Security Analysis of Bitcoin's V2 Transport Protocol: Exploiting Design Implications for Sustained Eclipse and Downgrade Attacks

비트코인의 네트워크를 수천 명의 사람들 (노드) 이 거래와 블록에 대한 소식을 공유하기 위해 끊임없이 대화하는 거대하고 붐비는 광장으로 상상해 보세요. 오랫동안 이 사람들은 광장 전체에 평범한 영어로 메시지를 외쳤습니다. 지나가는 누구든 경청할 수 있었고, 누가 누구와 대화하는지 볼 수 있었으며, 심지어 혼란을 주기 위해 가짜 메시지를 외치기도 했습니다.

이를 해결하기 위해 비트코인은 최근 새로운 규칙인 **V2 전송 (Transport)**을 도입했습니다. 이는 모두에게 특수한 잠긴 워크니 (walkie-talkie) 를 지급하는 것과 같습니다. 이제 두 사람이 대화할 때 그 대화는 암호화되어 섞입니다. 오직 일치하는 키를 가진 두 사람만이 메시지를 해독할 수 있습니다. 이는 나쁜 세력들이 경청하거나 대화를 방해하는 것을 막기 위한 것이었습니다.

그러나 샤르메인 넬로 (Charmaine Ndolo) 와 플로리안 트슈어슈 (Florian Tschorsch) 의 이 논문은 "너무 성급하다"고 말합니다. 워크니가 대화의 내용을 숨기는 데는 훌륭하지만, 연구자들은 나쁜 행위자 (악성 인터넷 서비스 제공자 같은 '네트워크 수준 공격자') 가 단 한 마디도 듣지 않고도 여전히 문제를 일으킬 수 있는 두 가지 교묘한 방법을 발견했습니다.

간단한 비유를 사용하여 그들의 발견 사항을 다음과 같이 정리해 보겠습니다.

1. "고장 난 워크니" 일식 공격 (Eclipse Attack)

목표: "일식 공격"은 나쁜 행위자가 광장의 특정 사람을 자신의 친구들로 둘러싸는 것과 같습니다. 그들은 피해자가 다른 누구의 소리도 듣지 못하도록 차단하여, 사실상 피해자를 실제 광장에서 고립시킵니다. 피해자는 나쁜 행위자가 제공하는 현실 버전만 듣게 됩니다.

과거의 방식: 이전에는 공격자들이 평문 (plain text) 을 경청하여 피해자가 누구와 대화하는지 확인하고 연결선을 끊을 수 있었습니다. 하지만 새로운 잠긴 워크니를 사용하면 누가 누구와 대화하는지 볼 수 없습니다.

새로운 수법: 연구자들은 워크니가 오류를 처리하는 방식에 있는 "결함"을 발견했습니다.

• 비유: 잠긴 워크니로 친구와 대화한다고 상상해 보세요. 실수로 같은 암호화된 메시지를 연속으로 두 번 보낸다면, 수신자의 기기는 혼란을 겪고 신호가 고장 났다고 생각한 후 즉시 통화를 끊습니다.
• 공격: 나쁜 사람은 피해자와 그 친구들 사이에 서 있습니다. 피해자가 메시지를 보내면 나쁜 사람은 그것을 복사하여 즉시 다시 보냅니다. 피해자의 친구는 중복된 메시지를 받아 혼란을 겪고 통화를 끊습니다.
• 결과: 나쁜 사람은 피해자가 가진 모든 친구에게 이 과정을 반복합니다. 하나씩 피해자의 모든 연결이 끊어집니다. 그런 다음 나쁜 사람은 빈 자리를 자신의 가짜 친구들로 채웁니다. 피해자는 이제 "일식" 상태가 되어, 나쁜 사람의 네트워크로 둘러싸여 여전히 실제 비트코인 네트워크에 연결되어 있다고 생각합니다.

무서운 점: 나쁜 사람은 메시지가 무엇을 말하는지 알 필요가 없습니다. 메시지가 언제 보내지는지 알기만 하고 복사하면 됩니다. 이는 일기를 읽지 않아도 당신의 하루를 망칠 수 있는 괴롭힘과 같습니다. 그들은 당신이 포기할 때까지 반복적으로 책상에서 책을 떨어뜨리기만 하면 됩니다.

2. "백도어" 다운그레이드 공격

목표: 피해자를 속여 잠긴 워크니를 끄고 평범한 영어로 외치는 것 (구 V1 프로토콜) 으로 되돌아가게 만드는 것입니다.

