구글에서 9만 달러 규모 원격 코드 실행 취약점을 찾다
구글 개발자 문서 사이트의 OAuth 세션 쿠키에서 OAuth client secret과 Flask 서명 키가 함께 노출됐습니다. 공격자는 쿠키를 위조해 서버가 pickle 데이터를 역직렬화하게 만들었고, 여러 DevSite 사이트에서 원격 코드 실행을 입증했습니다.
보안·인프라 · 최신기사
보안과 개인정보, 운영체제와 클라우드·데이터 인프라를 다룹니다.
C로 만든 현대적인 웹 앱
저자는 OpenBSD, C, httpd, SQLite를 조합해 상용 웹 서비스를 만들고 CGI 방식으로 운영합니다. 단일 바이너리와 적은 의존성, 간단한 배포가 장점이지만 프로세스 생성 비용과 C의 메모리 안전성, 직접 구현해야 할 기능을 두고 논쟁이 이어집니다.
지문이 쿠키를 대체하는 추적 수단이 되고 있습니다
브라우저와 기기의 하드웨어·소프트웨어 특성을 조합하면 쿠키를 지우거나 VPN을 써도 사용자를 구별하는 지문(fingerprint)을 만들 수 있습니다. 글은 정보 엔트로피로 식별 원리를 설명하고 브라우저별 방어책을 소개하며, 댓글에서는 실제 추적의 안정성과 지문 수집의 법적 범위를 두고 의견이 엇갈립니다.
패스키는 함정입니다
글쓴이는 패스키 자체의 피싱 방지 효과를 부정하지 않으면서도, WebAuthn이 원격 증명과 하드웨어 제약을 허용해 사용자의 기기·소프트웨어 선택을 제한할 수 있다고 주장합니다. Hacker News에서는 그 위험이 과장됐다는 반론과 표준에 이미 포함된 제약을 경계해야 한다는 주장이 맞섭니다.
Django 6.1, 기본 PBKDF2 반복 횟수 변경…다음 로그인 때 기존 해시를 다시 씁니다
Django 6.1은 PBKDF2 기본 반복 횟수를 120만 회에서 150만 회로 올립니다. 기존 해시는 다음 로그인 때 자동 갱신되지만, 기본값보다 강하게 설정한 해시도 새 기본값으로 낮아질 수 있어 직접 반복 횟수를 설정한 서비스는 업그레이드 전에 확인해야 합니다.
tide — 필요한 기능에 집중한 Jitsi 대안
tide는 자체 서버에서 운영하는 화상회의 서비스로, 링크 공유와 화면 공유, 서버 녹화를 지원합니다. Go 바이너리 하나로 배포하며 미디어를 서버에 두고 OIDC 로그인을 제공해, 통화와 데이터를 직접 관리하려는 팀에 적합합니다.
Windows와 Mac의 키보드 차이 — 웹 앱 개발자가 알아둘 입력 규칙
Windows와 macOS는 키 이름과 단축키 표기부터 텍스트 편집, 문자 입력, 탐색 키 동작까지 다릅니다. 두 운영체제를 지원하는 웹 앱 개발자는 단축키 충돌과 입력기·키보드 배열 차이를 고려해야 합니다.
2027년 2월부터 인증서 유효기간 64일로 단축
Let’s Encrypt는 2027년 2월 10일부터 기본 인증서 유효기간을 90일에서 64일로 줄입니다. 자동 갱신이 만료일에 맞춰져 있다면 갱신 시점을 수명 3분의 2 지점으로 조정하고, 스테이징 환경에서 미리 점검해야 합니다.
DVD 메뉴의 아름다움
DVD 메뉴는 제한된 영상·상호작용 기능을 활용해 영화 세계를 확장하고 게임과 숨은 콘텐츠까지 담았습니다. 글은 화면비와 DVD 가상 머신의 제약을 살펴본 뒤 기억에 남는 메뉴 사례를 소개하며, 오늘날의 단순한 디스크 메뉴와 스트리밍 인터페이스를 비교합니다.
Google 검색 색인에서 사이트를 제외했습니다
검색엔진 색인을 원치 않았던 블로그 운영자가 robots.txt와 robots 메타 태그를 차례로 적용해 Google 검색 결과에서 사이트를 제외했습니다. robots.txt로 크롤링을 막으면 Googlebot이 페이지의 noindex 메타 태그를 읽지 못한다는 점이 핵심입니다.
