.jpg)
간편하고 안전한 로그인 기능인 ‘사인 인 위드 애플’...계정 탈취 가능한 취약점 있어
애플은 발견자에게 10만 달러 지급하고 서버 로그 확인...침해 흔적 없다고 발표
[보안뉴스 문가용 기자] 애플이 보안 전문가 바북 제인(Bhavuk Jain)에게 10만 달러의 상금을 지불했다. ‘사인 인 위드 애플(Sign in with Apple)’이라는 기능에서 치명적인 취약점을 발견했기 때문이다. 공격자가 익스플로잇에 성공할 경우 인증 시스템을 우회하고, 서드파티 앱의 사용자 계정을 탈취할 수 있게 된다고 한다. 현재 이 문제는 패치된 상태다.
‘사인 인 위드 애플’ 은 iOS 13 버전을 통해 처음 도입된 기능으로, 각종 앱들과 웹사이트에 빠르면서도 안전하게 로그인 할 수 있게 해준다고 애플은 광고했었다. 애플 ID가 있는 사용자들은 ID와 비밀번호를 일일이 입력하거나, 다른 소셜 미디어 계정을 사용하지 않아도 되도록 설계 되었다.
하지만 지난 4월 제인은 이 로그인 기능에서 치명적인 취약점을 발견하는 데 성공했다. ‘사인 인 위드 애플’로 로그인 한 서드파티 앱에 영향을 주는 취약점이었다. 제인은 블로그를 통해 “사용자가 유효한 애플 ID를 가지고 있든 아니든, ‘사인 인 위드 애플’을 통해 로그인 한 서드파티 앱의 계정을 공격자가 완전히 장악할 수 있게 해준다”고 설명했다.
애플은 제인에 제보한 취약점을 확인해 상금을 수여했고, 서버 로그를 점검함으로써 그 동안 해당 취약점이 악용된 사례가 없다는 것도 확인할 수 있었다고 발표했다.
‘사인 인 위드 애플’은 오오스 2.0(OAuth 2.0)과 비슷한 방식으로 작동한다. 제인의 설명에 따르면 “사용자를 인증하는 방식에는 크게 두 가지가 있는데, 하는 제이슨 웹 토큰(JSON Web Token, JWT)을 사용하는 것이고 다른 하나는 애플 서버에서 생성한 코드를 사용하는 것”이다.
그 다음 ‘사인 인 위드 애플’은 사용자에게 “애플 이메일 ID를 서드파티 애플리케이션과 공유할 것인지 선택”할 수 있다. 공유하지 않는 쪽을 선택할 경우 애플은 해당 사용자 고유의 릴레이용 이메일 ID를 생성해 앱에 전송한다. 원래의 이메일 ID 대신 전송용 이메일 ID를 따로 만든다는 것이다.
이 1단계 인증이 성공적으로 진행될 경우 애플은 이메일 ID(혹은 전송용 이메일 ID)가 포함된 JWT를 하나 생성한다. 그리고 이를 서드파티 애플리케이션으로 보내 사용자 인증의 나머지 과정을 완료한다. 여기서 제인은 문제를 하나 발견했다.
“아무 이메일 ID에 대한 JWT를 애플에 요청할 수 있더군요. 그리고 되돌아온 JWT의 시그니처를 애플의 공개 키로 인증하면, 해당 JWT가 올바른 것이라고 확인이 된다는 걸 알아냈습니다. 즉 아무 이메일 ID만 있으면 JWT를 조작할 수 있다는 것이고, 이를 통해 서드파티 애플리케이션의 사용자 계정에 접속할 수 있다는 뜻이 됩니다.”
제인은 보안 외신인 ‘더 해커 뉴스(The Hacker News)’를 통해 “이메일 ID를 서드파티 앱과 공유하지 않기로 선택한 사용자들의 경우 이런 식의 익스플로잇 공격이 가능하다”고 설명하며 “피해자의 이름으로 새로운 애플 ID를 만들 수도 있다”고 경고했다.
3줄 요약
1. 애플의 간편 로그인 기능 ‘사인 인 위드 애플’에서 치명적인 취약점 발견됨.
2. 아무 이메일 ID만 있으면 인증 과정 통과하고 사용자 계정 탈취할 수 있게 해주는 취약점임.
3. 이를 발견한 전문가는 애플로부터 10만 달러의 상금을 받음.
