Qualifying Observation Integrity for Selective Authorization in PostgreSQL

디지털 세상에서 데이터베이스는 은행 계좌부터 온라인 쇼핑 카트에 이르기까지 모든 것의 중앙 기억 장치 역할을 합니다. 데이터베이스는 계좌에 얼마의 돈이 있는지, 재고에 품목이 얼마나 있는지, 또는 사용자가 건물에 들어갈 권한이 있는지와 같은 세상의 현재 상태를 저장합니다. 컴퓨터 프로그램이 어떤 동작을 수행할 수 있는 권한을 달라고 데이터베이스에 요청하면, 데이터베이스는 현재의 사실들을 확인합니다. 만약 마지막 확인 이후에 사실들이 변경되었다면, 그 결과는 달라질 수 있습니다. 예를 들어, 사용자가 충분한 잔액을 가지고 있을 때는 구매가 승인될 수 있지만, 결제 직후 다른 거래가 발생하여 그 돈을 써버린다면 승인은 취소되어야 합니다. 안전을 유지하기 위해 시스템은 종-종 어떤 동작이 일어나기 직전마다 매번 사실을 다시 확인합니다. 이는 신뢰할 수 있는 방식이지만, 동일한 사실이 연속해서 수천 번 확인되는 상황에서는 특히 느려질 수 있습니다.

연구자들은 마지막으로 사실이 확인되었던 시점을 기억함으로써 이를 가속화하는 방법을 오랫동안 연구해 왔습니다. 만약 시스템이 기초 데이터가 변경되지 않았음을 증명할 수 있다면, 다시 묻지 않고 이전의 권한을 재사용할 수 있습니다. 이를 선택적 권한 부여(selective authorization)라고 합니다. 그러나 이 지름길은 시스템이 데이터가 정말로 변하지 않았음을 절대적으로 확신할 수 있을 때만 작동합니다. 만약 시스템이 데이터가 실제로 움직이고 있음에도 불구하고 데이터가 안정적이라고 속게 된다면, 차단되어야 할 거래에 대해 권한을 부여하게 될 수도 있습니다. 핵심 과제는 단순히 데이터를 확인하는 것이 아니라, 변화를 추적하도록 설계된 바로 그 메커니즘 자체가 제대로 작동하고 있으며 적절한 사람들에게 가시적인지를 검증하는 것입니다.

알렉산다르 미하일로비치(Aleksandar Mihajlovic)라는 연구자는 PostgreSQL이라 불리는 특정 유형의 데이터베이스 시스템 내에서 이러한 추적 메커즘을 검증하는 방법을 개발했습니다. 그의 목표는 데이터베이스 설치가 이 지름길을 사용할 수 있도록 신뢰받기 위해 따라야 하는 엄격한 규칙 세트를 만드는 것이었습니다. OntoCommit이라는 이름의 이 시스템은 문지기 역할을 합니다. 데이터베이스가 이전의 권한 결정 내용을 재사용하기 전에, 이 문지기는 코드와 설정을 검사하여 모든 데이터의 변경 사항이 적절하게 기록되고 있는지, 그리고 기록을 확인하는 사람이 실제로 그 기록을 볼 수 있는지를 확인합니다. 연구는 데이터의 변경이 발생하는 순간과 그것이 관찰되는 순간 사이의 경계에 초점을 맞춥니다. 만약 이 두 지점 사이에 간극이 존재한다면, 전체 시스템의 안전성이 위협받게 됩니다.

연구는 겉보기에 코드가 올바르게 보일 때조차 어떻게 이 신뢰가 쉽게 깨질 수 있는지를 식별하는 것으로 시작되었습니다. 연구자는 시스템이 조용히 실패할 수 있는 두 가지 구체적인 사례를 발견했습니다. 첫 번째 경우, 변경 카운터를 업데이트하도록 설계된 헬퍼 함수(helper function)의 입력 매개변수 이름이 서로 바뀌어 있었습니다. 코드는 여전히 실행되었고, 수용하는 데이터의 유형도 올바랐지만, 이름이 뒤섞였기 때문에 한 유형의 변경에 대한 카운터는 업데이트된 반면 다른 유형의 카운터는 멈춰 있게 되었습니다. 이는 마치 남북 방향 차선의 센서가 실수로 동서 방향 버튼에 연결된 교통 신호 체계와 같았습니다. 신호는 바뀌겠지만, 정작 필요한 차량들을 위해서는 바뀌지 않는 것입니다. 두 번째 경우, 시스템이 일반 사용자로부터 특정 행(row)의 데이터를 숨기는 보안 기능을 설정했습니다. 시스템 관리자는 변경 카운터를 올바르게 업데이트했지만, 권한을 확인하는 사람은 그 업데이트를 보는 것이 차단되었습니다. 확인자에게 카운터는 실제로 증가했음에도 불구하고 0으로 나타났습니다. 이는 잘못된 안전감을 조성했습니다.