재시도할까, 말까? AI 모델은 API 실패 상황을 제대로 판단할까요
API 실패 상황에서 AI 모델이 재시도 여부를 제대로 판단하는지 14개 시나리오로 비교했습니다. 8개 모델의 3회 실행 결과, 재시도 안전성과 시점을 혼동하는 사례가 드러났으며 특히 중복 결제 위험이 있는 요청에서 대부분 모델이 틀렸습니다.
Chrome에 JPEG XL 디코딩 지원을 적용합니다
Chrome 155부터 JPEG XL(.jxl) 이미지 디코딩을 지원합니다. Chrome 팀은 C++ 참조 구현 대신 Rust로 작성한 jxl-rs를 적용하고 SIMD 최적화를 더해 메모리 안전성과 성능을 함께 추구합니다. JPEG XL은 무손실 압축, HDR, 점진적 디코딩 등을 지원하지만, 용도에 따라 AVIF와 함께 비교해 보라고 권합니다.
해커들이 Google 등 대형 서비스의 위조 TLS 인증서를 발급받았습니다
공격자들이 .gh, .sl, .as 국가 코드 최상위 도메인(ccTLD)을 장악하고 권한 DNS 레코드를 바꿔 Google과 여러 서비스의 위조 TLS 인증서를 발급받았습니다. Google은 확인된 인증서를 Chrome에서 차단하고 폐기했으며, 도메인 운영자에게 Certificate Transparency 로그 감시와 CAA 레코드 설정을 권고했습니다.
미국 의회에 다시 등장한 사이트 차단 법안 — 이번엔 VPN도 대상입니다
미국 하원의 ACPA 법안은 저작권 침해 혐의를 받는 해외 사이트를 차단하도록 ISP, DNS 사업자뿐 아니라 VPN 사업자에도 요구할 수 있게 합니다. EFF는 사이트 운영자가 법정에서 방어하기 전에 차단 대상이 정해질 수 있고, 합법적인 사이트까지 피해를 볼 수 있다고 우려합니다.
Example.com, 수십 년 만에 가장 큰 개편
문서 예시용 예약 도메인 example.com의 디자인과 서버 인프라 변화를 2002년부터 추적하고, 2026년 다국어 개편의 구현 방식을 설명합니다. IANA는 자동화된 요청이 많은 만큼 전송량을 줄이려 콘텐츠 일부를 JavaScript 파일로 분리했다고 밝혔으며, 사이트를 테스트·모니터링 서비스로 쓰지 말라고 안내합니다.
Stremio 웹 앱 — React UI와 Rust 기반 재생 엔진
Stremio의 공식 웹 UI 저장소로, React 화면과 Rust로 작성해 WebAssembly로 컴파일한 stremio-core를 연결합니다. 개발 서버 실행과 빌드·테스트 명령, 관련 저장소 구성을 안내합니다.
AIS를 켜면 공격받고 끄면 보험이 무효가 됩니다 — Sanity로 만든 해상 규정 충돌 판정기
Sanity Challenge 제출작 NAVI-SANCTION은 해상 조약, 군사 권고, 보험 약관을 구조화해 AIS 운용 규정의 충돌을 판정하는 데모입니다. Sanity Content Lake와 GROQ로 관련 문서를 조회하고, 조건이 겹치면 생명 보호 조항을 근거로 한 대응 경로와 감사 기록을 만듭니다.
Caddy — 자동 HTTPS를 지원하는 확장형 멀티플랫폼 웹 서버
Caddy는 HTTP/1.1·2·3를 지원하고 TLS 인증서 발급과 갱신을 자동화하는 Go 기반 서버 플랫폼입니다. Caddyfile과 JSON API로 설정하며, 모듈 구조를 활용해 플러그인과 Go 애플리케이션을 통합합니다.
maxUnavailable: 0인 Kubernetes 롤링 업데이트에서도 요청이 실패합니다
Kubernetes Deployment에 maxUnavailable: 0을 설정하고 graceful shutdown과 preStop 훅을 적용해도 keep-alive 연결 때문에 요청이 실패할 수 있습니다. 실험에서는 종료 전 애플리케이션이 연결을 닫도록 바꾼 뒤 실패가 0건이 됐지만, 댓글은 유휴 연결과 HTTP/2의 경우 추가 검증이 필요하다고 지적합니다.
Cloudflare OHTTP 게이트웨이 공개
Cloudflare가 OHTTP Gateway 비공개 베타를 시작합니다. 별도 운영자가 맡는 릴레이와 게이트웨이가 사용자 식별 정보와 요청 내용을 나눠 처리하며, Cloudflare는 게이트웨이를 글로벌 엣지에 배치해 지연과 운영 부담을 줄이는 방식입니다.