Padding Oracle 취약점

1. 패딩 오라클 취약점이란? 

(1) Padding이란? 

패딩은 데이터를 블록 크기에 맞추기 위해 추가하는 바이트이다. 

블록 암호화는 데이터를 일정한 크기(예: 16바이트)의 블록으로 나누어 암호화하는 방식이다.

하지만 암호화하려는 데이터(=평문)가 블록 크기의 배수가 아닐 수 있다.

예를 들어, 19바이트 메시지를 16바이트 블록으로 암호화하려면 어떻게 해야 할까?

바로 이때 패딩(padding)을 사용하는 것이다.

 

(2) oracle이란 ?

오라클은 어떤 질문에 대해 참(True) 또는 거짓(False) 같은 피드백이나 유용한 정보를 제공하는 시스템을 의미한다.

즉, 공격자가 어떤 입력을 주었을 때 시스템이 그것이 올바른지 아닌지를 알려주는 역할을 하는 것이다. 

(오라클 회사와 전혀 상관없는 용어)

 

따라서, 오라클 패딩 취약점은 블록 암호(CBC 모드)에서 패딩 오류 메시지를 이용해 암호문을 복호할 수 있는 취약점이다.

쉽게 예시를 들어보자면

1. 비밀 금고와 경비원: 암호화된 메시지는 금고 안의 비밀이고, 경비원(서버)은 금고를 지키고 있다.
2. 경비원의 반응: 누군가 금고에 접근할 때마다 경비원은 두 가지 반응을 보인다.
   • "금고 문이 제대로 닫혀 있네요" (패딩이 올바름)
   • "금고 문이 이상하네요" (패딩이 잘못됨)
3. 도둑의 방법: 도둑(공격자)은 금고 문을 조금씩 조작하면서 경비원의 반응을 관찰한 다. 이 반응만으로도 금고 안의 비밀을 하나씩 알아낼 수 있다.

2. 블록 암호

(1) 블록 암호란?

블록 암호는 고정된 크기의 블록 단위로 데이터를 암호화하는 방식이다.

가장 널리 사용되는 블록 암호로는 AES, DES, 3DES 등이 있다.

 

주요특징: 

• 일정한 크기(예: AES는 128비트 = 16바이트)의 블록 단위로 처리
• 동일한 키를 사용하여 암호화/복호화
• 단독으로는 한 블록만 암호화 가능

(2) CBC(Cipher Block Chaining) 모드

블록 암호는 단독으로 사용하면 같은 평문 블록은 항상 같은 암호문 블록이 된다.

📌 같은 입력 + 같은 키 → 같은 출력

블록 암호(예: AES, DES 등)는 기본적으로 입력(평문 블록)과 키를 동일하게 주면 항상 동일한 암호문 블록을 생성한다.
즉, 같은 평문 블록을 암호화하면 항상 같은 암호문 블록이 나오는 결정적 특성(deterministic)을 가지기 때문이다.

🎯예제

AES-128을 ECB(Electronic Codebook) 모드에서 사용할 경우: 

- 평문 블록암호화(AES + 고정된 키) 암호문 블록

HELLO123	AES(HELLO123, KEY)	A1B2C3D4
HELLO123	AES(HELLO123, KEY)	A1B2C3D4
WORLD456	AES(WORLD456, KEY)	X9Y8Z7W6

• 같은 평문(HELLO123)이 입력되면, 같은 키(KEY)를 사용했을 때 항상 동일한 암호문 블록(A1B2C3D4)이 생성됨.
• 이는 패턴이 반복될 경우 보안에 취약할 수 있다.

ECB 모드처럼 블록 암호를 단독으로 사용하면 같은 평문 블록이 항상 같은 암호문 블록으로 변환되기 때문에, 공격자가 암호문의 패턴을 분석해서 일부 내용을 유추할 가능성이 높다.

