밀번호 버전을 포함할 수 있는 계정 정보가 들어 있습니다.
우리는 쉽게 되돌릴 수 없는 뒤섞인 형태로 비밀번호를 저장하기 위해 업계 표준 기법을 사용합니다. 그렇더라도 어떤 해시 방식도 약하거나 재사용된 비밀번호가 크래킹되는 것을 완전히 막을 수는 없습니다. 예방 차원에서, AO3에서와 동일한 비밀번호를 사용하는 다른 사이트들에서도 비밀번호를 변경하시기를 권장합니다.
AO3는 실명을 수집하지 않으므로 어떤 실명도 노출될 수 없습니다. 또한 후원자 정보는 완전히 별도의 시스템에 보관되며 AO3와 연결되지 않으므로 그 데이터 역시 노출되지 않았습니다.
조사가 계속되는 대로 모두에게 업데이트해 드리겠습니다. 개별 사용자 문의에는 응답하지 못할 수 있습니다. 업데이트를 위해 공식 채널을 계속 지켜봐 주세요. 추가 정보가 확보되면 다음 업데이트를 게시하겠습니다.
현재 예상으로는 AO3가 최소 2주 동안 다운될 것 […]
- wmf
- tialaramex
> AO3 데이터베이스에는 사용자 이름, 이메일 주소, IP 주소, 그리고 해시된 비밀번호 버전을 포함할 수 있는 계정 정보가 들어 있습니다.
사용자 이름을 저장하는 것에 대해 할 수 있는 일은 별로 없습니다(다만 그 연결이 이루어지길 원치 않는다면 AO3에서 예를 들어 Facebook에서와 같은 사용자 이름을 쓰지 않는 것이 이미 분명히 현명합니다). 그리고 익명 메일 계정은 팬 작업에 있어서 사서함(PO Box)만큼이나 합리적입니다. 하지만 비밀번호의 경우 우리는 그냥 더 나은 방식을 쓸 수 있고, 그것이 AO3에 있어 가치 있는 엔지니어링 작업이라고 생각합니다.
WebAuthn을 사용하면 사이트가 보안 키(Security Key)와 연동할 수 있으며, 이렇게 하면 비밀번호 해시와 달리 그런 유출이 기본적으로 무해해집니다.
- MattGaiser
아마 앞으로 몇 달, 몇 년은 계속 이럴 것 같네요. 지금 HN은 그야말로 유출 소식이 연속입니다.
- blurbleblurble
얼마나 많은 유출이 탐지되지 않거나 보고되지 않고 있는지 궁금하네요