배경: 비트코인은 새로운 시스템이 구 시스템과 호환되도록 하고 싶어 했습니다. 따라서 규칙은 다음과 같습니다. "새로운 잠긴 워크니를 사용하려다 상대방이 즉시 통화를 끊으면, 잠금 해제된 구식 방법으로 다시 시도하라." 이는 호환성을 위한 "안전망"입니다.

수법: 나쁜 사람은 이 안전망을 악용합니다.

• 비유: 고도화된 키카드 (V2) 를 사용하여 보안 건물을 진입하려 한다고 상상해 보세요. 경비원 (나쁜 사람) 은 당신의 시도를 가로채어 키카드 스캔이 완료되기 전에 문을 세게 닫습니다. 당신이 너무 빨리 거절당했기 때문에, 당신의 규칙서는 "좋아, 구식으로 시도해 보자"라고 말합니다. 당신은 그 후 잠금 해제된 단순한 키 (V1) 를 사용하여 들어갑니다.
• 공격: 나쁜 사람은 피해자가 새로운 잠긴 대화를 시작하려는 시점을 감시합니다. 두 컴퓨터가 비밀 키를 교환하는 정확한 순간에 나쁜 사람은 "중지!" 신호 (재설정 패킷) 를 주입합니다. 피해자의 컴퓨터는 "아, 상대방은 새로운 시스템을 지원하지 않는구나"라고 생각한 후 즉시 암호화되지 않은 구식으로 전환합니다.
• 결과: 나쁜 사람은 피해자가 암호화를 완전히 끄도록 강요할 수 있습니다. 암호화가 꺼지면 경청이나 가짜 메시지 생성과 같은 모든 과거의 공격이 다시 작동합니다.

3. "트래픽 패턴" 문제

이 논문은 메시지가 암호화되어 있더라도 메시지의 크기가 이를 노출시킨다고 지적합니다.

• 비유: 봉인된 편지를 보내는 상황을 상상해 보세요. 안을 읽을 수는 없지만, 봉투의 무게만으로도 짧은 메모인지 긴 편지인지 알 수 있습니다.
• 공격: 나쁜 사람은 데이터 패킷의 크기를 측정하여 어떤 종류의 메시지가 전송되는지 추측할 수 있습니다. 예를 들어, "핑 (Ping)" 메시지 (즉 "거기 있니?" 확인 신호) 는 항상 특정 작은 크기를 가진다는 것을 알고 있습니다. 이는 위에서 설명한 "고장 난 워크니" 공격을 유발하기 위해 메시지를 언제 복사해야 하는지 정확히 알 수 있게 해줍니다.

이를 증명하기 위해 무엇을 했나요?

연구자들은 단순히 이론만 펼친 것이 아니라, 실험실에서 가짜 비트코인 네트워크 (테스트베드) 를 구축했습니다.

• 피해자 노드와 여러 개의 가짜 노드를 설정했습니다.
• "고장 난 워크니" 공격을 실행하여 하루도 채 안 되어 피해자를 성공적으로 고립시켰습니다.
• "다운그레이드" 공격을 실행하여 피해자가 암호화되지 않은 프로토콜로 전환하도록 성공적으로 강요했습니다.

결론

새로운 V2 프로토콜은 큰 진전이지만, 마법의 방패는 아닙니다.

1. 일식: 공격자들은 시스템이 "실수" (중복) 를 처리하는 방식을 악용하여 사용자를 고립시킬 수 있습니다.
2. 다운그레이드: 공격자들은 구식과 신식 컴퓨터가 서로 대화하도록 돕기 위해 설계된 "안전망"을 악용하여 사용자를 속여 보안을 끄게 할 수 있습니다.

저자들은 다음과 같은 수정 방안을 제안합니다.

• 공격자가 안을 추측하지 못하도록 "봉투" (메시지) 의 크기를 모두 동일하게 만듭니다.
• 공격자가 다운그레이드를 강요하지 못하도록 프로토콜 사용 협상 방식을 변경합니다.
• 사용자가 공격을 받는지 확인할 수 있도록 더 나은 모니터링을 추가합니다.

요약하자면: 비트코인의 새로운 자물쇠는 강력하지만, 현관문틀에는 교활한 도둑이 여전히 침입할 수 있는 몇 가지 균열이 있습니다.