매달 MetaMask 보안 책임자 Luker가 여러분이 알아야 할 최신 암호화폐 공격과 새롭게 등장하는 위험에 대해 보고합니다.
2022년 10월, Endo 프로젝트는 SES v0.17.0을 출시하며 오랫동안 기다려온 "quadruple backflip" 평가기 리팩터링을 선보였습니다. 이를 통해 LavaMoat은 자체적으로 유지하던 SES 패치를 제거할 수 있게 되었으며, LavaMoat 자체적으로도 글로벌 스커틀링(global scuttling)과 프로그래밍 방식의 API가 추가되었습니다. 위협 측면에서는 Socket.dev가 npm bin 스크립트 혼동(bin script confusion)을 공개했습니다. 이는 패키지의 bin 필드를 통해 정상적인 CLI 명령을 가로채는 공급망 공격 기법으로, @lavamoat/allow-scripts는 이미 이 유형의 공격을 완화할 수 있는 위치에 있었습니다. MetaMask는 보고타에서 열린 Devcon VI에서 두 개의 보안 발표를 진행했으며, Gal Weizman의 JavaScript 실행 환경에 대한 심층 분석 글을 게재하고, 커뮤니티 Security Essentials 콜에 4,000명 이상의 참가자를 모았습니다. 전체 내용은 아래에서 확인하실 수 있습니다. 그 전에 먼저...
Frances Allen(1932–2020)은 미국의 컴퓨터 과학자로, 코드를 더 빠르고 효율적으로 실행되도록 자동으로 변환하는 과학인 컴파일러 최적화 분야를 개척했습니다. IBM에서 수십 년간 근무하며 프로그램 분석과 병렬 컴퓨팅에 근본적인 기여를 남겼으며, 2006년에는 여성 최초로 ACM 튜링상을 수상했습니다. Allen이 개척한 프로그램 컴파일 및 실행 방식에 대한 심층 분석은 SES와 LavaMoat 같은 도구들이 신뢰할 수 없는 코드를 추론하고, 격리하며, 제한하는 데 활용하는 바로 그 토대입니다.
Endo 프로젝트는 SES v0.17.0을 출시했으며, 여기에는 SES shim의 평가기를 다층 스코프 스택으로 재구성하는 "quadruple backflip" 리팩터링이 포함되어 있습니다. 이 리팩터링은 스코프 프록시가 누출될 수 있는 문제를 수정하고, 전역 스코프 처리의 서로 다른 관심사를 개별 레이어로 분리합니다. 주요 다운스트림 이점으로는 LavaMoat이 이제 자체 패치를 유지하지 않고도 수정되지 않은 SES shim을 사용할 수 있게 된 점을 들 수 있습니다. Endo의 compartment mapper에 LavaMoat 방식의 정책을 도입하는 작업도 병행되었으며, 현재 개념 증명(proof of concept)은 패키지별 전역 변수 및 내장 API의 세분화된 제어와 내장 API의 프로그래밍 방식 약화(attenuation)를 지원합니다.
보안 연구 기업 Socket.dev가 npm bin 스크립트 혼동에 관한 공개 보고서를 발표했습니다. 이는 악성 npm 패키지가 bin 필드를 이용해 신뢰할 수 있는 패키지와 함께 설치될 때 node 자체를 포함한 정상적인 CLI 명령을 가로채거나 덮어쓰는 기법입니다. 이 공격은 기존 모듈에 악성 코드를 삽입하는 것이 아니라 npm의 패키지 링크 설계 동작을 악용하기 때문에 일반적인 공급망 침해보다 탐지하기 어렵습니다. GitHub의 입장은 해당 동작이 설계된 대로 작동하는 것이라는 입장입니다. LavaMoat의 @lavamoat/allow-scripts는 설치 스크립트 실행이 허용된 패키지를 제어함으로써 이미 이 유형의 공격을 완화할 수 있는 위치에 있었습니다.
LavaMoat은 2022년 10월에 3가지 주요 업데이트를 출시했습니다. 글로벌 스커틀링(global scuttling)은 정책 기반 endowment에 필요한 전역 참조를 캡처한 후 전역 스코프에서 원본 참조를 제거하여, 패키지가 강력한 API에 대한 간접 참조를 실수로 전달하는 것을 방지합니다. 새로운 프로그래밍 방식 API(require('lavamoat'))를 통해 개발자는 LavaMoat을 CLI 도구로만 사용하는 것이 아니라 Node.js 애플리케이션과 스크립트에 직접 통합할 수 있습니다. @lavamoat/allow-scripts의 최신 릴리스에는 Yarn 3 기반 프로젝트 구성을 위한 즉시 사용 가능한 지원도 추가되었습니다.
MetaMask는 2022년 10월 콜롬비아 보고타에서 열린 Devcon VI에서 보안에 초점을 맞춘 2개의 발표를 진행했습니다. Antonela Debiasi는 메인 스테이지에서 "Usable Security in web3"를 발표하며, 더 넓은 사용자 채택을 지원하기 위한 자기 수탁(self-custodial) 지갑 설계에서 보안과 사용성의 균형을 맞추는 과제를 다루었습니다. Kumavis(MetaMask 공동 창업자 겸 보안 연구 책임자)는 "The Attacker is Inside: Javascript Supplychain Security and LavaMoat"을 발표하며, LavaMoat이 암호화폐 생태계에서 JavaScript 공급망 공격을 방어하는 방법을 소개했습니다.
LavaMoat 기여자 Gal Weizman이 JavaScript 프로그램이 실행되는 환경에 관한 기술적 심층 분석 글 "What is a realm in JavaScript?"를 게재했습니다. 이 글은 공격자가 iframe으로 생성된 realm을 악용해 최상위 window에 적용된 보안 정책을 우회하고 변조되지 않은 네이티브 API에 접근하는 방법을 설명합니다. 이는 LavaMoat의 Snow 도구가 차단하기 위해 만들어진 바로 그 공격 표면입니다.
MetaMask 커뮤니티 팀은 자기 수탁 지갑 사용자를 위한 기본 보안 관행을 다루는 Security Essentials 콜을 진행했습니다. 4,000명 이상이 라이브 세션에 참가했으며, 시크릿 복구 구문(Secret Recovery Phrase) 보안, 피싱 인식, 트랜잭션 검증 등의 주제를 다루었습니다.
MetaMask의 2022년 10월 암호화폐 보안 보고서는 "quadruple backflip" 평가기 리팩터링이 적용된 SES v0.17.0 출시, npm의 패키지 링크 설계를 악용하는 공급망 공격 벡터로서 npm bin 스크립트 혼동에 대한 Socket.dev의 공개, 그리고 강력한 API에 대한 간접 참조 누출을 방지하기 위한 LavaMoat의 글로벌 스커틀링 도입을 다루었습니다. 생태계 전반에서 안전을 유지하기 위한 더 많은 위협, 트렌드, 팁을 확인하려면 MetaMask 암호화폐 보안 보고서의 이전 호를 살펴보세요.
AI가 번역했습니다. 오류가 있을 수 있습니다. 항상 정보를 확인하시기 바랍니다.
