BTCPay API 키 보안 허점, 업데이트 전까지 주의 필요

비트코인 결제 솔루션 제공 업체인 BTCPay Server의 API 키 보안에 대한 중요한 업데이트가 있었으나, 최신 공개 버전에는 해당 패치가 적용되지 않아 사용자들의 주의가 요구됩니다.

**보안 패치 적용 및 최신 릴리스 간극**

BTCPay Server는 지난 10월 19일, API 키가 특정 스토어에만 적용되도록 하는 광범위한 권한 부여를 서버 전체 또는 계정 단위의 기능까지 만족시키는 보안 허점을 해결하기 위한 패치를 병합했습니다. 이는 API 키를 통합 서비스와 공유하는 판매자들에게 의도치 않게 과도한 권한을 위임할 수 있는 위험을 줄이기 위한 조치입니다.

니콜라스 도리에는 해당 패치(PR #7684)를 프로젝트의 마스터 개발 브랜치에 병합했습니다. 그러나 10월 26일 기준, BTCPay의 공식 릴리스 목록에 공개된 최신 버전은 10월 6일에 공개된 버전 2.4.5로, 이 버전에는 해당 보안 패치가 적용되지 않은 이전의 권한 확인 방식이 그대로 남아있는 것으로 확인되었습니다.

**권한 경계 변화의 상세 내용**

BTCPay의 인증 문서는 API 키를 권한 및 스토어별로 제한되는 통합 자격 증명으로 설명합니다. 이는 애플리케이션이 수행할 수 있는 작업과 해당 작업이 적용되는 스토어라는 두 가지 별도의 제한 사항으로 구성됩니다.

이번에 추가된 회귀 테스트는 단일 스토어에 범위가 지정된 무제한 권한을 가진 키를 사용합니다. 즉, 행동에 대한 광범위한 권한을 가지면서도 적용되는 위치에 대한 별도의 제한이 있습니다. 한 가지 테스트는 관리자 소유의 키가 서버 역할에 대한 접근 권한을 부여받지 못하도록 합니다. 다른 테스트는 일반 사용자의 키가 해당 사용자의 계정을 삭제하는 것을 거부하도록 합니다.

이러한 예시는 광범위한 스토어 범위의 권한 부여를 포함합니다. 이는 송장 전용 키가 관리자 권한을 얻을 수 있음을 확립하지는 않습니다. 서버 수준의 접근은 또한 소유자의 관리자 역할에 따라 달라집니다.

권한 변경 사항은 요청에 해결된 범위가 없을 때 사용되는 폴백(fallback)을 좁힙니다. 이제 모든 스토어의 권한 부여를 수락하는 것은 스토어 권한에 대해서만 허용됩니다. 이 폴백은 더 이상 서버 전체 또는 계정 전체 확인을 만족시키지 않습니다. PR 설명에 따르면, 기존의 범위가 지정되지 않은 관리자 키는 해당 동작을 유지합니다.

권한이 부여된 키 생성 호출이 더 강력한 자격 증명을 생성하는 것을 방지하기 위해, 패치는 또한 호출자의 권한과 요청된 권한을 비교하는 확인을 추가합니다. 관리자의 서버 설정 권한에 국한된 키가 범위가 지정되지 않은 제한 없는 키를 요청할 때 거부되는 것에 대한 추가 테스트가 있습니다.

키 생성은 여전히 별도의 진입 요건을 가지고 있습니다. 셀프 서비스 엔드포인트는 스토어 범위 없이 무제한 권한을 요구하며, 관리자의 사용자 대상 엔드포인트는 서버 설정 수정 권한을 요구합니다. 컨트롤러 변경은 이러한 요건이 충족된 후 호출자가 부여할 수 있는 것에 대한 확인을 추가합니다.

**현재 상황 및 권고 사항**

공개된 PR에서는 확인된 악용 사례, 영향을 받은 판매자 또는 손실에 대한 보고는 없습니다. 그러나 2.4.5 버전의 태그된 권한 처리기 및 키 컨트롤러는 이 PR에 의해 변경된 이전의 확인 사항을 유지하고 있습니다. 따라서 첫 번째 영향을 받는 버전은 아직 명확하지 않습니다.

BTCPay의 문서는 최소한의 유용한 권한을 요청할 것을 권장합니다. 사용자들은 위임된 키의 광범위한 권한 부여 및 해당 소유자의 특권을 검토하여 잠재적인 보안 위험을 최소화해야 합니다. BTCPay Server는 빠른 시일 내에 해당 보안 패치가 적용된 최신 버전을 출시하여 사용자들이 안심하고 서비스를 이용할 수 있도록 해야 할 것입니다.