나는 러스트 추종자는 아닌데 아래 글에 오류가 있어서 반박하는 차원에서 글 씀


아래글 링크 https://gall.dcinside.com/mgallery/board/view/?id=github&no=41454&page=1


이 글 내용에 취약점의 95%는 개발자가 잘못짜서 발생하는 '로직 에러(Logic/Design Flaw)'라는 점을 반박하고 싶어서 작성했음


댓글로 반박하기에는 이미지도 필요하고 해서 어쩔 수 없는 부분 양해바라고, 갤을 혼란하게 만들 의도는 없음


1. Microsoft 의 경우

https://msrc-blog.microsoft.com/2019/07/16/a-proactive-approach-to-more-secure-code/



2. 구글 크롬의 경우

https://www.chromium.org/Home/chromium-security/memory-safety/


숙련 된 개발자들도 협업과정에서 취약점이 있는 코드를 작성하기 쉬워서 단순히 교육을 엄격하게 하거나 고지능자를 선별해서 채용하는 것만으로는 부족하다는 점을 알려주고 싶음


물론, 이런 통계를 반박할 수 있는 다른 논리는 실제로 악용되는 취약점은 memory unsafety 문제와 연관 된 게 아니라고 주장 할 수 있음


3번째 통계는 그에 대한 반박인 구글 프로젝트 제로의 Zero-Day In The Wild 임


https://docs.google.com/spreadsheets/d/1lkNJ0uQwbeC1ZTRrxdtuPLCIl7mlUreoKfSIgajnSyY/view


살펴보면 2014년을 제외하고 memory unsafety 문제가 높은 비율을 차지하는 걸 알 수 있음


해당 유형의 취약점들은 또한 높은 확률로 RCE(Remote Code Execution)이 가능한데 이는 심각한 상황을 초래 할 수 있음


대표적인 예시가 2017년에 일어난 WannaCry 랜섬웨어 사건이지


NSA가 보유하고 있던 취약점인 EternalBlue(MS17-010)가 ShadowBrokers 라는 핵티비스트들에 의해 유출 되어 북한이 실제로 악용한 사건임


WannaCry 관련 링크 https://gist.github.com/rain-1/989428fa5504f378b993ee6efbc0b168


가장 최근에 발생한 그에 준하는 사건은 NSO Group 의 ForcedEntry(CVE-2021-30860)취약점 인데 독재 국가들이 언론인들 탄압하는데 사용했고


심지어는 영미권의 정치인들까지 타깃이 된 엄청난 사건임


ForcedEntry 관련 링크 https://citizenlab.ca/2021/09/forcedentry-nso-group-imessage-zero-click-exploit-captured-in-the-wild/


EternalBlue 와 ForcedEntry 는 제로클릭 취약점인데 이는 곧 사용자가 아무런 상호작용 없이 컴퓨터나 스마트폰을 켜놓는 것만으로 해킹당할 수 있음을 의미함

(당연하지만 네트워크에 연결 되어 있고 취약한 소프트웨어가 실행 되고 있어야 함)


결론적으로 보고 되는 비율, 실제로 악용 되는 비율, 취약점의 심각도 전부 따져봐도 단순히 무시하고 넘어 갈 수 있는 건 아니라는 것을 알려주고 싶었고


취약점이 발생하는 것에 대한 모든 비난의 화살을 개발자한테만 돌릴 수 없다는 점을 이야기 하고 싶었음


앞서 언급했지만 러스트 쓰라는 말은 아님 단순히 95%의 취약점이 개발자가 잘못짜서 발생하는 '로직 에러(Logic/Design Flaw)'라는 점을 반박하고 싶어서 작성했음