미국 지방법원이 FBI가 애플과 같은 기업의 데이터를 탐색할 권한을 줄이고, 클라우드플레어의 개인 정보 보안 취약성을 언급했습니다.

FISA(외국인 정보 조사 법률)에 따라 FBI는 애플, 구글 및 인터넷 서비스 공급업체로부터 얻은 데이터를 탐색하는 권한을 한정하고 있습니다.

애플의 IT 서비스 공급자 중 하나에서 클라우드플레어의 개인 정보 보안 결함이 식별되었습니다. 이 결함으로 인해 수백만 명의 웹 및 앱 사용자의 대략적인 위치가 고유하게 노출될 수 있었습니다...

FBI의 FISA 데이터 사용 권한을 제한하라.

미국 기관에게 부여된 가장 논란의 많은 모니터링 권한 중 하나는 외교적 정보 수집법(FISA) 제 702 조입니다.

NSA와 FBI는 기술 회사의 데이터에 접근할 권한을 얻기 위해 FISA 법원에 신청합니다. 이러한 법원 심사를 비밀로 진행되므로 미디어와 공민은 결정을 검토할 수 없습니다. FISA 증거를 요구받아 사용자 데이터에 접근해야 할 경우 회사는 그 사실을 언급하지 않습니다.

외국인 엔터티를 모니터링하기 위한 목적으로 소방청의 스페셜 인증서(SWAT)만 신청할 수 있습니다. 그러나 데이터가 제공되면 그 후에도 미국 시민의 개인 정보를 검색할 수 있으며, 추가적인 승인이 필요하지 않습니다.

아이디어포스트에 따르면, 법원이 이 연습을 불법으로 지판했습니다.

FBI는 미국 시민이나 주민이 외국인과 소통한 정보에 대한 "백도어 검색"을 수행할 수 있었으며, 이는 처음으로 허가를 받지 않고 이루어졌습니다. 판사는 이러한 검색은 허가가 필요하다고 판단했습니다. "그렇게 하면 법원이 Section 702 제반 통신 정보를 모으는 저장소를 만들 수 있게 되며, 이 저장소에서 무제한으로 요청에 따라 검색할 수 있게 될 것입니다," 판사는 쓰셨습니다.

클라우드플레어 개인 정보 보안 결함

많은 웹사이트나 앱을 방문하거나 사용할 때, 첫 번째로 요청이 콘텐츠 전달 네트워크(CDN)으로 보내집니다. Cloudflare는 가장 큰 CDN 중 하나로, 대략 19%의 모든 웹사이트와 앱 서버의 트래픽을 처리합니다.

Cloudflare는 두 가지 역할을 수행합니다. 첫째, 요청이 진짜 웹 또는 앱 사용자 또는 봇으로부터 오는 것처럼 보이는지 확인합니다. 이를 통해 회사는 공격자가 서버를 오프라인으로 만들기 위해 자주 사용하는 일반적인 방법을 감지하고 차단할 수 있습니다. 즉, 동시에 너무 많은 요청을 보내서 서버가 쓰러지는 것을 의미하는 DDoS(분산 거부 서비스) 공격입니다.

Cloudflare는 세계의 수백 개의 도시에서 서버 데이터의 캐시 복사본을 유지합니다. 가장 가까운 캐시에서 데이터를 제공함으로써 주요 서버에 대한 트래픽을 줄일 수 있습니다.

애플은 클라우드플레어의 고객 중 하나이며, 그들의 서비스를 iCloud Private Relay에 사용하고 있습니다.

보안 연구원은 요청을 처리한 CDN 서버를 알아내는 방법을 찾았으며, 이를 통해 대략적인 위치를 파악할 수 있었습니다.

보안 연구원인 다니엘은 대상에게 이미지를 보내고 URL을 수집한 후 사용자 정의 도구를 사용하여 클라우드플래어를 통해 어떤 데이터 센터가 이미지를 제공했는지 확인했습니다. 따라서 대상이 있는 주 또는 도시를 알 수 있었습니다.

그는 이 문제를 Cloudflare에 보고했으며, 이제 그 문제가 해결되었습니다.

사진: FBI