Accord 3.3.0 / Client 11

Accord 3.3.0 / Client 11

보안 점검 릴리스예요. 서버·웹 클라이언트·데스크톱 앱 전반의 보안 허점을 막았어요.

서버

• 주소가 이상한 요청 하나로 서버가 통째로 꺼지던 문제를 고쳤어요.
• nginx 같은 리버스 프록시 뒤에서 TRUST_PROXY=1을 켜면 접속자의 실제 IP로 연결·로그인 시도 제한을 걸어요. 예전에는 모두 같은 IP로 보여서 한 사람이 로그인을 여러 번 틀리면 모두가 막혔어요.
• 로그인 전 메시지 크기, 받지 않고 쌓이는 전송량, 동시에 올리는 파일 수에 상한을 뒀어요.
• 채팅 정규식 검색이 복잡한 패턴 하나로 서버를 멈추게 하던 문제를 고쳤어요. 너무 오래 걸리면 검색을 멈추고 알려 줘요.
• 초대 코드를 마구 대입해 채널에 들어오는 것을 막도록 시도 횟수를 제한했어요.

권한

• 접근이 제한된 채팅방 메시지가 그 방을 못 보는 채널 멤버에게도 실시간으로 전달되던 문제를 고쳤어요.
• 다른 채널의 누가 어느 방에 있는지 정보가 모두에게 전달되던 문제를 고쳤어요.
• 채널에서 강퇴되거나 권한이 없어지거나 로그아웃한 뒤에도 메모·그림판·AI방 내용을 계속 받던 문제를 고쳤어요.
• 비밀번호를 바꾸면 지금 쓰는 기기 말고 다른 곳의 로그인은 모두 끊겨요.
• 첨부·이모지·글꼴에는 직접 올린 파일만 쓸 수 있어요. 남의 파일을 첨부했다 지워서 원본을 삭제시키는 것을 막았어요.

AI방

• 한 사람이 동시에 보낼 수 있는 AI 요청은 1개예요. AI방 하나에 대화는 최대 100개까지 만들 수 있어요.
• 읽기 전용 사용자는 방의 현재 대화를 바꿀 수 없어요.
• AI 응답이 도중에 멈추면 시간 제한으로 방 잠김이 풀려요.

웹 클라이언트

• 메모장 참조 링크([이름]: 주소)로 스크립트를 실행할 수 있던 문제를 고쳤어요. 이제 http(s) 주소만 링크가 돼요.
• 스크립트는 서버에 있는 파일만 실행되도록 보안 정책(CSP)을 추가했어요.
• 외부 이미지를 불러올 때 어느 서버에서 보는지 알리지 않아요.

데스크톱 앱

• 모든 서버 인증서를 그냥 믿던 동작을 없앴어요. 자체서명 인증서 서버는 처음 접속할 때 인증서를 기억하고, 나중에 인증서가 바뀌면 계속할지 물어봐요. 서버 인증서를 새로 만들었다면 "새 인증서 신뢰"를 누르면 돼요.
• 앱 창이 접속한 서버 밖의 사이트로 넘어가지 않고, 마이크·화면 권한도 접속한 서버에만 줘요.

알아 둘 점

• 관리자 시드(ADMIN_SEED_PASSWORD)로 기존 계정을 관리자로 올릴 때는 그 계정의 비밀번호가 시드 비밀번호로 바뀌고 기존 로그인이 끊겨요.
• 예전에 올린 파일은 새 메시지에 다시 첨부할 수 없어요.

---

서버를 업데이트하고 앱을 새로 설치해야 해요. 인증서·권한 보호가 데스크톱 앱에 들어 있어요.