저는 3월에 약 15,000개의 계정이 보안 침해로 인해 영향을 받았다는 사실이 밝혀진 후 Roku를 약간 힘들게 했습니다 . 공평하게 말하면, 해당 침해는 크리덴셜 스터핑을 통해 이루어졌기 때문에 전적으로 Roku의 잘못은 아닙니다. 이는 다른 유출에서 자격 증명을 사용하고 어딘가에서 비밀번호를 재사용하기를 바라며 다양한 다른 서비스에서 시도하는 방법입니다. 그 공격은 15,000개 이상의 히트를 기록했습니다.
그것은 충분히 나쁘다. 더 나쁜 점은 Roku가 여전히 2단계 인증을 갖고 있지 않다는 점이었습니다. 이를 위해서는 악당이 두 번째 자격 증명 세트를 보유해야 했으며 무단 입력을 대부분 방지할 수 있었습니다.
그러나 분명히 상황은 거기에서 더 악화되었습니다. Roku는 오늘 15,000개의 계정 침해에 대한 조사를 통해 "약 576,000개의 추가 계정에 영향을 미친"두 번째 공격을 발견했다고 발표했습니다. (맥락상 Roku는 2023년 말에 8천만 개의 활성 계정을 보유했습니다.)
첫 번째 공격과 마찬가지로 Roku는 "이 공격에 사용된 로그인 자격 증명은 영향을 받은 사용자가 동일한 자격 증명을 사용했을 수 있는 다른 온라인 계정과 같은 다른 소스에서 가져온 것일 가능성이 높습니다"라고 말합니다. 즉, 크리덴셜 스터핑이 더 많아졌습니다. Roku에 따르면 해당 계정에 연결된 결제 수단을 사용하여 승인되지 않은 구매 또는 스트리밍 구독이 발생한 사례는 400건 미만입니다.
그 모든 것이 나쁘다. 실제로는 매우 나쁩니다. (특히 실제로 돈이 바뀌는 것을 본 400개 계좌의 경우)
Roku는 마침내 2FA를 활성화했습니다.
여기서 좋은 소식이 있다면 Roku가 마침내 이중 인증을 활성화했다는 것입니다. 일종의. 첫째, Roku가 두 번째 위반을 알리는 게시물에서 말한 내용은 다음과 같습니다.
“정보 보안에 대한 지속적인 노력의 일환으로 최근 사건의 영향을 받지 않은 계정을 포함하여 모든 Roku 계정에 대해 2단계 인증(2FA)을 활성화했습니다. 따라서 다음에 Roku 계정에 온라인으로 로그인을 시도하면 계정과 연결된 이메일 주소로 확인 링크가 전송되며, 계정에 액세스하기 전에 이메일에 있는 링크를 클릭해야 합니다. .”
두 번째 부분이 중요합니다. Roku가 구현한 주요 이중 인증은 보조 인증 형식으로 이메일을 통해 링크를 보내는 것입니다. 아무것도 없는 것보다는 낫습니다. 어떤 이유로든 이메일을 통해 링크를 클릭할 수 없는 경우 장치 ID의 마지막 5자리를 입력할 수도 있습니다.
당신이 얻지 못하는 것은 어떤 옵션도 없습니다. 2단계 인증이 "매직 링크"(회사에서 액세스 승인을 위해 임시 링크를 보내는 방식)로 수행되는지, 아니면 SMS나 인증 앱을 통해 시간 기반 코드로 수행되는지 선택할 수 없습니다. 아니면 다른 방법. 내 생각엔 그게 세상의 끝은 아닌 것 같아. 이메일로 전송된 링크는 이메일 계정 자체도 손상되지 않는 한 상당히 원활합니다.
하지만 문제가 없는 것도 아닙니다.
2FA 이후 장치 활성화
테스트를 위해 Roku 계정 비밀번호를 재설정했습니다. 이후의 모든 로그인은 Roku가 말한 것처럼 클릭할 수 있는 링크가 포함된 이메일을 Roku가 나에게 보내는 것으로 끝났습니다. 웹 브라우저에서는 잘 작동합니다. 이메일과 비밀번호로 로그인한 다음 Roku가 클릭할 수 있는 링크를 보낼 때까지 몇 초 정도 기다립니다. Roku 앱에 로그인할 때도 마찬가지입니다.
하지만 하드 리셋 후 Roku 스트리밍 스틱에 로그인하려고 할 때 문제가 발생했습니다. 여기에는 두 가지 옵션이 있습니다. 이를 통해 Roku 장치는 TV에 QR 코드를 표시할 수 있습니다. 휴대폰으로 스캔하면 이메일과 비밀번호를 사용하여 로그인하라는 메시지가 표시됩니다. 충분히 쉽습니다. 그리고 해당 로그인을 통해 활성화하려는 장치에서 실제로 어떤 작업을 수행하기 전에 클릭해야 하는 링크가 이메일을 통해 전송됩니다. 다만, 기기에 인증이 반환되지 않는 것으로 보입니다.
그러나 Roku 리모컨을 사용하여 이메일을 수동으로 입력하는 옵션을 선택하면 다른 모양의 이메일이 전송됩니다. 해당 링크를 클릭하면 Roku 장치가 정상적으로 인증되고 활성화됩니다. 즉, QR 코드 방식은 계정에 로그인을 시도하고, 수동 방식은 기기를 제대로 활성화하려고 하는 것으로 보입니다.
Roku는 이 부분을 조사하고 있다고 말했습니다.
정말 답답했던 부분
이것은 실제로 그렇게 어렵지 않아야 합니다. 이중 인증은 특별히 새로운 것은 아닙니다. 2FA는 분명히 모든 로그인 체계에 복잡성을 추가하지만 Roku가 알려진 것이 있다면 단순성입니다. 2FA는 사용자가 수년에 걸쳐 익숙해진 일종의 것이기도 합니다.
Roku는 몇 가지 작업을 수행해야 합니다. 가장 중요한 것은 장치 인증을 수정해야 한다는 것입니다. QR코드를 이용하려고 하면 그냥 깨집니다. (좋은 소식은 서버 측 수정이 필요하다는 것입니다.) 인증 방법을 선택할 수 있어야 합니다. 출시하는 데 시간이 조금 더 걸릴 수 있습니다. 그러나 Roku가 몇 년 전에 적절한 2FA를 설정했어야 했다면 이는 변명이 될 수 없습니다.
보안은 항상 힘든 싸움이 될 것입니다. 악당이 공격을 가하는 것은 너무 쉽습니다. 방어에는 비용과 시간이 많이 소요됩니다. 하지만 그 중요성이 줄어들지는 않습니다. Roku는 아직 더 잘해야 합니다.