크롬 보안 취약점 보고에 대해 25만 달러 상금 결정

• Chrome의 VRP 보상위원회가 최근 보안 취약점 보고에 대해 25만 달러의 상금을 결정함
• 보고된 취약점은 ipcz 컴포넌트의 버그로, 렌더러가 브라우저 프로세스 핸들을 복제해 샌드박스 탈출 가능성 있음
• 관련 이슈는 Chromium의 Internals>Mojo>Core 영역에서 제기됨
• 이 취약점으로 인해 사용자의 보안 위협이 증가할 수 있음
• 해당 취약점은 코드 변경을 통해 패치 진행 중임

---

주요 이슈 개요

• 최근 Chromium 프로젝트에서 매우 심각한 보안 취약점이 보고된 상황임
• 이 취약점은 ipcz 컴포넌트의 결함으로, 샌드박스 내에 있어야 할 렌더러가 브라우저 프로세스의 핸들을 복제해 보안 격리 환경에서 벗어날 수 있는 가능성을 제공함
• 이러한 행위는 기본적으로 브라우저 샌드박스 구조에 대한 위협임

Chrome VRP 상금 결정 및 의미

• Chrome Vulnerability Reward Program(보상 프로그램) 패널은 본 취약점 보고 건에 25만 달러의 상금 지급을 결정함
• 이는 해당 취약점의 심각성과 발견의 난이도, 파급력 등을 반영한 결정임
• 주요한 보안 결함에 대한 적극적인 취약점 제보 보상의 의지를 보여주는 사례임

내부 이슈 처리

• 본 이슈는 Internals>Mojo>Core 그리고 Internals>Mojo 카테고리에서 처리됨
• 여러 관련 코드 변경이 필요하며, 일부 Gerrit에서의 코드 커밋도 포함됨
• 디자인 문서 리뷰 등 형식적 검토 절차도 진행 중임

패치 및 영향

• 관련 문제는 코드 수정 과정을 통해 패치 진행 중임
• 이슈는 Chromium의 여러 릴리즈 마일스톤에 영향을 주고 있으며, 보안 업데이트 우선순위가 높음
• 이 버그로 인해 사용자 시스템의 보안 장벽이 무력화될 수 있는 위험성 있음

관련 사항 및 시스템 대응

• 본 이슈에 따른 IRM(Incident Response Management) 기록도 생성된 상태임
• 해당 버그의 세부 정보는 자동 생성된 코드 변경, 연관된 보안 문제, 디자인 검토, 릴리즈 관리 등 다양한 내부 관리 시스템에 의해 추적 및 접근 통제됨
• 커뮤니티 및 사용자 대상의 신속하고 효과적인 보안 패치 배포 및 공지가 요구됨

[GN⁺]

