🇰🇷 한글 설명
openssl-encrypt 파이썬 패키지 1.4.8 이하 버전에서 USB 워크스페이스를 AES-256-GCM으로 암호화한다고 표시하지만, 실제로는 데이터를 평문으로 저장하고 암호화 키를 적용하지 않는 취약점이 발견되었습니다. 이로 인해 사용자가 암호화된 것으로 믿고 저장한 파일이 실제로는 암호화되지 않은 상태로 남게 됩니다.
💡 쉬운 설명
USB를 암호화된 금고처럼 사용한다고 광고하지만, 실제로는 금고 문을 잠그지 않고 물건을 그냥 넣어두는 것과 같습니다. 따라서 USB를 분실하거나 누군가 가져가면 안에 있는 파일을 누구나 쉽게 읽을 수 있습니다.
🇺🇸 원문 (English)
openssl_encrypt (pip package openssl-encrypt) versions <= 1.4.8 advertise a portable USB workspace as an 'Encrypted USB Workspace' with AES-256-GCM encryption and write a marker declaring the workspace encrypted, but the workspace directory is actually stored in cleartext and the derived encryption key is never applied to it. A user who trusts the branding and places files in the workspace leaves them unencrypted on the removable media, so an attacker with physical access to the media can read the sensitive files. Fixed in 1.4.9, which seals the workspace into an authenticated AES-256-GCM vault.
📍 영향받는 시스템
openssl-encrypt (pip package) versions <= 1.4.8
⚔️ 공격 벡터
물리적 접근 (Physical Access)을 통한 저장 매체 내 평문 파일 탈취
🛡️ 대응 방법
openssl-encrypt 패키지를 1.4.9 버전 이상으로 업데이트
🔧 검증 코드
출력된 Version이 1.4.8 이하이면 취약한 버전이며, 1.4.9 이상이면 안전합니다.
pip show openssl-encrypt 2>/dev/null | grep -E 'Version'