시큐어연구회 이경태 회장은 “무인민원발급기가 전국에 1445대가 설치돼 있다. 하지만 무인민원발급기의 정보보호 관리체계 수준은 그동안 전혀 고려되지 않은 상태였다. 지난 2월 초, 무인발급기를 조사해 이들이 가지고 있는 취약점을 공개했고 행정자치부가 이를 수용해 발빠르게 대응해 다행이라고 생각한다”고 밝혔다.

당시 문제점들로 지적된 것은 관리적 보안 진단결과 전체적으로 미흡한 것으로 나타났다. 그 주된 이유로는 무인민원 시스템에 대한 시스템 내부에 테스트 파일 및 패스워드 등이 바탕화면에 노출되어 있었다. 또, 이들 기기를 유지보수하는 업체는 정보보호와 보안기술 및 인식이 부족한 업체들이라서 개선의 여지가 없는 상황이었다. 

무인민원발급기의 다양한 취약점

시큐어연구회에서 제기한 무인민원발급기 솔루션적 취약점은 크게 9가지로 요약된다. 우선, 전원 리붓후, 해당 윈도우 테스크바 클릭시 발생하는 문제점이 있었고, 윈도우 업데이트 메시지에 의한 보안 취약점도 발견됐다. 또 무인민원 발급 시스템 재가동시, 관리자 CODE 삽입페이지에도 문제가 있었다.

이 밖에도, 시스템 파일 에러로 인한 문제점, 등기부 등본 기동시 익스플로러 최초 시동 문제점, 백신 업데이트 창 팝업 문제점, 프린터 오류 문제점, 지문인식 오류 문제점, 원격 제어 솔루션 설치 취약점 등이 지적됐다.

하드웨어적 취약점으로는 UPS 장비가 설치되지 않은 관계로 인한 전원 리부팅 문제점, 전원 코드의 외부 노출 문제점 등이 거론됐다. 만약, 악의적 해커가 이러한 취약점을 이용해 공격을 가했더라면, 행자부 내부망까지도 위험할 수 있는 상황이었다. 이중 몇 가지를 살펴보면, 무인민원 발급기의 OS 업데이트 관련 메시지가 무인민원발급기의 프로그램 위로 해당 메시지가 올라올 경우 해당 메시지를 터치패드를 이용해 클릭하고, OS 업데이트 관련 도움말을 호출 후, 익스플로러 도움코너로 이동해서 익스플로러 기능을 활성화하고 이를 이용해 화상 키보드를 실행해 해킹 작업을 실행할수 도 있었다.

또, 무인민원발급기의 OS 관련 몇몇 파일이 운영중 문제를 발생시킬 경우 해당 파일에 대한 에러 메시지가 발생함과 동시에 하단의 윈도우 데스크바의 시작기능이 활성화되면서 화상 키보드를 실행해 원하는 작업이 가능했다. 한편, 무인민원발급기에서 등기부 등본을 출력하기 위해 해당 서비스 페이지를 실행할 경우, 0.5~1초 사이에 익스플로러가 가동되는데 이때 해당 익스플로러의 기능 중, 정지버튼을 누른 후 폴더 찾기 기능을 활성화해 화상 키보드를 열고 작업 실행이 가능한 수준이었다.

 

그리고 무인발급기와 연결된 프린터가 잼 현상이 발생됐을 때도, 무인발급기 창에 프린터 에러창이 뜬다. 이때도 에러창을 눌러 도움말 기능을 활성화하고서, 화상 키보드를 실행시켜 여러 가지 작업이 가능했다고 한다. 이러한 문제점들을 해결하기 위해, 이경태 회장은 “무인발급기 부팅시, 모든 부팅과정이 보이지 않도록 시스템을 구성해야하고, 윈도우 시작과 동시에 실행이 되도록 구성해야 한다”고 말했다.

또 그는 “무인발급기에 꼭 필요한 프로그램을 별도로 지정해 해당 프로세스만이 작동하도록 구성하고, 지정된 프로세스 외에는 절대로 어떤 시스탬 명령어 및 프로세스도  작동하지 목하도록 구성해야 한다. 또 지정 프로세스가 다운될 경우, 자동으로 해당 프로세스를 시작하도록 구성해야 한다”고 덧붙였다.

다행히 전자정부측은 이러한 취약점에 대해 적극적으로 대처하기 위해 문제해결 의지를 보여 현재는 대부분의 문제점들은  수정이 됐다고 한다. 하지만 전자정부와 연계되는 금융권 무인단말기는 여전히 취약한 상태여서 시급한 시정조치가 이루어져야 한다고 전문가들은 경고했다.

[월간 정보보호21c 통권 제80호 길민권/김선애 기자(info@boannews.com)]

             

             <저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>