[AWS Security] 인도 혼다차 민감정보 유출로 보는 S3의 접근제어 [2018.08]

인도 혼다 앱 사용자 5만명 정보 유출

 2018년 5월 30일, 독일 보안회사인 크롬텍이 인도의 혼다차의 S3 버킷이 인터넷에 노출되어 있다는 보고서를 발표했습니다.
 노출된 S3 버킷에서 앱(Honda Connect)을 사용하는 5만여 사용자의 개인정보가 포함되어 있었는데, 크롬텍의 발표에 의하면, 앱에 등록된 이름, 전화번호, 비밀번호, 성별, 메일주소, 연락처, 차에 관한 차량 식별번호, 액세스ID 등이 포함되어 있고, 이를 활용하면 개인정보는 물론 개인의 자동차 위치, 출발지와 행선지, 운전 경로, 운전 습관을 포함한 행동을 파악할 수 있으며, 사는 곳, 일자리, 주요 쇼핑 및 여가 장소등을 따라다니며 스토킹을 하는것과 동일한 효과라 설명하였습니다.

<유출된 정보의 구조와 디렉토리 내용>

 

특히나, 보고서를 발표하기 전에 이미 S3에는 Random Robbie라는 보안 연구자가 2018년 2월 28일 타임스탬프가 찍힌 poc.txt 파일을 남겨, 정보 유출을 경고한 것으로 확인되어, 인도 혼다차 측은 3개월 가량 S3에 대한 관리가 전혀 이루어져 있지 않았다는 것을 말해주고 있습니다.

 

<노출된 S3에 남겨진 poc.txt 파일>

 

보고서가 발표된 후 약 2주후에 해당 정보노출 이슈는 해결된 것으로 보이지만, 이와 같이 S3의 접근제어를 제대로 관리하지 못해 발생하는 이슈는 기업의 입자에서 큰 리스크가 될 수 있습니다.

 

 

 

S3의 접근 제어

S3 버킷 및 객체는 기본적으로 비공개이며, 항상 보호되며, ACL 및 버킷 정책을 사용하여 다른 AWS 계정 또는 공개된 외부의 요청에 대한 액세스 권한을 부여하는 옵션이 있습니다.

새로운 ALC을 통해 퍼블릭 액세스(2019년 11월 문서 업데이트)의 접근을 허용할 수 있으며, ACL을 통해 다른 AWS 계정에 기본적인 읽기/쓰기 권한을 부여할 수 있으며, 프로그래밍 방식 또한 여전히 제공하고 있습니다.

 

이름	설명
새 ACL(액세스 제어 목록)을 통해 부여된 버킷 및 객체에 대한 퍼블릭 액세스 차단	이 옵션을 TRUE로 설정하면 다음과 같은 동작이 발생합니다. · 지정된 ACL(액세스 제어 목록)이 퍼블릭이면 PUT Bucket acl 및 PUT Object acl 호출이 실패합니다. · 요청에 퍼블릭 ACL이 포함되어 있으면 PUT Object 호출이 실패합니다. · 이 설정이 계정에 적용되면, 요청에 퍼블릭 ACL이 포함된 경우 PUT Bucket 호출이 실패합니다.  이 설정을 TRUE로 설정하면 지정된 작업이 실패합니다(REST API, AWS CLI 또는 AWS SDK 등 설정 경로와 상관없이). 그러나 버킷 및 객체에 대한 기존 정책 및 ACL은 수정되지 않습니다. 이 설정을 사용하면 퍼블릭 액세스를 차단하는 동시에 버킷과 객체에 대한 기존 정책 및 ACL을 감사, 미세 조정하거나 변경할 수 있습니다.
임의의 ACL을 통해 부여된 버킷 및 객체에 대한 퍼블릭 액세스 차단	이 옵션을 TRUE로 설정하면 Amazon S3가 버킷의 모든 퍼블릭 ACL 및 거기에 포함된 모든 객체를 무시합니다. 이 설정을 사용하면 ACL에 의해 부여된 퍼블릭 액세스를 안전하게 차단하면서 퍼블릭 ACL을 포함하는 PUT Object 호출을 허용할 수 있습니다(퍼블릭 ACL이 포함된 PUT Object 호출을 거부하는 BlockPublicAcls과 반대). 이 설정을 활성화하면 기존 ACL의 지속성에 영향을 주지 않으며 새 퍼블릭 ACL이 설정되는 것을 방지하지 않습니다.
새 퍼블릭 버킷 정책을 통해 부여된 버킷 및 객체에 대한 퍼블릭 액세스 차단	이 옵션을 TRUE로 설정하면 지정된 버킷 정책이 퍼블릭 액세스를 허용하는 경우 Amazon S3가 PUT Bucket 정책에 대한 호출을 거부합니다. 이 설정을 사용하면 버킷 또는 거기에 포함된 객체를 공개적으로 공유하지 않고 사용자가 버킷 정책을 관리할 수 있습니다. 이 설정 활성화는 기존 버킷 정책에 영향을 주지 않습니다. 중요   이 설정을 효과적으로 사용하려면 계정 레벨에서 적용해야 합니다. 버킷 정책을 통해 사용자가 버킷의 퍼블릭 액세스 차단 설정을 변경할 수 있습니다. 따라서 버킷 정책을 변경할 권한이 있는 사용자는 버킷에 대한 퍼블릭 액세스 차단 설정을 비활성화하도록 허용하는 정책을 삽입할 수 있습니다. 특정 버킷이 아닌 전체 계정에 이 설정이 활성화되면 사용자가 이 설정을 비활성화하기 위해 버킷 정책을 변경한 경우에도 Amazon S3가 퍼블릭 정책을 차단합니다.
임의의 퍼블릭 버킷 정책을 통해 부여된 버킷 및 객체에 대한 퍼블릭 및 교차 계정 액세스 차단	이 옵션을 TRUE로 설정하면 퍼블릭 정책이 있는 버킷에 대한 액세스가 버킷 소유자 계정 내에서 권한 있는 사용자와 AWS 서비스로만 제한됩니다. 이 설정은 AWS 서비스에서 제외한 버킷에 대한 모든 교차 계정 액세스를 차단하지만 계정 내 사용자는 계속 버킷을 관리할 수 있습니다. 이 설정을 활성화하면 기존 버킷 정책에 영향을 주지 않습니다. 단, Amazon S3는 특정 계정에 대한 비공개 위임을 포함하여 모든 퍼블릭 버킷 정책에서 파생된 퍼블릭 및 교차 계정 액세스를 차단합니다.

 

 

또한, 엑세스 제어 목록을 통해서 다른 계정에 대한 권한을 관리하거나, 프로그래밍 방식으로 권한을 제어할 수 있습니다.