Trojan Source란 무엇이며 어떻게 소스 코드에 침투하는가

11월 초, 케임브리지 대학교는 Trojan-Source라는 연구 결과를 발표했습니다. 이 연구는 방향성 서식 문자를 사용하여 소스 코드와 주석 내에 백도어를 숨기는 방법에 초점을 맞추고 있습니다. 이러한 문자를 사용하면 컴파일러가 해석하는 논리와 사람이 코드를 검토할 때 인식하는 논리가 서로 다른 코드를 작성할 수 있습니다.

이 취약점은 새로운 유형입니다. 과거에도 유니코드가 악용된 사례는 있었지만(예: 파일 이름의 마지막 부분을 역순으로 바꾸어 실제 파일 확장자를 숨기는 방식 등), 이번 연구를 통해 많은 컴파일러가 소스 코드 내의 유니코드 문자를 경고 없이 무시한다는 사실이 밝혀졌습니다. 반면 코드 편집기를 포함한 텍스트 편집기는 이러한 문자를 기반으로 주석과 코드가 포함된 줄의 흐름을 재배치할 수 있습니다. 따라서 편집기는 컴파일러가 구문 분석하는 방식과 다르게, 심지어 코드와 주석의 순서를 뒤바꾸어 표시할 수 있습니다.

자세한 내용을 계속 읽어보세요. 직접 소매를 걷어붙이고 Trojan Source 해킹을 시뮬레이션해 보고 싶다면, 무료 공개 미션에 참여하여 직접 경험해 보시기 바랍니다.

양방향 텍스트

Trojan-Source 공격 중 하나는 영어(왼쪽에서 오른쪽)와 아랍어(오른쪽에서 왼쪽)처럼 표시 순서가 다른 텍스트를 조합하는 방법을 처리하는 유니코드 Bidi(양방향) 알고리즘을 이용합니다. 방향성 서식 문자를 사용하면 문자의 그룹화 및 표시 순서를 재구성할 수 있습니다.

위 표에는 공격과 관련된 몇 가지 Bidi 오버라이드 문자가 나와 있습니다. 예를 들어 다음을 살펴보겠습니다.

RLI e d o c PDI

RLI는 Right-to-Left Isolate(오른쪽에서 왼쪽으로 격리)의 약자입니다. 이 문자는 텍스트를 문맥에서 격리하고(PDI, Pop-Directional-Isolate(방향성 격리 해제)로 구분됨), 오른쪽에서 왼쪽으로 읽도록 합니다. 그 결과는 다음과 같습니다.

c o d e

하지만 컴파일러와 인터프리터는 일반적으로 소스 코드를 구문 분석하기 전에 Bidi 오버라이드를 포함한 서식 제어 문자를 처리하지 않습니다. 만약 이들이 방향성 서식 문자를 단순히 무시한다면, 다음과 같이 구문 분석하게 됩니다.

e d o c

새 술은 새 부대에 담아야 할까요?

물론 이는 새로운 이야기가 아닙니다. 과거에도 방향성 서식 문자를 파일 이름에 삽입하여 악의적인 성격을 숨기는 경우가 있었습니다. 'myspecialexe.doc'로 표시된 이메일 첨부 파일은 RLO(Right-to-Left override, 오른쪽에서 왼쪽으로 오버라이드) 문자가 없었다면 평범해 보였겠지만, 이 문자가 포함되어 실제 이름이 'myspecialcod.exe'임을 숨기고 있었습니다.

Trojan Source 공격은 소스 코드에 존재하는 주석과 문자열에 방향성 서식 문자를 삽입합니다. 이러한 문자는 구문 오류나 컴파일 오류를 발생시키지 않기 때문입니다. 이 제어 문자들은 코드 논리의 표시 순서를 변경하여, 컴파일러가 사람이 읽는 것과는 완전히 다른 내용을 읽도록 만듭니다.

예를 들어, 다음 바이트가 이 순서대로 포함된 파일의 경우:

방향성 서식 문자에 의해 다음과 같이 순서가 재배치됩니다.

방향성 서식 문자가 명시적으로 표시되지 않으면 코드가 다음과 같이 렌더링됩니다.

RLO은 마지막 줄에서 닫는 중괄호를 여는 중괄호로, 반대로는 여는 중괄호를 닫는 중괄호로 바꿉니다. 이 코드를 실행하면 “You are an admin”이라는 결과가 나옵니다. 관리자 확인 코드는 주석 처리되었지만, 제어 문자로 인해 마치 코드가 여전히 존재하는 것처럼 보입니다. 

(출처: https://github.com/nickboucher/trojan-source/blob/main/C%23/commenting-out.csx)

이것이 당신에게 어떤 영향을 미칠까요?

C, C++, C#, JavaScript, Java, Rust, Go, Python 등 많은 언어가 이 공격에 취약하며, 더 많은 언어가 영향을 받을 것으로 추정됩니다. 숙련된 개발자라면 소스 코드 내의 방향성 서식 문자를 보고 의아해하겠지만, 초보자는 대수롭지 않게 넘길 수 있습니다. 게다가 이러한 문자의 시각화는 IDE에 따라 크게 다르므로, 발견할 수 있다고 장담할 수 없습니다.

그렇다면 이러한 취약점은 어떻게 소스 코드에 침투할 수 있을까요? 우선, 악의적인 코드가 포함된 신뢰할 수 없는 출처의 소스 코드를 사용할 때 발생할 수 있습니다. 또한, 우리 개발자들이 흔히 하는 인터넷상의 코드 복사 및 붙여넣기를 통해서도 발생할 수 있습니다. 대부분의 조직은 여러 공급업체의 소프트웨어 구성 요소에 의존합니다. 이는 우리가 이 코드를 얼마나 완전히 신뢰하고 의존할 수 있는지에 대한 의문을 제기합니다. 숨겨진 백도어가 포함된 소스 코드를 어떻게 걸러낼 수 있을까요?

누구의 문제일까요?

컴파일러와 빌드 파이프라인은 한 방향으로만 제한된 문자열이나 주석을 제외하고, 한 줄에 두 가지 이상의 방향이 포함된 소스 코드 라인을 허용하지 않아야 합니다. 문자열이나 주석 내의 방향성 서식 문자는 제대로 닫히지 않을 경우 줄 끝까지 방향 변경을 유도할 수 있다는 점에 유의해야 합니다. 일반적으로 코드 편집기는 동형 문자나 방향성 서식 문자와 같은 의심스러운 유니코드 문자를 명시적으로 렌더링하고 강조 표시해야 합니다. 11월부터 GitHub는 양방향 유니코드 텍스트가 포함된 모든 코드 라인에 경고 표시와 메시지를 추가하고 있지만, 해당 문자가 라인의 어느 위치에 있는지까지는 강조하지 않습니다. 이로 인해 악의적인 방향 변경이 정상적인 방향 변경과 섞여 침투할 가능성이 여전히 존재합니다.

개발자와 코드 리뷰어의 인식이 무엇보다 중요하며, 이를 위해 취약점을 설명하는 가이드를 마련했습니다. 현재 이 가이드는 Java, C#, Python, GO, PHP 언어에 대해 제공됩니다.

더 자세한 내용을 알고 싶다면 Trojan Source 시뮬레이션(공개 미션)을 직접 체험해 보시고, Trojan Source 연구 자료를 읽어보시기 바랍니다.

Java 시뮬레이션

C# 시뮬레이션

PHP 시뮬레이션

GO 시뮬레이션

Python 시뮬레이션