AI 요약
연구진이 켄 톰슨(Ken Thompson)의 '신뢰의 신뢰(trusting-trust)' 공격이 컴파일러에만 국한되지 않음을 증명했다. GNU strip이라는 소스 코드를 검사하거나 생성하지 않는 일반적인 빌드 유틸리티를 대상으로, 완성된 ELF 파일 조작만을 통해 전체 리눅스 배포판을 감염시키는 공격을 성공적으로 구축했다. NixOS 리눅스 배포판의 부트스트랩 과정에서 단 한 번 변조된 strip 바이너리가 시드(seed) 역할을 하여 페이로드가 세대를 거쳐 전파되고, 최종 표준 환경까지 생존함을 입증했다. 실제 nixpkgs 리비전에서 이 공격은 완전한 그래픽 설치 프로그램을 오류 없이 빌드하면서 거의 모든 바이너리에 백도어를 심는 데 성공했다.
핵심 포인트
- 켄 톰슨의 trusting-trust 공격을 컴파일러가 아닌 GNU strip 유틸리티에 적용
- NixOS 부트스트랩 과정에서 변조된 단일 strip 바이너리가 시드로 작동
- 실제 nixpkgs 리비전에서 그래픽 설치 프로그램 전체를 감염시키는 데 성공
- ELF 바이너리 조작만으로 배포판 전반에 백도어 전파 가능함을 실증
향후 전망
- 배포판 부트스트랩 과정의 신뢰 체인에 대한 근본적인 재검토 필요성 대두
- 바이너리 재현성(reproducible build) 및 서명 검증 체계 강화가 시급한 과제로 부상
출처:hackernews