[Secure] 시간 및 상태 보안 약점

시간 및 상태 보안 약점

동시 또는 거의 동시 수행을 지원하는 병렬 시스템이나, 하나 이상의 프로세스가 동작되는 환경에서 시간 및 상태를 부적절하게 관리하여 발생할 수 있는 보안 약점

 

* 경쟁조건: 검사시점과 사용 시점(TOCTOU)

• 원인 : 병렬 실행 환경의 응용프로그램에서 자원(파일, 소켓 등)을 검사하는 시점과, 자원을 사용하는 시점의 상태가 달라 오동작을 일으키는 경우 발생
• 영향 : 프로그램이 교착 상태(dead lock)에 빠지거나, 경쟁(공유) 자원의 변조나 삭제 및 기타 동기화 오류 등이 발생
• 대응
  • 동기화 구문(Synchronized, Mutex 등) 을  이용하여 한 번에 하나의 프로세스만 접근 가능하도록 프로그램 작성
  • 성능에 미치는 영향을 최소화하기 위해 임계코드 주변만 동기화 구문을 사용

 

* 종료되지 않는 반복문 또는 재귀함수

• 원인 : 재귀함수의 순환 횟수를 제어하지 못하여, 메모리나 프로그램 스택 등의 자원을 과다하게 사용하는 경우
• 영향 : 무한 루프에 빠지게 되고, 자원 고갈을 유발함으로써 시스템의 정상적인 서비스 방해
• 대응 : 모든 재귀 호출 시, 재귀 호출 횟수를 제한하거나, 초기값을 설정(상수)하여 재귀 호출을 제한