Hacker News 의견

• 그는 가장 많이 쓰이는 브라우저에서 꽤나 신뢰도 높은 익스플로잇을 가졌고, 만약 블랙마켓에서 팔았다면 세금 없이 훨씬 더 벌 수 있었을 것이라는 생각임
  EDR(Endpoint Detection and Response) 같은 보안 툴이 널리 배포되어 있어 이제는 익스플로잇이 금방 잡힐 가능성이 높아졌지만, 몇몇 독재국 정보기관들은 이런 저널리스트 해킹을 할 가치가 있다고 여길 것이라는 의견임
  • 정말 블랙마켓에서 세금 없이 더 많이 받을 수 있었을까에 대한 질문과 함께, 실제로 신뢰할 만한 범죄자를 어디서 어떻게 찾는지 모르겠다는 이야기임
    익명성과 신뢰를 담보로 거래해야 하는데, 돈을 받더라도 블랙메일 등의 또 다른 위험이 생길 수 있고, 큰 돈을 감추는 것도 쉽지 않기 때문에 어떻게 안전하게 익스플로잇을 판매할 수 있을지 궁금함
    또 이렇게 돈을 벌면 블로그에 글도 못 올리고, 연구자나 리크루터들에게 내 이름을 알릴 수 없어 커리어나 평판 측면에서 손해라는 의견임
  • 블랙마켓에서 팔았다고 해서 돈이 자동으로 세금 없이 생기는 게 아니고 오히려 반대라는 이야기임
    언젠가 은행 계좌에 큰 돈이 들어오면 결국 감시를 받으니, 세금을 내는 것처럼 돈세탁도 해야 하고, 세탁업자에게 수수료도 내야 하기 때문에 결국 세금이 두 번 들어가는 셈이라는 의견임
    암호화폐도 마찬가지로 채굴했다는 증거를 요구받기 때문에 쉬운 해결책은 아니라는 설명임
  • 다들 돈만 보고 비교하는데, 좀 더 괜찮은 사람이 되어 보자는 의견임
    잠재적 이익 때문에 수많은 범죄자가 수백만 명에게 해를 끼칠 기회를 열어주는 건 생각해봐야 할 문제라는 이야기임
  • 꼭 블랙마켓에서 세금 안 내고 더 받을 수 있는 게 아니라는 의견임
    Chrome에서 샌드박스 탈출이나 그 우회는 공식적으로 $200,000까지 받을 수 있다는 발표 72번 슬라이드를 공유함
    Github에 이 프레젠테이션이 있는데, 현재 Github가 다운이라서 reddit 링크도 추가로 공유함
  • 이런 취약점은 리퀴드 마켓이 존재하는 몇 안 되는 케이스라는 설명임
    특히 이 버그들은 여러 번 재판매도 가능한데, 예를 들어 국가 단위의 모든 정보기관이나 법 집행기관에 파는 전문 회사들도 존재함
• Chrome에서 샌드박스 탈출 및 고퀄리티 리포트의 경우 $250,000 보상임
  Mozilla는 같은 취약점에 $20,000만 주는 것을 공식 규정, Mozilla 버그 바운티 링크로 비교함
  • 위키피디아 기준, 이 금액은 (Mozilla의 순이익 대비) 0.012%임
    댓글에서 이런 방식의 비교는 적절하지 않다는 얘기도 들었지만, 퍼센트로 구하면 Google의 50배 수준이니 충분하다는 의견임
    (원래 비율을 계산 착오했는데, 수정해서 0.012%임을 밝힘 — $20,000이 $157,000,000의 0.012%, 즉 Google의 퍼센트보다 50배 많음)
  • Chrome 유저는 firefox에 비해 15~20배나 많기 때문에, 블랙마켓에서도 버그 가격이 그만큼 높게 형성됨
    Safari는 부유하고 보안에 관심 없는 유저가 많아 더 비쌀 수도 있다는 설명임
  • 두 회사의 재무 상태를 봤을 때 Google이 Mozilla보다 돈을 훨씬 더 많이 벌고 있다는 의견임
  • HN에서 모질라 CEO가 됐다 치고 각자 하고 싶은 말을 하는 패러디를 해보고 싶다는 이야기임
    사무실에 진지하게 들어가서 각자 최애 정책(개인정보 보호, 웹 표준 강화, 속도 개선, 버그바운티 상금 인상 등)에 대해 열정적으로 주장하는 모습과 상반되게, 전체적으로는 빨간 선(매출 하락)이 배경에서 꾸준히 떨어지는 슬로우모션 만화 영상을 상상함
