💻 computer science

One (Thread) Can Keep a (PRNG) Secret, but not Two

이 논문은 XNU 커널의 IPv6 Fragment ID PRNG에 존재하는 레이스 컨디션을 악용하여 시퀀스 번호를 예측하고 TCP 및 UDP 트래픽의 오프 패스 스푸핑을 가능하게 하는 최초의 암호 해독 공격을 제시하며, 이 취약점은 현재 애플에 의해 CVE-2024-27823로 패치되었습니다.

원저자: Ehood Porat, Amit Klein, Benny Pinkas

게시일 2026-06-03

📖 4 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Ehood Porat, Amit Klein, Benny Pinkas

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

당신이 친구에게 크고 중요한 편지를 보내고 있다고 상상해 보세요. 편지가 너무 커서 단일 봉투에 들어가지 않기 때문에, 우체국(네트워크)은 이를 더 작은 조각들, 즉 **파편(fragments)**으로 자릅니다. 이 조각들이 올바른 순서로 다시 합쳐질 수 있도록, 각 조각에는 고유한 티켓 번호(Fragment ID라고 불림)가 부여됩니다.

당신이 읽고 있는 이 논문은 해커가 어떻게 이 티켓 번호를 미리 예측하여, 당신이나 당신의 친구가 눈치채지 못하는 사이에 당신의 편지 한 조각을 가짜로 바꿔치기할 수 있는지에 대한 영리한 방법을 설명합니다.

다음은 이 공격에 대한 쉬운 설명입니다:

1. 비밀 티켓 기계 (PRNG)

Apple의 컴퓨터(macOS 및 iOS)는 이 티켓 번호를 생성하기 위해 그들의 두뇌(커널) 내부에서 작동하는 특별한 "티켓 기계"를 사용합니다. 이 기계는 주사위를 던지는 것처럼 예측 불가능해야 합니다. 만약 숫자가 진정으로 무작위라면, 다음 티켓을 예측할 수 없습니다.

하지만 연구자들은 이 기계가 바쁠 때 작동하는 방식에 결함이 있다는 것을 발견했습니다.

2. "두 사람이 하나의 기계를 사용하는" 문제 (Race Condition)

마치 매우 바쁜 티켓 카운터에서 두 사람(두 개의 컴퓨터 스레드)이 정확히 같은 밀리초(millisecond)에 티켓을 잡으려고 시도하는 것과 같습니다.

정상적인 경우: 기계는 A에게 티켓을 준 다음, B에게 다른 티키를 줍니다.
글리치(Glitch): 기계가 "스레드 안전(thread-safe)"하지 않기 때문에(즉, 동시에 티켓을 잡지 못하게 막는 잠금 장치가 없기 때문에), 두 사람 모두 동일한 시작 번호를 잡을 수도 있습니다. 두 사람 모두 계산을 수행하지만, 시작 번호가 같고 단계가 약간씩 다르기 때문에 기묘한 패턴을 만들어냅니다.

패턴: 연구자들은 이 "경합(race)"을 유발하면 기계가 A, B, C, B와 같은 특정 숫자 시퀀스를 생성한다는 것을 발견했습니다. 주목하세요, B가 C에 의해 분리된 채 두 번 나타납니다. 이 "B-C-B" 패턴은 결정적인 증거입니다. 이것은 공격자에게 "헤이! 방금 기계에서 경합 상태(race condition)가 발생했어! 이제 기계의 내부 톱니바퀴가 어떻게 돌아가는지 볼 수 있어"라고 말해주는 것입니다.

3. 암호 해독 (Cryptanalysis)

공격자가 이러한 "B-C-B" 패턴을 충분히 수집하면, 기계를 역설계(reverse-engineer)할 수 있습니다.

기계를 조합형 자물쇠라고 생각해 보세요. "B-C-B" 패턴은 공격자에게 자물쇠 내부의 핀(tumbler)이 현재 어떤 위치에 있는지에 대한 단서를 제공합니다.
이러한 단서들을 충분히 모으면, 공격자는 기계의 **전체 내부 상태(internal state)**를 파악할 수 있습니다.
내부 상태를 알게 되면, 다음에 나올 티켓 번호가 무엇일지 정확히 예측할 수 있습니다.

4. 바꿔치기 (The Attack)

이제 공격자는 티켓 번호를 예측할 수 있으므로, 중간에 끼어들지 않고도 "중간자 공격(man-in-the-middle)"을 수행할 수 있습니다.

