원드라이브 파일 선택기 권한 문제 경고

최근 마이크로소프트 원드라이브의 파일 선택기를 통한 파일 업로드 시, 사용자 의도와는 달리 앱에 전체 드라이브 접근 권한이 부여될 수 있다는 경고가 제기되었습니다. 이 문제는 오아시스 시큐리티의 연구에 기반하며, 마이크로소프트의 OAuth 구조와 파일 선택기의 권한 요청 방식에 문제가 있다고 지적되었습니다. 특히, 챗GPT와 많은 웹 기반 서비스가 이 영향을 받을 가능성이 커 사용자 데이터와 기업의 보안에 심각한 위험을 초래할 수 있습니다. 따라서 원드라이브 사용자들은 이 문제를 반드시 인식하고 주의해야 합니다.

🙈 원드라이브 파일 선택기의 권한 요청 문제

최근 오아시스 시큐리티가 발표한 연구에 따르면, 마이크로소프트의 원드라이브 파일 선택기는 애플리케이션이 사용자의 원드라이브 전체에 대해 읽기 및 쓰기 권한을 요청하는 구조를 가지고 있습니다. 이는 사용자가 단일 파일만 선택하여 업로드하려 할 때도 전체 드라이브 접근 권한이 부여될 수 있음을 의미합니다. 이러한 상황은 OAuth의 권한 설정 기능 부족에서 기인하며, 마이크로소프트는 이와 같은 문제를 해결하기 위한 기술적 조치를 강구해야 할 필요가 있습니다.

원드라이브 파일 선택기는 사용자가 웹사이트 및 웹 애플리케이션에서 파일을 쉽게 선택하고 업로드할 수 있도록 도와주는 도구입니다. 하지만 현재 이 도구는 전체 드라이브 수준의 권한만을 부여하도록 설정되어 있어, 파일 단위의 정교한 권한 요청이 불가능합니다. 이러한 문제점은 특히 중요한 기밀 데이터를 업로드할 때 위험을 더욱 증대시킬 수 있습니다.

블랙덕의 비제이 딜왈레는 “원드라이브 파일 선택기가 사용자가 단일 파일만 공유하고자 할 때도 광범위한 접근 권한을 요청한다”고 지적하며, “이 때문에 실제로 앱이 전체 읽기 및 쓰기 권한을 획득하는 양상이 발생한다”고 설명했습니다. 하지만 사용자들은 선택한 파일만이 공유되는 것처럼 보여도, 사실상 전체 정보를 노출할 위험에 처하게 됩니다.

⚠️ 과도한 권한 부여의 함정

오아시스의 연구에 따르면, 대다수의 웹 기반 서비스가 지금 현재 마이크로소프트의 원드라이브 파일 선택기 v8.0을 사용할 때 이와 같은 위험에 노출될 수 있습니다. 특히 챗GPT, 클릭업, 트렐로, 줌, 슬랙 같은 인기 있는 서비스가 이 구조를 채택하고 있어, 사용자들이 안심하고 사용하는 것이 큰 위협이 되고 있습니다. 이는 각종 기업의 기밀 정보나 개인 데이터까지도 위험에 처하게 만들 수 있습니다.

또한, 섹티고 연구원 제이슨 소로코는 이러한 과도한 권한의 부여가 사용자가 의도하지 않은 데이터 유출을 초래할 수 있다고 경고합니다. 사용자가 특정 애플리케이션에 OAuth 접근 권한을 승인할 경우, 이 앱이 그들의 개인 정보 또는 기업의 핵심 정보에 접근할 수 있다는 사실을 인지하고 있어야 하며, 이러한 의식이 부족할 경우 심각한 보안 위협으로 이어질 수 있습니다.

마이크로소프트는 이 문제를 인정하고 개선 의지를 표명하였으나, 구체적인 대응 계획은 제시하지 않았습니다. 따라서 사용자들은 임시방편적인 대응 방안으로, 원드라이브 대신 ‘보기 전용’ 링크를 통한 공유 방식을 고려하거나 구글 드라이브, 드롭박스와 같은 다른 대안을 검토해야 할 것입니다.

🔒 API 보안의 중요성

마이크로소프트의 OAuth 설계 문제는 단순히 파일 선택기의 권한 요청에서 끝나는 것이 아닙니다. API 보안 측면에서 사용자 데이터의 보호와 관련한 매우 중요한 도전 과제가 있습니다. Cyber Security 전문가 에릭 슈웨이크는 “액세스 권한과 관련해 민감한 정보가 안전하지 않은 방식으로 저장되는 상황은 API 보안 측면에서 중대한 문제”라고 짚었습니다. 이러한 문제는 챗GPT와 같이 API를 통해 사용자 데이터를 처리하는 서비스에서 더 큰 위험으로 부각됩니다.

따라서 개발자들은 OAuth 권한 요청을 최소화하고, 사용자 데이터를 안전하게 저장하기 위한 강력한 보안 표준을 준수해야 합니다. 보안팀은 Files.Read 이상의 권한을 요구하는 애플리케이션의 사용을 차단하도록 관리자 승인이나 조건부 접근 정책을 적극 활용해야 하며, 사용자도 그러한 앱 사용 시 경각심을 가져야 합니다.

마지막으로, API 거버넌스를 통해 사용자가 보호받을 수 있는 시스템을 구축해야 합니다. OAuth와 API 권한 최소화 원칙을 기반으로한 강력한 체계를 통해 기업과 사용자 모두의 데이터를 보호할 수 있는 방안을 마련해야 할 때입니다.

이번 연구 결과는 원드라이브 파일 선택기를 사용한 서드파티 애플리케이션의 잠재적인 위험성을 높이 부각시킵니다. 사용자는 이러한 위험을 인식하고, 서드파티 애플리케이션에 대한 접근을 관리하는 데 주의를 기울여야 합니다. 향후 마이크로소프트가 문제 해결을 위한 구체적인 행동에 나설지 귀 추적해야 할 것입니다. 또한, 데이터 보안과 개인 정보 보호를 위한 지속적인 교육과 정책 개발이 필요합니다.

#원드라이브 #파일선택기 #권한오류