OS X과 iOS를 대상으로 하는 치명적인 보안 취약점 발견… '애플 보안기술도 무력화'

2015. 6. 18. 01:23    작성자: ONE™

비교적 해킹에 안전하다고 알려진 iOS와 OS X 두 운영체제에 심각한 보안 구멍이 발견돼 사용자의 주의를 요하고 있습니다.

미국 인디애나 대학과 조지아 공과대학 등 6개 대학 연구진으로 이뤄진 합동 연구팀에 따르면, 악의적으로 제작된 앱이 애플 키체인과 다른 앱으로부터 사용자의 민감한 정보를 빼낼 수 있는 취약점이 발견됐습니다.

여러 외신들이 'XARA(Cross-app across attack)', 즉 '앱 교차 공격'의 일종인 이번 취약점을 주목하는 이유는 기존의 다른 보안 취약점과는 비교가 되지 않는 막강한 파괴력과 은신력을 지니고 있기 때문입니다.

이번 취약점은 한 앱이 다른 앱의 데이터에 접근하는 것을 차단하는 샌드박스 환경을 우회할 수 있을 뿐 아니라, 애플의 앱 심사과정에서도 걸러지지 않아 앱스토어를 통해 무차별 배포될 가능성을 열어두고 있습니다. 실제로 연구팀은 해당 코드를 이식한 앱을 테스트 삼아 애플에 제출했으며, 검수를 무난히 통과해 앱스토어에 성공적으로 등록되었다고 밝혔습니다.


* 사용자 키체인에서 아이클라우드 토큰을 갈취하는 과정

애플 기기에 악성 코드가 포함된 앱이 안착하면 일련의 유도 과정(위 동영상)을 통해 애플 키체인과 다른 앱으로부터 민감한 정보를 빼낼 수 있습니다. 

악성 코드가 키체인에 있는 특정 항목을 바로 읽을 수는 없지만 항목을 삭제하거나 새로 생성하는 것은 가능하기 때문에, 일단 삭제했다 사용자가 다시 입력하는 과정에서 정보를 갈취하는 원리입니다. 이런 식으로 키체인이 털리면 사용자의 모든 개인정보가 낱낱이 노출되는 셈입니다. 애플 키체인은 웹사이트와 응용 프로그램 이용을 돕기 위해 사이트 로그인 정보와 사용자 신원, 신용카드 정보, 은행계좌 정보, SSL 웹서버 인증서 등을 보관하는 일종의 디지털 금고이며, OS X과 iOS 운영체제와 매우 밀접하게 연동됩니다.

애플 키체인 외에도 이 취약점은 OS X에 내장된 메일 앱을 비롯해 구글 드라이브와 에버노트, 1패스워드, 드롭박스, 페이스북, 트위터 같은 서드파티 앱으로부터 로그인 정보와 앱 내부 데이터를 수집할 수 있습니다. 연구팀이 테스트 한 1,600여개의 OS X, iOS 앱 중에서 90%에 가까운 앱이 이 취약점에 의해 내부 데이터가 '완전히 노출'되는 것으로 알려졌습니다. 다만 데이터 수집을 넘어 원격 서버로 데이터를 전송할 수 있는지는 아직 확인되지 않았습니다. 이번 소식을 접한 1패스워드 제작사 '애자일비츠'는 애플이 대책을 마련하지 않는 이상 응용 프로그램 단에서 이 취약점을 막을 방법은 없다고 지적하고 있습니다.


* 에버노트 데이터베이스에 접근해 사용자의 노트를 읽어오는 과정

연구팀에 따르면 이 취약점은 작년 10월에 발견됐으며 애플과 구글에도 통보된 상태라고 합니다.

그런데 구글은 크롬 브라우저에서 키체인 연동을 제거하는 등의 노력을 기울였지만, 정작 당사자인 애플은 아무런 대응도 하고 있지 않은 실정이라며 애플을 질타했습니다. 애플로부터 대책을 강구한다는 답변을 받았으나, 반년이 훨씬 지난 지금까지 응답이 없었다는 겁니다. 이에 취약점의 상세한 내용을 담은 보고서를 온라인에 공개하게 됐다고 연구팀은 설명했습니다.

여러 외신이 확인한 바에 따르면, 최근에 나온 OS X 요세미티 베타 버전과 iOS 8은 물론 차기 운영체제인 OS X 엘 카피탠과 iOS 9도 이 취약점의 영향권 아래 놓여 있있습니다. 외신들은 이번 취약점이 상당한 파장을 불러일으킬 소지가 있다며 사용자의 각별한 주의를 당부하는 한편, 애플이 보안 패치를 내놓을 때까지 신뢰할 수 없는 소스와 개발자가 제공하는 앱을 가급적 멀리할 것을 권장하고 있습니다.