  • 그레이 마켓에서도 firefox 취약점은 수요, 공급 모두 이유로 보상이 훨씬 낮아진다는 의견임
• “이번 주에만 공개하려고 5일 먼저 이슈를 연다”는 안내 문구를 보며, Defcon과 연관 지어 인사하는 느낌의 댓글임
• 참고로 이 버그는 로직/타이밍 이슈이고, Rust로 작성했다고 해서 막을 수 있는 종류가 아니라는 점을 언급함
• 샌드박스 탈출 버그가 정확히 뭔지, 브라우저에서 ‘렌더러’와 ‘네이티브 API’, ‘샌드박스’를 잘 모르는 입장에서 이해하기 쉽게 설명된 자료가 있는지 궁금하다는 질문임
  • 우선 자바스크립트 엔진 버그 등으로 렌더러 프로세스를 장악하는 게 1단계이고, 이 상태에서도 렌더러는 샌드박스에 갇혀 있음
    이번 게시물의 버그는 2단계(샌드박스 탈출)용임
    공개된 patch.diff는 이미 해킹당한 렌더러 프로세스를 시뮬레이션하기 위한 패치임을 설명함
• 리워드 관련 코멘트 링크는 여기임
• 인생이 바뀔 정도의 큰돈이라는 감탄과 함께, 이런 리워드를 볼 수 있어서 좋다는 의견임
  • 내가 살고 있는 덴마크에서는 이 금액이 세금이 없다고 해도 수도에 방 한 칸짜리 아파트도 살 수 없는 수준임
  • 처음 $240,000 보너스를 받았을 때 인생이 바뀔 줄 알았는데, 세금으로 $100,000 빠짐
    차값 $20,000 내고 나니 크게 할 수 있는 것이 없었음
    LA/SF/NYC 기준 집값에 턱없이 부족했고, 스타트업 시작하기에도 모자랐음
    대학생처럼 살면 2~3년은 살아볼 수도 있었지만 이미 34살이었고, 대학생 생활로 돌아가기는 어려웠음
    결국 정말 큰 변화를 주진 못했고, 물론 이런 큰돈을 받게 된 건 감사한 일인데 내 생각만큼 인생이 달라지진 않았던 경험을 공유함
    25년 전이고, 지금은 세 도시 중 어디서든 100만 달러(세후 60만 달러)도 인생을 바꿀 만한 금액이 아님
    그나마 집 계약금이나 자녀 대학비 정도는 가능하겠지만, 기대했던 자유로움은 못 느꼈던 경험임
  • 어디에 사느냐에 따라 금액의 의미가 다르다는 의견임
    선진국 내에서는 $250,000가 인생을 바꾸는 돈이라고 하긴 어렵고, "잠깐 걱정을 덜 수 있는 돈" 정도라는 의견임
    세금 내고 나면 집도 못 사는 수준임
• 이런 대형 프로젝트에서 버그를 찾는 게 정말 대단하다고 느끼며, 건초더미에서 바늘 찾기 같다는 감탄임
  • 커다랗고 복잡한 프로젝트일수록 코드도 많고 버그도 많아서 오히려 작은 프로젝트보다 이슈 찾기는 쉽다는 의견임
    하지만 Sandbox Escape처럼 심각한 버그는 Google의 프로 보상 정책 때문에 이미 수많은 사람들이 수동, 자동 분석(퍼저 도구 포함)을 해봤기에 찾기 매우 어려운 게 맞다는 설명임
    2014년에 우연히 크롬에서 버그를 발견해(버그를 찾으려고 한 것도 아님, 그냥 JS코드 작성하다가 문제 발견) 보고했더니 Google이 $1,500을 지급했음. 30분 정도 걸렸다는 경험담도 공유함
    관련 링크
  • 반대로 커다란 프로젝트면 오히려 컴포넌트 사이의 이상한 상호작용이 많기 때문에 찾기 쉽다는 생각임
    중요한 보안 경계를 이루는 부분(이번엔 렌더러와 브로커 간 통신)에 집중해서 엣지케이스를 파고드는 게 요점임
    구글은 이런 형태의 버그에 돈을 주기 때문에 발견 시 큰 보상이 따름
    물론 아직 연구자의 실력이 엄청나야 찾을 수 있는 건 사실임
• 보상 지급 속도도 인상적임
  약 4주 만에 리워드가 나왔는데, 많은 회사들은 버그 리포트 인정만 해도 몇 달씩 걸리는 경우가 많음
• DOJ가 크롬 분할을 강제한 뒤 새로운 오너십이 생긴다고 가정하면 이 정도 수준의 버그 바운티가 지속될 수 있을지 회의적임