데이터 보안을 위해 전송 데이터 암호화에 사용되는 SSL 3.0(Secure Sockets Layer)을 통해 전송되는 데이터의 암호가 풀려 해커에게 노출되는 보안 취약점이 발견되었다.
소식을 전한 TNW에 따르면 구글 연구자들이 POODLE 공격이라 명명한 이번 버그는 공격자가 사용자측에 서버가 TLS(Transport Layer Security)를 지원하지 않는다고 속이는 'downgrade dance' 공격을 통해 SSL 3.0을 사용하도록 강제, 이 과정에서 중간 공격자가 보호된 HTTP 쿠기의 암호를 풀 수 있게 된다.
즉, 정상적이라면 서버와 클라이언트간에 오가는 데이터가 암호화되어야 하지만 중간에 암호화가 풀려 내용이 공격자에게 완전히 노출될 수 있는 버그로, 해당 버그를 발견한 구글 연구자들은 서버와 클라이언트의 SSL 3.0을 비활성화하고 보다 강력한 암호화 방식인 TSL을 사용할 것을 권했다.
한편, SSL 3.0의 버그가 발표에 따라 모질라 재단은 11월 25일 공개 예정인 파이어폭스 34 버전에 SSLv3 기능을 기본 비활성화 할 계획을 밝혔으며, POODLE 공격에 대한 자세한 내용은 OpenSSL 홈페이지에서 제공하는 PDF 문서를 통해 확인할 수 있다.
|
