무선 보안 취약점과 정보유출

최근 무선 인터넷 환경이 확대되면서 무선 보안의 취약점을 이용한 해킹 툴이 개발되고 또 이를 이용한 악의적인 해킹 사례가 증가하고 있다. 특히 스타벅스 같은 커피 전문점이나 대형 빌딩 내에서 무선 랜을 이용해 인터넷에 접속, 웹 애플리케이션을 이용해 중요한 비즈니스 회의를 하거나 회사의 기밀 자료 등을 내려 받을 때 해커들은 무선 구간의 취약점을 이용해 공격 대상이 사용하고 있는 권한을 자신이 그대로 가져와 정보를 빼내갈 수도 있다.

만약 당신의 기업이 무선 네트워크 환경을 구축한다면 우선 구축된 무선 인프라에 맞는 보안 정책을 먼저 마련하고 그에 알맞은 보안 솔루션을 도입해야할 것이다. 특히 무선 IPS와 인증서버의 구축은 가장 적절한 무선보안 환경을 만들어 안전한 무선 네트워크를 실현할 수 있는 최선의 방법이라고 할 수 있다.

 

무선 보안은 안전한 네트워크의 필수 조건

최근까지 무선 보안에 대한 국내 시각은 주로 해킹 또는 자료 유출에만 포커스를 둔 암호화와 인증 분야에만 국한이 되어 있었다. 하지만 무선 랜을 사용하는 기업이 늘어나면서 보안담당자 혹은 관리자들 사이에 무선 랜의 다양한 위협 및 취약점에 회사의 무선 랜 네트워크가 무방비 상태로 노출이 되어있다는 위기의식이 점점 높아지고 있다. 

이들은 점차 WIPS와 같은 종합적인 무선 랜 상의 위협을 자동 탐지 및 대처 할 수 있는 솔루션이 필요하다고 인식하고 있으며 유선의 방화벽과 같이 무선 랜 구축 시 반드시 있어야 할 종합적인 무선 보안 솔루션의 필요성을 느끼고 있다.

지난 수년간 기업 무선 랜은 11Mbps의 IEEE 802.11b 규격에서 54Mbp의 IEEE 802.11a/g 규격으로 빠르게 이전했다. 이러한 무선 랜 성능의 증가는 무선 랜 고유의 편리성 및 이동성과 결합하여 기업 생산성 향상에 크게 기여하고 있다. 또한 무선 랜의 뛰어난 비용효율성은 다변한 기업환경에서 최적의 네트워크 액세스 수단이 되고 있다.

 

기업에서는 비단 기존 네트워크에 이동성을 부가하여 생산성의 증가와 운용비용의 절감만을 얻는 것이 아니라, 데이터통신외에도 VoIP, 영상과 결합한 컨버전스를 무선 랜 상에 실현하는 추세다. 더구나 300Mbps이상의 성능을 자랑하는 IEEE802.11n이 완성되면 기업의 1차 접속 수단이 유선에서 무선으로 이전하리라는 것은 명확해 보인다.

IEEE는 2007년 3월 물리적 계층을 확정한 Draft2.0을 확정했고 2007년 11월 Draft3.0을 발표했다. 최종 표준은 2009년 6월로 예정되어있으나 WiFi Alliance는 기업에서 적극적으로 Draft버전을 시도할 것을 권고하고 있다. 국내 전파연구소는 2007년 10월 고시를 통해 802.11n에 필요한 채널대역폭의 제한을 해제한 바 있다.

최근 국내 유명 백화점을 비롯해 대형 할인점, 주유소 등에서 무선 POS(point of sale) 단말 보급이 확산되면서 보안의 허점도 그만큼 커지고 있다. 해커들은 매장의 무선 POS 단말에서 중앙의 시스템에 결제를 신청할 때 보안에 취약한 무선 네트워크 구간을 해킹해 카드회사의 DB에 접속함으로써 고객의 신용카드 정보를 빼낼 수 있다.

