🇰🇷 한글 설명
1.4.0 미만 버전의 openssl_encrypt는 키 정규화 함수에서 솔트(salt)가 없는 HKDF와 정적 정보 파라미터를 사용합니다. 이로 인해 엔트로피 추출 능력이 저하되고 결정론적 특성이 강해져, 동일한 입력에 대해 예측 가능한 키 유도가 가능해집니다. 공격자는 이를 악용하여 다중 타겟 공격에 대한 암호화 보안을 약화시킬 수 있습니다.
💡 쉬운 설명
암호 키를 만드는 과정에서 무작위성이 부족하여 공격자가 키를 예측하기 쉬운 상태입니다. 이로 인해 암호화된 데이터를 해독할 위험이 커집니다.
🇺🇸 원문 (English)
openssl_encrypt versions before 1.4.0 use HKDF with no salt and static info parameter in key normalization functions, reducing entropy extraction and determinism. Attackers can exploit predictable key derivation with identical inputs to weaken cryptographic security against multi-target attacks.
📍 영향받는 시스템
openssl_encrypt versions < 1.4.0
⚔️ 공격 벡터
예측 가능한 키 유도 알고리즘을 이용한 다중 타겟 암호 해독 공격
🛡️ 대응 방법
openssl_encrypt를 1.4.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 1.0.x 또는 1.3.x와 같은 버전이 출력되면 취약한 버전이 설치된 것입니다.
openssl_encrypt --version 2>/dev/null | grep -E '1\.[0-3]\.'