🇰🇷 한글 설명
Nest 프로덕션 기기의 일부 요청에서 libcurl의 CURLOPT_SSL_VERIFYPEER 옵션이 비활성화되었습니다. 이로 인해 트래픽이 통과하는 호스트를 통해 Google 클라우드 서비스로 향하는 요청에 대한 중간자 공격(MITM)이 발생할 수 있습니다.
💡 쉬운 설명
기기가 보안 연결을 확인할 때 인증서를 검사하지 않는 설정 오류가 발견되었습니다. 이로 인해 해커가 중간에서 데이터를 가로채거나 조작할 위험이 있습니다.
🇺🇸 원문 (English)
The libcurl CURLOPT_SSL_VERIFYPEER option was disabled on a subset of requests made by Nest production devices which enabled a potential man-in-the-middle attack on requests to Google cloud services by any host the traffic was routed through.
📍 영향받는 시스템
CURLOPT_SSL_VERIFYPEER 옵션이 비활성화된 Nest 프로덕션 기기
⚔️ 공격 벡터
트래픽이 통과하는 네트워크 경로상의 호스트를 통한 중간자 공격(Man-in-the-Middle)
🛡️ 대응 방법
libcurl 설정에서 CURLOPT_SSL_VERIFYPEER 옵션을 활성화하여 SSL 인증서 검증을 수행하도록 수정
🔧 검증 코드
명령어 결과에서 SSL 인증서 검증 오류가 발생하지 않고 정상적으로 연결되는지 확인
curl -v https://google.com 2>&1 | grep -i 'SSL certificate verify'