Go sumdb, 대소문자 구분이 보안에 미치는 영향은?
by DD
6개월 전
조회수 15
Go의 sumdb는 모듈의 무결성을 보장하기 위해 설계되었지만, 모듈 경로의 대소문자 구분이 문제를 야기함
모듈 경로의 대소문자 변형으로 인해 동일한 모듈 버전이 여러 sumdb 항목을 생성할 수 있으며, 이는 모니터링을 복잡하게 만듦
잠재적으로 typosquatting과 유사한 공격이 가능하며, 대소문자 변형은 일반적인 오타보다 감지하기 어려움
Go sumdb의 투명성 및 무결성
Go의 sumdb는 모듈의 무결성을 보장하기 위해 설계되었으며, Merkle Tree 기반의 투명성 로그를 사용한다. 구체적으로, 각 모듈 버전은 고유한 체크섬을 가지며, 이를 통해 위변조를 방지한다. 따라서, 모듈 프록시는 새로운 모듈 버전을 제공하기 전에 로그 항목을 생성해야 하며, 클라이언트는 해당 항목의 존재 여부와 일치 여부를 검증할 수 있다.
대소문자 구분으로 인한 문제점
Go 모듈 경로는 대소문자를 구분하며, URL의 경로 부분은 대소문자 구분을 따르지 않을 수 있다. 따라서, 동일한 모듈 내용에 대해 여러 개의 유효한 URL 형식이 존재할 수 있으며, 결과적으로 sumdb에 여러 개의 항목이 생성될 수 있다. 반면, 이러한 특성은 모니터링을 어렵게 만들고, 잠재적으로 typosquatting과 유사한 공격을 가능하게 한다.
