macOS에서 키체인을 보관하는 부분에서 취약점이 발견돼 주의가 요망됩니다.
전엔 NSA에서 일했고, 지금은 사이낵의 보안 연구원인 패트릭 워들(Patrick Wardle)은 macOS에서 악성 코드를 포함한 앱이 macOS의 취약점을 이용해 페이스북이나 뱅크 오브 아메리카 등의 계정 정보를 일반 텍스트로 알아내는 영상을 공개했습니다. 워들은 이 취약점이 기존의 macOS 뿐만 아니라 오늘 출시한 하이 시에라에도 해당되며 애플에게 해당 취약점을 알린지는 꽤 됐다고 주장하고 있지만, 애플에서는 따로 답변을 하지는 않았습니다. (Update: 확인 결과 애플에게는 9월 7일에 알렸고, 패치가 완료될 때까지는 정확한 취약점 코드를 공개하지 않겠다고 밝혔습니다)
다만, 해당 악성코드가 앱을 통해 유포되기 때문에 일단 애플이 macOS에 탑재한 기본적인 보안 기능에 무력화될 가능성도 많습니다. 현재 macOS는 맥 앱 스토어에서 내려받은 앱이나 애플이 서명한 개발자 프로파일을 가진 개발자가 따로 배포하는 앱을 제외하고는 바로 설치하지 않고, 경고를 띄우는 기능을 탑재하고 있습니다. 따라서, 이 기능을 통해 1차적으로 악성 코드가 있을 가능성이 있는 앱을 걸러낼 수 있습니다. 만약에 경고가 뜬다면, 정말 신뢰하는 앱이 아닌 이상 설치를 자제하는 것이 좋습니다.
한편, 이번에 출시된 macOS 하이 시에라는 총 22가지의 보안 취약점에 대한 픽스가 포함돼 있습니다. 실제로 워들도 새로운 보안 기능이 많다며 오히려 하이 시에라로의 업데이트를 추천하기도 했습니다. 이 취약점은 아직 패치가 안된 듯하지만, 다음 버전에서 패치될 것으로 예상됩니다.
필자: 쿠도군 (KudoKun) 컴퓨터 공학과 출신이지만 글쓰기가 더 편한 변종입니다. 더기어의 인턴 기자로 활동했었으며, KudoCast의 호스트로도 활동하고 있습니다. |
참고
• macOS High Sierra vulnerability may let unsigned apps steal Keychain logins in plaintext - 애플인사이더
관련 글
• 애플, macOS 하이 시에라 배포 시작
