파일 열기, 보안의 핵심: Flatpak 사례로 배우는 안전한 파일 접근 방법
by DD
3개월 전
조회수 10
파일 열기(File Opening)는 간단해 보이지만, 보안 경계(Security Boundary)를 넘나들 때 TOCTOU(Time-of-Check to Time-of-Use) 레이스 컨디션(Race Condition) 등 다양한 취약점에 노출됨
안전한 파일 접근을 위해 파일 디스크립터(File Descriptor)를 사용하고, 경로 기반 API 사용을 최소화하는 fd-chasing 기법이 중요함
Flatpak의 사례를 통해 서드파티 라이브러리(Third-party Library)의 path 기반 API 사용이 보안 취약점(Security Vulnerability)을 야기할 수 있음을 보여줌
GLib/Gio API와 Rust의 파일 접근 API가 path 기반으로 설계되어 보안 문제를 야기할 수 있다는 비판이 제기됨
TOCTOU(Time-of-Check to Time-of-Use) 레이스 컨디션(Race Condition)과 해결책
파일 시스템(Filesystem)에서 파일 열기 시 발생하는 TOCTOU(Time-of-Check to Time-of-Use) 레이스 컨디션(Race Condition)은 보안 취약점의 주요 원인이다. 공격자는 파일 경로를 확인하는 시점과 파일을 사용하는 시점 사이에 파일 시스템을 조작하여 권한을 탈취할 수 있다. 이러한 문제를 해결하기 위해 파일 디스크립터(File Descriptor)를 사용하면, 커널(Kernel)이 파일의 inode를 고정하여 파일 시스템의 변경에 영향을 받지 않도록 한다. fd-chasing 기법은 디렉토리 파일 디스크립터를 사용하여 안전하게 경로를 탐색하는 방법이다.
fd-chasing 기법의 상세 구현
fd-chasing 기법은 `openat` 시스템 콜(System Call)과 `O_PATH` 플래그를 활용하여 구현된다. `O_PATH`는 파일을 열지 않고 파일 디스크립터(File Descriptor)를 얻어 파일 시스템의 안정적인 참조를 제공한다. `openat`을 사용하면 디렉토리 파일 디스크립터(Directory File Descriptor)를 기준으로 상대 경로를 열 수 있으며, `O_NOFOLLOW` 플래그를 통해 심볼릭 링크(Symlink)를 따르지 않고 심볼릭 링크 자체를 열 수 있다. 는 이러한 기법을 활용하여 안전한 파일 시스템 연산을 제공하는 C 라이브러리이다.