참조
The Register - Apple CORED: Boffins reveal password-killer 0days for iOS and OS X
9to5mac - Major zero-day security flaws in iOS & OS X allow theft of Keychain and app passwords
MacRumors - iOS and OS X Security Flaws Enable Malicious Apps to Steal Passwords and Data

관련 글
애플, OS X 긴급 보안 업데이트 배포... 'NTP 원격코드 실행 취약점 해결'
'OS X 요세미티' 관리자 권한 탈취하는 심각한 보안 취약점 발견
애플, OS X 요세미티 10.10.2 버전에서 '썬더스트라이크' 보안 취약점 수정


    
  1. 이전 댓글 더보기
  2. Blog Icon
    hyacinth

    참고로 보통 화이트 해커들은 제조사에게만 취약점을 미리 알려주지만 몇 달이 지나도 대응을 안 하면 이런 식으로 취약점을 대중에 공개합니다.

  3. Blog Icon
    쿵야

    백투더맥은 맥 유저에게 많이 알려져 있고 정보글이 넘쳐 나는 개인 블로그입니다.
    공공의 책무를 다해야 할 의무도 없음에도 불구하고 주인장님의 열정에 의해 또한, 정성과 정성 그리고 맥유저들에게
    유용한 정보를 하나라도 더 전해주려고 하는 그 마음이 담긴 곳이란 생각이 듭니다.
    저를 비롯한 많은 분들이 매번 드리는 것 없이 그 많은 정보를 무료로 받고 있는 것에 대해 미안한 마음을 많이 가지는
    개인 블로그란 말입니다.
    "책임있는 블로그의 자세"님의 그 깨끗하고 청정한 마음 가짐과 삶의 자세는 잘 알았습니다.
    그런 자세 뿐만 아니라 고마움의 자세 또한 잊지 않고 사셨으면 하는 바램을 가져 봅니다.
    공공의 책무를 따지기 전에 먼저 고마운 마음을 먼저 전하는 것이 사람의 기본 자세 아닐까요?
    만약 그 전에도 고마운 마음을 많이 전해드렸다면 제가 사과드리겠습니다.

  4. Blog Icon

    비밀댓글입니다

  5. Blog Icon
    -_-;;


    진짜 개노답이네

    황송해서 맥북은 어떻게 씁니까 신주단지같이 모시고 숭배해야지

  6. Blog Icon
    앱등경보

    앱등경보!! 앱등경보!! 앱등경보!! 앱등경보!! 앱등경보!!

  7. Blog Icon
    진짜

    일부 애플 유저들을 타 기종 유저들이 왜 비웃는지

    - 솔까 일부라기엔 좀 많은 편이죠. -

    그 이유를 적나라하게 보여주는 사례가 바로 위에 있네요.

    윈도가 뻑나거나 보안 뚫리면 허접한 윈도탓.

    맥이 뻑나거나 보안 뚫리면 유저가 관리 잘못한거.
    .
    .
    웃긴건 요즘 애플이 보안으로 병크를 엄청 터트리고 있는데,

    - 관리자 계정 비번을 떡~~하니 노출하지를 않나...쩝... -

    네...그러고 보니 정말로 모두 유저탓이네요.

    가타부타 앞뒤 덮어놓고 무조건 내 잘못이네~반성하는 유저들 탓인거죠.

  8. Blog Icon
    행인

    '어그로'라는게 보이는데 다들 너무 에너지를 소비하시는게 아닌가 싶습니다.

  9. Blog Icon
    anfenee

    저도 몇일 전 갑자기 icloud 비번을 넣으라고 해서 많이 찜찜했는데 1password까지 스니핑 비스무리한걸 당할 수도 있다니 걱정이네요.
    icloud 비번 변경하고 평소 1password 미니 활성화 시켜 놓았으니 지금으로서는 할 수 있는건 다 한건가요?
    freeware나 맥앱스토어를 통해서만 애플리케이션을 설치해서 잘 모르겠는데 맥용 애플리케이션도 어둠의 경로를 통해 구할 수 있나보죠?
    그리고 어그로에겐 먹잇감을 안주면 되죠. 그냥 무시합시다. 말이 통해야 말로 설득시키죠 때릴것도 아니고 ㅎ

  10. Blog Icon
    니나노

    앱스토어 쓰자니 쓸만한게 별로 없습니다 아이폰에 비해... 더욱이 아도비같은 프로그램은 앱스토에 있지도 않죠. 내년부터라도 애플은 변해야합니다. 지금은 많은 변화때문에 휘청휘청한거지...

  11. Blog Icon
    이것참...

    확실히 예전의 애플이 아니에요.
    버그 투성이에 이젠 보안문제에... 이러다 훅갈듯...

