바이오인증 시스템 취약점 존재...사전 대응 필요해

[보안뉴스 김태형] 최근 금융과 ICT 부문간 융합을 통한 금융서비스 혁신과 변화가 진행되는 가운데 국내에서도 금융당국의 규제 완화와 핀테크산업 육성 등 금융 IT보안 환경이 혁신적으로 변화하고 있다.

특히, 인터넷전문은행 설립과 금융서비스 환경이 ‘대면·PC에서 비대면·모바일’로, ‘금융회사에서 핀테크기업·이용자 중심’으로 급격히 변화하고 있는 가운데 금융회사는 바이오 인증 기술을 통한 금융서비스 출시 등 새로운 기술과 금융서비스의 융합이 활발해지고 있으며 스마트폰 등 IT 기기의 발전으로 바이오인증(FIDO 등) 기술을 활용한 금융서비스가 금융산업 전반에 확대되는 추세다.

은행은 정맥인증을 통한 셀프뱅킹과 ATM기에 정맥인증과 홍채인증을 시범 적용하고 보험사는 성문인식 방식을 활용한 콜센터 상담, 그리고 카드사는 지문인식을 활용한 카드결제 등 바이오인증 서비스를 본격 도입하고 있다.

이처럼 금융회사에서 지문·홍채·정맥·얼굴·음성 등 개인 고유의 바이오정보를 이용한 바이오인증 서비스를 본격 도입하면서 이에 대한 보안 강화 및 정보유출 위험성에 대한 대응도 더욱 중요해지고 있다.

금융보안원 보안연구부에 따르면, 바이오인증 시스템은 바이오정보 입력부, 특징 추출부, 특징 저장소, 특징 정합부 등으로 구분되며, 보안 취약점은 △위조지문, 고해상도 사진 등 위조된 바이오정보를 센서에 입력해 인증 우회 △저장소에 침투해 기 저장된 바이오정보를 조작·삭제·유출 △불법 취득한 바이오정보를 재생해 인증 △위조된 특징정보를 임의로 생성 △정상적인 특징정보를 임의로 위조된 특징정보로 대체 △특징 정합부에서 인증 결과 값을 임의로 변경 △최종 인증결과를 조작 △저장소에서 정합부로 전송되는 특징정보를 절취 또는 타인의 정보로 대체 등이다.

바이오인증 보안사고 사례를 보면, 바이오정보 위조와 바이오정보 유출이 대부분이며, 그 외에는 바이오인증 시스템을 해킹해 침투할 경우 발생 가능한 취약점이다. 다음은 바이오 정보 위조 사고사례이다.

바이오 정보 위조 사고 사례
△근태관리 악용(2015. 2) - 경북지역 소방 공무원 3명이 2012년부터 2년간 실리콘으로 제작한 위조지문을 이용해 근태관리용 지문인식단말기에 부정 인식해 초과근무수당 수령.

△사진으로부터 지문 복제(컨퍼런스 시연) - 독일의 해커단체 CCC는 독일 국방장관의 기자회견 사진 등 여러 가도의 사진 및 VeriFinger 소프트웨어를 이용해 지문 복제.

△사진으로부터 홍채 복제(컨퍼런스 시연) - 독일의 해커단체 CCC는 구글검색을 통해 러시아 대통령 푸틴의 고해상도 사진을 출력해 홍채 복제(Print attack).

△삼성 갤럭시S5 잠금장치 해제(동영상 시연) - 독일의 시큐리티리서치랩스는 목재용 접착제에 사용자 지문을 복제해 지문인식 잠금장치 해제.

△아이폰 6/5S 지문인식 잠금장치 해제(동영상 시연) - 고해상도 사진을 이용해 실리콘으로 위조지문을 제작, 아이폰6/5S의 지문인식 잠금장치 해제.

한 연구결과에 따르면, 고해상도의 사진을 출력해 홍채인증 시스템을 무력화하는 Print attack의 경우 인증성공률이 62.37%로 나타났다. 바이오정보는 개인마다 다르다는 고유성(Uniqueness)과 시간의 흐름에도 변하지 않는다는 불변성(Permanence)의 특징이 있어 바이오정보가 유출될 경우, 패스워드와 같이 자유로운 갱신이 불가해 지속적인 바이오정보의 악용이 발생할 수 있어 위험하다.

이와 같은 바이오정보 유출에 대응하기 위해서는 다중 바이오인증 또는 추가 인증을 적용해 두 가지 이상의 바이오정보 인증을 만족하도록 하거나, ARS인증, PIN번호 입력 등 추가인증을 함께 적용해 보안수준을 높여야 한다. 또한, 바이오인증 시스템 도입 시 바이오정보 위조식별 기술을 다양하게 제공하고 있는지를 검토하는 방법도 있다.

금융보안원 보안연구부는 아직까지 유출된 지문정보를 악용한 알려진 사례는 없으나 향후 해킹 기술의 고도화 및 바이오인증 시스템의 취약점 발견 시에 악용될 소지가 충분할 것으로 전망했다.

이에 바이오정보 보호 강화를 위해서 각 금융기관은 바이오정보를 암호화해서 보관해야 하며 이름·주민번호·연락처 등 이용자를 알 수 있는 정보와 논리적·물리적으로 분리해 저장해야 한다. 또한, 바이오정보가 유출되더라도 이를 폐기하고 새로운 바이오정보를 재발급 받을 수 있는(Renewable) 바이오인증 시스템 도입을 검토해야 한다. 아울러 해커 또는 악의적인 내부자로부터 바이오정보가 유출되지 않도록 바이오인증 기반시설에 대한 물리적·관리적·기술적 보호조치를 지속적으로 수행할 필요가 있다.
[김태형 기자(boan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>