취약점과 보안 사고, 운영체제와 클라우드·네트워크를 다룹니다.
MailRoute 창업자 겸 CEO 토머스 A. 존슨은 자사 발신 로그에서 2026년 11월 5일부터 DMARC가 없는 발신 도메인의 메일 일부가 Outlook.com 소비자 주소에서 550 5.7.1로 반송됐다고 보고했습니다. 이 응답은 Microsoft가 2025년 고용량 발신자 요건에서 제시한 5.7.515와 다르며, 존슨은 해당 유형을 다룬 별도 공지를 찾지 못했다고 적었습니다. `_dmarc`에 `p=none` 레코드를 게시하면 레코드 부재는 해소되지만, DMARC 통과에는 SPF 또는 DKIM 가운데 하나가 From 도메인과 정렬돼야 합니다.
Pocket ID 유지관리자 stonith404가 v3 UI를 미리 공개하고 정식 출시 전 피드백을 받고 있습니다. 이용자들은 감사 로그에서 로그인 활동 전체를 바로 확인하고 대체 로그인 수단을 찾기 쉬워졌다고 전했으며, v2의 간결한 느낌이 줄었다는 의견도 냈습니다. 2026년 11월 2일 현재 저장소 최신 릴리스는 v2.19.1입니다.
덴마크 개인식별번호 등록부(CPR) 침해 사건에서 공격자가 민간 기업 계정의 비밀번호 '123456'을 이용했다고 주장했습니다. 이름과 주소, ID 번호 등 880만 명의 정보가 노출됐으며, 과도한 조회량을 보여준 청구서가 발견된 뒤에야 사건을 파악했습니다.
Scott Helme는 일반 소비자용 동기화 패스키가 웹사이트에 증명 정보를 보내지 않으며, WebAuthn의 attestation도 운영체제나 브라우저 상태를 증명하지 않는다고 설명합니다. TOTP 코드는 피싱 사이트에 입력할 수 있지만 패스키는 도메인에 묶여 있다는 점에서, 현재는 패스키를 피하기보다 신뢰하는 관리자를 골라 쓰는 편이 낫다고 주장합니다.
글쓴이는 패스키 자체의 피싱 방지 효과를 부정하지 않으면서도, WebAuthn이 원격 증명과 하드웨어 제약을 허용해 사용자의 기기·소프트웨어 선택을 제한할 수 있다고 주장합니다. Hacker News에서는 그 위험이 과장됐다는 반론과 표준에 이미 포함된 제약을 경계해야 한다는 주장이 맞섭니다.
NIST와 CISA가 토큰과 신원 어설션을 위조·탈취·오용으로부터 보호하는 지침 NIST IR 8587을 확정했습니다. 클라우드 사업자와 서비스를 이용하는 조직이 토큰 관리 보안을 강화하도록 구현 고려사항과 각자의 역할을 제시합니다.
vAuth는 TPM 2.0을 갖춘 리눅스 PC에서 패스키를 기기에 묶어 보관하고, 웹사이트와 FIDO2 지원 앱에 보안 키로 인증하는 프로그램입니다. 첫 베타 패키지는 Debian 13 amd64용이며, TPM 초기 설정과 복구 절차에 제약이 있어 설치 전 상태를 확인해야 합니다.