코스모스 SDK의 보안 결함으로 DDoS 공격 가능

블록체인 보안 기업 Oak Security는 코스모스 체인 소프트웨어 개발 키트(SDK)의 취약점으로 인해 네트워크에 대한 분산 서비스 거부(DDoS) 공격으로 이어질 수 있다고 우려를 표명했습니다. 미디엄 게시글에서 Oak Security의 두 연구원인 에드워드 코티시와 크리스티안 바리는 이것이 왜 주요 위험인지 설명했습니다.

연구진에 따르면, 취약점은 BeginBlock 및 EndBlock 함수가 가스 계량 대상에서 제외되어 있다는 사실에 있습니다. 이는 설계상 의도된 것으로, 두 함수가 반드시 사용자 거래에 영향을 미치지 않기 때문에 개발자에게 일부 무료 계산 시간을 제공합니다.

그러나 보안 전문가들은 개발자를 위한 사소한 여지가 실제로 코스모스 기반 네트워크에 여러 가지 방식으로 심각한 피해를 줄 수 있다고 경고했습니다. 여기에는 네트워크 혼잡 유발, 검증자 영향, 또는 완전한 서비스 중단까지 포함됩니다.

그들은 말했다:

“이러한 자유는 양날의 검이 될 수 있으며 잠재적 취약점의 판도라의 상자를 열 수 있습니다. 주요 문제는 가스 제한이 없으면 BeginBlock과 EndBlock의 비최적화되거나 악의적인 코드가 큰 혼란을 초래할 수 있다는 것입니다.”

연구진은 취약점의 잠재적 영향을 테스트하기 위해 실험을 수행했습니다. 하나의 실험에서 그들은 다양한 블록 높이에서 BeginBlock 함수에 5초에서 1분 사이의 지연을 무작위로 도입했습니다.

실험 결과, 전문가들은 지연이 네트워크에서 상당한 혼잡을 초래하여 진행을 늦추고 블록 완성에 필요한 시간을 증가시켰음을 확인했습니다. 이는 검증자에도 영향을 미쳐, 여러 검증자가 필요한 시점에 블록에 서명하지 못하거나 일부는 투표 단계를 완전히 누락했습니다.

당연히 거래에 서명할 수 있는 검증자의 수가 제한적(3분의 2 미만)이었기 때문에 테스트 체인은 일시적인 중단을 경험했습니다. 연구진은 동시에 여러 거래가 발생하여 최종화가 필요한 메인넷에서는 완전한 서비스 중단으로 이어질 수 있다고 지적했습니다.

Oak Security, 개발자를 위한 수정안 권고

한편, 보안 전문가들은 악의적인 행위자가 이를 악용하기 전에 취약점을 수정할 해결책을 권고했습니다. 그들은 과도한 계산을 유발할 수 있는 어떤 공격 벡터도 단순히 추가하지 못하도록 엄격한 계산 한계를 구현할 필요가 있다고 밝혔습니다.

그들은 이 솔루션을 구현하는 세 가지 다른 방법을 식별했습니다. 여기에는 BeginBlock 및 EndBlock 함수에 시간 복잡도를 추가하여 무한히 실행되지 않도록 하거나, 리소스 집약적 작업을 계량된 컨텍스트에 유지하기 위한 컨텍스트 래핑, 그리고 함수의 모든 입력을 검증하는 것이 포함됩니다.

또한, 그들은 취약점이 어떻게 악용될 수 있는지와 그 영향의 잠재력을 결정하기 위해 더 포괄적인 테스트와 시뮬레이션을 촉구했습니다.

그들은 또한 네트워크가 표준 지표에 따라 운영되고 상당한 편차를 감지할 수 있도록 아키텍처 보호 장치와 운영 모니터링을 식별했습니다.

코스모스 SDK, 새 버전 출시

한편, 코스모스 SDK는 아직 보안 보고서에 대해 논평하지 않았으며, 자체적으로 이 문제를 해결할 계획인지 밝히지 않았습니다. 이는 식별된 취약점이 최근 공급망 공격과 같은 보안 경고와 달리 버그나 악성 코드가 아닌 설계 기능이기 때문일 수 있습니다.

다행히도 코스모스 SDK를 사용하는 개발자는 보안 전문가의 권장 사항 대부분을 구현하여 배포하는 내용을 통제하고 DDoS 공격에 취약하지 않도록 보장할 수 있습니다.

흥미롭게도 코스모스 SDK는 최근 버전 v0.53.0을 출시했습니다. X(구 트위터)의 발표에 따르면, 이 버전은 빌더들이 이전 버전에서 제기한 문제점들에 대한 대응입니다.

최신 버전은 reportedly 순서가 정해지지 않은 트랜잭션, 커뮤니티 풀에 대한 향상된 기능, 사용자 정의 거버넌스 메커니즘, 에포크, 사용자 정의 주조 기능을 갖추고 있습니다. 또한 버그 수정이 포함되어 있으며 개발자는 이미 GitHub에서 업그레이드할 수 있습니다.

코스모스 SDK는 개발자가 자신만의 맞춤형 네트워크를 쉽게 구축하고 블록체인의 인터넷이 되기를 목표로 하는 코스모스 블록체인과 통합할 수 있는 도구입니다.