디지털 도어 시스템에서 기초적인 취약점이 발견됐다. 무작위 대입 공격을 그대로 허용하는 취약점이다. 여기에 관리자의 NFC 태그 제작 기능이 합쳐지면 공격자는 새로운 출입증까지도 만들 수 있게 된다.

[보안뉴스 문가용 기자] 아이폰(Aiphone)이라는 디지털 도어 시스템 전문 업체의 제품에서 취약점이 발견됐다. NFC 기능이 있는 간단한 모바일 장비만 가지고도 이 취약점을 익스플로잇 해서 아이폰 제품의 접근 제어 기능을 무력화시킬 수 있다고 한다. 이 취약점에 특히 노출된 제품은 GT-DMB-N, GT-DMB-LVN, GT-DB-VN이라고 하며 백악관과 영국 의회 등 주요 건물에 설치되어 있어 취약점에 대한 남다른 주의가 요구되고 있다.


가장 먼저 문제를 발견한 건 노르웨이의 보안 회사 프로몬(Promon)이다. 한 연구원이 비밀번호를 아무리 많이 대입해도 문제가 발생하지 않는다는 것을 찾아낸 것이다. 이를 활용하여 관리자 패스코드를 알아낸 후, 그 관리자 패스코드가 포함된 새로운 NFC 태그의 시리얼 번호를 주입함으로써 승인된 태그로 만들 수 있게 된다는 것도 알아냈다. “키패드를 누르고 들어갈 번호도 획득하고, 무사통과가 가능한 태그도 하나 만들어지는 것이었습니다. 게다가 아이폰 시스템들은 로그를 따로 저장하지도 않습니다. 그래서 악성 행위에 대한 흔적이 하나도 남지 않습니다.”

프로몬 측은 2021년 6월에 이러한 사실을 아이폰에 알렸다. 아이폰 측은 12월 7일 이전에 만들어진 장비들은 수정이 불가하다고 답변했다. 즉 그 이후에 만들어진 장비들만 수정할 수 있다는 뜻이었다. 이 취약점에는 CVE-2022-40903(무작위 대입이 무제한으로 가능하다는 취약점)이라는 번호가 붙었고, 아이폰은 이 취약점에 대해 고객들에게 알렸다.

프로몬은 “사물인터넷 장비들에서 이런 기본적인 보안 장치가 제대로 도입되어 있지 않는 건 흔히 볼 수 있는 일”이라고 말한다. “관리자가 NFC 태그를 추가할 수 있도록 하는 건 관리자 관점에서는 꽤나 유용한 기능이지만 그것 때문에 또 다른 공격의 문이 열린 것이나 다름이 없습니다. 편리만을 생각하다 보안을 생각하지 못하는 것 역시 흔히 볼 수 있는 일입니다.”

보안 업체 벌칸사이버(Vulcan Cyber)의 수석 기술 엔지니어인 마이크 파킨(Mike Parkin)은 “NFC를 무작위 대입 공격으로 뚫어내리라고 아무도 생각하지 못한 듯하다”라고 말한다. “그 가능성을 전혀 생각하지 못한 게 아니라면, ‘누가 NFC 키패드에 아무 암호나 계속해서 입력하겠어?’라고 다들 생각했던 것 같습니다. 그러고는 ‘있을 수 없는 일’이라는 결론을 내리고 아무런 보안 장치 없이 시장에 물건을 내놓았겠죠.”

그러면서 파킨은 “현재 문제는 이렇게 시장에 나오게 된 취약한 물건이 정확히 얼마나 존재하고 있느냐”라고 짚는다. “또한 비슷한 기능을 가진 다른 브랜드의 제품 중 이러한 취약점에 노출된 제품이 얼마나 시장에 존재하느냐 역시 중요한 문제입니다. 무작위 대입을 허용한다는 것, 그리고 그것을 통해 누군가는 출입용 태그를 만들어갈 수 있다는 사실은, 가능성과 불가능성을 따지는 방식으로 접근하기에는 너무나 중대한 위험성입니다.”

