최근 'Authgent'(오쓰젠트)라는 새로운 오픈소스 도구가 공개되어, 기업용 OAuth(오쓰) 서버의 보안 취약점을 진단하고 국제 표준(RFC) 준수 여부를 평가하는 기능을 제공합니다. 이 도구의 개발자는 30개의 실제 운영 중인 OAuth 서버를 스캔한 결과, 단 한 곳만이 최고 등급인 A를 받았다고 밝혀, 많은 기업의 OAuth 구현에 심각한 보안 문제가 있음을 드러냈습니다.
Authgent는 OAuth 2.1 및 관련 RFC(7591, 7636, 8414, 8707, 9207, 9449, 9728) 표준에 기반한 10가지 이상의 보안 검사를 수행합니다. 특히 'PKCE advertise-drift'와 같은 중요한 취약점을 탐지하며, 이는 메타데이터에서는 안전한 PKCE(Proof Key for Code Exchange) 방식을 광고하지만 실제로는 보안이 취약한 'plain' 방식을 허용하는 문제를 지적합니다. 이 도구는 CLI(명령줄 인터페이스), GitHub 액션 CI(지속적 통합) 게이트, 웹 기반 스캐너 등 다양한 형태로 제공되어 개발자가 쉽게 접근하고 활용할 수 있도록 돕습니다. 스캔에 실패한 경우, Authgent가 제공하는 참조 OAuth 2.1 서버를 설치하여 문제를 해결할 수 있습니다.
Authgent의 등장은 OAuth 기반 인증 시스템을 사용하는 모든 기업에게 중요한 경고 메시지를 던집니다. OAuth는 사용자 인증과 권한 부여의 핵심 기술이지만, 잘못 구현될 경우 심각한 보안 위협으로 이어질 수 있습니다. 이 도구는 개발자와 보안 엔지니어가 자신의 시스템을 객관적으로 평가하고, 잠재적인 보안 허점을 사전에 발견하여 개선할 수 있는 실질적인 방법을 제공합니다. 특히, 오픈소스 형태로 제공되므로 누구나 자유롭게 감사하고 활용하여 전체 OAuth 생태계의 보안 수준을 높이는 데 기여할 수 있을 것으로 기대됩니다.