<div id="readability-page-1" class="page"><div>
    
    <article>
        <ul id="markdown-toc">
  <li><a href="#from-운영체제-아주-쉬운-세-가지-이야기" id="markdown-toc-from-운영체제-아주-쉬운-세-가지-이야기">From: 운영체제 아주 쉬운 세 가지 이야기</a></li>
  <li><a href="#from-unix-고급-프로그래밍" id="markdown-toc-from-unix-고급-프로그래밍">From: UNIX 고급 프로그래밍</a></li>
  <li><a href="#참고문헌" id="markdown-toc-참고문헌">참고문헌</a></li>
  <li><a href="#주석" id="markdown-toc-주석">주석</a></li>
</ul>

<h2 id="from-운영체제-아주-쉬운-세-가지-이야기">From: 운영체제 아주 쉬운 세 가지 이야기</h2>

<blockquote>

  <p>팁: TOCTTOU에 주의하자</p>

  <p>1974년에 McPhee는 컴퓨터에 있는 한 문제를 발견했다.
"…만약 유효성 검사와 실제 유효성 검사 동작 사이에 시간차이가 발생한다면, 멀티태스킹 상황에서 그 시간 차이 내에서 유효성 검사 변수가 의도적으로 변경될 수 있다. 그 결과 제어 프로그램에서 오동작이 발생하게 된다." 라고 McPhee는 말했다.
오늘 날에는 <strong>검사 시작 시간과 사용 시간 사이 (Time Of Check To Time Of Use (TOCTTOU))</strong> 문제라고 부르며, 여전히 발생할 수 있는 현상이다.
Bishop과 Dilger [BD96]<sup id="fnref:bd96" role="doc-noteref"><a href="#fn:bd96" rel="footnote">1</a></sup>가 소개한 간단한 예제를 통해 어떻게 사용자가 서비스의 신뢰성을 깨고 문제를 일으킬 수 있는지 알아보자.
메일 서비스가 루트 권한으로 실행되었다고 하자(그렇기 때문에 시스템에 있는 모든 파일들에 접근 가능하다).
메일 서비스는 사용자의 도착 메일함에 새로 도착한 메시지들을 다음과 같이 추가한다.
먼저, 지정된 사용자가 소유한 일반 파일인지 확인을 위해 <code>lstat()</code>을 호출하여 파일에 대한 정보를 얻는다.
이 때 메일 서버가 갱신하면 안되는 파일에 해당 파일이 링크된 것인지 확인을 한다.
그리고 검사가 성공적으로 끝나면 해당 파일에 새로운 메시지를 포함시킨다.</p>

  <p>불행하게도 검사하는 시점과 갱신되는 시점 사이에 시간차가 발생한다.
공격자(이 경우에는 도착한 메일이 있고 도착 메일함에 접근 권한이 있는 사용자)가 도착 메일함을 사용자와 패스워드 목록을 담은 <code>/etc/passwd</code>와 같은 민감한 파일로 변경한다고 해보자(<code>rename()</code> 명령을 사용해서).
검사와 접근 시간 사이에 변경이 일어난다면 아무것도 모른체 메일의 수신 내용을 그 민감한 파일에 갱신해 넣을 것이다.
이로써 권한 상승이 되었기 때문에 메일을 보내는 것으로 민감한 파일을 쓸 수 있게 되었다.
사용자가 <code>/etc/passwd</code>에 루트 계정을 추가할 수 있으며 시스템 제어권을 얻게 된다.</p>

  <p>TOCTTOU 문제를 해결할 간단하지만 위대한 해결책은 나오지 않았다 [Tsa+08]<sup id="fnref:tsa08" role="doc-noteref"><a href="#fn:tsa08" rel="footnote">2</a></sup>.
한 가지 도움이 되는 해결책은 루트 권한이 있어야 실행할 수 있는 프로그램의 수를 줄이는 것이다.
<code>open()</code> 명령 수행시 <code>O_NOFOLLOW</code> 플래그를 써서 대상 파일이 심볼릭 링크면 실패하도록 할 수 있다.
그래서 심볼릭 링크를 악용한 공격을 피할 수 있다.
<strong>트랜잭션 기반 파일 시스템 (transactional file system)</strong> [Hu+18]<sup id="fnref:hu18" role="doc-noteref"><a href="#fn:hu18" rel="footnote">3</a></sup>과 같은 좀 더 극단적 방법은 이 문제를 해결할 수 있지만, 그렇게 많이 활용중은 아니다.
그렇고 그런 조언일 수도 있지만, 높은 권한으로 실행하는 코드를 작성할 때는 조심하자.
<sup id="fnref:easy-531" role="doc-noteref"><a href="#fn:easy-531" rel="footnote">4</a></sup></p>
</blockquote>

<h2 id="from-unix-고급-프로그래밍">From: UNIX 고급 프로그래밍</h2>

<blockquote>

  <p>TOCTTOU 오류는 응용 프로그램이 파일 기반 함수를 두 번 호출하는데 둘째 호출이 첫째 호출의 결과에 의존하는 경우 발생하는 프로그램 취약점을 뜻한다.
두 호출이 원자적이지 않기 때문에 두 호출 사이에서 파일이 변할 수 있으며, 그러면 첫째 호출의 결과가 무효가 되어서 프로그램이 오작동할 수 있다.
파일 시스템 이름공간(namespace) 안에서 TOCTTOU 오류는 주로 특권을 가진 프로그램을 속여서 파일 시스템 권한들을 변조하려는(그럼으로써 특권을 가진 파일에 대한 권한이 줄어들게 하거나 특권을 가진 파일을 수정해서 보안 구멍을 만들기 위해) 목적으로 악용된다.
[Wei, Pu 2005]<sup id="fnref:wei" role="doc-noteref"><a href="#fn:wei" rel="footnote">5</a></sup>에 UNIX 파일 시스템 인터페이스의 TOCTTOU 취약점이 논의되어 있다.
<sup id="fnref:rich-82" role="doc-noteref"><a href="#fn:rich-82" rel="footnote">6</a></sup></p>
</blockquote>

<h2 id="참고문헌">참고문헌</h2>

<ul>
  <li>UNIX 고급 프로그래밍 [제3판] / 리처드 스티븐스, 스티븐 레이고 공저 / 류광 역 / 퍼스트북 / 인쇄일: 2014년 08월 28일 / 원제: Advanced Programming in the UNIX Environment</li>
  <li>운영체제 아주 쉬운 세 가지 이야기 [제2판] / Remzi H. Arpaci-Dusseau, Andrea C. Arpaci-dusseau 공저 / 원유집, 박민규, 이성진 공역 / 홍릉 / 제2판 발행: 2020년 09월 10일 / 원제: Operating Systems: Three Easy Pieces</li>
</ul>

<h2 id="주석">주석</h2>



    </article>


    
    
    



</div></div>

TOCTTOU

댓글