동일 사이트 쿠키 값 확인해 사이트 간 요청 위조 공격 막을 수 있어
스트릭트와 랙스 모드 통해 사용자가 조절 가능
[보안뉴스 문가용 기자] 모질라가 지난 주 파이어폭스 최신 버전인 ‘파이어폭스 60’에 대해 발표했다. 이번 버전에서 가장 중요한 건 동일한 사이트의 쿠키 값을 지원해 이른 바 ‘사이트 간 요청 위조 공격’이라고 하는 CSRF로부터 사용자들을 보호하겠다는 것이다.
CSRF 공격이란 악성 행위자가 인증이 된 사용자를 특별하게 조작된 웹페이지로 들어오게 유도함으로써 웹사이트 상에서 인증이 된 사용자인 것처럼 행동하며, 승인 되지 않는 행위들을 하는 것이다. 웹사이트로 들어가는 모든 요청에는 쿠키가 포함되어 있고, 많은 웹사이트들이 인증을 위해 이 쿠키들을 활용한다는 걸 악용한 공격이다.
모질라는 현재 웹 구조 상 인증 원리가 불안정하다고 지적하며, “사실상 웹사이트로 들어오는 요청이 정상적인 것인지 아닌지, 합법적인 사용자가 보낸 것인지 누군가 그걸 흉내 내는 것인지 판별할 수가 없다”고 설명한다.
“현재의 구조를 보완하려면 동일 사이트 쿠키 값이 필요합니다. 지금 들어온 요청 속 쿠키가 원래의 그 동일한 사이트에서 온 쿠키인지 웹 애플리케이션이 브라우저를 통해 확인하는 것이죠.” 모질라의 보인 팀이 블로그를 통해 설명한 내용이다. “URL 주소창에 있는 주소와 요청이 발생한 URL이 다를 경우, 해당 요청에는 쿠키가 포함되지 않을 겁니다.”
파이어폭스 60은 5월 9일에 출시될 예정으로, 이러한 동일 사이트 쿠키 값 지원 기능을 통해 사용자들을 보호하되, 여기에는 사용자가 제어할 수 있는 옵션 두 가지가 함께 제공될 것이라고 한다. 바로 스트릭트(strict)와 랙스(lax) 모드다.
스트릭트 모드의 경우 사용자가 외부 사이트를 브라우징 하다가 인바운드 링크를 클릭했을 때 활성화된 세션이 발생한 상태라고 하더라도 인증되지 않은 것으로 처리한다. 쿠키들이 요청에 포함되지 않을 것이기 때문이다.
하지만 랙스 모드의 경우 사용자가 외부 웹사이트들을 돌아다니고 링크를 쫓아다녀도 쿠키를 함께 전송해준다. 도메인 간 하위요청들(예를 들어 이미지나 프레임에 대한 요청)의 경우는 쿠키가 전송되지 않는다. 랙스 모드는 스트릭트 모드와 호환이 되지 않는 애플리케이션을 위해 준비된 것이라고 한다.
[국제부 문가용 기자(globoan@boannews.com)]
스트릭트와 랙스 모드 통해 사용자가 조절 가능
[보안뉴스 문가용 기자] 모질라가 지난 주 파이어폭스 최신 버전인 ‘파이어폭스 60’에 대해 발표했다. 이번 버전에서 가장 중요한 건 동일한 사이트의 쿠키 값을 지원해 이른 바 ‘사이트 간 요청 위조 공격’이라고 하는 CSRF로부터 사용자들을 보호하겠다는 것이다.
[이미지 = iclickart]
CSRF 공격이란 악성 행위자가 인증이 된 사용자를 특별하게 조작된 웹페이지로 들어오게 유도함으로써 웹사이트 상에서 인증이 된 사용자인 것처럼 행동하며, 승인 되지 않는 행위들을 하는 것이다. 웹사이트로 들어가는 모든 요청에는 쿠키가 포함되어 있고, 많은 웹사이트들이 인증을 위해 이 쿠키들을 활용한다는 걸 악용한 공격이다.
모질라는 현재 웹 구조 상 인증 원리가 불안정하다고 지적하며, “사실상 웹사이트로 들어오는 요청이 정상적인 것인지 아닌지, 합법적인 사용자가 보낸 것인지 누군가 그걸 흉내 내는 것인지 판별할 수가 없다”고 설명한다.
“현재의 구조를 보완하려면 동일 사이트 쿠키 값이 필요합니다. 지금 들어온 요청 속 쿠키가 원래의 그 동일한 사이트에서 온 쿠키인지 웹 애플리케이션이 브라우저를 통해 확인하는 것이죠.” 모질라의 보인 팀이 블로그를 통해 설명한 내용이다. “URL 주소창에 있는 주소와 요청이 발생한 URL이 다를 경우, 해당 요청에는 쿠키가 포함되지 않을 겁니다.”
파이어폭스 60은 5월 9일에 출시될 예정으로, 이러한 동일 사이트 쿠키 값 지원 기능을 통해 사용자들을 보호하되, 여기에는 사용자가 제어할 수 있는 옵션 두 가지가 함께 제공될 것이라고 한다. 바로 스트릭트(strict)와 랙스(lax) 모드다.
스트릭트 모드의 경우 사용자가 외부 사이트를 브라우징 하다가 인바운드 링크를 클릭했을 때 활성화된 세션이 발생한 상태라고 하더라도 인증되지 않은 것으로 처리한다. 쿠키들이 요청에 포함되지 않을 것이기 때문이다.
하지만 랙스 모드의 경우 사용자가 외부 웹사이트들을 돌아다니고 링크를 쫓아다녀도 쿠키를 함께 전송해준다. 도메인 간 하위요청들(예를 들어 이미지나 프레임에 대한 요청)의 경우는 쿠키가 전송되지 않는다. 랙스 모드는 스트릭트 모드와 호환이 되지 않는 애플리케이션을 위해 준비된 것이라고 한다.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-04-17] 
.jpg)
.jpg)