시나리오: 당신은 대용량 파일(예: 코드 백업본)을 서버로 보내고 있습니다. 파일은 여러 조각으로 나뉩니다.
보호 장치: 파일의 첫 번째 조각에는 당신의 비밀번호와 서명(인증)이 포함되어 있습니다. 서버는 당신이 누구인지 확인하기 위해 이 첫 번째 조각을 먼저 검사합니다.
수법: 공격자는 첫 번째 조각이 도착하기를 기다립니다. 그런 다음, 자신의 예측을 사용하여 두 번째 조각에 대한 티켓 번호를 추측합니다. 공격자는 올바른 티켓 번호를 가진 가짜 두 번째 조각(악성 메시지나 바이러스가 담긴 파일)을 빠르게 보냅니다.
결과: 서버는 진짜 첫 번째 조각(유효한 비밀번호가 포함된)과 가짜 두 번째 조각(바이러스가 포함된)을 받습니다. 서버는 이 둘을 합쳐서 아무 문제가 없다고 생각하고 감염된 파일을 저장합니다. 공격자는 보안 검사가 첫 번째 조각에서만 이루어졌다는 점을 이용해 보안을 우회했습니다.

논문에 나온 실제 사례

연구자들은 이 공격을 두 가지 특정 상황에서 테스트했습니다:

NFS (Network File System): 공격자가 서버로 백업되는 파일을 어떻게 변경할 수 있는지 보여주었습니다. 예를 들어, 표준 컴퓨터 코드 파일에 "트로이 목마"를 삽입할 수 있습니다. 이후 개발자가 이 코드를 컴파일할 때 바이러스가 실행됩니다.
HTTP (웹 브라우징): 공격자가 네트워크를 통해 이동하는 웹 요청(로그인이나 양식 제출 등)을 어떻게 변경할 수 있는지 보여주었습니다.

이것이 왜 중요한가

새로운 방식입니다: 이는 "경합 조건(race condition, 타이밍 글리치)"을 사용하여 난수 생성기를 깨뜨린 첫 번째 사례입니다. 보통 경합 조건은 단순히 시스템 충돌을 일으키지만, 여기서는 데이터를 훔치는 데 사용되었습니다.
실제적입니다: 이 공격은 다양한 버전의 macOS 및 iOS가 실행되는 실제 Apple 기기(M1, M2 칩, Intel Mac)에서 작동합니다.
해결책: Apple은 이미 이 문제를 패치했습니다. 이 결함에는 CVE-2024-27823이라는 ID가 부여되었습니다. 해결 방법은 티켓 기계를 "스레드 안전(thread-safe)"하게 만들어 두 작업이 동시에 시작 번호를 잡지 못하도록 하는 것입니다.

요약하자면: 이 논문은 컴퓨터의 난수 생성기가 동시에 일어나는 두 가지 사건 때문에 혼란을 겪게 되면, 해커가 그 혼란을 이용해 미래를 예측하고, 데이터의 일부를 바꿔치기하며, 보안 검사를 통과해 악성 코드를 몰래 침투시킬 수 있음을 보여줍니다.

기술 요약: "하나(스레드)는 (PRNG)의 비밀을 지킬 수 있지만, 둘은 아니다"

문제 정의

본 논문은 Apple의 macOS 및 iOS 운영 체제를 구동하는 XNU 커널 내 IPv6 단편화 ID(Fragment ID) 생성 알고리즘의 치명적인 취약점을 다룹니다. 의사 난수 생성기(PRNG)는 트래픽 하이재킹 및 스푸핑을 방로하기 위해 예측 불가능한 네트워크 식별자(세션 ID 및 시퀀스 번호 등)를 생성하는 데 필수적이지만, XNU의 특정 구현은 레이스 컨디션(race condition)에 취약한 것으로 밝혀졌습니다.

핵심 문제는 32비트 단편화 ID를 생성하는 데 사용되는 XNU 커널의 PRNG에 스레드 안전 메커니즘(예: 잠금/locking)이 결여되어 있다는 점입니다. 여러 스레드가 동시에 PRNG를 호출하면, 내부 상태가 원자적(atomic)이지 않은 방식으로 읽히고 업데이트될 수 있습니다. 이러한 레이스 컨디션은 공격자가 단편화 ID 스트림에서 중복된 출력 값을 유도할 수 있게 합니다. 본 논문은 이러한 중복 값이 단순한 노이즈가 아니라, PRNG의 내부 상태를 드러내는 구별 가능한 패턴을 포함하고 있으며, 이를 통해 공격자가 생성기를 암호학적으로 해독하고 미래의 단편화 ID를 예측할 수 있다고 주장합니다.

