제가 지금까지 경험한 보안 버그에는 다양한 종류가 있습니다. 원리가 복잡한 것도 있고 간단한 것도 있지만, 그 중에서 웃긴 것들을 찾으라면 오타 때문에 발생한 보안 버그들을 꼽고 싶습니다.

예를 들어 올해 초에 발생한 애플 보안 버그가 있는데요.

if ((err = SSLHashSHA1.update(&hashCtx, &serverRandom)) != 0)
    goto fail;
if ((err = SSLHashSHA1.update(&hashCtx, &signedParams)) != 0)
    goto fail;
    goto fail;
if ((err = SSLHashSHA1.final(&hashCtx, &hashOut)) != 0)
    goto fail;

각 문단에 goto fail을 하나씩만 써야 했는데, 아마도 복사-붙여넣기 하다가 실수해서(..) 두 번째 문단에만 goto fail이 두 번 들어갔기 때문에 발생한 보안 버그였죠. 프로그래머가 사람이다 보니 이런 실수는 비일비재합니다.



그리고 저에게 큰 충격을 안겨 준 보안 버그를 하나 꼽으라고 한다면, ['타이밍 공격'](timing attack)을 들고 싶습니다.

이 버그는 사람의 태생적 본능을 대상으로 합니다. 무슨 말이냐면, 프로그래머란 [최대한 효율적인 코드를 작성하게 되어 있다]는 거죠.

문자열 비교 알고리즘이라는 게 있습니다. 말 그대로 임의의 텍스트 A와 텍스트 B가 같은지 다른지 판단하는 알고리즘이죠. 이 알고리즘에 따르면, 텍스트 두 개를 앞부터 한 글자씩 비교하다가 [중간에 다른 부분이 있으면 그 부분에서 즉시 중단하고 '다르다'는 판단을 내립니다.] 즉,

hell[o] world
hell[a] world

라는 두 텍스트를 비교할 때, h, e, l, l까지 비교하다가 5번째 글자인 'o'과 'a'을 만나면, 서로 다른 문자니까 마지막 글자까지 갈 필요도 없이 두 텍스트는 다르다는 결론을 내릴 수 있겠죠. 그래서 [원래 걸릴 시간의 절반밖에 안 걸린다]는 게 이 알고리즘의 핵심입니다.

매우 간단한 알고리즘이고, 컴퓨터상의 거의 모든 비교는 이렇게 이루어집니다. 비단 텍스트 비교뿐만 아니라 파일 목록을 비교한다든지 엑셀에서 영역 지정한 셀들을 비교할 때도 이렇게 하죠.



타이밍 공격은 이 알고리즘의 특징인, ['서로 다른 글자가 처음 나오는 위치에 따라 알고리즘의 수행 시간이 달라진다']는 것을 이용합니다.

예를 들어, 어떤 사용자가 비밀번호로 'homura'를 사용한다고 해 보죠. 이때 해커가 비밀번호를 알아내고자 한다면, 해커는 일단 비밀번호로 'aaaaaa' 를 넣어 봅니다. 문자열 비교 알고리즘에 따라, 첫 번째 글자를 비교하면서 바로 실패했으니 '비밀번호가 틀렸다'는 오류 메시지가 비교적 빨리 출력됩니다. 따라서 해커는 자신이 입력한 첫 글자인 'a'가 잘못된 비밀번호라는 것을 알게 됩니다.

그럼 이제 'baaaaa'를 넣어 봅니다. 마찬가지로 빠르게 실패하겠죠. 다음으로 'caaaaa', 'daaaaa', ..., 하다가 'haaaaa'까지 오면, 이럴 수가, 오류 메시지가 나오는 시간이 [아주아주아주아주 미세하게나마 지연됐다]는 것을 알게 됩니다. (한 1마이크로초 정도?) 첫 번째 글자가 같으므로 이번에는 컴퓨터가 두 번째 글자까지 확인해 봐야 했기 때문이죠.

'h'라는 문자가 옳다는 것을 알게 되었으니 해커는 이제 'haaaaa', 'hbaaaa', 'hcaaaa', 'hdaaaa' 등을 넣어 봅니다. 그러다가 'hoaaaa'가 되면 이제 세 번째 문자까지 확이해 봐야 하니까 오류 메시지가 더욱 늦게 나오겠죠. 이 과정을 반복해서 사용자의 비밀번호인 'homura'를 알아낸다는 게 핵심 원리입니다.

실제로는 컴퓨터의 수행 속도가 무척 빨라서 소요 시간이 무척 짧기에 측정하기 어렵고, 네트워크상의 지연 시간도 고려해야 하므로 몇 가지 난관이 있지만, Crosby라는 사람이 쓴 논문에 따르면, 수백 번에서 수천 번만 시도해 보면 이러한 지연 시간을 비교적 정확하게 측정할 수 있다고 합니다.



이 문제를 해결하는 방법은 간단합니다. [중간에 문자가 다른 걸 알아도 그냥 끝까지 쭉 비교하면 되죠.] 이렇게 하면 걸리는 시간이 일정해지니까 보안 문제가 사라집니다.

최근에는 각종 프로그래밍 언어의 기본 함수로도 제공되고 있습니다. 파이선의 경우, hmac.compare_digest() 함수가 타이밍 공격에서 안전한 문자열 비교를 합니다.

제가 이 보안 취약성을 처음 봤을 때 느낀 감정은 '세상에 믿을 놈 하나 없다더니'였습니다. 기본 가정이 깨지는 거죠. 아니 세상에, 저런 기본적인 알고리즘에도 문제가 있을 줄은... 비록 비교적 써먹기 어려운 취약성이라고 하나 '완벽한 시스템'이라는 환상을 쫓고 있는 입장에서는 허탈한 일입니다. 제가 지금까지 짠 코드들에도 저런 버그가 있다는 거니까...