프로몬 측은 “NFC와 사물인터넷은 안전하게 보호하기가 까다로운 기술”이라며 “보안 강화를 위해 다른 회사들과 협력하는 등의 움직임을 보이지 않는다면 사업 자체를 꽤나 위험하게 만드는 것”임을 강조한다. “시장에서 좋은 반응을 얻을 만한 제품을 새롭게 개발한다는 것 자체도 이미 대단히 어려운 일입니다. 누구도 만들어본 적 없는 걸 완성도 높게 만들어야 하는데, 쉬울 리가 없죠. 그런 어려운 일이 진행되는 동안 보안이 간과되는 건 당연한 일입니다. 보안을 잘 모르는 사람들이 개발에 투입되어 있기도 하고요. 그러니 외부 전문가를 초빙하여 협업을 해야 합니다.”

보안 업체 노비포(KnowBe4)의 로저 그라임즈(Roger Grimes)는 좀 더 완강한 입장이다. “요즘 시대에 무작위 대입 공격을 그냥 허용하는 제품이라니, 아이폰이 보안의 ‘ㅂ’도 모른다는 걸 증명합니다. 기초적인 것까지도 아예 모르고 있는 회사라는 소리죠. 개인적인 의견이지만 아이폰 제품의 전체 설계 과정과 그 결과물의 품질까지도 의심이 갑니다. 보안의 관점에서 말이죠. 사실 아이폰만의 문제는 아닐 겁니다. 시장에 나온 다른 유사 제품들을 잠깐 조사해도 비슷한 수준의 상품을 쉽게 발견할 겁니다.”

보안 업체 콜파이어(Coalfire)의 CISO 제이슨 힉스(Jason Hicks)의 경우 “원격 접근, VoIP, NFC와 같은 무선 기술들이 계속해서 물리 보안 및 접근 제어 기술에 응용되고 있다”며 “따라서 접근 제어 분야에 새로운 위협들이 생겨날 것이란 건 예고된 것이나 다름이 없었다”고 설명한다. “물리 보안 기술에 IT 기술들이 합쳐진다고 볼 수 있습니다. 그렇다는 건 IT 분야의 보안 기술 역시 물리 보안 장치들에 도입되어야 한다는 뜻이죠. 아직 그러한 움직임이 활발히 일어나고 있지 않은 게 사실입니다.”

보안 업체 비아쿠(Viakoo)의 CEO 버드 브룸헤드(Bud Broomhead)는 “사이버 공격자들 사이에서 사물인터넷 장비들의 인기는 가장 빠르게 올라가는 중”이라고 말한다. “네트워크에 정식으로 연결된 장비이면서 보안이 가장 취약하기 때문”이다. “제조사나 사용자 모두 사물인터넷 장비의 보안에는 거의 아무도 신경을 쓰지 않습니다. IT 팀이나 보안 팀이 관리하지도 않는 경우가 대부분이고요. 예산 상으로는 일종의 자본적 지출로 잡히지, 운영비의 대상으로 잡히지는 않습니다. 패치도 수동으로 진행해야 할 때가 많고, 이는 난이도가 높은 편이죠.”

브룸헤드는 “사물인터넷 장비의 보안을 위한 표준과 규정들이 자리를 잡아야 하고, 사용자들 사이에서도 사물인터넷의 안전한 활용을 위한 베스트 프랙티스가 정립되어야 한다”고 말한다. “사람들의 인식, 규정, 예산 그 어느 측면으로도 사물인터넷의 보안은 철저히 무시되고 있습니다. 지금 사물인터넷 생태계가 안전하다면 그게 더 이상할 지경입니다. 사물인터넷 제조사에만 회초리를 휘둘러도 해결되지 않을 문제입니다.”

3줄 요약
1. 아이폰이라는 디지털 도어 시스템에서 위험한 취약점 발견됨.
2. 취약점 익스플로잇 통해 공격자는 관리자 번호도 알 수 있고, 새로운 태그도 만들 수 있음.
3. 사물인터넷 생태계의 보안은 현재 총체적 난국.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>