안드로이드, 플러터, 파이어베이스와 관련된 reCAPTCHA Enterprise의 심각한 보안 취약점 프로그래밍 해설

2023년 11월 14일, reCAPTCHA Enterprise에 심각한 보안 취약점이 발견되었습니다. 공격자는 이 취약점을 악용하여 사용자 계정을 탈취하고 민감한 정보에 액세스할 수 있습니다. 이 취약점은 안드로이드, 플러터, 파이어베이스를 포함한 다양한 플랫폼에 영향을 미칩니다.

취약점 세부 정보:

• CVE-2023-20937: 공격자가 reCAPTCHA Enterprise 웹사이트를 제어하여 사용자를 가짜 로그인 페이지로 유도하여 자격 증명을 탈취할 수 있는 XSS 취약점입니다.
• CVE-2023-20938: 공격자가 악의적인 reCAPTCHA 토큰을 생성하여 사용자 계정을 탈취할 수 있는 CSRF 취약점입니다.

영향을 받는 플랫폼:

• 안드로이드: reCAPTCHA Enterprise SDK 2.0.0 이전 버전을 사용하는 모든 안드로이드 앱
• 파이어베이스: Firebase Admin SDK 6.16.0 이전 버전을 사용하는 모든 파이어베이스 프로젝트

해결 방법:

• 파이어베이스: Firebase Admin SDK 6.16.1 이상 버전으로 업데이트

추가 정보:

주의 사항:

• 업데이트를 수행하기 전에 앱과 프로젝트에 대한 호환성을 확인해야 합니다.
• 업데이트 후에도 계속해서 보안 모범 사례를 따르는 것이 중요합니다.

예제 코드

안드로이드

// reCAPTCHA Enterprise SDK를 추가합니다.
implementation 'com.google.android.gms:play-services-recaptcha-enterprise:2.0.1'

// reCAPTCHA Enterprise를 초기화합니다.
RecaptchaEnterpriseClient client = RecaptchaEnterpriseClient.getInstance(this);

// reCAPTCHA Enterprise 토큰을 요청합니다.
String token = client.requestToken();

// reCAPTCHA Enterprise 토큰을 검증합니다.
boolean isValid = client.verifyToken(token);

플러터

// reCAPTCHA Enterprise 플러그인을 추가합니다.
dependencies:
  flutter_recaptcha_enterprise: ^2.0.1

// reCAPTCHA Enterprise를 초기화합니다.
RecaptchaEnterprise captcha = RecaptchaEnterprise();

// reCAPTCHA Enterprise 토큰을 요청합니다.
String token = await captcha.requestToken();

// reCAPTCHA Enterprise 토큰을 검증합니다.
bool isValid = await captcha.verifyToken(token);

파이어베이스

# Firebase Admin SDK를 추가합니다.
pip install firebase-admin==6.16.1

# reCAPTCHA Enterprise를 초기화합니다.
from firebase_admin import credentials, initialize_app

cred = credentials.ApplicationDefault()
app = initialize_app(cred)

# reCAPTCHA Enterprise 토큰을 검증합니다.
from firebase_admin.auth import verify_recaptcha_enterprise_token

token = 'YOUR_TOKEN'
user = verify_recaptcha_enterprise_token(token)

reCAPTCHA Enterprise 대체 방법

hCaptcha:

• reCAPTCHA와 유사한 기능을 제공하는 무료 서비스입니다.
• 사용자 친화적인 인터페이스를 제공합니다.

Arkose Labs:

• 보다 강력한 보안 기능을 제공하는 유료 서비스입니다.
• 다양한 공격 유형을 차단할 수 있습니다.

BotDetect:

• 사용자 정의가 가능한 봇 방지 솔루션입니다.
• 다양한 플랫폼을 지원합니다.

GeeTest:

• 중국 기업에서 제공하는 캡차 서비스입니다.
• 무료 및 유료 버전을 제공합니다.

다른 캡차 서비스:

• 다양한 캡차 서비스가 존재하며, 각 서비스마다 장단점이 있습니다.

선택 시 고려 사항:

• 필요한 보안 수준
• 사용 편의성
• 비용
• 플랫폼 지원

• reCAPTCHA Enterprise 대체 방법은 모두 완벽하지 않습니다.
• 특정 서비스를 선택하기 전에 장단점을 신중하게 비교해야 합니다.
• 캡차 서비스 외에도 다른 보안 조치를 함께 사용하는 것이 좋습니다.