🇰🇷 한글 설명
Raspberry Pi Imager 1.9.6 Windows 버전의 OS 커스터마이징 기능에서 문제가 발견되었습니다. '공개키 인증' 설정이 사용자가 UI에서 명시적으로 키를 삭제한 이후에도 Windows 로컬의 id_rsa.pub 키를 라즈베리파이의 authorized_keys 파일에 다시 추가합니다. 이로 인해 의도하지 않은 공격 표면이 생기며, 공격자가 의도된 키 대신 다른 키로 기기에 로그인할 수 있습니다.
💡 쉬운 설명
라즈베리파이를 설정할 때 사용하는 프로그램이 사용자가 지운 보안 키를 몰래 다시 등록합니다. 이 때문에 원래 의도하지 않은 사람이 기기에 접속할 수 있는 통로가 생길 수 있습니다.
🇺🇸 원문 (English)
An issue in Raspberry Pi Imager version 1.9.6 for Windows, affecting its OS customization feature. The imager's 'public-key authentication' setting unintentionally re-adds a user's id_rsa.pub key from their local Windows machine to the authorized_keys file on the Raspberry Pi, even after the user explicitly deletes the key from the user interface. This creates an unintended attack surface, as it could allow an attacker to use a different key than the intended one to login to the device.
📍 영향받는 시스템
Raspberry Pi Imager 1.9.6 (Windows 버전) 및 해당 도구로 설정된 Raspberry Pi 기기
⚔️ 공격 벡터
공격자가 자신의 SSH 공개키가 authorized_keys에 등록된 기기에 키 기반 인증으로 무단 로그인
🛡️ 대응 방법
Raspberry Pi Imager를 1.9.6 이후의 수정된 버전으로 업데이트하고, 기기의 authorized_keys 파일을 점검해 불필요한 키를 제거
🔧 검증 코드
출력된 숫자가 예상한 공개키 개수와 일치하는지 확인하고, 모르는 키가 있다면 해당 항목을 즉시 제거하고 조치를 취합니다.
cat ~/.ssh/authorized_keys 2>/dev/null | grep -c 'ssh-'