클라우드 보안을 바꾼 사건
2026년 업데이트
2022년 LastPass 침해는 주로 비밀번호 관리자에 관한 것이 아닙니다. 신뢰에 관한 것입니다. 기업들은 클라우드 벤더에 데이터를 믿었습니다. 그 신뢰가 깨졌습니다. 원인은 무모함이 아닌 숨겨진 결함이었습니다.
LastPass는 제로 지식 설계를 판매했습니다. 실제로는 제로 지식이 아니었습니다. 2,500만 명의 사용자가 암호화된 볼트를 도난당했습니다.
공격을 가능하게 한 두 가지 결함
사후 검토에서 두 가지 핵심 약점이 발견됐습니다.
취약한 키 설정. LastPass는 키 파생에 PBKDF2를 사용했습니다. 새 계정은 100,100회 반복이 있었습니다. OWASP는 600,000회를 권장합니다. 일부 오래된 계정은 1회 반복만 있었습니다. 적은 반복은 무차별 대입 공격을 빠르고 저렴하게 만듭니다.
평문 메타데이터. 볼트 내용은 암호화됐습니다. 그러나 메타데이터는 암호화되지 않았습니다. URL, 사용자 이름, 서비스 이름이 도난 데이터에서 모두 보였습니다. 공격자들은 각 사용자가 어떤 서비스에 계정을 가지고 있는지 볼 수 있었습니다. 이것이 표적 피싱과 자격 증명 채우기를 가능하게 했습니다.
이 사례는 두 가지 질문을 별도로 해야 하는 이유를 보여줍니다. "설계가 제로 지식인가?"는 하나의 질문입니다. "구현이 올바른가?"는 다른 질문입니다.
2023년의 Okta: 다른 공격, 같은 결과
2023년 10월, Okta는 보안 사건을 보고했습니다. 도난된 자격 증명이 공격자에게 고객 지원 시스템에 대한 접근을 허용했습니다. 공격은 60만+ 지원 기록을 노출했습니다.
LastPass와 Okta는 벤더 침해의 두 가지 주요 경로를 보여줍니다:
- 설계 실패 — 올바르게 구축되지 않은 제로 지식 주장
- 접근 제어 실패 — 민감한 데이터에 접근하는 데 사용된 유효한 자격 증명
제로 지식 설계는 첫 번째 유형을 방지합니다. 유효한 지원 자격 증명을 가진 공격자를 막지는 않습니다. 그러나 그 공격자가 고객 데이터를 읽는 것을 차단합니다.
SaaS 보안 사건 2년간 300% 증가
Obsidian Security는 2022~2024년 SaaS 플랫폼 보안 사건이 300% 증가했음을 발견했습니다.
두 가지 힘이 이를 이끌었습니다. SaaS 사용이 빠르게 성장했습니다. 공격자들이 데이터를 따라갔습니다. 하나의 벤더 침해는 동시에 수십 개의 고객 데이터를 노출할 수 있습니다.
클라우드 벤더에게 할 질문들
암호화 설정:
- 키 파생 알고리즘, 반복 횟수, 메모리 설정을 확인하세요.
- OWASP 최소값을 충족하는지 확인하세요. 이것은 600,000 PBKDF2-SHA256 또는 동등한 Argon2id입니다.
- 키 파생이 귀사 기기에서 실행되는지 확인하세요.
메타데이터 노출:
- 암호화된 콘텐츠 옆에 평문으로 저장되는 메타데이터가 무엇인지 확인하세요.
지원 접근:
- 지원 직원이 고객 데이터에 접근할 수 있는지 확인하세요.
- 지원 시스템이 고객 평문에 접근할 수 없는지 확인하세요.
anonym.legal은 PII 익명화를 위해 제로 지식 아키텍처를 사용합니다. 키 파생은 귀사의 브라우저 또는 데스크톱 앱에서 Argon2id를 통해 실행됩니다. 암호화는 데이터가 기기를 떠나기 전에 이루어집니다. 서버는 복호화할 수 없는 암호문만 저장합니다.