➡ 해결책: IV(초기화 벡터)를 사용하는 CBC, CTR 등의 블록 암호화 모드를 사용하면 패턴 반복을 방지할 수 있다

이 약점을 보완하기 위해 여러 운용 모드가 개발되었고, 그중 하나가 CBC 모드이다.

 

CBC 모드 특징:

1. 이전 블록의 암호문이 다음 블록의 암호화에 영향을 줌
2. 첫 번째 블록은 초기화 벡터(IV)와 XOR 연산 후 암호화
3. 각 블록은 평문과 이전 블록의 암호문을 XOR한 후 암호화

CBC 모드 암호화 과정 - 여기서 E는 암호화 함수, P는 평문 블록, C는 암호문 블록, K는 키, IV는 초기화 벡터이다.

CBC 모드 암호화 과정:  
C₁ = E(P₁ ⊕ IV, K) 
C₂ = E(P₂ ⊕ C₁, K) 
C₃ = E(P₃ ⊕ C₂, K) ...

 

1. 첫 번째 블록 암호화:
   • 평문 첫 번째 블록(P₁)과 초기화 벡터(IV)를 XOR 연산한다,
     • XOR은 두 값이 다르면 1, 같으면 0이 됨
   • 그 결과를 키(K)로 암호화하여 첫 번째 암호문 블록(C₁)을 만든다.
2. 두 번째 블록 암호화:
   • 평문 두 번째 블록(P₂)과 이전에 만든 암호문 블록(C₁)을 XOR 연산한다.
   • 그 결과를 키(K)로 암호화하여 두 번째 암호문 블록(C₂)을 만든다.
3. 세 번째 블록 암호화:
   • 평문 세 번째 블록(P₃)과 이전에 만든 암호문 블록(C₂)을 XOR 연산한다.
   • 그 결과를 키(K)로 암호화하여 세 번째 암호문 블록(C₃)을 만든다.

*쉽게 말하면 이전 블록과 XOR 연산한 값을 Key를 이용해서 암호화하는 방식 

 

CBC 모드 복호화 과정 - 여기서 D는 복호화 함수이다.  

 P₁ = D(C₁, K) ⊕ IV 
 P₂ = D(C₂, K) ⊕ C₁ 
 P₃ = D(C₃, K) ⊕ C₂ ...

1. 첫 번째 블록 복호화:
   • 암호문 첫 번째 블록(C₁)을 키(K)로 복호화한다.
   • 그 결과와 초기화 벡터(IV)를 XOR 연산하여 평문 첫 번째 블록(P₁)을 얻는다.
2. 두 번째 블록 복호화:
   • 암호문 두 번째 블록(C₂)을 키(K)로 복호화한다.
   • 그 결과와 첫 번째 암호문 블록(C₁)을 XOR 연산하여 평문 두 번째 블록(P₂)을 얻는다.
3. 세 번째 블록 복호화:
   • 암호문 세 번째 블록(C₃)을 키(K)로 복호화한다.
   • 그 결과와 두 번째 암호문 블록(C₂)을 XOR 연산하여 평문 세 번째 블록(P₃)을 얻는다.

*쉽게 말하면 키로 복호화 하고, 이전 블록과 XOR 연산하면 복호화 완료

** 키로 복호화만 한 값을 중간값이라고 함 

3. 패딩 오라클 취약점 공격 

(1) 공격 전제 조건

• 암호화는 CBC 모드를 사용
• 서버는 패딩이 올바른지 여부를 알려줌(오류 메시지, 응답 시간 차이 등)
• 공격자는 암호문을 수정하여 서버에 보낼 수 있음

(2) PKCS#7 패딩 

대부분의 암호화 시스템은 PKCS#7 패딩을 사용한다.

