🇰🇷 한글 설명
1.4.9 미만 버전의 openssl_encrypt는 PQC 키파일 및 이중 암호화 파일 비밀번호 검증 시 PBKDF2-HMAC-SHA256의 반복 횟수를 각각 100,000회와 10,000회로 낮게 설정하여 사용합니다. 공격자가 키파일이나 암호화된 파일을 획득할 경우 GPU 또는 ASIC 가속을 이용해 오프라인 무차별 대입 공격(Brute-force)을 수행할 수 있습니다.
💡 쉬운 설명
암호화된 파일을 보호하기 위한 비밀번호 복잡도 설정이 너무 낮아 보안이 취약합니다. 해커가 고성능 컴퓨터를 사용하면 암호를 매우 빠르게 알아낼 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
openssl_encrypt versions before 1.4.9 use under-parameterized PBKDF2-HMAC-SHA256 with only 100,000 iterations to protect PQC keyfile private keys and 10,000 iterations for dual-encryption file-password verification. Attackers who obtain keyfiles or encrypted files can brute-force wrapping passwords offline using GPU or ASIC acceleration.
📍 영향받는 시스템
openssl_encrypt versions < 1.4.9
⚔️ 공격 벡터
획득한 암호화 파일에 대해 GPU/ASIC 가속을 이용한 오프라인 무차별 대입 공격
🛡️ 대응 방법
openssl_encrypt를 1.4.9 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 1.4.9보다 낮으면 취약한 상태이며, 1.4.9 이상이면 안전합니다.
openssl_encrypt --version 2>/dev/null | grep -E '1\[.4-9]'