Microsoft가 게시 전 공개 글의 편집권을 행사해 일부 내용과 도표를 빼고 피해 규모를 서술하는 방식까지 바꿨다는 건 부끄러운 일임. 이런 행동을 보면 왜 Nightmare Eclipse 같은 일이 생기는지 이해가 됨. 어린 연구자를 압박해 취약점 공개 글의 편집권을 통째로 넘겨받는 건 역겨운 행위임.
공개 글의 편집권까지 요구할 거라면 적어도 100만 달러 포상금은 지급했어야 함.
왜 이런 조건에 동의했는지 더 듣고 싶음. 5,000달러 때문이었을까, 아니면 소송하지 않겠다는 보장을 받았을까?
예전 직장에서 내 퇴사 인사문을 대폭 뜯어고쳤던 일이 떠오름.
독점적 행태와 미국 반독점법 위반을 일삼고, 악명 높은 ‘수용·확장·말살’ 전략까지 개척한 회사라 전혀 놀랍지 않음. 누가 경영하든 Microsoft의 수법은 바뀌지 않음. 빈말이 아니라 실제로 대응하려면 빅테크를 분할해야 함.
포상금 5,000달러는 좀 의아함. 취약점 공격 기법의 가치를 매기기는 어렵고 온라인에 소개되는 사례에는 생존자 편향도 있겠지만, 볼 때마다 금액이 꽤 낮아 보임. https://www.microsoft.com/en-us/msrc/bounty를 보면 해당 프로그램에 따라 상한이 10만 달러 또는 25만 달러인 듯함. 왜 이번에는 5,000달러뿐이었을까?
내가 이해하기로 포상금은 대략 국가 지원 공격자가 들키지 않고 실제 작전에 활용할 수 있는가를 반영함. 최신 OS와 이전 버전에 모두 통하는 iPhone 제로클릭 공격 기법은 수십만 달러의 가치가 있음.
Microsoft에 5,000달러는 푼돈임. 이 아이에게 10만 달러는 줘야 함.
HN을 비롯해 이 업계에서는 이런 버그의 실제 중요성을 크게 과대평가하는 듯함. 낮은 포상금은 대다수가 실제로 별일 아니라는 시장 증거로 볼 수도 있음. 이런 연구에 5,000달러를 지급하지 않는다고 다음 날 조 단위 달러의 피해를 입는 건 아니며, 나중에 소동이 생기면 통상적인 분류·대응 절차로 고치는 정도의 위험일 수 있음.
포상금 프로그램은 보안만큼이나 홍보 수단이기도 하며, ‘보안을 진지하게 다룬다’는 메시지를 유지하는 데 5,000달러가 적당한 비용일 수 있음. 대기업이 이런 프로그램을 운영한다는 사실 자체가 사내에서 선제적으로 찾아 고칠 만큼 심각하게 여기지 않는다는 증거이기도 함.
온라인에서 생각하는 만큼 취약점이 심각하다면, 기업은 공격자보다 앞서기 위해 내부적으로 수백만 달러를 쓰고 하루라도 빨리 대응하려고 심각한 취약점에 수십만 달러씩 지급할 것임. 그렇게 하지 않는 건 대부분의 공격 기법이 별다른 영향을 주지 않거나 실제로 많이 악용되지 않기 때문임.
나쁜 선례를 남긴다고 봄. 가치 있는 정보에는 그만한 대우를 한다는 메시지를 줘야 함. 다음 해커는 이 금액을 암시장 가격과 비교한 뒤 Microsoft에 아예 문의조차 하지 않을 수 있음.
첫 Microsoft 취약점 글을 쓸 때 15세, 지금은 16세라니, 이 회사가 십 대에게 제대로 한 수 배운 셈임!
그 기능을 구현한 담당자가 ‘일단 돌아간다’ 이상으로 조금이라도 신경 썼을 거라는 가정부터 의문임.
Microsoft에는 이런 JWT 문제를 확실하게 피하도록 해주는 내부 라이브러리 Microsoft Identity Service Essentials(MISE) 가 있음. MISE 도입과 최신 버전 업그레이드는 지난 몇 년간 보도된 Secure Future Initiative(SFI) 의 일부였음. 안타깝게도 해당 서비스 팀이 받았을 준수 경고에 대한 조치를 의도적으로 미룬 듯함.
아직도 무시되는 SFI 작업이 산더미임. 일부 서비스는 레드팀이나 보안 연구자, 실제 공격자의 표적이 되어야만 업데이트될 것임.
{"alg":"none","typ":"JWT"}가 어떻게 명세에 들어갔고, 여러 구현체가 그걸 굳이 구현하기까지 했는지 이해하기 어려움.
지금이라도 명세에서 빼고 모든 구현체에서 none 알고리즘을 제거해야 함. 거대한 보안 구멍임.
이미 몇 년 전에도 큰 문제였는데 최신 구현체에 아직 남아 있다는 게 믿기지 않음. 달리 말하면, 대체 얼마나 오래된 구현체를 쓰고 있는 걸까?
OIDC에도 해당하는 문제인가? 잘 모르지만 이것도 JWT를 쓰지 않나? 마찬가지로 잘못 구현하기 쉬운가? alg=none이면 오류를 내는 것만으로 해결되는가?
구현 실수를 명세 탓으로 돌릴 수 없다고 하지만, JWT가 실수를 유발하기 쉽다는 것 자체가 여러 문제 중 하나임.
나도 지원이 워낙 잘돼 있어 토큰을 다루는 데 JWT를 쓰지만, 실수에 취약하기 때문에 토큰 저장 이상의 용도로는 쓰지 않음. 이렇게 쉽게 실수하게 된다는 건 명세 자체의 설계가 좋지 않다는 징후임.
너무 단순화한 건 아닐까? JWT는 아키텍처 수준 버그의 징후이거나, 그런 버그를 가능하게 하는 요소에 더 가까울 수 있음.
Antares가 뭔가? 검색해도 자율 연구가 가능해 보이지 않는 1B 모델밖에 찾지 못했음. 확인해 보니 연구자 본인이 만든 개인용 봇임.
본문에 취약점 탐색에 AI를 도입하면서 개인용 AI 해킹 봇 Antares를 개발했다고 적혀 있음.
이 정도에 포상금이 고작 5,000달러라니 터무니없음. 다만 공격에 그렇게 많은 쿼리를 실행할 필요까지는 없었을 듯함. 지급 기록은 2026년 9월 17일, 5,000달러로 적혀 있음.
대체 none JWT 토큰은 누가 만든 건가? 수년간 치명적인 보안 버그를 너무 많이 일으켰음.