[논문 리뷰] Security Issues in Language-based Sofware Ecosystems.

Ruturaj K. Vaidya, Lorenzo De Carli외 2명|arXiv (Cornell University)|2019. 03. 06.

Advanced Malware Detection Techniques참고 문헌 17인용 수 18

한 줄 요약

이 논문은 npm과 PyPI와 같은 언어 기반 소프트웨어 생태계(LBE)의 내재된 보안 취약성을 체계적으로 분석하며, 코드 재사용과 자동화된 종속성 관리가 쉬운 설계가 도사리진 악성 코드 공격에 적합한 환경을 조성하고 있음을 드러낸다. 연구 결과, 악성 패키지의 완전 자동 탐지가 현실적으로 불가능할 것으로 결론 내리지만, 개발자를 위한 위험 평가 도구와 메트릭이 악성 코드 이용 위험을 크게 줄일 수 있다.

ABSTRACT

Language-based ecosystems (LBE), i.e., software ecosystems based on a single programming language, are very common. Examples include the npm ecosystem for JavaScript, and PyPI for Python. These environments encourage code reuse between packages, and incorporate utilities - package managers - for automatically resolving dependencies. However, the same aspects that make these systems popular - ease of publishing code and importing external code - also create novel security issues, which have so far seen little study. We present an a systematic study of security issues that plague LBEs. These issues are inherent to the ways these ecosystems work and cannot be resolved by fixing software vulnerabilities in either the packages or the utilities, e.g., package manager tools, that build these ecosystems. We systematically characterize recent security attacks from various aspects, including attack strategies, vectors, and goals. Our characterization and in-depth analysis of npm and PyPI ecosystems, which represent the largest LBEs, covering nearly one million packages indicates that these ecosystems make an opportune environment for attackers to incorporate stealthy attacks. Overall, we argue that (i) fully automated detection of malicious packages is likely to be unfeasible; however (ii) tools and metrics that help developers assess the risk of including external dependencies would go a long way toward preventing attacks.

연구 동기 및 목표

• 언어 기반 소프트웨어 생태계(LBE)인 npm과 PyPI와 같은 시스템적 보안 문제를 조사하기 위해.
• 안전한 패키지 매니저와 종속성 해결 도구가 존재함에도 불구하고, LBE의 설계가 도사리진 악성 코드 공격을 가능하게 하는 방식을 이해하기 위해.
• 거의 100만 개의 패키지를 대상으로 한 실증 분석을 통해 대규모 LBE에서의 공격 전략, 공격 경로, 목표를 규명하기 위해.
• 이 생태계에서 악성 패키지의 완전 자동 탐지 가능성을 평가하기 위해.
• 자동 탐지가 아닌 개발자 위험 평가에 초점을 맞춘 실용적인 완화 전략을 제안하기 위해.

제안 방법

• npm과 PyPI, 두 개의 주요 LBE에서 발생한 실제 보안 사고에 대한 체계적 분석.
• npm과 PyPI에서 거의 100만 개의 패키지를 수집하고 분석하여 악성 행동 패턴을 규명하기 위해.
• 생태계 내에서 관찰된 위협 패턴을 바탕으로 공격 전략, 공격 경로, 목표를 분류하기 위해.
• 기존 도구(예: 패키지 매니저)가 악성 패키지를 탐지하는 데 한계가 있음을 평가하기 위해.
• 개별 패키지와 도구가 패치된 후에도 지속되는 설계 수준의 취약성을 규명하기 위해.
• 개발자 결정을 안내하기 위해 생태계 특성과 패키지 메타데이터를 기반으로 한 위험 평가 프레임워크 개발하기 위해.

실험 결과

연구 질문

• RQ1 언어 기반 소프트웨어 생태계인 npm과 PyPI에서 주로 사용되는 공격 전략은 무엇인가?
• RQ2 공격자는 패키지 매니저와 종속성 해결 설계를 어떻게 악용하여 도사리진 악성 코드를 배포하는가?
• RQ3 기존 보안 도구가 존재함에도 불구하고, LBE에서 악성 패키지의 완전 자동 탐지가 왜 본질적으로 불가능한가?
• RQ4 어떤 패키지 특성이 악성 또는 해킹된 패키지일 가능성을 높이는가?
• RQ5 개발자는 외부 종속성을 포함할 때 위험을 더 잘 평가할 수 있도록 어떻게 지원받을 수 있는가?

주요 결과

• 연구에서 LBE의 아키텍처가 도사리진 공격을 본질적으로 가능하게 하여, 안전한 도구를 사용하더라도 탐지가 매우 어려운 것으로 확인되었다.
• 거의 100만 개의 패키지 분석 결과, 악성 패키지는 종종 정상적인 패키지를 모방하며 종속성 체인에 대한 신뢰를 악용하는 것으로 드러났다.
• 공격자는 사회공학 기법과 종속성 혼동을 흔히 사용하여 생태계를 해킹하며, 많은 공격가들이 오랜 기간 동안 감지되지 않은 채로 지속되었다.
• 연구는 악성 패키지의 자동 탐지가 사용되는 정교한 기법과 오브스큐레이션 기법으로 인해 성공할 가능성이 매우 낮다는 것을 확인했다.
• 개발자 중심의 위험 평가 도구와 메트릭이 LBE에서 위협을 완화하기 위한 가장 실현 가능한 길로 규명되었다.
• 연구 결과, 패키지나 도구의 취약점을 패치하는 것으로만 보안을 확보할 수는 없다. 체계적인 설계 결함는 아키텍처적·절차적 해결책이 필요하다.