피드로 돌아가기
Dev.toSecurity
원문 읽기
USB HID 기반 Air-gapped 설계를 통한 OS Memory-stealer 완전 차단
KeePass can't protect you from a stealer. So I built something that can.
AI 요약
Context
KeePass 등 소프트웨어 기반 관리자는 OS 메모리에 복호화된 데이터가 상주하여 Malware의 Memory Access 및 Keylogger 공격에 노출됨. OS 권한을 가진 Stealer가 Master Password와 Database 파일을 동시에 탈취할 수 있는 구조적 취약점 존재.
Technical Solution
- USB HID(Human Interface Device) 프로토콜을 채택하여 컴퓨터가 DB 파일이 아닌 단순 키보드 입력으로만 인식하게 설계
- ESP32 및 ATmega32u4 기반의 하드웨어 분리 구조를 통해 데이터베이스를 기기 내부 Flash Memory에 격리 저장
- 3.5인치 터치스크린을 통한 온디바이스(On-device) 계정 선택 및 전송 방식으로 호스트 PC와의 데이터 전송 경로를 원천 차단
- HTTPS 기반 웹 인터페이스를 관리용 WiFi로만 제한하여 비밀번호 전송과 관리 평면(Management Plane)을 완전히 분리
- Duress PIN 시스템을 도입하여 특정 PIN 입력 시 Decoy Vault만 노출하고 실제 데이터를 은닉하는 물리적 위협 대응 로직 구현
- Firmware 및 User Data 전 구간 암호화를 적용하고 사용자가 Encryption Key의 전권을 갖는 Self-custody 모델 채택
실천 포인트
1. 민감 데이터 처리 시 OS 메모리 상주 시간을 최소화하거나 외부 격리 저장소 검토
2. 관리 인터페이스와 데이터 전송 경로를 물리적/논리적으로 분리하는 Out-of-band 관리 체계 적용
3. 물리적 강제 접근 상황을 대비한 Duress PIN 또는 Decoy 데이터 설계 고려