DOCS/troubleshooting/250827_JWT_인증_보안_취약점_CRITICAL.md

JWT 인증 체계 보안 취약점 - CRITICAL

작성일: 2025-08-27

작성자: 51123 서버 관리자

상태: 🔴 CRITICAL - 인증 우회 가능한 보안 취약점 발견

영향 범위: 51124 전체 서비스 (rb10508_micro, skill-email, skill-news)

위험 수준: 매우 높음

---

1. 문제 요약

🚨 핵심 문제

이중 인증 체계로 인한 보안 취약점

• 웹 경로: JWT + UUID 사용 (rb8001 /api/message)
• Slack 경로: JWT 없이 Slack ID 사용 (rb8001 /api/slack/events)
• 서비스 간 통신: 통일된 인증 체계 없음
• Gateway: /api/stats 엔드포인트 JWT 검증 누락

보안 영향

• 인증 우회: 헤더 조작으로 다른 사용자 행세 가능
• 데이터 접근: 타인의 이메일, 통계 등 민감 정보 접근 가능
• 무결성 파괴: 사용자 식별 체계 불일치로 데이터 오염

---

2. 서비스별 현황 분석

2.1 JWT 인증 구현 상태

서비스/엔드포인트	JWT 인증	user_id 처리	현재 상태
rb8001 /api/message	✅ 구현	UUID (JWT sub)	정상
rb8001 /api/slack/events	❌ 없음	Slack ID 직접 사용	Slack 전용
rb8001 /complete	❌ 없음	"external_service" 고정	내부 API
rb10508_micro	❌ 없음	X-User-Id 헤더 신뢰	🔴 취약
skill-email	❌ 없음	파라미터 user_id	🔴 취약
skill-news	❌ 없음	미사용 중	-

2.2 Frontend API 호출 패턴

엔드포인트	Frontend에서 보내는 헤더	Gateway 검증
/api/chat	Authorization + X-User-Id	JWT 검증 ✅
/api/history	Authorization + X-User-Id	JWT 검증 ✅
/api/items/gmail	Authorization + X-User-Id	JWT 검증 ✅
/api/stats	X-User-Id만	검증 없음 ❌

---

3. 취약점 상세

3.1 이중 인증 체계 문제

# rb8001 - 웹 요청 (/api/message)
@app.post("/api/message")
async def message(auth: str = Depends(verify_jwt_token)):
    user_uuid, username = auth  # JWT에서 UUID 추출

# rb8001 - Slack 요청 (/api/slack/events)  
@app.post("/api/slack/events")
async def slack_events(request: Request):
    slack_user_id = data.get("user")  # JWT 없이 Slack ID 사용

3.2 skill-email - 서비스 간 통신 문제

# rb8001에서 skill-email 호출 시
# 헤더 없이 호출 (Authorization, X-User-Id 모두 없음)
await http_client.post(
    "http://skill-email:8501/api/email",
    json={"user_id": user_id}  # 파라미터로만 전달
)

3.3 Gateway - 일부 엔드포인트 JWT 검증 누락

# /api/stats 엔드포인트 (main.py Line 285)
x_user_id: Optional[str] = Header(None)  # JWT 검증 없음
# 인증 없이 X-User-Id 헤더만 사용
# /api/chat은 JWT 검증하지만 stats는 누락

---

4. 공격 시나리오

시나리오 1: Slack 경로 인증 우회

# Slack 이벤트로 위장하여 직접 호출
curl -X POST http://192.168.219.52:8001/api/slack/events \
  -H "Content-Type: application/json" \
  -d '{"user": "타겟_slack_id", "text": "명령어"}'
# → JWT 없이 명령 실행 가능

시나리오 2: X-User-Id 헤더 조작

# rb10508_micro로 직접 호출
curl http://192.168.219.52:10508/api/chat \
  -H "X-User-Id: 타겟_UUID"
# → JWT 없이 X-User-Id만으로 인증

# Gateway /api/stats 호출
curl http://gateway:8100/api/stats/rb8001 \
  -H "X-User-Id: 임의UUID"
# → JWT 검증 없이 통계 조회

---

5. 해결 방안

5.1 즉시 조치 (Phase 1)

