월드코인의 오브 소프트웨어, 개인정보 보호 및 보안 감사 통과

샘 알트먼이 공동 설립한 암호화폐 프로젝트 월드코인이 공식 블로그에 '오브 프라이버시 및 보안 감사 보고서'를 공개했다고 PANews가 보도했습니다. 이번 감사는 보안 전문가 트레일 오브 비트(Trail of Bits)가 진행했으며, 일반적인 보안 평가를 넘어 오브와 관련된 일련의 개인 정보 보호 및 기능에 중점을 두고 소프트웨어를 평가했습니다. 평가는 2023년 7월 8일에 동결된 소프트웨어 버전인 SemVer 3.0.10에 대해 2023년 8월 14일에 시작되었습니다. 2024년 3월 14일 현재 Orb에 배포된 소프트웨어 버전은 2024년 1월 17일에 처음 출시된 4.0.34입니다. 감사 결과, 기본 옵트아웃 등록 프로세스의 소프트웨어 구성에서 '홍채 코드' 이외의 개인 식별 정보(PII)가 유출되지 않는 것으로 나타났습니다. 또한 보안을 강화하기 위해 구성을 더욱 강화할 것을 권고했습니다. 기본 옵트인 등록 프로세스가 아닌 경우, PII는 비대칭적으로 암호화되어 Orb의 SSD에 저장되며, 암호화 메커니즘을 통해 Orb가 해독할 수 없습니다. 감사관들은 프로젝트의 목표를 해칠 수 있는 알려진 취약점이나 실행 프로세스를 발견하지 못했습니다. 또한, 최신 코드는 사용자가 데이터 호스팅을 선택했는지 여부에 관계없이 더 이상 데이터를 저장하지 않습니다. 감사관들은 오브가 등록 과정에서 사용자 기기에서 추가 데이터를 추출하지 않고 사용자가 제공한 QR코드 정보만 처리한다는 사실을 확인했습니다. 또한 QR 코드를 스캔하는 라이브러리의 잠재적인 메모리 안전 문제를 지적하고 보안을 강화하기 위한 대체 조치를 취했습니다. 또한 사용자의 홍채 코드는 안전하게 처리되며 오브의 영구 저장소에 저장되지 않습니다. 단 한 번의 요청으로 백엔드로만 전송되며, '보안을 강화하기 위해 이 구성을 개선할 수 있지만(TOB-ORB-10), 일반적인 공격자는 Orb의 네트워크 트래픽에서 홍채 코드를 추출할 수 없어야 하며 공격자는 신뢰할 수 있는 인증서 중 하나를 제어해야 한다'고 지적했습니다.