• 패딩 바이트의 값은 패딩의 길이와 같음
  • 예: 1바이트 패딩 → 01, 2바이트 패딩 → 02 02, 3바이트 패딩 → 03 03 03
  • 블록 크기가 16바이트이고, 패딩이 5바이트 필요하면 → 05 05 05 05 05

 

(3) 공격 시나리오 

- 블록크기: 8바이트

- 암호문 [C₁][C₂]가 공격자에게 주어졌다고 가정

- 공격자가 C₂의 평문을 알아내는 시나리오

이 사진을 계속 기억하면서 봐야 이해가 쉽다

1️⃣ 마지막 바이트 알아내기

1. 공격자는 임의의 블록 C'₁을 만들어 [C'₁][C₂] 형태로 서버에 보낸다.
2. C'₁의 마지막 바이트를 0~255까지 바꿔가며 서버의 응답을 확인한다.
   • 서버는 C₂를 복호화하여 중간값(I₂)을 얻는다.
   • 서버는 이 중간값과 공격자가 보낸 C'₁을 XOR 연산한다: P'₂ = I₂ ⊕ C'₁
   • 서버는 이 결과(P'₂)의 패딩이 올바른지 확인한다. 
     • 마지막 바이트 값(n)을 읽는다.
     • n이 블록 크기보다 작거나 같은지 확인
     • 마지막 n개의 바이트가 모두 값 n을 가지는지 확인 -> 따라서 이때는 마지막 1바이트만 확인 
     • 모든 조건이 만족되면 패딩이 올바른 것이다.

- 서버 응답 분석 과정 

1. 특정 값 X에서 "올바른 패딩" 응답이 오면 패딩이 01이 됨  → 다음 식이 성립한다.
   • 중간값 I₂[8] = 복호화된 C₂[8] = C'₁[8] ⊕ 01
2.  이 중간값을 이용해 평문의 일부를 알아낼 수 있다:
   • P₂[8] = I₂[8] ⊕ C₁[8] 
   • 여기서 C₁[8]은 원래 암호문 C₁의 마지막 바이트

2️⃣ 마지막에서 두 번째 바이트 알아내기

이제 두 번째 바이트(P₂[7])를 알아내기 위해 패딩을 02 02로 조작한다.

1. 이전 단계에서 중간값 I₂[8]을 알아냈다.
2. 이제 마지막 바이트가 02가 되도록 조작해야 한다.
   • PKCS#7 패딩 규칙에 따르면, 2바이트 패딩은 02 02가 되어야 함
   • 마지막 바이트를 02로 만들기 위해: C'₁[8] = I₂[8] ⊕ 02 
   • 이렇게 하면 복호화 결과의 마지막 바이트는 항상 02가 된다.
3. 마지막에서 두 번째 바이트도 02가 되도록 해야 한다.
   • C'₁[7]을 0~255까지 바꿔가며 시도
   • 이때 어떤 값 Y에서 "패딩이 올바름" 응답이 오면, 마지막 두 바이트가 02 02가 되었다는 의미
   • 즉, I₂[7] ⊕ Y = 02가 성립합니다.
   • 따라서 I₂[7] = Y ⊕ 02로 중간값을 계산할 수 있다.
4. 원본 평문 계산
   • P₂[7] = I₂[7] ⊕ C₁[7]

3️⃣ 나머지 바이트 알아내기 (반복)

위 과정과 동일한 방식으로, 패딩을 03 03 03, 04 04 04 04 이런 식으로 유지하면서 모든 바이트를 해독한다.

• 마지막 3바이트를 해독할 땐 03 03 03이 유지되도록 조작
• 마지막 4바이트를 해독할 땐 04 04 04 04가 유지되도록 조작
• 마지막 5바이트를 해독할 땐 05 05 05 05 05가 유지되도록 조작

→ 이런 방식으로 모든 바이트를 하나씩 알아낼 수 있음!

 

 

[참고] 

https://core-research-team.github.io/2020-03-30/Padding-Oracle-Attack#padding-oracle-attack-%EA%B0%9C%EC%9A%94

https://ko.wikipedia.org/wiki/%EB%B8%94%EB%A1%9D_%EC%95%94%ED%98%B8_%EC%9A%B4%EC%9A%A9_%EB%B0%A9%EC%8B%9D