이러한 실패를 방지하기 위해, 연구자는 데이터베이스 설치가 지름길을 사용하기 전에 검사하는 자격 검증 도구를 구축했습니다. 이 도구는 단순히 코드의 존재 여부만을 보는 것이 아니라, 함수 이름의 정확한 바인딩, 테이블의 소유권, 그리고 모든 사용자 역할에 대한 가시성 설정을 검증합니다. 이 도구는 변경 카운터를 업데이트하는 데 책임이 있는 코드가 시스템이 기대하는 정확한 시그니처와 일치할 것을 요구합니다. 또한 변경 사항을 추적하는 특정 테이블들에 대해 행 단위 보안(row-level security)을 사용하는 것을 금지하여, 권한을 확인하는 사람이 항상 카운터의 실제 상태를 볼 수 있도록 보장합니다. 이 도구는 엄격한 검사관 역할을 하며, 지원되지 않는 변형을 사용하거나 변화의 증거를 숨기려는 설치를 거부합니다.

연구자는 완전한 구매 과정을 시뮬레이션하는 통제된 환경을 사용하여 이 접근 방식을 테스트했습니다. 시스템은 사용자가 물건을 구매하려고 할 때 계좌 잔액과 기존의 자금 유보 사항을 확인하는 시나리오를 처리하도록 설정되었습니다. 실험은 두 가지 방법을 비교했습니다. 하나는 매번 정책 전체를 처음부터 다시 평가하는 방식이고, 다른 하나는 선택적 권한 부여 지름길을 사용하는 방식입니다. 테스트는 표준 버전의 데이터베이스 소프트웨어에서 실행되었지만, 조건에 대한 정밀한 제어를 보장하기 위해 시뮬레이션된 컴퓨터 환경 내에서 수행되었습니다. 연구에는 108개의 서로 다른 구성 쌍이 포함되었으며, 이 중 일부는 안전하도록 설계되었고 일부는 안전하지 않도록 설계되어 자격 검증 도구가 그 차이를 구별할 수 있는지 확인했습니다.

결과는 자격 검증 도구가 안전하지 않은 구성을 식별하는 데 매우 효과적임을 보여주었습니다. 이 도구는 매개변수 이름이 바뀌었거나 데이터 행이 숨겨진 것을 포함하여 의도적으로 안전하지 않게 설정된 5개의 구성을 모두 성공적으로 거부했습니다. 동시에, 48개의 유효하고 안전한 구성은 모두 수용했습니다. 또한, 안전하지만 도구의 엄격한 규칙에 부합하지 않는 2개의 구성을 올바르게 거부함으로써, 이 도구가 편의성보다 안전을 우선시한다는 점을 입증했습니다. 성능 테스트에서 선택적 권한 부여 방식은 데이터가 변경되지 않았을 때 훨씬 더 빠른 것으로 나타났습니다. 10,000개의 행을 가진 데이터셋의 경우, 지름길을 사용하는 시스템은 중간 시간 66밀리초(ms) 내에 주기를 완료한 반면, 모든 것을 다시 확인하는 시스템은 87밀리초가 걸렸습니다. 이는 24%의 시간 단축을 의미했습니다. 그러나 연구는 데이터가 실제로 변경되었을 때, 지름길이 속도 이점을 제공하지 못하며 오히려 시스템이 정책을 다시 평가해야 하므로 약간 더 느려질 수 있다는 점도 발견했습니다.

또한 연구는 테스트의 한계를 강조했습니다. 연구자는 시스템이 작동하는지 확인하기 위해 몇 번의 테스트를 실행하는 것만으로는 시스템이 항상 작동할 것이라는 보장이 되지 않는다는 점을 입증했습니다. 시스템이 모든 테스트를 통과하면서도 특정하고 보이지 않는 조건 하에서는 실패할 수 있는 시나리오를 구성하는 것이 가능합니다. 연구는 시스템이 일련의 검사를 통과하면서도 관찰자로부터 중요한 변경 사항을 여전히 숨길 수 있음을 보여주었습니다. 이는 오직 테스트를 통해 오류를 찾는 것만으로는 부족하며, 시스템이 어떻게 구축되어야 하는지에 대한 엄격한 규칙을 강제하는 것만이 유일한 방법임을 의미합니다. 이 도구는 시스템이 가능한 모든 우주에서 완벽하다는 것을 증명한다고 주장하는 것이 아니라, 설치가 특정하고 안전한 패턴을 따른다는 검증 가능한 계약을 제공하는 것입니다.

결론적으로, 이 작업은 보안을 희생하지 않으면서 데이터베이스를 빠르게 만드는 실질적인 방법을 제공합니다. 변경 추적이 어떻게 구현되고 검증되어야 하는지에 대한 명확한 규칙을 정의함으로써, 연구자는 데이터베이스가 자신의 상태에 대해 진실을 말하고 있다는 것을 신뢰할 수 있는 방법을 만들었습니다. 이 연구는 데이터베이스 보안의 모든 문제를 해결한다고 주장하거나 이 방법이 모든 상황에 사용되어야 한다고 제안하는 것이 아닙니다. 이것은 특정 유형의 데이터베이스 설정에 대한 특화된 솔루션이며, 높은 수준의 확실성을 위해 일부 유연성을 절충하는 방식입니다. 연구 결과는 금융 거래와 같이 속도와 안전이 모두 중요한 애플리케이션의 경우, 신중하게 자격을 갖춘 시스템이 신뢰할 수 있는 지름길을 제공할 수 있음을 시사합니다. 연구는 이러한 지름길의 안전성이 변경이 발생하는 순간부터 그것이 관찰되는 순간까지의 관찰 경로의 무결성에 달려 있으며, 이 경로 역시 데이터 자체와 동일한 엄격함으로 검사되어야 한다고 결론짓습니다.