🇰🇷 한글 설명
OpenSSL FIPS Object Module 1.1.1의 PRNG 구현에서 FIPS 자체 검사(self-test) 중 자동 시드(auto-seeding)를 수행하지 않아 예측 가능한 난수가 생성됩니다. 이로 인해 난수성에 의존하는 보안 메커니즘을 우회할 수 있습니다.
💡 쉬운 설명
난수 생성 시스템이 제대로 초기화되지 않아 공격자가 난수 패턴을 예측할 수 있게 됩니다. 이는 암호화나 토큰 생성 같은 보안 기능을 약화시킵니다.
🇺🇸 원문 (English)
The PRNG implementation for the OpenSSL FIPS Object Module 1.1.1 does not perform auto-seeding during the FIPS self-test, which generates random data that is more predictable than expected and makes it easier for attackers to bypass protection mechanisms that rely on the randomness.
📍 영향받는 시스템
OpenSSL FIPS Object Module 1.1.1 및 이전 버전
⚔️ 공격 벡터
FIPS self-test 수행 중 생성되는 예측 가능한 난수를 악용하여 암호화 키나 보안 토큰 예측
🛡️ 대응 방법
OpenSSL FIPS Object Module을 최신 패치 버전으로 업데이트 (1.1.2 이상)
🔧 검증 코드
FIPS 모드 활성화 여부와 OpenSSL 버전을 확인하여 취약한 버전(1.1.1)이 사용 중인지 판단합니다.
openssl version -a 2>/dev/null | grep -i fips