[논문 리뷰] I Know What You Imported Last Summer: A study of security threats in thePython ecosystem

Aadesh Bagmar, Josiah Wedgwood외 2명|arXiv (Cornell University)|2021. 02. 11.

Cybercrime and Law Enforcement Studies참고 문헌 1인용 수 4

한 줄 요약

이 논문은 파이썬 패키지 생태계(PyPI)의 심각한 보안 취약점을 조사하며, 설치 시 코드 실행, 유명 패키지 위장, 전이적 의존성으로 인한 광범위한 라이선스 위반을 악용할 수 있는 공격자들의 공격 방식을 입증한다. 연구 결과, 설치 시 코드를 실행하는 패키지 비율은 0.78%이며, 평균적으로 설치당 14개의 패키지가 암묵적으로 신뢰되며, 불일치하는 의존성으로 인해 1,500건 이상의 라이선스 위반이 발생하고 있음을 확인하여 패키지 신뢰 및 라이선스 관리의 체계적 위험을 드러낸다.

ABSTRACT

The popularity of Python has risen rapidly over the past 15 years. It is a major language in some of the most exciting technologies today. This popularity has led to a large ecosystem of third-party packages available via the pip package registry which hosts more than 200,000 packages. These third-party packages can be reused by simply importing the package after installing using package managers like pip. The ease of reuse of third-party software comes with security risks putting millions of users in danger. In this project, we study the ecosystem to analyze this threat. The mature ecosystem of Python has multiple weak spots that we highlight in our project. First, we demonstrate how trivial it is to exploit the Python ecosystem. Then, we systematically analyze dependencies amongst packages, maintainers, and publicly reported security issues. Most attacks are possible only if users install malicious packages. We thus try to analyze and evaluate different methods used by attackers to force incorrect downloads. We quantify your ideas by estimating the potential threat that can be caused by exploiting a popular Python package. We also discuss methods used in the industry to defend against such attacks

연구 동기 및 목표

• 제3자 패키지 재사용으로 인해 발생하는 파이썬 패키지 생태계(PyPI)의 보안 위험을 분석하기 위해.
• 공격자가 패키지 설치 프로세스를 악용해 권한 상승 또는 악성 코드 실행을 달성할 수 있는 방식을 조사하기 위해.
• 패키지 위장 및 타이포스쿼팅 공격의 영향을 정량화하여 사용자 신뢰와 시스템 보안에 미치는 영향을 분석하기 위해.
• PyPI 패키지의 불일치한 전이적 의존성으로 인한 오픈소스 라이선스 위반을 식별하고 분석하기 위해.
• 기존 방어 조치를 평가하고 파이썬 생태계를 보다 안전하게 만들기 위한 실용적인 개선 방안을 제안하기 위해.

제안 방법

• 206,296개의 PyPI 패키지, 150만 개의 릴리스, 387,867명의 유저를 대상으로 메타데이터를 수집하고 분석하여 의존성 그래프를 구축하였다.
• 설치 시 실행되는 코드를 식별함으로써 패키지 설치 동작을 추적하였으며, 설치 시 임포트 및 함수 호출을 포함한 코드 실행 여부를 확인하였다.
• 암묵적 신뢰도를 측정하기 위해, 특정 패키지가 설치 중에 암묵적으로 신뢰하는 패키지 및 유지보수자의 평균 수를 계산하였다.
• 패키지 이름과 오타를 분석하여 위장 및 타이포스쿼팅 공격을 탐지하였으며, 양호한 개발자가 시행하는 방어적 위장 행위도 포함하였다.
• 라이선스 호환성을 평가하기 위해, 가져온 패키지의 라이선스 유형을 비교하였으며, 관용적인 라이선스를 가진 패키지가 제한적인 라이선스를 가진 의존성을 가져올 경우 위반으로 간주하였다.
• 실제 사례(예: SSH 키窃취, 비트코인 채굴)와 사례 연구(예: 시SCO Genie)를 활용하여 악용 가능성과 영향을 검증하였다.

실험 결과

연구 질문

• RQ1 PyPI 패키지에서 설치 시 코드 실행 취약성은 얼마나 퍼져 있으며, 권한 상승에 대한 잠재적 위험은 어떠한가?
• RQ2 PyPI 생태계에서의 암묵적 신뢰 수준은 평균적으로 얼마이며, 시간이 지남에 따라 어떻게 변화해 왔는가?
• RQ3 패키지 위장 및 타이포스쿼팅 공격은 얼마나 흔한가, 그리고 방어적 대응 전략은 어떤 것이 나타나고 있는가?
• RQ4 파이썬 생태계에서 전이적 의존성으로 인한 오픈소스 라이선스 위반의 규모는 어느 정도인가?
• RQ5 실제로 이러한 위협을 완화하기 위해 기술적 및 정책 수준의 방어 조치는 무엇이 가능한가?

주요 결과

• 연구 대상 패키지 중 0.28%는 설치 시 setup() 이외의 함수를 실행하며, 0.78%는 설치 시 다른 패키지를 임포트하여 권한 상승에 대한 심각한 공격 표면을 노출하고 있음.
• 평균적으로 파이썬 패키지는 설치 중 14개의 다른 패키지를 암묵적으로 신뢰하며, 상위 10,000개 패키지는 평균 247개의 패키지를 신뢰함으로써 높은 전이적 신뢰도를 보임.
• 유지보수자 평균이 338개의 패키지에 도달하며, 유지보수자의 영향력은 시간이 지남에 따라 증가하고 있어, 해킹된 계정의 영향 범위가 커짐.
• MIT 라이선스 패키지가 GPLv3 라이선스 의존성을 가져오는 데 672건의 잠재적 라이선스 위반을 식별하였으며, LGPLv3는 832건으로, 광범위한 준수 위험을 드러냄.
• 라이선스 위반을 일으키는 상위 20개 패키지는 제한적인 라이선스를 가진 패키지가 관용적인 라이선스를 가진 패키지에 의해 가져와지며, 이로 인해 하류 사용자에게까지 위반이 확산됨.
• Cisco의 Genie 프레임워크에 대한 실질적 사례 연구에서, 관용적인 라이선스를 가진 패키지가 의존성인 restview의 제한적인 라이선스를 상속하여 모든 하류 사용자에게 위반이 확산됨.