웹 보안 전문가를 위한 프록시 도구인 Caido(카이도)에 새로운 플러그인 'Disclosure Lookup'이 등장했습니다. 이 플러그인은 보안 연구원들이 웹사이트에서 취약점을 발견했을 때, 해당 취약점을 어디에 보고해야 하는지 자동으로 찾아주는 기능을 제공합니다. 기존에는 수동으로 정보를 검색해야 했던 번거로움을 크게 줄여주어, 취약점 신고 과정을 효율화할 수 있게 되었습니다.
'Disclosure Lookup' 플러그인은 사용자가 Caido 내에서 요청(request)을 마우스 오른쪽 버튼으로 클릭하거나 HTTP 기록에서 항목을 선택한 후 'Find disclosure contact' 메뉴를 선택하면 작동합니다. 그러면 lookup.disclose.io의 무료 API를 통해 해당 호스트의 소유 조직, 관할권, 그리고 보안.txt(security.txt), 버그 바운티 프로그램, VDP(취약점 공개 프로그램) 이메일, PSIRT(제품 보안 사고 대응팀) 디렉터리, 국가 CERT(침해사고대응팀) 등 우선순위가 지정된 신고처 목록을 보여줍니다. 각 연락처는 '확인됨(verified)' 또는 '미확인(unverified)'으로 표시되어 신뢰도를 파악할 수 있습니다. 이 플러그인은 Caido의 샌드박스 자바스크립트 런타임에서 백엔드 호출을 처리하여 UI 프로세스에 영향을 주지 않는 아키텍처를 가지고 있습니다.
이 플러그인의 출시는 보안 연구원들이 취약점을 발견한 후 보고하는 데 드는 시간과 노력을 크게 절감할 수 있게 해줍니다. 특히, 보안.txt 파일이나 복잡한 웹사이트 구조 속에서 연락처를 찾는 데 어려움을 겪었던 연구원들에게 유용할 것입니다. 또한, lookup.disclose.io의 개방적이고 무료인 API를 활용함으로써, 보안 커뮤니티 전체가 더욱 투명하고 효율적인 취약점 공개 프로세스를 구축하는 데 기여할 것으로 보입니다. 이는 궁극적으로 기업의 보안 강화와 사용자 보호에 긍정적인 영향을 미칠 것입니다.