메시 네트워크는 암호화보다 서명을 원합니다
Meshtastic과 Meshcore는 기본적으로 암호화돼 있어 아마추어 무선 주파수에서 쓰기 어렵습니다. 글쓴이는 메시지를 평문으로 보내되 서명으로 발신자를 확인하는 메시 네트워크를 제안합니다. 댓글에서는 서명 크기에 따른 대역폭 부담, 키 배포와 폐기, 암호화의 실효성을 논의합니다.
보안·인프라 · 최신기사
취약점과 보안 사고, 운영체제와 클라우드·네트워크를 다룹니다.
Radicle 네트워크 프로토콜 취약점 공개
Radicle 개발팀이 모든 공개 버전에 영향을 주는 네트워크 취약점 두 건을 공개했습니다. 노드 간 통신이 암호화되지 않고 연결 상대 인증도 우회할 수 있어, 수정 버전이 나올 때까지 비공개 저장소를 네트워크로 공유하지 말라고 권고했습니다.
Linux 7.3, Logitech Bolt 수신기 HID++ 지원 되돌린다 — 잇따른 버그 발생
Linux 7.3에서 Logitech Bolt 수신기를 HID++ 드라이버로 처리한 뒤 마우스 휠 속도가 달라지고 재연결 때 설정이 바뀌는 문제가 보고됐습니다. 커널 개발진은 안정성을 위해 지원 패치를 되돌리고, 문제가 해결될 때 다시 검토할 예정입니다.
Scientific Linux를 포기한 것은 실수였습니다
Scientific Linux를 CentOS로 대체한 결정은 독립적인 Enterprise Linux 환경을 유지할 역량까지 없앴다고 글쓴이는 지적합니다. CERN의 Debian 전환 사례를 바탕으로, 연구기관은 단기 유지비뿐 아니라 공급망 의존과 대안을 보유할 가치를 함께 따져야 한다고 설명합니다.
IT 실수로 병원 출산 기록 열람 이력 11년치 사라져
노팅엄 대학병원 NHS 재단 신탁(NUH)에서 기술 작업 중 출산 기록 데이터베이스를 덮어써 2011년 9월부터 2022년 11월까지의 열람 이력 일부를 복구하지 못했습니다. 진료 기록 자체는 복구했지만, 이 기간에 누가 기록을 열람했는지는 대부분 확인하기 어려워졌습니다.
Android 17, 인증서 투명성 기본 적용으로 사용자 정의 CA 차단
Android 17은 API 37을 대상으로 하는 앱에서 시스템 신뢰 인증서의 Certificate Transparency(CT)를 기본 요구합니다. 자체 CA로 TLS 트래픽을 검사하던 개발자와 보안 연구자는 인증서에 SCT를 넣고 기기에 자체 CT 로그를 등록해야 하며, 글쓴이는 HTTP Toolkit에 적용한 우회 절차를 소개합니다.
SereneDB — 초고속 검색·분석 데이터베이스, AI 에이전트 대응
SereneDB는 전문 검색과 분석을 하나의 오픈소스 데이터베이스 엔진에서 제공하며 PostgreSQL 호환성을 내세웁니다. 공개 벤치마크에서 10억 건의 로그를 8분 안에 인덱싱하고 Elasticsearch보다 디스크를 약 10분의 1만 썼다고 밝혔습니다.
vCenter 사전 인증 취약점 2건 분석 — 패치 diff로 추적한 경로 탐색과 SRP 인증 우회
vCenter Server 8.0.3.x의 사전 인증 취약점 두 건을 패치 파일 분석으로 추적합니다. 하나는 syslog 헤더를 이용한 경로 탐색이고, 다른 하나는 SRP 인증 과정의 검증 누락입니다. 두 취약점 모두 8.0.3.01000 이상으로 패치하고 관련 네트워크 접근을 제한해야 합니다.
Obscura: 이용 기록을 볼 수 없도록 설계한 VPN
Obscura는 사용자와 Mullvad 출구 서버 사이에 독립된 릴레이를 두는 VPN 서비스입니다. 사용자 IP와 인터넷 트래픽을 한 사업자가 함께 보지 못하게 하고, WireGuard 패킷을 QUIC으로 전달합니다. 다만 이 구조가 보호하는 범위와 QUIC의 우회 효과, 두 사업자 간 공모 가능성은 토론에서 쟁점이 됐습니다.
가짜 채용 제안으로 전 세계 구직자 기기를 감염시키는 북한 해커
북한 연계 해킹 조직 WaterPlum이 가짜 채용 절차를 이용해 100여 개국에서 구직자 기기 수만 대를 감염시켰다고 각국 기관이 경고했습니다. 암호화폐 지갑 7,000개 이상에서 자격 증명이나 자금을 훔쳤으며, 현재도 위협이 이어지고 있습니다.
