CVE-2026-25050 – 인증 타이밍 공격

이 저장소는 NativeAuthenticationStrategy.authenticate() 메서드에 영향을 미치는 타이밍 공격을 시연하는 개념 증명(PoC)을 포함합니다.

이 PoC는 블로그/연구 목적의 기술 데모로 제공됩니다.

취약점

인증 로직은 사용자가 존재하지 않을 때 즉시 반환하는 반면, 사용자가 존재할 때는 비용이 많이 드는 비밀번호 해시 검증을 수행합니다.

const user = await this.userService.getUserByEmailAddress(ctx, data.username);
if (!user) {
    return false;
}

const passwordMatch = await this.verifyUserPassword(ctx, user.id, data.password);

이로 인해 기존 사용자와 비기존 사용자에 대한 인증 시도 간에 측정 가능한 타이밍 차이가 발생합니다.

• 비기존 사용자: 즉시 반환 (~1–5 ms)
• 기존 사용자: 비밀번호 해시 검증 (~200–400 ms, bcrypt 사용 시)

여러 요청에 걸쳐 응답 시간을 측정함으로써, 공격자는 사용자 이름(이메일 주소)이 존재하는지 여부를 신뢰할 수 있게 판별할 수 있습니다.

영향

• 사용자 열거
• 계정 존재 여부 노출
• 표적화된 무차별 대입 공격 용이화
• 피싱 캠페인 용이화

개념 증명

이 PoC는 사용자 이름당 여러 번의 인증 시도를 수행하고 평균 응답 시간을 계산하여 계정을 다음과 같이 분류합니다:

• 비기존
• 기존 (비밀번호 기반 인증)

사용법