1OpenSSL
1위 — OpenSSL. 10개 AI 중 8개의 목록에 포함; 그 안의 중간 순위: 1. PHP, Node.js, Python, .NET 안에서 TLS(암호화 통신)를 처리하며, 하트블리드를 포함해 메모리 손상 버그 기록이 가장 깁니다.
알고 계셨나요
하트블리드는 두 곳에서 각각 독립적으로 발견됐습니다. 구글의 닐 메타가 2014년 4월 1일 OpenSSL에 이를 신고했습니다. 보안 회사 코드노미콘은 자체 시험 도구를 개선하던 중 같은 결함을 찾았으며, 발견 날짜로 2014년 4월 3일을 제시합니다.
- 무엇인가
- PHP, Node.js, Python, .NET에 함께 들어 있는 주요 TLS(암호화 통신) 라이브러리입니다.
- 강점
- Brotli나 zlib보다 기록된 CVE가 훨씬 많습니다. OpenCVE 기준 330건입니다.
- 알아 두면 좋은 사람
- 웹 서버의 암호화 코드가 왜 가장 많이 노리는 공격 대상인지 알고 싶은 분께 도움이 됩니다.
- 영향 범위와 메모리 오류 취약점(CVE) 수OpenCVE 기준 CVE 330건
여기 있는 이유
하트블리드가 공개됐을 때, 인터넷에서 신뢰받는 보안 웹 서버의 약 17%, 약 50만 대가 노출된 것으로 알려졌습니다. 결함이 있는 OpenSSL 코드는 2012년 3월 14일 1.0.1 버전과 함께 퍼졌습니다.
알고 계셨나요
하트블리드의 결함 코드는 검토자가 놓친 뒤 2011년 12월 31일 OpenSSL에 들어갔습니다. 2012년 3월 1.0.1 버전으로 배포되었고, 구글의 닐 메타가 2014년 4월 신고하기 전까지 2년 넘게 라이브러리에 머물러 있었습니다.
역사
2014년 하트블리드 버그가 발견됐을 때, OpenSSL은 소수의 자원봉사자가 유지하고 있었고 그중 전업으로 일하는 사람은 한 명뿐이었습니다. 연간 기부금은 약 US$2,000이었습니다. 이 버그는 2012년부터 코드에 있었습니다.
유의할 점
2020년 연구에 따르면 하트블리드 이후 월간 코드 수정 횟수가 세 배로 늘었고, 취약점 91건이 찾아져 고쳐졌습니다. 이 연구는 취약점 건수만으로 라이브러리의 안전성을 판단하는 것은 허술한 방법이라고 주장합니다.
더 알아보기
OpenSSL 보안 권고 목록을 열어 가장 최근 항목부터 읽습니다. 그 항목이 영향을 준다고 밝힌 OpenSSL 버전을 확인합니다.
