윈도우에서 'SYSTEM'이 대체 뭐길래
먼저 배경부터 짚을게요. 윈도우 쓰다 보면 '관리자 권한'이라는 말 자주 듣죠. 근데 사실 그 위에 하나가 더 있어요. SYSTEM이라는 계정인데요, 이건 윈도우 운영체제 자기 자신이 쓰는, 그 컴퓨터에서 사실상 가장 높은 권한이에요. 관리자보다도 위죠. SYSTEM을 손에 넣으면 그 PC에서 못 하는 게 거의 없어요. 백신을 끄든, 남의 파일을 읽든, 몰래 프로그램을 심든 다 되거든요.
그래서 보안에서 제일 신경 쓰는 게 권한 상승(privilege escalation)이에요. 이게 뭐냐면요, 평범한 일반 사용자로 로그인한 상태에서 어떤 허점을 이용해 슬쩍 관리자나 SYSTEM 권한까지 올라타는 걸 말해요. 이번에 공개된 MSI Center 취약점이 딱 이 종류예요. 제목 그대로 '몇 초 만에' SYSTEM 권한을 딸 수 있었다는 거죠.
MSI Center가 뭔데 구멍이 났을까
MSI Center는 MSI 메인보드나 노트북을 사면 딸려오는 관리 프로그램이에요. 팬 속도 조절하고, RGB 조명 색 바꾸고, 드라이버 업데이트해주고 그런 일 하는 유틸이죠. 사실 이런 제조사 기본 탑재 소프트웨어(OEM 소프트웨어, 흔히 블로트웨어라고 부르는 것들)가 보안 구멍의 단골손님이에요.
이유가 있어요. 이런 프로그램은 하드웨어를 직접 만지려면 높은 권한이 필요하거든요. 그래서 보통 백그라운드에 SYSTEM 권한으로 계속 돌아가는 서비스를 하나 띄워놔요. 그리고 우리가 보는 화면(UI)은 권한이 낮은 상태로 돌면서, 그 강력한 서비스한테 '이 작업 좀 해줘'라고 명령을 보내는 구조예요. 여기서 사고가 나요. 이 둘 사이의 통로를 허술하게 만들면, 나쁜 마음 먹은 사용자가 서비스한테 엉뚱한 명령을 슬쩍 끼워넣을 수 있거든요.
대표적인 패턴이 이래요. 특권 서비스가 '사용자가 지정한 위치에 있는 프로그램'을 별다른 검증 없이 SYSTEM 권한으로 실행해버리는 경우예요. 그럼 공격자는 자기가 만든 프로그램을 그 위치에 미리 갖다놓고, 서비스를 살살 꼬드겨서 그걸 SYSTEM으로 대신 실행시키는 거죠. 낮은 권한에서 시작했는데 결과물은 최고 권한으로 돌아가는, 전형적인 '통로를 너무 믿은' 실수예요. (구체적인 공격 절차는 방어 목적이 아니라서 여기선 다루지 않을게요.)
사실 MSI만의 얘기가 아니에요
이런 종류의 취약점은 정말 흔해요. 델, 레노버, HP, 에이수스의 아모리 크레이트, 레이저 시냅스 같은 제조사·게이밍 주변기기 유틸에서 비슷한 권한 상승 버그가 계속 발견돼 왔거든요. 특히 레이저 시냅스는 마우스를 USB에 꽂기만 해도 설치 과정에서 SYSTEM 셸이 열리는 버그로 유명했었죠. 공통점은 하나예요. '편의 기능을 위해 강력한 권한의 도우미를 상시로 깔아두고, 그 도우미가 사용자를 너무 믿었다'는 점이요.
개발자가 여기서 배울 것
윈도우용 프로그램을 만드는 분이라면 교훈이 분명해요. 특권을 가진 부분(서비스)과 일반 사용자 부분(UI)을 나눴다면, 그 사이를 오가는 모든 입력을 절대 믿지 말고 검증해야 해요. 실행할 파일 경로, 설정 값, 파일 이름 하나까지요. 이걸 최소 권한 원칙(least privilege)이라고 부르는데, '꼭 필요한 만큼의 권한만, 꼭 필요한 순간에만' 주자는 거예요.
일반 사용자에게도 시사점이 있어요. 안 쓰는 제조사 유틸은 과감히 지우는 게 보안에 좋아요. 기능은 편하지만, 그만큼 공격 표면(공격자가 노릴 수 있는 통로)이 늘어나거든요. 램 조명 예쁘게 켜자고 최고 권한 서비스를 24시간 띄워둘 이유가 꼭 있을까요?
한줄 정리: 편의를 위해 깔린 강력한 도우미 프로그램이 사용자 입력을 함부로 믿으면, 평범한 사용자가 순식간에 최고 권한을 훔칠 수 있다.
여러분 PC엔 지금 몇 개의 제조사 유틸이 백그라운드에서 돌고 있나요? 그중 정말 매일 쓰는 건 몇 개일까요?
🔗 출처: Hacker News