자유로운 opensource 이야기

예금의 이자 계산 방식에 대한 얘기다.

토스의 "지금 이자 받기" 기능을 사용하고 있다. 일종의 일단위 복리 개념이라 하루의 몇 백 원이라도 이자를 일단위로 계속 받는다는 것은 즐거운 일이다.

지난주의 일이었다. 예금이 조금씩 증가 하고 있었는데, 어느 날 이자가 줄었다?!

하루에 500원씩 꼬박꼬박 들어오던 이자가 496원이 들어왔다.

뭔가 이상하다.

다음날도 496원이다.

고객센터에 문의했다.

이자 계산 방식을 알려줬다.

하루이자 = (전날 최종 잔액 * 연이율 / 365)

이렇게 하면 세전 이자가 나온다.

세금에는 2가지 종류가 있다. 이자소득세, 지방소득세

이자소득세 = 하루이자 * 14%

지방소득세 = 이자소득세 * 10%

즉, 세후 하루 이자 = 하루이자 - 이자소득세 - 지방소득세

여기까지는 문제가 없다.

문제는 여기서 부터다.

이자소득세와 지방소득세는 10원 이하 절사 한 금액을 반영한다. 즉 이자의 세금은 10원 단위로만 납부하는 것이다.

19원이 나와도 10원, 11원이 나와도 10원의 세금을 내게 된다.

이자가 줄어든 것이 아니라 절사 금액이 아주(!) 많다가 절사 금액이 줄어든 것이다.

즉, 절사 금액이 9원이다가 점점 일정 비율로 증가하다가 절사 금액이 0원이 되는 시점에 이자가 줄어들게 되는 것이다.

그렇다면, 항상 일정한 비율로 예금 잔액이 증가하면 항상 이자가 줄어드는 현상이 발생하는가?

그렇지는 않다.

이자의 원금 자체가 증가하므로 절사 금액은 거기에 묻힌다.

그럼 언제 예금 잔액이 늘었는데 이자가 줄어드는 경우가 발생하는가?

이건 역산을 해 봐야 하는데, 내가 할 일이 아니다. (이런 거 하라고 범용 컴퓨터가 있는 것이라는 게 항상 내 지론 ^^)

(간단한 python 코드는 여기 )

결론적으로 다음과 같다

1,304,000 61 71
2,608,000 122 132
3,911,000 184 194
5,215,000 245 255
6,518,000 307 317
7,822,000 368 378
9,125,000 430 439
10,429,000 491 501
...

즉, 어제 1,303,000원이었을 때는 예금이자가 71원이었는데

오늘 1,304,000원이 되면 예금이자가 61원으로 줄어든다.

나는 현재 저 10,429,000 구간에 있다.

결론적으로는 예금을 카뱅으로 9만 원 빼서 옮겼다. 즉, 읽어버린 10원을 찾았다.

예금이 증가하면 세전 이자 자체가 올라갈 것이고, 절사 금액은 여기에 묻힌다.

하지만 예금 잔액이 저 구간 내에 있다면....

돈을 빼서 다른 곳으로...

문제 번역 : https://steemit.com/topcoder/@skshin/topcoder-ab

기본적인 내용은 원문과 참고(B급프로그래머님 블로그)내용을 확인하면 되고, 추가적으로 발견된 내용들도 계속 보고되고 있다.

http://en.wikipedia.org/wiki/Shellshock_(software_bug)

위 위키피디아의 내용에 따르면 보고된 취약점은 다음과 같은 내용이 포함되어 있다.

1. 최초보고 (CVE-2014-6271)

env x='() { :;}; echo vulnerable' bash -c "echo this is a test"

뒤에 ehco vulnerable 이 실행되면 문제가 된다.

2. 추가보고(CVE-2014-7169)

X='() { (a)=>\' bash -c "echo date"; cat echo

이는 추가적인 문제다. 위의 CVE-2014-6271이 패치됐다고 해도, 문제가 된다.

정상적인 경우라면 bash -c "echo date"가 정상적으로 실행돼야 하지만, 위 결과로 date가 실행된 echo라는 파일이 만들어진다.

즉, date를 충분히 다른 실행명령으로 대체할 수 있게 되고, 그 결과가 echo 라는 파일로 남는 것이다.

3. 추가보고(CVE-2014-7186)

bash -c 'true <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF <<EOF' || echo "CVE-2014-7186 vulnerable, redir_stack"

이 문제는 bash의 redirection stack의 오류를 활용한 것으로 보인다.

<<EOF가 하나일 때에는 문제가 되지 않지만 계속 쌓이면 문제가 된다.

덧붙여서 "||"연산자는 논리 OR연산자이다. 즉, A || B에서 A가 true이면 B와 상관없이(수행없이) true이므로 B가 비교(수행)되지 않아야 한다. 하지만 위 결과로 수행되는 것이다.

4. 추가보고(CVE-2014-7187)

(for x in {1..200} ; do echo "for x$x in ; do :"; done; for x in {1..200} ; do echo done ; done) | bash || echo "CVE-2014-7187 vulnerable, word_lineno"

위의 문제가 redirection stack의 오류를 활용한 것이라면, 이번 문제는 shell 환경 영역의 stack의 한계를 넘어가도록 임의 수행한 결과를 활용한 것이다. 이는 취약점이라고 보기에는 좀 무리가 있어 보인다. 어차피 shell의 run-time의 stack 메모리는 한계가 있기 마련이고, 그에 대한 명령은 실패할 수 있는 경우가 항상 있기 때문이다.

** 문제점을 다시 보니, 다르게 파악한 부분이 있나 보다. 문제점은 다음과 같다.

정확하게 parser에 문제가 있고, 경계를 넘어가는 오류로 인해 crash된다는 것이다.