방법론

저자들은 세 가지 프리미티브(primitive)로 구성된 새로운 공격 프레임워크를 제안합니다: 레이스 컨디션 유발, 결과 패턴에 기반한 암호 해독, 그리고 부분적인 스푸핑 공격 실행.

1. 레이스 컨디션 유발

공격은 오프패스(off-path) 공격자가 XNU 커널의 ip6 randomid() 함수에서 레이스 컨디션을 유발하는 것을 필요로 합니다. 이는 대상 macOS 호스트가 동시에 파편화된 IPv6 패킷을 생성하도록 강제함으로써 달성됩니다. 저자들은 두 가지 방법을 입증했습니다:

원격 "단편화 서비스": 공격자는 대상 기기에서 실행 중인 서비스(예: UDP 에코 서버)에 대량의 요청(약 1 Gbps)을 보내, 대상이 동시에 단편화된 패ック을 응답하게 만듭니다.
로컬 악성 앱: 대상 장치의 저권한 프로세스가 공격자에게 빠르게 단편화된 패킷을 보냅니다.

커널의 잠금 부재로 인해 두 스레드가 동일한 내부 상태 $x$ 를 읽고, 서로 다른 횟수의 내부 단계( $n_A$ 와 $n_B$ )를 수행한 후 새로운 상태를 다시 쓸 수 있습니다. 이는 $X, Y, Z, Y$ 와 같은 특정 출력 시퀀스를 초래하며, 여기서 $Y$ 는 $Z$ 에 의해 분리된 중복된 값입니다.

2. 레이스 컨디션 보조 암호 해독

저자들은 $XYZY$ 시퀀스를 악용하는 새로운 암호 해독 방법을 도입합니다.

통찰(The Insight): 이 시퀀스는 $X, Y,$ 및 $Z$ 에 해당하는 내부 상태 간의 특정 수학적 관계를 함의합니다. 구체적으로, 내부 상태들이 4로 나눈 나머지(modulo 4)가 서로 다를 확률이 무작위 확률(약 0.75)보다 훨씬 높다는 점(약 0.9)입니다.
공격 방식: 공격자는 다량의 $XYZY $시퀀스를 수집합니다. 이를 사용하여 관측된 시퀀스 전체에 대해 모든 가능한$ $시퀀스를수집합니다 . 이를사용하여관측된시퀀스전체에대해모든가능한$ 2^{31} $개의 값에 대해$ $개의값에대해$ s_1$이 성립하는 부등식의 수를 최대화함으로써 PRNG의 정적 키( $s_1, g, s_2, a, b$ $s_{1}, g, s_{2}, a, b$ )를 추출하는 4단계 암호 해독을 수행합니다:
1. $s_1$ 추출: 관측된 시퀀스 전반에 걸쳐 성립하는 부등식의 수를 최대화하여 $s_1$ 을 추출합니다.
2. $g$ 추출: 알려진 $s_1$ 과 연속적인 단편화 ID 간의 의존성을 사용하여 $g$ 를 추출합니다.
3. $s_2$ 추출: 2단계의 기법을 확장하여 $s_2$ 를 추출합니다.
4. $a, b$ 추출: 재구성된 내부 상태를 기반으로 선형 방정식을 풀어 $a$ 와 $b$ 를 구합니다.
동기화: 키가 복구되면, 공격자는 패킷 손실을 고려하여 자신의 로컬 PRNG 시뮬레이터를 대상의 현재 상태와 동기화하여 미래의 단편화 ID를 예측합니다.

3. 부분 UDP/TCP 스푸핑

단편화 ID를 예측할 수 있게 되면 공격자는 부분적인 스푸핑을 수행할 수 있습니다.

