사용자 이름 열거를 돕는 방법 | 시큐어 코드 워리어

부채널 공격은 해커가 알고리즘의 이론적 약점이나 소프트웨어 코드의 버그가 아니라 소프트웨어 시스템의 물리적 구현에서 정보를 수집할 수 있는 경우입니다.

이를 더 명확하게 하기 위해 제가 사용하고 싶은 예는 사용자 이름을 열거하는 방법입니다.사용자 이름 열거가 무엇인지, 왜 나쁜지 알고 싶으시면 저희 웹사이트를 방문하셔서 비디오 설명 또는 챌린지 플레이하기 코드에서 식별할 수 있는지 확인하십시오.

이제 부채널 공격을 통해 사용자 이름을 열거하는 방법을 이해하려면 최신 웹 애플리케이션에서 비밀번호가 어떻게 처리되는지 (또는 적어도 처리해야 하는지) 어느 정도 이해해야 합니다.좋은 웹 애플리케이션은 사용자의 비밀번호를 모르기 때문에 어디에도 비밀번호를 저장하거나 저장하지 않습니다.그렇다면 입력한 내용이 정확한지, 실제로 암호인지 어떻게 알 수 있을까요?음, 비밀번호는 해시되어 있습니다.

해싱 함수는 한 방향으로 수행하기 쉽지만 (계산 비용이 다소 많이 들지만) 되돌리기는 매우 어려운 수학 연산입니다. 좋은 해싱 알고리즘의 경우 입력에 따라 출력이 고유합니다.웹 사이트에 등록하면 암호 자체가 아니라 해시가 안전하게 저장됩니다.즉, 로그인할 때마다 웹 애플리케이션은 입력 내용을 해시하고 해시된 결과를 저장된 해시와 비교합니다.에 대해 자세히 알아보려면 보안 암호 저장, 저희 플랫폼에서 하실 수 있습니다.

컴퓨터에서 해싱 입력은 시간이 오래 걸리며 개발자는 사용자가 원활한 경험을 할 수 있도록 항상 작성하는 모든 내용을 최적화하려고 합니다.프로그램 속도를 높이는 한 가지 방법은 필요하지 않을 때는 해싱을 건너뛰는 것입니다.예를 들어 사용자 이름이 존재하지 않아 비밀번호를 확인할 필요가 없는 경우 사용자에게 즉시 응답할 수 있습니다.이렇게 하면 암호를 해싱하는 느린 계산 과정을 건너뛸 수 있습니다.사용자 이름이 정확하면 암호 입력을 해시하고 저장된 해시와 비교합니다.

이 시점에서 문제가 발생할 수 있는 부분이 어디인지 짐작하셨을 것입니다.실제로는 해싱이 몇 밀리초밖에 걸리지 않지만 해커는 이렇게 추가된 지연 시간을 이용해 자신이 입력한 사용자 이름이 정확한지 아닌지를 알아낼 수 있습니다. 잘못된 사용자 이름은 해싱이 수행되지 않았기 때문에 응답 속도가 약간 빨라지기 때문입니다.이러한 유형의 부채널 공격을 타이밍 공격이라고 하는데, 이는 서로 다른 비기능적 요구 사항이 서로 어떻게 대응할 수 있는지를 보여주는 좋은 예입니다.때로는 코드의 속도와 보안을 동시에 유지할 수 없습니다.

따라서 암호가 완벽하게 처리되고 표시되는 메시지가 일반적이며 암호나 사용자 이름이 올바르지 않은지 여부를 알려주지 않더라도 시스템은 여전히 취약합니다.해결책은 간단합니다. 항상 암호를 해시하거나 해시하는 데 걸리는 시간만큼 답장 전송을 지연시키십시오.

공격자는 획득한 정보를 사용하여 시스템의 사용자 목록을 얻을 수 있습니다.이 정보는 무차별 대입 공격 또는 기본 사용자 이름/암호 공격 등을 통해 웹 애플리케이션을 공격하는 데 사용될 수 있습니다.

https://www.owasp.org/index.php/Testing_for_User_Enumeration_and_Guessable_User_Account_(OWASP-AT-002)