접근 제어 우회
공격자가 시스템의 인가 메커니즘을 우회하여 보호된 리소스나 기능에 무단 접근할 수 있는 취약점입니다.
CWE-284로 분류되며 OWASP Top 10 2021에서 1위. 주요 원인: 함수 수준 인가 검사 누락, 인가 결정에 클라이언트 제공 데이터 사용, 개체 수준 검사 불충분(IDOR).
graph LR
Center["접근 제어 우회"]:::main
Pre_authentication["authentication"]:::pre --> Center
click Pre_authentication "/terms/authentication"
Rel_zero_trust_security["zero-trust-security"]:::related -.-> Center
click Rel_zero_trust_security "/terms/zero-trust-security"
classDef main fill:#7c3aed,stroke:#8b5cf6,stroke-width:2px,color:white,font-weight:bold,rx:5,ry:5;
classDef pre fill:#0f172a,stroke:#3b82f6,color:#94a3b8,rx:5,ry:5;
classDef child fill:#0f172a,stroke:#10b981,color:#94a3b8,rx:5,ry:5;
classDef related fill:#0f172a,stroke:#8b5cf6,stroke-dasharray: 5 5,color:#94a3b8,rx:5,ry:5;
linkStyle default stroke:#4b5563,stroke-width:2px;
🧒 5살도 이해할 수 있게 설명
도서관에서 '직원 전용' 방에 들어가려면 특별 카드가 필요하다고 상상해 보세요. 접근 제어 우회는 잠기지 않은 창문을 찾거나, 경비원이 카드를 확인하지 않고 통과시키는 트릭을 찾는 것과 같습니다.
🤓 Expert Deep Dive
공격 유형: IDOR, 경로 순회, 수직적 권한 상승, 대량 할당, 강제 탐색. CWE-284로 분류. 제어 모델: DAC, MAC, RBAC, ABAC. 완화: 기본 거부, 모든 요청에서 서버 측 검증.
❓ 자주 묻는 질문
What is the difference between access control bypass and authentication bypass?
Authentication bypass defeats identity verification (you appear as someone you're not). Access control bypass assumes you may be legitimately authenticated but exploits flaws in permission enforcement — you access resources your account is not authorized to use.
Why is broken access control ranked #1 in OWASP Top 10 2021?
It was found in 94% of applications tested during the OWASP data collection period, with 318,000+ CVEs mapping to this category. It moved from #5 (2017) to #1 (2021) due to its prevalence in modern API-driven architectures where authorization checks are frequently incomplete.
How do I test for IDOR vulnerabilities?
Create two test accounts. Perform actions as Account A and capture the resource IDs (invoice IDs, user IDs, document IDs) in the request. Then replay those requests authenticated as Account B. If Account B can access Account A's resources, IDOR exists.