🇰🇷 한글 설명
openssl_encrypt 1.4.0 미만 버전은 표준을 따르지 않는 PBKDF2 키 유도 방식을 사용하며, 반복 횟수가 1로 설정된 루프 구조를 가집니다. 이로 인해 보안성이 검증되지 않은 키 유도 함수가 생성되어, 공격자가 레거시 암호화 파일의 비밀번호를 표준 방식보다 훨씬 효율적으로 해킹할 수 있습니다.
💡 쉬운 설명
암호를 보호하기 위해 복잡한 과정을 거쳐야 하는데, 이 과정이 너무 단순하게 설계되어 있습니다. 덕분에 해커가 암호를 알아내는 데 걸리는 시간이 훨씬 짧아질 수 있습니다.
🇺🇸 원문 (English)
openssl_encrypt versions before 1.4.0 use a non-standard PBKDF2 key derivation construction with iterations=1 per call in an outer loop, creating a KDF whose security properties have not been formally analyzed. Attackers can exploit this weakened key derivation to more efficiently crack passwords protecting legacy encrypted files compared to standard PBKDF2 implementations.
📍 영향받는 시스템
openssl_encrypt 1.4.0 미만 모든 버전
⚔️ 공격 벡터
취약한 키 유도 방식을 이용한 무차별 대입 공격(Brute-force)을 통한 암호 해독
🛡️ 대응 방법
openssl_encrypt를 1.4.0 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 버전 번호가 1.4.0 미만인지 확인합니다.
openssl_encrypt --version 2>/dev/null | grep -E 'version'