이 때문에 아직도 대부분의 기업에서는 무선 랜을 도입하는 데에 있어 보안을 우려하고 있으며, 이것이 기업의 무선 랜 인프라 구축에 있어 가장 큰 장벽이 되고 있다. 사실 무선 랜은 이미 보안에 대한 표준이 완성되어있고 이를 보완하는 각종 장치들도 개발되어 있어 잘 설계하고 운영한다면 유선보다 더 안전한 네트워크를 무선으로 실현할 수 있다는 것이 업계 관계자들의 의견이다.

무선 구간 보안 취약점 대비해야

오늘날 많은 기업들이 무선 랜의 편의성 및 생산성 향상 때문에 무선 랜 구축을 적극적으로 검토하고 있으나 기존 무선 랜 고유의 보안 문제 이슈들이 이를 가로막고 있다. 강력하고 정확한 보안 솔루션을 구축하지 않은 무선 랜 인프라는 기존의 보안 시스템에도 치명적인 위협이 될 수 있다. 

무선 인프라의 특성상 내부와 외부의 물리적 경계가 확실한 유선 네트워크와는 달리 무선 랜 네트워크(Wireless Network)는 전파로 모든 데이터가 전송되기 때문에 전파가 도달 가능한 범위에 있는 무선 디바이스는 누구나 데이터 수집할 수 있는 취약점이 존재한다.

한 예로 지난 2006년 고려대학교 컴퓨터 정보통신 대학원 연구원이 무선 랜 운영 실태를 조사한 결과에 따르면 서울시 강북, 강남 12개 지점에서 수집된 무선 랜 사용자 단말기 4,008대와 액세스포인트(AP) 830대 중 보안을 전혀 설정하지 않고 사용하는 ‘오픈시스템(Open System)’이 전체의 64%에 달했다.

간단한 툴로 크래킹이 가능하다고 알려진 보안 규격인 WEP(Wired Equivalent Privacy) 방식을 적용한 경우는 34%였으며 보안성이 높은 보안 규격인 802.1x EAP 인증·암호화 방식이나 VPN(가상사설망) 이용 수준은 2%에 그쳤다.

또한 지난해 9월에는 성균관대학교 인터넷보안연구실에서 서울시내 주요 백화점 10곳을 대상으로 실시한 실험에서는 무선네트워크가 무방비로 노출돼 있는 곳이 2곳, WEP 암호기술을 적용한 곳은 8곳으로 나타났다. 하지만 모두 특별한 보조장치 없이 일반적으로 사용하는 노트북과 무선 랜카드를 이용해 WEP 비밀키를 쉽게 찾아낼 수 있었다.

이는 무선 구간에 전송되는 고객의 개인정보나 신용카드 거래 정보가 노출될 우려가 있는 것으로 나타나 무선 랜 보안의 취약점이 그대로 드러났다. 업계에서는 이미 WEP와 같은 방식은 대량의 패킷을 모을 수 있는 시간이 확보된다면 얼마든지 뚫릴 수 있다고 경고했다.

이와 같은 무선 랜의 취약점을 극복하고자 WEP, WPA WPA2 등, 각종 암호화 및 사용자 인증 기능이 필수적인 요소로 등장했지만 이것으로 무선 랜 인프라의 보안에 대한 완벽한 해결책이 될 수 있는지에 대한 해답은 좀 더 지켜봐야 할 것 같다.

 

무선 보안 기술의 진화

오늘날의 무선 랜 보안기술은 3세대까지 발전했다. 1세대는 무선 통신구간의 암호화(WEP, WPA, WPA2 등)와 사용자 인증(802.1x, Radius 등) 기능에 중점을 두었으나 지속적으로 발견되는 새로운 무선 랜 보안의 취약점 및 위협을 방어하기에는 역부족이었다. 

