SW 프로젝트에서 하드코딩된 키 제거 툴 개발
OSS
게시글 작성 시각 2017-01-16 08:39:54
2017년 1월 10일 (화)
ⓒ CIO Korea, Lucian Constantin | IDG News Service
한 보안 연구원이 소프트웨어 프로젝트에서 하드코딩된 민감한 액세스 키를 자동으로 탐지할 수 있는 도구를 개발했다.
트뤼플 호그가 기트 코드 저장소에서 코드를 스캔하고 있다. Credit: Ilya Pavlov/Unsplash
트뤼플 호그(Truffle Hog)는 미국의 보안 연구원인 다일란 에이리가 파이썬으로 작성한 툴이다. 이 툴은 20개 이상의 문자와 하이 엔트로피(high entropy)를 가진 문자열에 대해 기트 코드 저장소를 스캔해 하드코딩된 액세스 키를 검색해 준다. 미국의 수학자 클로드 E. 섀넌의 이름을 딴 ‘하이 섀넌 엔트로피(high Shannon Entropy)’는 액세스 토큰 등 암호 해독 후보를 무작위로 제안하는 것이 특징이다.
소프트웨어 프로젝트에서 다양한 서비스에 관한 액세스 토큰을 하드코딩하는 것은 해커가 많은 노력을 기울이지 않고 해당 토큰을 추출할 수 있으므로 보안 위험으로 간주한다. 이 관습은 매우 일반적이다.
2014년 한 연구원은 아마존 웹 서비스에서 약 1만 개의 액세스 키를 발견했고, 기트허브에서 공개적으로 접근할 수 있는 코드 안에 개발자가 남긴 엘라스틱 컴퓨트 클라우드(Elastic Compute Cloud)를 찾아냈다. 아마존은 자체적으로 기트허브를 스캐닝하고 이러한 키들을 철회하기 시작했다.
지난해 디텍티파이(Detectify)의 연구원들은 개발자가 하드코딩한 기트허브 프로젝트에서 1,500여 개의 슬랙 토큰을 발견했는데, 그중 다수는 채팅, 파일, 비공개 메시지, 슬랙 팀 내에서 공유되는 기타 중요한 데이터에 대한 접근을 제공하고 있었다.
2015년 독일 다름슈타트(Darmstadt)에 있는 푸라운후버 정보보안 기술 연구소(Fraunhofer Institute for Secure Information Technology)와 기술 대학 연구원은 안드로이드와 iOS 애플리케이션에 저장한 BaaS(Backend-as-a-Service) 프레임워크에 대한 1,000가지 이상의 접근 자격 증명을 찾아냈다. 페이스북의 파스(Parse), 클라우드마인(CloudMine)이나 아마존 웹 서비스(Amazon Web Services) 등 BaaS 제공업체에 저장된 5,600만 건의 데이터 항목을 포함한 1,850만 건 이상의 기록에 대한 접근 권한을 확보했다.
트뤼플 호그는 프로젝트의 커밋 내역과 해당 프로젝트에서 어떤 것들이 파생돼 나왔는지를 깊이 파고든다. 에이리는 프로젝트 설명에서 20자가 넘는 텍스트의 모든 부분에 대해 베이스64(base64) 및 16진수 문자 집합에 대한 섀넌 엔트로피를 평가한다고 밝혔다.
이 툴은 기트허브에서 사용할 수 있으며, 실행하려면 기트파이썬(GitPython) 라이브러리가 필요하다. 기업과 독립 개발자는 해커보다 먼저 자신의 소프트웨어 프로젝트를 스캔하는 데 이 툴을 사용할 수 있다.
트뤼플 호그가 기트 코드 저장소에서 코드를 스캔하고 있다. Credit: Ilya Pavlov/Unsplash
트뤼플 호그(Truffle Hog)는 미국의 보안 연구원인 다일란 에이리가 파이썬으로 작성한 툴이다. 이 툴은 20개 이상의 문자와 하이 엔트로피(high entropy)를 가진 문자열에 대해 기트 코드 저장소를 스캔해 하드코딩된 액세스 키를 검색해 준다. 미국의 수학자 클로드 E. 섀넌의 이름을 딴 ‘하이 섀넌 엔트로피(high Shannon Entropy)’는 액세스 토큰 등 암호 해독 후보를 무작위로 제안하는 것이 특징이다.
