인증 우회(Authentication Bypass)는 로그인 같은 정상적인 인증 절차를 거치지 않은 사용자를 애플리케이션이 인증된 사용자로 잘못 처리하는 취약점입니다. 건물 정문에서는 출입증을 확인하지만 뒷문은 누구나 드나들 수 있는 상황과 비슷합니다. 로그인 로직의 결함, 로그인 여부 확인 누락, 인증을 거치지 않는 접근 경로 등이 원인입니다. 특정 URL이나 API를 직접 호출하면 로그인 없이 기능을 쓸 수 있는 경우도 있습니다.

인증 우회가 있으면 공격자가 다른 사용자의 계정이나 관리자 기능에 접근할 수 있습니다. 그러면 개인정보 조회, 설정 변경, 데이터 수정처럼 로그인한 사용자에게만 허용된 작업을 공격자가 할 수 있게 됩니다.

인증 우회를 막으려면 보호가 필요한 모든 페이지와 기능에서 서버가 직접 로그인 상태를 확인해야 합니다. 화면에서 버튼이나 메뉴를 숨기는 것만으로는 접근을 막을 수 없습니다. 인증 로직은 여러 곳에 따로 구현하기보다 한 곳에서 관리하고 일관되게 적용하는 것이 안전합니다. 또 인증(Authentication)과 권한 부여(Authorization)는 서로 다른 개념이므로 각각 검증해야 합니다. 인증은 사용자가 누구인지 확인하는 것이고, 권한 부여는 그 사용자가 무엇을 할 수 있는지 정하는 것입니다.

대표 사례는 다음과 같습니다. 2022년 Fortinet 보안 장비에서 인증 우회 취약점을 통해 특정 요청으로 관리자 권한을 얻고, 실제 공격에 악용되었습니다. 또한 2024년 Ivanti VPN 장비의 인증 우회 취약점(CVE-2023-46805)이 명령어 삽입 취약점과 함께 대규모로 악용되어 미국 CISA가 연방 기관에 긴급 조치 명령을 내렸습니다.