비티시페이 API 키 권한 수정 병합…최신 2.4.5엔 빠졌다

비티시페이 서버(BTCPay Server)가 상점 한 곳으로 범위를 제한한 API 키의 권한 검사를 바로잡는 수정안(PR #7684)을 10월 19일 개발 브랜치에 병합했다. 그러나 26일 기준 최신 공개 릴리스 2.4.5는 10월 6일 공개된 버전이어서 이번 수정안이 담기지 않았다.

수정안 제목은 ‘API 키 권한 범위 강제’다. 수정 전에는 한 상점으로 범위가 제한된 키가 서버 전체 또는 계정 단위 권한 확인을 통과할 수 있었다. 제한된 키가 자신이 보유한 범위보다 넓은 권한을 다른 사용자의 키에 부여할 가능성도 있었다고 PR 설명은 밝혔다.

이번 변경은 상점 권한 확인에서만 허용하던 범위 대체 처리가 서버·계정 권한 검사에는 적용되지 않도록 했다. 새 키를 만들 때는 요청한 권한이 호출자의 권한을 넘지 않는지도 확인한다. 서버 전체 권한은 키 소유자가 관리자일 때만 행사할 수 있어, 모든 상점 권한이 서버 권한으로 확장되는 구조는 아니다.

PR에 추가된 테스트는 관리자 키의 서버 역할 접근 거부, 일반 사용자 키의 계정 삭제 거부, 보유 권한을 넘는 키 생성 거부를 다룬다. 비트코인 결제 연동에서 권한 경계가 어디까지 지켜지는지를 코드로 확인하는 항목들이다.

API 키는 쇼핑몰이나 외부 프로그램이 비티시페이 서버의 결제 기능을 호출할 때 쓰는 인증 수단이다. 프로젝트의 API 인증 문서는 키의 작업 권한과 사용 가능한 상점을 각각 제한할 수 있다고 설명하고, 필요한 최소 권한만 요청하도록 안내한다. 이번 수정은 두 제한이 서버·계정 권한 검사와 키 생성 과정에서도 일관되게 적용되도록 하는 변경이다.

코드 병합과 운영 서버의 수정 적용은 별개다. 프로젝트 릴리스 목록에서 26일 기준 최신 버전으로 표시된 2.4.5의 공개일은 10월 6일로, 수정안 병합일보다 이르다. 수정이 담긴 후속 릴리스는 목록에 올라와 있지 않아, 릴리스 목록만으로는 수정이 포함된 배포 버전을 가려낼 수 없다.

Bitcoin Optech는 10월 23일 뉴스레터에서 PR #7684가 Greenfield API 키의 권한 상승 문제를 고쳤다고 정리했다. Greenfield API는 비티시페이 서버의 REST API다.

공개 PR과 프로젝트 문서에서 확인되는 것은 코드 변경과 권한 설계다. 확인된 악용 사례, 피해 상점 수, 금전적 손실은 공개 자료에서 확인되지 않았다.

운영자는 연동에 쓰는 키의 권한과 소유자 역할을 살펴 각 연동에 필요한 범위로 줄일 수 있다. 수정 적용 여부는 후속 버전이 릴리스 목록에 오른 뒤 해당 버전의 코드나 배포 빌드까지 대조해야 판단할 수 있다.

💡 자주 묻는 질문 (FAQ)