소프트웨어 프로젝트에서 다양한 서비스에 관한 액세스 토큰을 하드코딩하는 것은 해커가 많은 노력을 기울이지 않고 해당 토큰을 추출할 수 있으므로 보안 위험으로 간주한다. 이 관습은 매우 일반적이다.
2014년 한 연구원은 아마존 웹 서비스에서 약 1만 개의 액세스 키를 발견했고, 기트허브에서 공개적으로 접근할 수 있는 코드 안에 개발자가 남긴 엘라스틱 컴퓨트 클라우드(Elastic Compute Cloud)를 찾아냈다. 아마존은 자체적으로 기트허브를 스캐닝하고 이러한 키들을 철회하기 시작했다.
지난해 디텍티파이(Detectify)의 연구원들은 개발자가 하드코딩한 기트허브 프로젝트에서 1,500여 개의 슬랙 토큰을 발견했는데, 그중 다수는 채팅, 파일, 비공개 메시지, 슬랙 팀 내에서 공유되는 기타 중요한 데이터에 대한 접근을 제공하고 있었다.
2015년 독일 다름슈타트(Darmstadt)에 있는 푸라운후버 정보보안 기술 연구소(Fraunhofer Institute for Secure Information Technology)와 기술 대학 연구원은 안드로이드와 iOS 애플리케이션에 저장한 BaaS(Backend-as-a-Service) 프레임워크에 대한 1,000가지 이상의 접근 자격 증명을 찾아냈다. 페이스북의 파스(Parse), 클라우드마인(CloudMine)이나 아마존 웹 서비스(Amazon Web Services) 등 BaaS 제공업체에 저장된 5,600만 건의 데이터 항목을 포함한 1,850만 건 이상의 기록에 대한 접근 권한을 확보했다.
트뤼플 호그는 프로젝트의 커밋 내역과 해당 프로젝트에서 어떤 것들이 파생돼 나왔는지를 깊이 파고든다. 에이리는 프로젝트 설명에서 20자가 넘는 텍스트의 모든 부분에 대해 베이스64(base64) 및 16진수 문자 집합에 대한 섀넌 엔트로피를 평가한다고 밝혔다.
이 툴은 기트허브에서 사용할 수 있으며, 실행하려면 기트파이썬(GitPython) 라이브러리가 필요하다. 기업과 독립 개발자는 해커보다 먼저 자신의 소프트웨어 프로젝트를 스캔하는 데 이 툴을 사용할 수 있다.
※ 본 내용은 한국IDG(주)(http://www.itworld.co.kr)의 저작권 동의에 의해 공유되고 있습니다.
Copyright ⓒITWORLD. 무단전재 및 재배포 금지
[원문출처 : http://www.ciokorea.com/news/32669]
| 번호 | 제목 | 조회수 | 작성 |
|---|---|---|---|
| 공지 | [Open UP 활용가이드] 공개SW 활용 및 개발, 창업, 교육 "Open UP을 활용하세요" | 407669 | 2020-10-27 |
| 공지 | [Open UP 소개] 공개SW 개발·공유·활용 원스톱 지원 Open UP이 함께합니다 | 397491 | 2020-10-27 |
| 6181 | LG전자 'AI 에어컨 시대' 열었다 | 4055 | 2017-01-18 |
| 6180 | 크롬 버전 56·모질라 파이어폭스 51, 1월말 나란히 flac 음원 지원 | 3960 | 2017-01-17 |
| 6179 | 토픽 브리핑 | CES 2017 이모저모와 “숨은 주인공, 아마존 알렉사” | 3949 | 2017-01-17 |
| 6178 | 인공지능 ‘알렉사’ CES 지배한 이유, 결국은 생태계의 힘 | 4083 | 2017-01-17 |
| 6177 | ARM코어, 대체할 수 있을까... RISC-V를 주목하라 | 3749 | 2017-01-17 |
| 6176 | LG전자, 스마트폰 A/S에 AI 적용한다 | 3712 | 2017-01-17 |
| 6175 | 크롬 등 브라우저 자동입력기능이 피싱에 악용 | 3825 | 2017-01-16 |
| 6174 | “브랜드도, CEO도, 모두 버린다” 야후, 기업명 ‘알타바’로 변경 | 4274 | 2017-01-16 |
| 6173 | SW 프로젝트에서 하드코딩된 키 제거 툴 개발 | 4310 | 2017-01-16 |
| 6172 | 베스트텍시스템 씨커스 리눅스 기반 관리자 앱 발표 | 3702 | 2017-01-16 |
0개 댓글