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]
애플은 발견자에게 10만 달러 지급하고 서버 로그 확인...침해 흔적 없다고 발표
[보안뉴스 문가용 기자] 애플이 보안 전문가 바북 제인(Bhavuk Jain)에게 10만 달러의 상금을 지불했다. ‘사인 인 위드 애플(Sign in with Apple)’이라는 기능에서 치명적인 취약점을 발견했기 때문이다. 공격자가 익스플로잇에 성공할 경우 인증 시스템을 우회하고, 서드파티 앱의 사용자 계정을 탈취할 수 있게 된다고 한다. 현재 이 문제는 패치된 상태다.
[이미지 = utoimage]
‘사인 인 위드 애플’ 은 iOS 13 버전을 통해 처음 도입된 기능으로, 각종 앱들과 웹사이트에 빠르면서도 안전하게 로그인 할 수 있게 해준다고 애플은 광고했었다. 애플 ID가 있는 사용자들은 ID와 비밀번호를 일일이 입력하거나, 다른 소셜 미디어 계정을 사용하지 않아도 되도록 설계 되었다.
하지만 지난 4월 제인은 이 로그인 기능에서 치명적인 취약점을 발견하는 데 성공했다. ‘사인 인 위드 애플’로 로그인 한 서드파티 앱에 영향을 주는 취약점이었다. 제인은 블로그를 통해 “사용자가 유효한 애플 ID를 가지고 있든 아니든, ‘사인 인 위드 애플’을 통해 로그인 한 서드파티 앱의 계정을 공격자가 완전히 장악할 수 있게 해준다”고 설명했다.
애플은 제인에 제보한 취약점을 확인해 상금을 수여했고, 서버 로그를 점검함으로써 그 동안 해당 취약점이 악용된 사례가 없다는 것도 확인할 수 있었다고 발표했다.
‘사인 인 위드 애플’은 오오스 2.0(OAuth 2.0)과 비슷한 방식으로 작동한다. 제인의 설명에 따르면 “사용자를 인증하는 방식에는 크게 두 가지가 있는데, 하는 제이슨 웹 토큰(JSON Web Token, JWT)을 사용하는 것이고 다른 하나는 애플 서버에서 생성한 코드를 사용하는 것”이다.
그 다음 ‘사인 인 위드 애플’은 사용자에게 “애플 이메일 ID를 서드파티 애플리케이션과 공유할 것인지 선택”할 수 있다. 공유하지 않는 쪽을 선택할 경우 애플은 해당 사용자 고유의 릴레이용 이메일 ID를 생성해 앱에 전송한다. 원래의 이메일 ID 대신 전송용 이메일 ID를 따로 만든다는 것이다.
이 1단계 인증이 성공적으로 진행될 경우 애플은 이메일 ID(혹은 전송용 이메일 ID)가 포함된 JWT를 하나 생성한다. 그리고 이를 서드파티 애플리케이션으로 보내 사용자 인증의 나머지 과정을 완료한다. 여기서 제인은 문제를 하나 발견했다.
“아무 이메일 ID에 대한 JWT를 애플에 요청할 수 있더군요. 그리고 되돌아온 JWT의 시그니처를 애플의 공개 키로 인증하면, 해당 JWT가 올바른 것이라고 확인이 된다는 걸 알아냈습니다. 즉 아무 이메일 ID만 있으면 JWT를 조작할 수 있다는 것이고, 이를 통해 서드파티 애플리케이션의 사용자 계정에 접속할 수 있다는 뜻이 됩니다.”
제인은 보안 외신인 ‘더 해커 뉴스(The Hacker News)’를 통해 “이메일 ID를 서드파티 앱과 공유하지 않기로 선택한 사용자들의 경우 이런 식의 익스플로잇 공격이 가능하다”고 설명하며 “피해자의 이름으로 새로운 애플 ID를 만들 수도 있다”고 경고했다.
3줄 요약
1. 애플의 간편 로그인 기능 ‘사인 인 위드 애플’에서 치명적인 취약점 발견됨.
2. 아무 이메일 ID만 있으면 인증 과정 통과하고 사용자 계정 탈취할 수 있게 해주는 취약점임.
3. 이를 발견한 전문가는 애플로부터 10만 달러의 상금을 받음.
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-11-22] .jpg)
.jpg)
.jpg)
.jpg)
.jpg)
