개발자를 위한 보안 정복: 공유 및 학습 시리즈 - 안전하지 않은 역직렬화

애플리케이션에 따라 직렬화 과정은 상시 발생할 수 있습니다. 이는 데이터 구조나 객체 상태를 저장하거나 통신을 위해 전송 가능한 형식으로 변환하는 것을 의미합니다. 역직렬화는 이 과정의 반대로, 구조화된 데이터를 다시 저장 전의 객체나 데이터 문자열로 되돌리는 작업입니다.

안전하지 않은 역직렬화는 애플리케이션이 역직렬화되는 데이터를 신뢰할 수 있는 것으로 간주할 때 발생할 수 있습니다. 사용자가 새로 재구성된 데이터를 수정할 수 있다면 코드 삽입, 서비스 거부 공격과 같은 악의적인 활동은 물론, 객체 가격을 낮추거나 권한을 상승시키는 등 애플리케이션 내에서 자신에게 유리하도록 데이터를 변경하는 행위가 가능해집니다.

이번 에피소드에서는 다음 내용을 배웁니다:

• 공격자가 안전하지 않은 역직렬화를 악용하는 방법
• 안전하지 않은 역직렬화가 위험한 이유
• 이 취약점을 해결하는 기술.

공격자는 어떻게 안전하지 않은 역직렬화를 악용할까요?

요즘 데이터 직렬화에 가장 많이 쓰이는 형식은 JSON이며, XML이 그 뒤를 잇고 있습니다. 많은 프로그래밍 언어는 JSON이나 XML보다 더 많은 기능을 포함한 자체 직렬화 방식을 제공하기도 합니다. 어떤 경우든 개발자가 역직렬화된 데이터를 신뢰할 수 있는 입력값으로 취급하도록 프로그래밍하면 문제가 발생할 수 있습니다. 본 시리즈의 이전 블로그에서 강조했듯이 "사용자 입력은 절대 신뢰하지 마라!"는 원칙을 지켜야 합니다.

사용자 입력은 절대 신뢰해서는 안 됩니다. 사용자가 문자열에 코드를 삽입할 수 있고, 이것이 수신 서버에서 의도치 않게 실행될 수 있기 때문입니다. 원시 역직렬화 데이터 역시 때때로 접근 및 악용될 수 있으므로 동일하게 신뢰할 수 없는 범주로 분류해야 합니다.

예를 들어, 포럼 애플리케이션이 PHP 객체 직렬화를 사용하여 사용자의 식별 정보와 역할이 담긴 쿠키를 저장한다면, 이를 조작할 수 있습니다. 악의적인 사용자가 자신의 '사용자(user)' 역할을 '관리자(admin)'로 변경할 수 있습니다. 또는 데이터 문자열의 허점을 이용해 코드를 삽입하면, 서버가 이를 '신뢰할 수 있는' 데이터로 처리하는 과정에서 잘못 해석되어 실행될 수 있습니다.

안전하지 않은 역직렬화는 왜 위험할까요?

물론 이러한 공격을 수행하려면 해커에게 어느 정도의 기술이 필요하며, 조작된 역직렬화 데이터를 서버가 어떻게 받아들이는지 파악하기 위해 시행착오를 겪어야 할 때도 있습니다. 하지만 이 취약점은 해커에게 막대한 권한을 부여할 수 있기 때문에 매우 흔하게 악용되고 있습니다.

역직렬화된 데이터가 어떻게 사용되느냐에 따라 이전 블로그에서 다루었던 여러 공격을 포함한 다양한 공격이 가능합니다. 안전하지 않은 역직렬화는 원격 코드 삽입, 사이트 간 스크립팅(XSS), 서비스 거부(DoS), 접근 제어 탈취, 그리고 SQL 및 XML 삽입 공격의 관문이 될 수 있습니다. 기본적으로 공격의 발판을 마련해주고, 역직렬화되는 모든 데이터를 신뢰한다고 선언함으로써 공격자가 이를 악용할 수 있게 만드는 것입니다.

안전하지 않은 역직렬화 제거하기

안전하지 않은 역직렬화를 방지하기 위해 조직이 취할 수 있는 가장 안전한 방법은 애플리케이션이 역직렬화된 데이터를 수용하지 않도록 제한하는 것입니다. 하지만 이것이 현실적으로 불가능할 수도 있습니다. 다행히 이러한 공격을 방어하기 위해 사용할 수 있는 다른 기술들이 있습니다.

가능하다면 데이터를 숫자 값과 같은 형태로 정제할 수 있습니다. 이것이 공격을 완전히 막지는 못하더라도 코드 삽입은 방지할 수 있습니다. 더 좋은 방법은 디지털 서명과 같이 역직렬화된 데이터에 대한 무결성 검사를 수행하여 데이터 문자열이 조작되지 않았음을 보장하는 것입니다. 또한 모든 역직렬화 프로세스는 격리된 저권한 환경에서 실행되어야 합니다.

이러한 보호 조치를 적용한 후에는 모든 역직렬화 실패 시도와 데이터를 역직렬화하는 컨테이너 또는 서버에서 발생하는 네트워크 활동을 기록해야 합니다. 로그에 역직렬화 오류가 반복적으로 기록된다면, 해당 사용자가 악의적인 내부자이거나 자격 증명이 탈취되었을 가능성이 높습니다. 역직렬화 오류를 지속적으로 유발하는 사용자에 대해 자동 차단 기능을 고려해보는 것도 좋습니다.

안전하지 않은 역직렬화에 대응하기 위해 어떤 도구를 사용하든, 핵심은 이 데이터가 사용자에 의해 수정되거나 조작되었을 수 있다는 점을 기억하세요. 절대 신뢰하지 마십시오.

알려진 취약점이 있는 구성 요소 사용에 대한 추가 정보

더 자세한 내용은 OWASP의 안전하지 않은 역직렬화(insecure deserialization) 관련 문서를 참고해 보세요. 또한, 사이버 보안 팀을 최고의 사이버 전사로 양성하는 Secure Code Warrior 플랫폼의 무료 체험을 통해 방금 습득한 방어 지식을 직접 테스트해 볼 수 있습니다. 이 취약점과 다양한 위협을 해결하는 방법에 대해 더 알아보려면 Secure Code Warrior 블로그를 방문하세요.