  12. Blog Icon
    네모세모

    지 할 말만 도덕군자인양 질러대는 어그로꾼 하나하고
    어그로꾼 댓글만 보고 애플 유저가 욕 먹는 게 당연하다는 듯 싸지르는 인간 하나 있네.

  13. Blog Icon

    비밀댓글입니다

  14. 왜 작년 10월에 발견된 문제에 대한 피드백이 아직까지 없는지 모르겠군요 애플 심사과정에도 걸리지 않을 정도면 큰 문제라고 보는데요... 이런 심각한 문제에 공식 답변이 없다는건 내부적으로 키체인을 대체할 무언가를 다시 만들고 있어서 그럴까요 아니면 그런일이 일어날리 없다고 무시하고 있는걸까요 아니면 막을 대책을 아직도 못 찾고 있는걸까요...

  15. Blog Icon
    호호혹

    여기까지와서 앱등 거리는 것들은 제정신인건가??

    상대를 하려면 논리적으로 대응을 하고 그렇지 않을거면 그냥 가요
    맥쓰는 너도 누군가에게는 앱등이라고 손가락질 받고 있을테니..

  16. OS X과 iOS는 버전에 관계 없이 모두 영향을 받는 것인가요? 아니면 OS X 10.10과 iOS 8 이상에서만 영향을 받나요?

  17. Blog Icon
    나그네

    윈도우 하드코어하게 쓰다가 겨우 아이폰 3gs때부터 패드와 함께 맥으로 넘어왔건만

    정말 이럴 때보면 빡치긴 하네요
    애플이 안해주면 아~무 것도 할 수 없다는 것이....

    상쇄할만한 장점으로 눈 가리고 쓰고 있지만 유저를 품 안의 애기 취급하는 애플이
    진짜 같잖게 느껴지네요

  18. Blog Icon
    canor

    이번주 초에 내부 서버 단에서 샌드박스 관련 이슈가 있는 앱들은 모두 차단했다고 소식 업데이트가 되었다는데 빠른 픽스가 나왔으면 좋겠습니다
    http://www.macrumors.com/2015/06/18/what-you-need-to-know-about-xara-exploits/

    그나저나 댓글이 엉망이네요 원님이 짜증나시더라도 좀 정리해주셨으면 좋겠어요

  19. Blog Icon
    와룡서생

    위에 논란을 일으키는 댓글은 논리를 묘하게 섞었는데 어쩌면 처음부터 분탕질을 목적으로 한 것이 아닐까란 생각이 들정도로 논리가 엉망이네요.

    골수 맥유저의 논리를 그럴싸하게 가장한 이른바 '소셜해킹?'이 아닐까 할 정도로군요. ㅎㅎ

    보안에 있어서 가장 취약하고 엉망한 존재가 바로 '인간'이고, 그 인간의 심리를 이용해서 정보를 빼내기도, 교란시키기도 하는 해킹기법. 뭐 아무튼...

    이 문제의 핵심은 최선책은 애플이 시스템적으로 해결해 주는 것, 차선책은 애플이 해결해줄 때까지의 위험한 공백기간 동안 각자 알아서 조심해야 한다는 것, 정도로 요약할 수 있을듯 싶습니다.

    일단 블로그를 방문하는 분들부터 마인드해킹?에 매우 취약한듯 싶습니다. 쩝..

  20. 그 철통같던 애플의 보안기술 마저도....ㅠ_ㅠ

  21. Blog Icon
    등갈비매니아

    "철통같던 애플의 보안기술"이란 말은 않어울리는 것 같네요.
    보통 해킹 타켓 OS들은 사용자가 많은 OS를 노리고 있기 때문에 애플의 경우는 사용자 수가 초기에는 많지 않아서 취약했던 부분이 드러나지 않고 있다가 사용자가 늘어남에 따라서 이슈들이 수면 위로 올라 오는것 같습니다.

  22. Blog Icon
    와룡서생

    윈도우즈가 당한 것에 비하면 OSX의 보안이 아주 막장은 아니라고 봅니다. 유닉스기반이기도 하고 보안쪽으로 BSD가 유명하기도 하니까요.

    다만, 사용자가 많아지고 관심이 높아지면서 공격의 대상이 되는 경우가 많아진 것은 사실이고, 수많은 공격에 완벽하게 안전한 OS는 지구상에 없으므로, 결국 시간이 약이 될듯 싶습니다.

  23. Blog Icon
    ㅇㅇ..

    보안 관련해서 Os x 는 유닉스 기반인게 더 비중있는거지 사용자가 없어서 취약했던 부분이 드러나지 않았다 라는건 틀린 이야기 입니다.
    사용자가 아무리 적어도 해킹의 무쓸모/유쓸모의 기준이 될 사용자 숫자는 한참 전에 넘었습니다. 사용자가 적어서 해킹을 안 한다는 잘못된 이야기 입니다.