코더의 보안 정복: 공유 및 학습 시리즈 - 불충분한 자동화 방지

오래된 비밀 술집이나 지하 클럽의 문 앞에 서 있다고 상상해 보세요. 문에 달린 작은 구멍이 열리고 덩치 큰 문지기가 암호를 묻습니다. 방문객은 암호를 모르지만 일단 추측해 봅니다. 틀렸기 때문에 문지기는 들여보내 주지 않습니다.

보통은 이런 일이 일어나겠죠. 이제 틀린 암호를 댄 방문객이 즉시 다시 시도하고, 또 틀려서 거부당하는 상황을 상상해 보세요. 그러더니 이 방문객이 사전 하나를 펼쳐 들고 'aardvark' 같은 단어부터 시작해서 가능한 모든 단어를 하나씩 대기 시작합니다.

상식적으로 문지기가 이런 행동을 허용할 리 없겠지만, 자동화 방지 기능이 미흡한 웹사이트와 애플리케이션은 정확히 이런 일을 허용합니다. 사용자가 자동화 기술을 동원해서라도 올바른 암호를 찾아낼 때까지 계속해서 시도하도록 내버려 두는 것이죠.

이번 에피소드에서는 다음 내용을 배웁니다.

• 공격자가 자동화 방지 미흡을 악용하는 방법
• 자동화 방지 기능이 미흡한 애플리케이션이 위험한 이유
• 이 취약점을 해결할 수 있는 기술.

공격자는 어떻게 자동화 방지 미흡을 악용할까요?

앞서 언급한 비밀 술집 방문객처럼 자동화 도구나 사전 공격을 사용하는 것은 사이버 보안 분야에서 새로운 일이 아닙니다. 사실 이러한 무차별 대입 공격은 초창기 해커들이 사용하던 기법 중 하나였습니다. 컴퓨터 성능이 향상되면서 이러한 공격은 더욱 효율적으로 변했습니다. 공격 컴퓨터와 대상 시스템 간의 연결 속도에 따라 다르지만, 빠른 컴퓨터는 단 몇 분 만에 사전 전체를 훑을 수 있습니다.

이러한 자동화 공격 때문에 자동화 방지 소프트웨어와 기술이 탄생했습니다. 이를 통해 애플리케이션은 사용자의 행동이 일반적인 인간의 행동 범위를 벗어나는지 판단할 수 있게 됩니다.

애플리케이션에 자동화 방지 검사가 제대로 되어 있지 않으면, 공격자는 비밀번호가 맞을 때까지 계속해서 추측할 수 있습니다. 또는 자동화 소프트웨어를 사용하여 웹사이트 게시판에 스팸 댓글을 도배하는 등의 다른 악의적인 행동을 할 수도 있습니다.

자동화 방지 기능 미흡이 위험한 이유는 무엇일까요?

악의적인 사용자가 자동화를 통해 보안을 우회하도록 허용하는 것은 위험합니다. 자동화 공격이 컴퓨팅 초기부터 지금까지 사라지지 않는 이유는 매우 효과적이기 때문입니다. 잘못된 추측에 대한 불이익 없이 비밀번호를 제출할 수 있는 무제한의 시간을 자동화 프로그램에 부여한다면, 결국에는 올바른 비밀번호를 찾아낼 것입니다.

게시판 같은 곳에서 스크립트로 작성된 댓글이 쏟아지면 일반 사용자가 불편을 겪거나, 시스템 자원을 낭비하게 만들어 일종의 서비스 거부 공격(DoS)처럼 작용할 수도 있습니다. 자동화된 게시물은 피싱이나 다른 공격의 도구로 사용되어 최대한 많은 사람에게 미끼를 노출하는 용도로 쓰이기도 합니다.

자동화 방지 미흡 문제 해결하기

자동화 방지 미흡 문제를 해결하려면 모든 애플리케이션이 현재 수행 중인 작업이 사람에 의한 것인지 자동화 소프트웨어에 의한 것인지 판단할 수 있어야 합니다. 가장 대중적이고 널리 사용되는 기술 중 하나는 컴퓨터와 사람을 구별하기 위한 완전 자동화된 튜링 테스트, 즉 CAPTCHA입니다.

CAPTCHA는 기본적으로 튜링 테스트의 일종으로, 1950년 컴퓨터 과학자 앨런 튜링이 처음 제안한 개념이며 인간과 컴퓨터의 행동을 구분하고 식별하는 데 사용됩니다. 현대의 CAPTCHA는 사람은 쉽게 풀 수 있지만 컴퓨터는 어려워하거나 아예 해결할 수 없는 문제를 제시합니다. 흔히 볼 수 있는 방식은 사진을 격자로 나누고 꽃이나 얼굴처럼 특정 항목이 포함된 모든 영역을 선택하라고 요구하는 것입니다. 컴퓨터는 무엇을 요구하는지 이해할 수 없으므로 이미지를 스캔조차 할 수 없습니다. 설령 스캔할 수 있다 하더라도, 이미지 인식은 이를 위해 특별히 설계되지 않은 대부분의 프로그램이 수행하기 어려운 작업입니다.

그 외에도 흐릿한 텍스트를 보여주거나, 간단한 논리 문제를 묻거나, 질문을 소리로 들려주는 방식의 CAPTCHA도 있습니다. 비밀번호 입력창과 같이 애플리케이션의 중요한 지점에 CAPTCHA 챌린지를 구현하면 자동화 프로그램을 즉시 차단할 수 있습니다.

동일한 소스에서 발생하는 잘못된 추측 횟수를 제한하는 것만으로도 자동화 프로그램을 막을 수 있습니다. 잘못된 추측이 너무 많이 발생하면 계정을 일시적으로 잠가 자동화 프로그램의 효율성을 떨어뜨리거나, 관리자가 직접 잠금을 해제하도록 조치할 수 있습니다. 이러한 조치를 취하면 애플리케이션 내의 자동화 방지 취약점을 예방할 수 있습니다.

불충분한 자동화 방지(Insufficient Anti-Automation)에 대한 추가 정보

더 자세한 내용은 불충분한 자동화 방지에 대한 OWASP의 설명을 참고하시기 바랍니다. 또한, 사이버 보안 팀을 최고의 사이버 전사로 양성하는 Secure Code Warrior 플랫폼의 무료 데모를 통해 방금 습득한 방어 지식을 직접 테스트해 볼 수 있습니다. 이 취약점과 다양한 위협을 해결하는 방법에 대해 더 알아보려면 Secure Code Warrior 블로그를 방문해 주세요.

지금 바로 불충분한 자동화 방지 취약점을 찾아 해결할 준비가 되셨나요? 게임 아레나에서 실력을 테스트해 보세요: [여기서 시작하기]