아이튠즈를 통한 iOS 기기 백업 기능이 보안에 취약한 것으로 알려졌습니다. 애플도 이 같은 문제를 개선하기 위한 해결책 마련에 나섰다고 합니다.
24일(현지시각) 나인투파이브맥은 아이튠즈를 통한 로컬 백업 기능이 '무차별 대입 공격(brute-force attack)'에 취약한 결함이 있다고 보도했습니다.
맥 또는 윈도우 PC에 아이폰∙아이패드를 백업하면 암호 알고리즘을 통해 데이터가 보호됩니다. 그런데 이 백업 기능의 암호체계에 허점이 생기면서 예전보다 해커에 의해 뚫리기 쉬워졌다는 것입니다.
이 같은 보안 결함은 '엘컴소프트(Elcomsoft)'에 의해 발견된 것으로, 업체는 iOS 10 백업본은 iOS 9 백업본 보다 약 2,500배 빠르게 해독할 수 있다고 주장했습니다. 백업본 자체는 여전히 암호 알고리즘에 의해 보호되지만 보안성이 떨어지는 알고리즘이 적용돼 예전보다 훨씬 쉽고 빠르게 암호를 풀 수 있게 됐다는 겁니다.
아래 그래프는 iOS 9과 iOS 10 백업본을 '무차별 대입 공격(brute-force attack)'할 때 몇 번의 작업을 수행할 수 있는지 비교한 것입니다. 인텔 i5 프로세서가 탑재된 컴퓨터에서 무차별 대입 공격을 할 때 iOS 9 백업본은 무작위 암호를 초당 2,400~15만 번 대입할 수 있는 반면, iOS 10 백업본은 6백만 번이나 대입할 수 있습니다. 만에 하나 해커에 의해 암호가 풀리는 경우 사진, 연락처, 문자 메시지, 로그인 정보 등 말 그대로 iOS 기기의 모든 데이터가 노출될 수 있습니다.
이처럼 암호화된 파일을 쉽게 해독할 수 있게 된 이유는 뭘까? 엘컴소프트에 따르면 애플이 iOS10부터 PBKDF2 방식과 SHA-256 방식을 동시에 지원하기 때문입니다.
iOS 9 백업본은 'PBKDF2'라는 해시 알고리즘에 의해 보호되는데, 암호 대입 속도를 늦춰 시간을 버는 '반복 횟수(Iteration Count)'가 10,000회입니다. 하지만 iOS 10 백업본은 반복 횟수가 1회밖에 되지 않는 SHA-256 해시 알고리즘이 적용됐습니다. 반복 횟수란 복잡한 연산을 반복 적용하는 것을 의미하며, 반복 횟수가 클수록 해킹에 대한 방어력을 높이는 효과를 내는데, iOS 10 백업본은 반복 횟수가 극단적으로 줄어드면서 같은 조건(컴퓨터 사양, 시간)에서 훨씬 많은 암호를 대입할 수 있고, 결과적으로 무차별 공격에 들어가는 시간이 비약적으로 줄어든 것입니다.
다행히 애플도 이 문제를 매우 심각하게 받아 들여 해결방안을 모색하고 있는 것으로 알려졌습니다.
외신의 확인 요청에 애플 대변인은 “해당 취약점에 대해 인지하고 있으며, 곧 소프트웨어 업데이트를 통해 개선할 것"이라고 말했습니다. 외신들은 개인정보 유출을 예방하기 위해 이번 취약점이 개선될 때까지 아이튠즈를 통한 백업보다 아이클라우드 백업 기능을 이용할 것을 권고 했습니다. 맥 사용자에게는 파일볼트(FileVault) 같은 디스크 암호화 기능이 일종의 이중 잠금장치 역할을 할 수 있습니다.
나인투파이브맥은 아직 정확한 일정은 확정되지 않았으나 향후 공개될 iOS 10.1 버전과 macOS 시에라 10.12.1 소프트웨어 업데이트를 통해 이취약점이 해결될 것으로 내다봤습니다. 또한 이번 문제는 어디까지나 맥 또는 윈도우PC에 설치된 아이튠즈를 통해 iOS 기기를 백업할 때 발생하는 것으로 아이클라우드를 통한 iOS 백업 기능과는 무관합니다.
참조
• 9to5mac - Apple acknowledges iOS 10 security flaw that makes it easier to access protected iTunes backups
• Apple - iPhone, iPad 및 iPod touch 백업 방법
• Appple - iTunes의 암호화된 백업에 관하여
관련 글
• 애플, iOS 10 정식버전 배포 시작
