•  
  •  
  •  
  •  
  •  
  •  
  •  
  •  
  •  
  •  
더 보기

사무관 yopu 권한 남용 사건(비교)

r225 vs r226
......
3232
그로부터 약 2주 가량이 흐른 무렵, [[yopu]] 前 사무관은 1월 9일 19시경 '''일반적으로는 부여할 수 없는 권한인 [[developer(권한)|developer]] 권한을 부여하였다.'''
3333
3434
하지만 대부분의 이용자는 이를 인지하지 못하였고, 2시간 가량이 흐른 21시 경, [[https://www.alphawiki.org/thread/SharpDistinctGrandioseHour|이에 대한 이의 제기]]가 발의되었다. 이에 yopu 사무관은 '[[namu]]로부터 소유자 권한을 이관받았다'[* yopu 본인 말로는 '[[namu]]로부터 소유주 권한을 이관받았다'고 하지만 진짜인지는 의문이나, 충분히 결론을 도출할 수 있다. 자세한 내용은 [[#과연 진짜 권한을 위임받았는가?|다음 문단]]을 참고하길 바란다.]라며, '테스트를 위해 @narasarang.or.kr 이메일[* 도메인에서 볼 수 있다시피 나라사랑카드 발급시 발급되는 이메일이며, 수검 지역+날짜+4자리 일련번호@narasarang.or.kr 형식으로 생성되는 이메일이다. [[나라사랑카드]]가 [[군인]]에게 발급된다는 특성상 '''사실상 [[R18위키]]가 잡학 위키로 부활하게 된 것'''으로 볼 수 있다.]을 필터링 목록에 추가시켰다'고 덧붙였다. 그리고 다음 날 오후 5시쯤 해당 이의 제기 토론은 닫히게 된다.
35
====# 과연 진짜 권한을 위임받았는가? #====
36
[include(틀:집단연구)]
37
우선 본론으로 들어가기 전, 아래의 사항을 먼저 확인해야 한다.
38
1. 2025년 1월 10일 당시 [[알파위키]], [[더시드위키]], [[위브위키]], [[나무위키]]의 [[the seed]] 버전은 알파위키와 더시드위키, 위브위키는 백엔드 974dd74에 프론트엔드 9cc52ab이며, 나무위키는 백엔드 b3daecd에 프론트엔드 1857e9e이다.
39
1. 나무위키는 the seed forum의 [[https://feedback.theseed.io/posts/1236/cuga-munyi-2|해당 포스트]]를 통하여 일부 수정된 엔진을 사용 중인 것으로 추정된다.[* 이전 리비전 번호를 입력하면 문서명?rev=n이 문서명?uuid=uuid 형식으로 리다이렉트되는 패치가 유력하다.]
40
1. [[https://namu.wiki/w/the%20seed/업데이트#s-2.1|25년 1월 업데이트 목록]]에서도 확인되지 않는 버전이며, 나무위키에 서술된 최신 버전의 업데이트 내용도 알파위키에 적용된 것으로 보아 사실상 같은 버전으로 확인된다.
41
1. 해시가 다른 이유는 위에서 서술한 것처럼 해당 엔진은 커스텀 엔진으로, 컴파일링한 시간이 다르기에 해시가 다른 것으로 추정된다.
42
1. namu는 가장 최근 the seed forum에 모습을 비춘 것도 [[https://feedback.theseed.io/posts/1233/blame-diff-ringkeu-jagdonganham|두]] [[https://feedback.theseed.io/posts/1236/cuga-munyi-2|달]] [[https://feedback.theseed.io/posts/1230/munseo-gajyeoom-teulro-gwageo-ribeojeon-ringkeu-jeobsoghal-si-oryu-balsaeng|전]]으로, 최근까지도 the seed를 관리하고 있다.
43
1. developer 권한은 일반적인 grant 권한으로는 부여할 수 없는 권한으로 추정된다.
44
1. 12월 중에 나무위키를 제외한 the seed 계열 위키가 전부 다운되었다.
45
위 사항을 미루어 보았을 때, 결론은 다음과 같이 나온다.
46
1. 알파위키와 더시드위키, 위브위키에 대한 관리는 계속되고 있다.
47
1. 또한, the seed의 업데이트도 지속되고 있으며, 서버 점검도 되고 있다.
48
1. namu는 '''최근에도 알파위키에 접속하였다.'''
49
1. 따라서 '''yopu는 소유자 권한을 부여받을 수 있는 액세스 권한과 함께 소유자가 행사할 권한을 위임받았을 확률이 매우 높다.'''
50
위의 결론에 도달하는 과정은 다음과 같다.
51
1. 더시드위키와 알파위키, 위브위키의 접속이 불가능해진 것은, 최근까지도 서버 점검과 같은 기본적인 관리가 이루어졌다는 것이다.
52
1. 편집 요청의 '편집 요약'에 볼드체가 들어간 것은 나무위키의 25년 1월 업데이트 내역에 따르면 가장 최신의 업데이트이나, 해당 패치가 적용된 것은 당연하게도 엔진또한 유지 및 보수가 되고 있다는 것이다.
53
1. 위에 서술한 것처럼 [[developer]] 권한은 일반적으로는 부여가 불가능하다.
54
1. 만약 위 2번[* 2번 가설이 거짓일 경우, namu가 알파위키가 어떻게 돌아가는지를 인지하지 못할 테니 액세스 권한을 부여할 수 없다.] 및 3번[* namu가 액세스 권한을 부여한 것이 아니므로 grant 권한에 대한 취약점이 있다는 것이다.] 가설이 거짓이라면 이는 심각한 보안 취약점이 된다.
55
1. 심각한 보안 취약점이 있을 경우, 이미 더시드위키에서 grant 권한의 취약점에 대한 논의가 오고 갔을 것이며, 나무위키 운영회의에서도 거론되며 알파위키로도 넘어왔을 것이다.
56
1. 하지만 이런 소식이 하나도 없었으므로 namu가 직접 액세스 권한을 지급한 것이 사실상 정설이다.
57
1. [[https://www.alphawiki.org/thread/PuzzledTearfulIncandescentBelief|해당 소명 토론]]에 적힌 내용 중에서 '''"namu님께서 직접 권한을 주신 것은 사실이고,"''' 라는 내용이 있으므로 사실상 공식적으로 양도된 것일 가능성이 높다.^^(추가)^^
58
1. 따라서 위 가설은 사실일 가능성이 '''매우 높다.'''
5935
6036
=== 위키 체재 대격변 논의 ===
6137
[[https://www.alphawiki.org/thread/QuickTherapeuticLopsidedDonkey|해당 논의 스레드]]
......