Show HN: Drop — gVisor를 지원하는 루트리스 Linux 샌드박스
Drop은 기존 Linux 배포판과 설치된 프로그램을 그대로 쓰면서 코딩 에이전트나 외부 프로그램을 격리하는 루트리스 샌드박스입니다. Linux 네임스페이스를 기본 격리 수단으로 쓰고, 선택적으로 gVisor를 붙여 호스트 커널과 프로그램 사이에 사용자 공간 커널을 둡니다.
WordPress 비인증 경로 순회 취약점, 조건에 따라 원격 코드 실행 가능
WordPress의 페이지 템플릿 탐색 과정에서 인증 없이 경로 순회를 일으켜 테마 디렉터리 밖의 PHP 파일을 불러올 수 있는 취약점이 발견됐습니다. 테마와 서버 설정 등 조건이 맞으면 원격 코드 실행으로 이어질 수 있으며, WordPress 7.1.2와 4.7 이후 각 브랜치에 수정 사항이 배포됐습니다.
SAML: 나쁜 설계가 반복되는 프로토콜
Trail of Bits는 XML 서명과 정규화, 구현 간 파서 차이, 과도한 명세 범위가 SAML의 보안과 유지보수를 어렵게 만든다고 설명합니다. 새 서비스에는 OpenID Connect(OIDC)를 우선 적용하고, 기존 SAML 연동은 단계적으로 종료하자는 주장입니다.
systemd 262 출시 — AI/LLM 미검토 코드 카나리와 LUO 통합
systemd 262는 작은 컨테이너를 위한 정적 단일 바이너리 빌드, LUO 세션 생성, 무인 firstboot 설정 등을 추가합니다. AI가 작성한 코드의 검토를 유도하는 카나리도 포함하며, Reddit에서는 실효성과 systemd의 복잡성을 두고 의견이 갈렸습니다.
Portainer, 무료 CE와 유료 제품의 개발 경로 분리
Portainer 3.0은 Kubernetes 중심으로 재구축되며 Community Edition(CE)의 기반이 되지 않습니다. CE는 2.45 LTS를 유지하며 보안·버그 수정과 일부 기능 이식만 받습니다. Reddit 이용자들은 Komodo·Dockhand·Arcane으로 옮기거나 기존 Docker Compose 작업 방식을 유지하는 방안을 논의합니다.
“FBI를 해킹했다”는 ShinyHunters, 전·현직 직원과 지원자 정보 탈취 주장
해킹 그룹 ShinyHunters가 FBI 관련 시스템을 침해해 직원과 지원자의 개인정보를 빼냈다고 주장합니다. 404 Media는 5,000명분 표본 일부를 공개된 정보와 대조해 일치하는 사례를 확인했으며, FBI는 FBIjobs.gov의 비인가 활동을 조사 중이라고 밝혔습니다.
Cronhq — 실제로 실행되는 Cron 작업
Cronhq는 여러 서버에서 Cron 작업이 중복 실행되거나 조용히 멈추는 문제를 Postgres 잠금과 상태 기반 알림으로 다루는 스케줄러입니다. 재시도, 서명된 Webhook, 외부 작업용 Heartbeat, CLI와 Self-hosting을 제공하지만, 외부 작업의 중복 처리를 위한 안정적인 실행 ID는 아직 추가 예정입니다.
Agent Substrate — 자율 에이전트를 위한 고밀도 실행 런타임
Agent Substrate는 Kubernetes 위에서 다수의 상태 저장 actor를 소수의 worker에 배치하는 에이전트 실행 런타임입니다. gVisor와 microVM을 지원하며 500ms 이하의 재개 시간, 초당 500회 이상의 suspend/resume, 8개 Pod에서 약 250개 actor를 multiplex하는 데모를 제공합니다.
고아 VM — 호스트 커널이 재부팅·업데이트 중에도 VM을 계속 실행하기
Google이 주도한 Linux RFC 패치는 호스트 커널이 재부팅이나 업데이트로 내려간 동안에도 VM을 실행하는 ‘Orphaned VM’을 제안합니다. 물리 CPU와 vCPU 상태를 보존하고 Caretaker가 일부 VM exit를 처리하는 구조이며, Intel·AMD·Arm에서 시험했지만 아직 초기 개발 단계입니다.
Git 복구 가이드: 무엇이든 되돌리는 법, 당황하지 않고
Git에서 커밋을 잃어버린 것처럼 보여도 실제로는 참조만 사라진 경우가 많습니다. reflog와 fsck로 커밋을 찾고, reset·revert·branch 명령으로 복구하는 상황별 절차와 복구가 불가능한 경우를 정리합니다.