Open Relay에서 세션 토큰에 24시간 만료를 부여했습니다

Source: Dev.to

Background

Open Relay (oly)의 보안 감사에서 중요한 문제가 발견되었습니다: 세션 토큰이 절대 만료되지 않았습니다. 인증이 한 번 이루어지면 토큰은 데몬이 재시작될 때까지(며칠이 걸릴 수 있음) 메모리 내 HashSet에 남아 있었습니다. 브라우저 쿠키, 프록시 로그, 혹은 Referer 헤더에서 토큰이 유출되면 무기한으로 유효했습니다.

Implementation

• 토큰 저장소 HashSet을 HashMap으로 교체했습니다.
• 각 TokenEntry는 issued_at 타임스탬프를 기록합니다.
• 인증 시 토큰의 나이를 구성 가능한 TTL(기본값 24시간)과 비교해 검증합니다.
• 만료된 항목은 다음 인증 검사 시점에 지연(lazy) 방식으로 제거되며, 별도의 백그라운드 스레드를 사용하지 않아 메모리 무한 증식을 방지합니다.

Impact

• 유출된 토큰은 이제 자연스러운 만료 날짜를 갖게 됩니다.
• 장시간 실행되는 데몬이 반복 로그인으로 인해 무제한 토큰 항목을 축적하지 않게 됩니다.
• 하위 호환성: 업그레이드 이전에 발급된 토큰은 TTL이 자연스럽게 만료될 때까지 유효합니다.

Other Findings from the Audit

• 모든 사용자를 차단하는 공유 경로 대신 IP별 로그인 잠금 적용.
• TLS 프록시 뒤에서 보안 쿠키 플래그 설정.
• 메모리 고갈 DoS를 방지하기 위한 IPC 라인 읽기 제한.
• X-Forwarded-For 헤더에 대한 보다 엄격한 신뢰 처리.

전체 감사 보고서는 저장소의 docs/SECURITY_AUDIT_REPORT.md에 있습니다.

About Open Relay

Open Relay는 장시간 실행되는 CLI 및 AI 에이전트 세션을 관리 가능한 서비스로 취급합니다: 한 번 시작하고, 분리(detach)한 뒤, 나중에 로그를 검사하고, 필요할 때만 입력을 전송합니다. 이는 내구성 있고 검사 가능한 터미널 세션이 필요한 에이전트 워크플로를 구축하기 위해 설계되었습니다.

Repository: