🇰🇷 한글 설명
Steeltoe는 클라우드 네이티브 애플리케이션 구축을 돕는 오픈소스 라이브러리 모음입니다. Steeltoe.Configuration.Encryption 4.0.0부터 4.1.0 버전에서 encrypt:rsa:algorithm=OAEP 설정을 지정해도 실제로는 OAEP 암호화가 적용되지 않습니다. BouncyCastle 변환 문자열이 잘못되어 OAEP 설정이 DEFAULT와 동일한 PKCS#1 v1.5 알고리즘을 선택합니다. 4.2.0 버전에서 이 문제가 수정되었습니다.
💡 쉬운 설명
암호화 설정에서 더 안전한 OAEP 방식을 선택했다고 생각해도 실제로는 이전 방식이 사용됩니다. 이 때문에 암호화 강도가 기대보다 낮을 수 있습니다.
🇺🇸 원문 (English)
Steeltoe is an open source project that provides a collection of libraries that helps users build cloud-native applications. In Steeltoe.Configuration.Encryption 4.0.0 through 4.1.0, configuring `encrypt:rsa:algorithm=OAEP` does not enable OAEP encryption. Due to an incorrect BouncyCastle transformation string, the `OAEP` setting selects PKCS#1 v1.5, which is the same algorithm as the `DEFAULT` setting. Steeltoe.Configuration.Encryption version 4.2.0 patches the issue.
📍 영향받는 시스템
Steeltoe.Configuration.Encryption 4.0.0 ~ 4.1.0 (.NET 환경)
⚔️ 공격 벡터
RSA 암호화 설정을 OAEP로 지정한 시스템에서 실제 PKCS#1 v1.5가 사용되어, 해당 암호문에 대한 패딩 오라클 등 약화된 암호 방식을 노린 공격이 이론적으로 가능합니다.
🛡️ 대응 방법
Steeltoe.Configuration.Encryption을 4.2.0 이상으로 업그레이드합니다.
🔧 검증 코드
출력된 버전이 4.0.0~4.1.0이면 취약하며, 4.2.0 이상이면 패치가 적용된 상태입니다. 결과가 없으면 해당 패키지가 프로젝트에 없는 것입니다.
dotnet list package 2>/dev/null | grep -i 'Steeltoe.Configuration.Encryption'