사용자 이름 열거 방지 방법 | Secure Code Warrior

사이드 채널 공격이란 해커가 소프트웨어 알고리즘의 이론적 결함이나 코드의 버그가 아닌, 소프트웨어 시스템의 물리적 구현 과정에서 정보를 수집하는 공격 방식을 말합니다.

이해를 돕기 위해 사용자 이름 열거를 예로 들어보겠습니다. 사용자 이름 열거가 무엇인지, 왜 위험한지 알고 싶다면 저희 웹사이트를 방문하여 영상 설명을 시청하거나 챌린지 게임을 통해 코드에서 직접 식별해 보세요.

사이드 채널 공격을 통한 사용자 이름 열거가 어떻게 이루어지는지 이해하려면, 현대 웹 애플리케이션에서 비밀번호가 어떻게 처리되는지(또는 처리되어야 하는지) 알아야 합니다. 잘 설계된 웹 애플리케이션은 사용자의 비밀번호를 알지 못하며, 어디에도 저장하지 않습니다. 그렇다면 입력한 값이 올바른 비밀번호인지 어떻게 알 수 있을까요? 바로 비밀번호를 해싱하기 때문입니다.

해싱 함수는 한 방향으로 수행하기는 쉽지만(다소 연산 비용은 들지만) 역으로 되돌리기는 매우 어려운 수학적 연산입니다. 우수한 해싱 알고리즘은 입력값에 따라 고유한 출력값을 생성합니다. 웹사이트에 가입할 때 비밀번호 자체가 아닌 해시값이 안전하게 저장됩니다. 즉, 로그인할 때마다 웹 애플리케이션은 입력값을 해싱하여 저장된 해시값과 비교합니다. 안전한 비밀번호 저장에 대해 더 자세히 알고 싶다면 저희 플랫폼에서 확인해 보세요.

컴퓨터에서 입력값을 해싱하는 데는 시간이 걸리며, 개발자는 사용자에게 원활한 경험을 제공하기 위해 항상 코드를 최적화하려 합니다. 프로그램 속도를 높이는 한 가지 방법은 불필요할 때 해싱을 건너뛰는 것입니다. 예를 들어, 사용자 이름이 존재하지 않으면 비밀번호를 확인할 필요가 없으므로 즉시 응답을 보낼 수 있습니다. 이렇게 하면 비밀번호 해싱이라는 느린 연산 과정을 생략할 수 있습니다. 사용자 이름이 올바른 경우에만 비밀번호 입력값을 해싱하여 저장된 해시값과 비교하게 됩니다.

이제 어디에서 문제가 발생할 수 있는지 짐작하셨을 겁니다. 실제 해싱에는 몇 밀리초밖에 걸리지 않지만, 해커는 이 미세한 지연 시간 차이를 이용해 입력한 사용자 이름이 올바른지 파악할 수 있습니다. 잘못된 사용자 이름은 해싱 과정을 거치지 않아 응답이 약간 더 빠르기 때문입니다. 이러한 유형의 사이드 채널 공격을 타이밍 공격이라고 하며, 이는 비기능적 요구사항들이 서로 상충할 수 있음을 보여주는 좋은 예입니다. 때로는 코드의 속도와 보안을 동시에 잡기 어려울 수 있습니다.

따라서 비밀번호 처리가 완벽하고, 비밀번호나 사용자 이름 중 무엇이 틀렸는지 알려주지 않는 일반적인 메시지를 표시하더라도 시스템은 여전히 취약할 수 있습니다. 해결책은 간단합니다. 항상 비밀번호를 해싱하거나, 해싱에 걸리는 시간만큼 응답을 지연시키면 됩니다.

공격자는 이렇게 얻은 정보를 사용하여 시스템의 사용자 목록을 확보할 수 있습니다. 이 정보는 무차별 대입 공격이나 기본 사용자 이름/비밀번호 공격 등 웹 애플리케이션을 공격하는 데 악용될 수 있습니다.

https://www.owasp.org/index.php/Testing_for_User_Enumeration_and_Guessable_User_Account_(OWASP-AT-002)