안드로이드 스마트폰의 새로운 취약점이 발견됐다. 사용자 부주의에 의해 설치되는 악성 앱 차원을 넘어 스마트폰 자체에 존재하는 취약점이 계속 문제가 되고 있는 것이다. 최근 스마트폰 취약점을 집중적으로 연구하고 있는 유동훈 아이넷캅 연구소장은 몇가지 안드로이드 스마트폰의 취약점을 공개하고 이에 대한 주의를 당부했다.(우측 이미지 www.flickr.com / by doctorserone)
 
유동훈 소장은 “현재까지 국내 안드로이드 스마트폰 보안은 App 관점에 집중되어 있었다. 그 이유는 지금까지 사용자의 부주의에 의해 설치되는 악성 앱으로 인한 보안 사고가 주를 이루고 있기 때문이다. 하지만 이러한 악성 앱은 사용자가 주의하면 예방할 수 있으며 기존 앱 검증 솔루션이나 백신 등 스마트폰 보안 제품으로 어느 정도 위협을 완화시킬 수 있다”고 말한다.
 
◇샌드박스 보안모델 우회 공격 가능=반면 그는 “정작 심각한 보안 위협은 스마트폰 자체에 존재하는 취약점으로 인한 보안 문제”라며 ”일례로 구글 안드로이드 스마트폰은 기존 리눅스 운영체제를 사용하고 애플의 아이폰은 BSD 유닉스 계열 운영체제를 옮겨온 것이기 때문에 공격자가 운영체제에 존재하는 잠재적인 보안 취약점을 악용하면 스마트폰에서 제공하는 샌드박스 보안 모델을 우회하여 공격할 수 있다”고 경고했다.
 
한 가지 더 심각한 사실은 보안 업데이트가 가능한 PC와는 달리 스마트폰은 보안 업데이트와 같은 대책이 존재하지 않는다는 점이다. 이런 이유로 현재 스마트폰은 OS 업그레이드를 통해야만 취약점을 제거할 수 있다. 이런 환경 때문에 보안 업데이트 기능이 제공되는 PC 및 서버의 OS보다 보안상 위협으로부터 안전하지 않다는 의견이 해당 분야 전문가들로부터 나오고 있다.
 
유동훈 소장은 지난 11월 3일~4일간 열린 POC 2011 컨퍼런스에서 최근에 발견된 안드로이드 보안 취약점을 이용해 커널 악성 코드를 스마트폰에 설치하고 감염된 스마트폰을 대상으로 SMS 문자 메시지를 보낸 후 스마트폰의 사용권한을 제어하는 모습을 시연했다.
 
피해자 스마트폰이 공격자의 제어를 받게 되면 백신에서 탐지하기 어려운 악성코드를 설치 후 동작시킬 수 있으며, 스마트폰 내의 개인정보에 해당하는 기기 정보, 문자, 통화 내역, 주소록, 내장메모리 데이터, 위치 정보 등 중요 데이터들이 외부로 유출될 수 있다.
 
◇스마트폰, 키로거로 금융정보 유출·변조 가능=한편 유 소장은 과거 연구 발표된 사례가 없는 안드로이드 스마트폰용 키로거를 최초로 공개했다. 보안 취약점을 악용해 스마트폰에 침입한 공격자는 사용자가 입력하는 키 값을 기록하는 키로거 프로그램을 설치할 수 있는데 이를 통해 문자, 채팅 내용과 계좌이체 계정과 같은 중요 개인정보를 가로챌 수 있으며 사용자가 입력하는 키 값을 조작하는 공격을 통해 금융거래 정보 변조도 이루어질 수 있다는 것이다.
 
뿐만 아니라 현재 사용되고 있는 스마트폰 키보드 보안 솔루션의 우회 가능성에 대해서도 공개했다.
 
종래 스마트폰 키보드 보안 솔루션은 키 위치를 매번 랜덤하게 이동시키는 방법을 통해 어떤 키가 터치됐는지 공격자가 알지 못하도록 하는 보안 알고리즘을 사용하고 있다. 하지만 유동훈 소장은 취약점 연구를 통해 매번 랜덤하게 키 위치가 변경되더라도 키 값이 노출되는 결과를 발견한 것이다.   
 
유동훈 소장은 “원인은 바로 변경되는 키 좌표의 범위가 크지 않았기 때문이다. 즉 어떠한 특정 단어를 추정할 수 있는 경우가 많았기 때문에 전체 키 배열 자체가 매번 랜덤하게 나오는 방식이 아니라면 키보드 보안 솔루션 우회가 가능하다”고 설명했다.
 
◇인증서 비밀번호도 유출 가능=또한 “키 값이 달라질 때마다 화면을 자동으로 캡처하는 방식의 공격을 시도할 경우 X, Y 좌표 위치를 비교해 어떠한 키 값이 터치됐는지 알아낼 수 있었는데 인증서 비밀번호의 경우 좌표 값을 비교하여 입력 값을 알아냄으로서 인증서 비밀번호가 노출되는 결과가 나타났다”고 밝혔다.  
 
그가 시험 중에 발견한 심각한 문제가 또 하나 있다. 계좌번호나 이체금액을 입력받는 숫자 키패드의 위치가 랜덤하게 변하지 않고 고정 위치에 있는 경우, 공격자에 의해 실시간 변조도 가능하다는 점이다.
 
이러한 취약점에 대해 유동훈 소장은 “스마트폰 키보드 해킹을 방지하기 위한 대책으로는 전체 키 배열 자체가 매번 랜덤하게 나오는 방식을 적용해야 하고 키보드 보안 도구와 화면 캡처 보안 도구를 함께 적용해야 한다. 또 숫자 키패드까지 키 배열 보안을 적용해야 한다”고 권고했다. [데일리시큐=길민권 기자]