1. Slack 경로 JWT 추가 또는 분리

# 옵션 1: Slack 이벤트에도 JWT 요구
@app.post("/api/slack/events")
async def slack_events(
    request: Request,
    auth: Optional[str] = Depends(verify_jwt_optional)
):
    if not auth:
        # Slack 서명 검증로 대체
        verify_slack_signature(request)
    
# 옵션 2: Slack과 웹을 완전 분리
# Slack 전용 서비스로 분리 고려

2. Gateway /api/stats JWT 검증 추가

# Gateway main.py Line 283 수정
@app.get("/api/stats/{robeing_id}")
async def get_stats(
    robeing_id: str,
    x_user_id: str = Depends(get_verified_user)  # JWT 검증 추가
):
    # 현재는 x_user_id: Optional[str] = Header(None)로 취약

5.2 중기 개선 (Phase 2)

1. 인증 체계 통합

   • Slack과 웹 경로 통합 또는 명확한 분리
   • 모든 서비스에 일관된 인증 정책
   • X-User-Id 헤더 직접 신뢰 제거

2. 서비스 간 통신 보안

   • 내부 API 키 또는 mTLS 적용
   • 서비스 메시 아키텍처 검토

3. 감사 로깅

   • 모든 인증 시도 기록
   • 실패한 접근 모니터링

---

6. 영향도 평가

영역	영향도	설명
보안	🔴 높음	X-User-Id 헤더 조작으로 인증 우회 가능
데이터	🔴 높음	타인 데이터 접근 가능 (조회 위주)
서비스	🟡 중간	일부 서비스만 영향
사용자	🔴 높음	개인정보 유출 위험

---

7. 구현 우선순위

우선순위	작업	담당	예상 시간
1	Gateway /api/stats JWT 검증 추가	로컬 개발자	1시간
2	rb8001 Slack 경로 인증 강화	로컬 개발자	2시간
3	rb10508_micro JWT 구현	로컬 개발자	2시간
4	skill-email 서비스 간 인증	로컬 개발자	3시간
5	통합 테스트	51123 관리자	2시간

---

8. 검증 방법

8.1 보안 테스트

# JWT 없이 접근 시도 - 실패해야 함
curl -X GET http://gateway:8100/api/stats/rb8001 \
  -H "X-User-Id: fake-uuid"
# Expected: 401 Unauthorized

# 유효한 JWT로 접근 - 성공해야 함
curl -X GET http://gateway:8100/api/stats/rb8001 \
  -H "Authorization: Bearer $JWT_TOKEN"
# Expected: 200 OK

8.2 서비스별 검증

• Gateway /api/stats: JWT 없이 접근 → 401
• rb8001 /api/slack/events: Slack 서명 검증 확인
• rb10508_micro: JWT 또는 대체 인증 구현 확인
• skill-email: 서비스 간 인증 방식 확인

---

9. 관련 문서

• UUID vs username 혼용 문제
• JWT 인증 구현
• 시스템 아키텍처

---

10. 결론

🔴 이중 인증 체계 문제 - 통합 필요

확인된 주요 문제:

1. 웹 vs Slack: JWT/UUID vs Slack ID 이중 체계
2. Gateway: /api/stats 엔드포인트 JWT 검증 누락
3. 서비스 간 통신: 통일된 인증 없이 파라미터 신뢰
4. rb10508_micro: X-User-Id 헤더만 신뢰

모든 경로에 일관된 인증 체계를 구축하거나, Slack과 웹을 명확히 분리해야 합니다.

모든 서비스에 JWT 인증을 구현하고, Gateway에서 일관된 검증을 수행해야 합니다.

---

최종 수정: 2025-08-27 19:30 수정 내용: 실제 확인된 사실 기반으로 전면 재작성 확인 경로: 51124 서버 조사, 로컬 코드 분석, Gateway 코드 검토