xz 백도어 분석
- 필리포 발소르다는 몇몇 사람들이 xz 백도어를 역공학하는 것을 관찰하고 초기 분석 결과를 공유했음.
-
RSA_public_decrypt 훅은 서버의 호스트 키에 대한 고정된 Ed448 키의 서명을 검증하고, 시스템에 페이로드를 전달함.
- 이것은 인증 우회가 아닌 원격 코드 실행(RCE)이며, 한 번만 사용 가능하고 재생할 수 없음.
공급망 공격
- 이 공격은 공개적으로 설명된 가장 잘 실행된 공급망 공격일 수 있으며, 악의적이고 유능하며 널리 사용되는 라이브러리의 공식적인 상위 스트림에서 발생함.
- 이 공격은 우연히 발견된 것으로 보이며, 그렇지 않았다면 얼마나 오래 걸렸을지 궁금함.
페이로드 추출 및 검증
- 페이로드는
RSA_public_decrypt에 전달된 N 값(공개 키)에서 추출되며, 간단한 지문에 대해 검사되고, Ed448 서명 검증 전에 고정된 ChaCha20 키로 복호화됨.
RSA_public_decrypt 함수
-
RSA_public_decrypt는 서명 검증 기능을 수행하는데, 이름이 이상하게 들릴 수 있음.
- RSA 서명 검증은 RSA 암호화와 동일한 연산을 수행함.
OpenSSH 인증서와 공격자 제어
-
RSA_public_decrypt 공개 키는 OpenSSH 인증서를 사용하여 인증 전에 공격자가 제어할 수 있음.
- OpenSSH 인증서는 서명자의 공개 키를 포함하고 있으며, OpenSSH은 파싱 시 서명을 검사함.
백도어 시스템에 대한 사용자 정의 공개 키 전송 스크립트
- 키건 라이언이 작성한 스크립트를 통해 사용자 정의 공개 키를 인증서에 넣어 백도어 시스템에 도달하게 하는 훅 함수를 사용할 수 있음.
백도어의 안전 장치
- 백도어는 페이로드가 잘못되었거나 공격자의 키 서명이 검증되지 않을 경우 정상 작동으로 돌아감.
- 이는 버그가 발견되지 않는 한, 네트워크를 통한 신뢰할 수 있고 재사용 가능한 스캐너를 작성할 수 없음을 의미함.
GN⁺의 의견
- 이러한 백도어는 시스템 보안에 심각한 위협을 가하며, 특히 널리 사용되는 라이브러리에 삽입될 경우 그 영향은 더욱 확대될 수 있음.
- 공격이 우연히 발견되었다는 점은 보안 시스템의 취약점을 드러내며, 지속적인 모니터링과 감사가 얼마나 중요한지를 강조함.
- 이 기사는 소프트웨어 공급망의 안전성에 대한 인식을 높이는 데 도움이 될 수 있으며, 개발자와 시스템 관리자에게 경각심을 제공함.
- 백도어와 같은 보안 위협에 대응하기 위해, 오픈소스 보안 도구나 취약점 스캐너를 사용하는 것이 좋음. 예를 들어, OWASP ZAP이나 Nessus와 같은 도구가 유용할 수 있음.
- 새로운 기술이나 오픈소스를 도입할 때는 보안 측면을 철저히 검토하고, 이러한 공격으로부터 시스템을 보호하기 위한 적절한 조치를 취해야 함.