지난 2002년 이후로 2세대 제품들이 본격적으로 출시되면서 무선 랜 보안의 각종 위협 및 취약점 탐지 기능에 주력한 제품(IDS)들이 시장에 보급되었으나 이 제품들 역시 탐지된 위협에 대한 자동 방어기능이 거의 전무한 상태였다. 이러한 점들을 보완하기 위해 실시간 자동 탐지 및 자동 방어가 가능한 3세대 무선침입방지(WIPS) 제품들이 2004년 전후로 출시되면서 기존의 IDS가 제공하는 위협 탐지 기능뿐만 아니라 탐지된 위협을 실시간 자동 차단 및 방지 기능들을 제공한다. 

3세대 제품들의 특징으로는 디바이스 자동 분류기능, 정확한 위치 추적 기능, 성능관리 측면의 RF View 및 실시간 자동차단 기능들을 제공하여 강력한 무선 랜 보안 및 모니터링 솔루션으로 거듭나고 있다.

특히 802.11i의 표준화가 완료되면서 무선 구간에 대한 보안의 문제는 사라졌다고 전문가들은 말한다. 그럼에도 최근 무선 보안의 문제가 대두 되고 있는 것은 802.11i를 실제로 사용하고 있는 고객이 많지 않기 때문이라는 분석이다. 물론 최근에 새로 무선을 도입 구축하는 고객들은 인증 서버를 같이 도입해 802.11i를 사용하기 시작했지만 실제로는 그렇게 많이 도입되지 않은 상황이다.

 

이 802.11i는 802.1x(Supplicant, Authenticator, Authentication Server 이렇게 3가지의 구성 요소로 이루어 짐)를 통해 인증을 받고 인증서버(Authentication Server)에서 암호화 키를 Authenticator와 Supplicant가 키 교환을 한 수 암호화를 하며 암호화 키는 동적으로 변경이 된다. 이때 암호화 하는 방식은 AES(Advanced Encryption Standard)로 3DES보다 더 강력한 암호화 방식이다.

최근에 불거진 무선 보안 문제는 백화점에서 사용하는 POS단말의 보안이 문제가 있어서 발생한 것으로 Static WEP 혹은 WPA-PSK를 사용하는 단말의 암호화 키/Pre-shared key를 깨는 툴을 사용해 실제 데이터를 갈취해 신용카드 결제에 문제를 발생시킨 사례다.

이러한 문제를 방지하기 위해 미국은 PCI(Payment Card Industry) 데이터 보안 표준을 만들어 도난을 방지 하고 있다. 지난 2006년 9월에는 PCI 보안 표준 위원회는 PCI 표준의 1.1 버전을 발표했다. 표준 준수는 의무적이며 이를 준수하지 않는 회사에는 신용 카드 트랜잭션 처리가 금지되며 높은 처리 비용이나 벌금을 부과할 수 있다.

 

여기에는 암호화, 방화벽, 무선 네트워크 Analyzer등에 대한 내용이 있다. 중요한 것은 방화벽의 사용을 얘기할 수 있는데 자세히 들여다보면 사용되어야 할 트래픽만 사용할 수 있도록 정확한 접근 제어를 사용하도록 하는 부분이 있는 것을 알 수 있다.

유선에서의 방화벽의 경우는 고정된 Physical 포트에서 포트로의 통신에 대한 접근 제어, 네트워크에서 네트워크에 대한 접근 제어를 하게 된다. 이러한 기능을 사용해 무선의 방화벽 정책을 적용하기 위해서 각각 다른 접근 권한을 가진 단말의 종류 수(직원용, 방문객용, 계약직용, POS용 등)에 따라 해당 수만큼의 VLAN을 설정해 유선 네트워크와 무선 네트워크에 적용해야 하며 이를 정확히 설정하고 관리하는 것은 매우 어려운 일이다.

그리고 사용자 단말은 항상 이동 하고 지정된 VLAN을 통해서만 접속하는 것을 보장할 수 없기 때문에 이러한 보안은 언제나 뚫릴 위험성을 가지고 있다.

[정보보호21c (info@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>