NFS (UDP) 사례: 저자들은 Kerberos 인증(RPCSEC GSS)을 사용하는 UDP 기반 NFS WRITE 호출을 대상으로 합니다. 인증 서명은 RPC 헤더(첫 번째 단편에 포함됨)는 보호하지만, 파일 페이로드(후속 단편들에 포함됨)는 보호하지 않습니다. 단편화 ID를 예측함으로써, 공격자는 첫 번째 단편(유효한 인증 포함)은 건드리지 않고 두 번째 단편(악성 파일 내용 포함)을 위조할 수 있습니다. 또한 공격자는 패킷이 수락되도록 UDP 체크섬을 조정합니다.
HTTP (TCP) 사례: 이 기법은 TCP 세그먼트에 적용되어 HTTP POST 요청을 수정하고, 공격자가 제작한 콘텐츠를 주입하는 데 사용됩니다.

주요 기여

최초의 레이스 컨디션 보조 암호 해독: 본 논문은 암호학적 프리미티브(PRNG)를 깨뜨리기 위해 레이스 컨디션을 유발하는 데 의존하는 최초의 알려진 암호 해독 공격을 제시합니다.
XNU PRNG 해독: XNU IPv6 단편화 ID 생성 알고리즘에 대한 실질적인 공격을 통해 내부 상태를 완전히 추출하고 미래 출력을 예측할 수 있음을 보여줍니다.
인증 우회: 단편화를 악용하여 Kerberos 인증을 우회하고, 전송 중인 데이터를 수정하는 NFS에서의 부분 스푸핑을 입증했습니다. 이는 유효한 자격 증명 없이도 파일 내용을 수정할 수 있음을 의미합니다.
TCP 세그먼트 스푸핑: HTTP 요청을 수정하기 위해 TCP 세그먼트를 스푸핑하는 데 성공적으로 적용되었습니다.

실험 결과

저자들은 다양한 하드웨어(Intel x64, Apple M1/M2 ARM64) 및 macOS 버전(Catalina부터 Sonoma까지)에서 공격을 검증했습니다.

암호 해독 성공: 실험에서 공격은 PRNG 상태를 성공적으로 추출했습니다. 통계적 지표 $z$ (무작위 기대치와의 거리)는 8.7에서 15.5 사이였으며, 이는 요구 임계값인 7을 훨씬 상회하여 $XYZY$ 패턴 분석의 유효성을 확인시켜 주었습니다.
공격 실행: 저자들은 NFS 서버의 파일을 대상으로 악성 콘텐츠를 주입하는 데 성공했습니다. 10번의 시도 중 10번 모두 성공하여, 헤더 파일(random.h)을 트로이 목마 코드가 포함된 코드로 수정했습니다.
타이밍: 암호 해독 단계는 48코어의 강력한 Azure VM에서 3~8분이 소요되었습니다. 이는 180초인 PRNG 재시딩(reseeding) 간격보다 느리지만, 저자들은 더 빠른 하드웨어(6-8배 속도 향상)를 사용하면 실시간 공격이 가능하다고 언급했습니다. 또한, 제어된 환경에서 실시간 실행을 위해 커널 모듈을 통해 재시딩 타임아웃을 연장함으로써 공격의 유효성을 입증했습니다.

의의 및 주장

본 논문은 레이스 컨디션이 흔히 성능 버그로 간주되지만, 심각한 암호학적 영향을 미칠 수 있음을 보여줌으로써 암호 해독의 새로운 문을 열었다고 주장합니다.

새로움: 레이스 컨디션을 암호 해독의 주요 벡터로 사용한 최초의 공격입니다.
심각성: 이 취약점은 오프패스 공격자가 MITM(Man-in-the-Middle) 위치나 약한 암호화 기술 없이도 강력한 인증 메커니즘(Kerberos)을 우회하고 데이터를 수정할 수 있게 합니다.
근본 원인: 2012년에 도입된 이 취약점이 10년 넘게 지속된 이유는 레이스 컨디션이 시스템 충돌이나 성능 저하를 일으키지 않아 표준 테스트나 사용자 보고를 통해 발견하기 어렵기 때문입니다.
해결: 이 취약점은 2024년 2월 28일에 Apple에 공개되었으며, CVE-2024-27823 식별자로 모든 XNU 기반 제품에 패치되었습니다.

본 논문은 XNU의 특정 PRNG가 "산업 표준 수준"은 아닐지라도, 레이스 컨디션 보조 암호 해독이라는 개념이 더 강력한 암호 알고리즘에도 적용될 수 있음을 시사하며, 이는 동시성(concurrency)을 가진 암호 구현체들의 광범위한 취약점 클래스를 암시합니다.