“Importantly, Sentonas and Kurtz wanted to disabuse the audience of the notion that threat actors need full admin access to set up new users. They don't, and Sentonas showed exactly how just delegated permissions could allow him to move freely about the company's customer relationship management system.”
-DarkReading-
- delegate라고 하면 책임이나 권한을 양도 및 위임하는 것을 말합니다. delegation이라고 하면 보통 사절단을 말하는 것이 그러한 이유입니다. 국가나 공동체를 대표하는 조직이 delegation이죠.
- permission은 여러 가지 뜻이 있지만 ‘허가’를 뜻하는 것이 보통이며, 어떠한 맥락과 상황에서의 ‘허가’냐에 따라 ‘승인’이나 ‘권한’ 등으로 대체되기도 합니다. 핸드폰에 앱 설치할 때 앱에서 저장소에 접근해도 되느냐, 주소록에 접근해도 되느냐, 카메라에 접근해도 되느냐 등을 묻고 승인을 받으려 하죠? 이 때 ‘네’를 누르면 그 앱에 ‘권한’을 주는 것이고, 이 때의 권한을 permission이라고 합니다.
- delegated permission은 사용자가 권한을 앱에 부여해 그 앱이 사용자 대신 특정 정보나 앱에 접근할 수 있게 되는 것을 말합니다. 앱이 특정 임무를 수행하도록 하기 위해 그 앱에 위임된 권한이 delegated permission인데, 이런 것이 가능하니 사용자는 보다 편리하게 여러 가지 업무를 해낼 수 있게 됩니다.
- 대신 이 delegated permission이 있기 때문에 공격자 역시 편리해집니다. 위 예문에서 지적됐다시피 공격자가 관리자 권한을 훔치는 데 성공해야만 할 수 있었던 일들이 이 delegated permission 때문에 가능하게 되었다는 것이죠.
- delegated permission은 scope이라고 부르기도 합니다.
- 애플리케이션이 가진 권한이라고 해서 application permission이라는 말도 사용되는데, 이는 delegated permission과는 다릅니다. application permission은 사용자가 앱에 영구히 부여하는 권한을 말하고, delegated permission은 로그인 한 사용자가 사용자 대신 임무를 수행하도록 부여하는 일시적인 권한을 말합니다. application permission은 app role이라고도 합니다.
[국제부 문가용 기자(globoan@boannews.com)]
-DarkReading-
[이미지 = gettyimagesbank]
- delegate라고 하면 책임이나 권한을 양도 및 위임하는 것을 말합니다. delegation이라고 하면 보통 사절단을 말하는 것이 그러한 이유입니다. 국가나 공동체를 대표하는 조직이 delegation이죠.
- permission은 여러 가지 뜻이 있지만 ‘허가’를 뜻하는 것이 보통이며, 어떠한 맥락과 상황에서의 ‘허가’냐에 따라 ‘승인’이나 ‘권한’ 등으로 대체되기도 합니다. 핸드폰에 앱 설치할 때 앱에서 저장소에 접근해도 되느냐, 주소록에 접근해도 되느냐, 카메라에 접근해도 되느냐 등을 묻고 승인을 받으려 하죠? 이 때 ‘네’를 누르면 그 앱에 ‘권한’을 주는 것이고, 이 때의 권한을 permission이라고 합니다.
- delegated permission은 사용자가 권한을 앱에 부여해 그 앱이 사용자 대신 특정 정보나 앱에 접근할 수 있게 되는 것을 말합니다. 앱이 특정 임무를 수행하도록 하기 위해 그 앱에 위임된 권한이 delegated permission인데, 이런 것이 가능하니 사용자는 보다 편리하게 여러 가지 업무를 해낼 수 있게 됩니다.
- 대신 이 delegated permission이 있기 때문에 공격자 역시 편리해집니다. 위 예문에서 지적됐다시피 공격자가 관리자 권한을 훔치는 데 성공해야만 할 수 있었던 일들이 이 delegated permission 때문에 가능하게 되었다는 것이죠.
- delegated permission은 scope이라고 부르기도 합니다.
- 애플리케이션이 가진 권한이라고 해서 application permission이라는 말도 사용되는데, 이는 delegated permission과는 다릅니다. application permission은 사용자가 앱에 영구히 부여하는 권한을 말하고, delegated permission은 로그인 한 사용자가 사용자 대신 임무를 수행하도록 부여하는 일시적인 권한을 말합니다. application permission은 app role이라고도 합니다.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-05-07] 
.jpg)
