요약 : 인기 높은 리포지터리 중 하나인 NPM의 API를 노리는 공격 기법이 발견됐다고 보안 외신 해커뉴스가 보도했다. NPM API가 비밀 패키지에 접근하게 해 달라는 요청에 대하여 HTTP 404 오류 메시지를 표시하는 데 걸리는 시간과, 존재하지 않는 패키지에 접근하게 해 달라는 요청에 대한 응답 메시지를 표시하는 데 걸리는 시간을 측정 및 비교함으로써 시작되는 공격 기법이라고 한다. 일종의 타이밍 공격으로, 성공하면 NPM에 저장된 비밀 패키지들을 노출시킬 수 있다. 리포지터리라는 플랫폼에서 활동하는 개발자들이 다시 한 번 위험해질 수 있는 것이다.
[이미지 = utoimage] 배경 : 최근 개발자들은 코드 리포지터리들을 적극 활용한다. 개발 시간을 단축시킬 수 있다는 큰 장점 때문이다. 해커들은 이를 노리고 리포지터리에 덫을 깔기 시작했다. 여기에 걸려든 개발자는 자기도 모르게 멀웨어를 만들어 퍼트리게 된다. 이는 공급망 공격의 일부다.
말말말 : “리포지터리 사용 비율이 높은 조직이라면 NPM과 같은 플랫폼들을 주기적으로 검사해서 유명 패키지와 비슷한 이름의 패키지가 존재하는지 확인할 필요가 있습니다.” -아쿠아시큐리티(Aqua Security)- [국제부 문가용 기자(globoan@boannews.com)]
등록번호 : 서울 아00181 | 등록/발행연월일 : 2006년 3월 17일 | 상호 : (주)더비엔 | 사업자등록번호 : 407-86-00506 | 대표 : 최정식, 최소영
주소 : 서울시 마포구 마포대로4다길 41(마포동), 마포타워 15층 (우. 04177) | 전화 : 02-719-6933 | 팩스 : 02-715-8245 | E-mail : helpdesk@boannews.com
「열린보도원칙」 당 매체는 독자와 취재원 등 뉴스이용자의 권리 보장을 위해 반론이나 정정보도, 추후보도를 요청할 수 있는 창구를 열어두고 있음을 알려드립니다. 고충처리인 권준(kwonjun@boannews.com)
.jpg)
.jpg)
.jpg)
문가용기자 기사보기
.jpg)
.jpg)
.jpg)
.jpg)
