1초: Open WebUI Windows 마스터 키

knell

기록 타임스탬프 (archive.org): https://archive.org/details/knell-one-second

Open WebUI의 Windows 설치 프로그램은 마스터 시크릿인 WEBUI_SECRET_KEY를 생성합니다. 이 키는 모든 세션 토큰에 서명하는 키로, Windows C 라이브러리의 rand()에서 만들어집니다. rand()는 현재 시각을 초 단위로 한 번 시드하는 선형 합동 생성기입니다. 즉, 키 전체가 설치된 초(second)에 해당합니다. 이 논문은 일반 사용자 자신의 토큰만으로 ±1일 범위에서 2.1초 만에 블라인드 방식으로 마스터 키를 복구하고, 공식 릴리스의 로컬 인스턴스에서 수락되는 완전한 관리자 토큰을 위조합니다. 178개의 릴리스 태그 전부가 이 생성 방식을 포함하고 있습니다. (CVE-2025-15603은 2026년 6월에 이의가 제기되어 거부되었으며, 이 논문은 그 판단을 측정 결과로 대체합니다.)

검증

gpg --import knell-public.asc
gpg --verify whitepaper-openwebui-FINAL-2026-11-04.md.asc

예상 결과: Good signature from "knell", 키 133883AB9F6EDE5B9BA6B82E27BEDAF0CE152F25 지문: 1338 83AB 9F6E DE5B 9BA6 B82E 27BE DAF0 CE15 2F25