Coders Conquer Security OWASP Top 10 API 시리즈 - 기능 수준 접근 제어 누락

이번 블로그 시리즈에서는 애플리케이션 프로그래밍 인터페이스(API)와 관련된 가장 심각한 취약점들을 집중적으로 다룹니다. 이 취약점들은 매우 위험하여 Open Web Application Security Project(OWASP)의 API 취약점 상위 목록에 포함되었습니다. 현대 컴퓨팅 인프라에서 API가 차지하는 중요성을 고려할 때, 이러한 문제들은 애플리케이션과 프로그램에서 반드시 차단해야 할 치명적인 위협입니다.

기능 수준 접근 제어 누락 취약점은 사용자가 제한되어야 할 기능을 수행하거나 보호되어야 할 리소스에 접근할 수 있게 합니다. 일반적으로 기능과 리소스는 코드나 구성 설정을 통해 직접 보호되지만, 이를 완벽하게 구현하기란 쉽지 않습니다. 현대 애플리케이션은 다양한 역할과 그룹, 복잡한 사용자 계층 구조를 포함하는 경우가 많아 적절한 검사 로직을 구현하는 것이 어려울 수 있습니다.

먼저, 게임화된 챌린지에 참여하여 이 까다로운 유형의 버그를 얼마나 잘 다룰 수 있는지 확인해 보는 것은 어떨까요?

더 자세히 살펴보겠습니다.

API는 구조가 매우 체계적이기 때문에 이러한 결함에 특히 취약합니다. 코드를 이해하는 공격자는 자신에게 제한되어야 할 명령을 어떻게 구현할지 추측할 수 있습니다. 이것이 바로 기능/리소스 수준 접근 제어 취약점이 OWASP 상위 10위 안에 포함된 주요 이유 중 하나입니다.

공격자는 어떻게 기능 수준 접근 제어 취약점을 악용할 수 있을까요?

기능이나 리소스가 제대로 보호되지 않았다고 의심하는 공격자는 먼저 공격하려는 시스템에 접근 권한을 얻어야 합니다. 이 취약점을 악용하려면 엔드포인트에 합법적인 API 호출을 보낼 수 있는 권한이 있어야 합니다. 예를 들어, 낮은 수준의 게스트 접근 기능이 있거나 애플리케이션 기능의 일부로 익명 가입이 가능할 수 있습니다. 일단 접근 권한이 확보되면, 공격자는 합법적인 API 호출 내의 명령을 변경하기 시작합니다. 예를 들어, GET을 PUT으로 바꾸거나 URL의 USERS 문자열을 ADMINS로 변경할 수 있습니다. 앞서 언급했듯 API는 구조화되어 있어 어떤 명령이 허용될지, 문자열의 어디에 배치해야 할지 추측하기 쉽습니다.

OWASP는 신규 사용자가 웹사이트에 가입할 수 있도록 설정된 등록 프로세스에서 이 취약점이 발생하는 사례를 제시합니다. 이 과정은 아마도 다음과 같은 API GET 호출을 사용할 것입니다.

GET /api/invites/{invite_guid}

악의적인 사용자는 초대 정보, 사용자 역할, 이메일 등이 포함된 JSON 응답을 받게 됩니다. 그런 다음 GET을 POST로 변경하고, 아래와 같은 API 호출을 사용하여 자신의 초대 권한을 사용자에서 관리자로 격상시킬 수 있습니다.

POST /api/invites/new
{"email":"shadyguy@targetedsystem.com","role":"admin"}

관리자만 POST 명령을 보낼 수 있어야 하지만, 제대로 보안이 설정되지 않았다면 API는 이를 합법적인 요청으로 받아들여 공격자가 원하는 대로 실행하게 됩니다. 이 경우 악의적인 사용자는 새로운 관리자로 시스템에 초대받게 됩니다. 그 후에는 합법적인 관리자가 할 수 있는 모든 작업을 수행할 수 있게 되며, 이는 매우 위험한 상황을 초래합니다.

기능 수준 접근 제어 취약점 제거하기

이 API 취약점을 예방하는 것은 매우 중요합니다. 공격자가 구조화된 API 내에서 보호되지 않은 기능을 찾는 것은 어렵지 않기 때문입니다. API에 어느 정도 접근할 수만 있다면, 공격자는 코드 구조를 파악하고 결국 실행될 호출을 생성하기 시작할 것입니다.

따라서 모든 비즈니스 수준의 기능은 역할 기반 권한 부여 방식을 사용하여 보호해야 합니다. 대부분의 프레임워크는 이를 위한 중앙 집중식 루틴을 제공합니다. 만약 사용하는 프레임워크에 이러한 기능이 없거나 구현하기 어렵다면, 사용하기 쉬운 외부 모듈을 활용할 수 있습니다. 어떤 방법을 선택하든 권한 부여는 반드시 서버 측에서 구현해야 합니다. 클라이언트 측에서 기능을 보호하려고 시도하지 마십시오.

기능 및 리소스 수준의 권한을 생성할 때는 사용자에게 필요한 최소한의 권한만 부여해야 한다는 점을 명심하십시오. API나 다른 코드를 작성할 때 항상 그렇듯, 최소 권한 원칙을 실천해야 합니다. 이는 환경을 안전하게 보호하고 향후 발생할 수 있는 많은 사이버 보안 문제를 예방할 것입니다.

Secure Code Warrior 블로그 페이지에서 이 취약점에 대한 더 많은 통찰력과 조직 및 고객을 다른 보안 결함으로부터 보호하는 방법을 확인해 보세요. 또한 데모를 체험하여 사이버 보안 기술을 최신 상태로 유지할 수 있습니다.