QSYRUPWD 뒤에 숨겨진 암호: IBM i 비밀번호 해시 재구성

(blog.silentsignal.eu)

Hacker News18시간 전AI 코딩

IBM i 시스템의 QSYRUPWD API를 분석하여 최신 패스워드 보안 레벨(2-4)에서 기존 크래킹 도구가 인식하지 못하는 새로운 암호 해시 구조가 존재함을 밝혀낸 기술적 발견에 관한 내용입니다.

이 글의 핵심 포인트

1QSYRUPWD API는 권한이 있는 호출자에게 암호화된 사용자 비밀번호 데이터를 반환하는 IBM i의 핵심 기능임
2QPWDLVL 0-1은 기존 John the Ripper 도구와 호환되지만, 레벨 2-4는 데이터 구조가 달라 기존 방식으로는 크래킹이 어려움
3연구자는 CL 프로그램을 작성하여 UPWD0100 포맷의 API 출력 버퍼를 직접 분석함
4IBM i의 STRTRC(Call Trace) 기능을 활용해 QSYRUPWD 내부의 함수 호출 흐름을 추적함
5최신 패스워드 레벨에서는 IBM이 공식적으로 문서화하지 않은 새로운 데이터 구조가 존재할 가능성이 높음

이 글에 대한 공공지능 분석

왜 중요한가?

기존 보안 툴링이 최신 시스템 설정에서 무력화될 수 있음을 시사하며, 엔터프라이즈급 레거시 시스템의 보안 취약점 분석 방식에 새로운 기술적 과제를 던집니다.

어떤 배경과 맥락이 있나?

IBM i(구 AS/400)는 금융, 물류 등 핵심 비즈니스 워크로드를 담당하는 중추적인 플랫폼이며, QPWDLVL 설정에 따라 DES, SHA-1, PBKDF2 등 다양한 암호화 알고리즘을 지원합니다.

업계에 어떤 영향을 주나?

보안 솔루션 개발사들은 최신 IBM i 환경에 대응하기 위해 기존 도구의 업데이트가 필요하며, 이는 엔터프라이즈 보안 감사 및 침투 테스트 도구의 고도화를 요구하는 계기가 됩니다.

한국 시장에 어떤 시사점이 있나?

금융 및 제조 분야에서 IBM i를 사용하는 한국 기업들은 레거시 시스템 유지보수 시 최신 보안 프로토콜 적용 여부를 재점검하고, 이에 따른 새로운 형태의 보안 감사 대응 전략을 수립해야 합니다.

이 글에 대한 큐레이터 의견

이번 발견은 엔터프라이즈 환경의 '보안 계층화'가 가져오는 양날의 검을 잘 보여줍니다. 암호 알고리즘이 PBKFT2 등으로 고도화되면서 기존 공격 도구가 작동하지 않는 것은 보안 측면에서 긍정적이지만, 관리자 입장에서는 시스템 복잡도가 증가하고 새로운 형태의 데이터 구조를 이해해야 하는 운영 부담이 발생합니다.

스타트업 창업자라면 이러한 '알려지지 않은 변화'가 보안 솔루션의 기회가 될 수 있음을 인지해야 합니다. 기존 도구가 놓치는 틈새(Blind spot)를 찾아내는 기술력이 곧 강력한 경쟁 우위가 됩니다. 다만, 시스템 구조 분석을 통한 공격 방식의 발견은 기업에 위협이 될 수 있으므로, 방어적 관점에서의 패치 및 모니터링 체계 구축이 병행되어야 합니다.

원문 보기 →