구멍 뻥 뚫린 무선랜…사용자 대처법은

'크랙' 버그 비상…"빨리 패치 내려받아야"

와이파이(Wi-Fi), 즉 무선랜 통신 기능을 탑재한 거의 모든 기기에 보안 구멍이 뚫렸다. 와이파이를 이용하는 모든 일반인의 개인정보 및 프라이버시와 기업의 기밀정보가 잠재적 보안위협에 놓인 셈이다. 무선통신 정보를 보호하는 'WPA2' 보안 프로토콜에서 발견된 결함 때문이다.

WPA2는 지난 2004년부터 확산된 와이파이 무선 네트워크 보안 표준이며 현재 거의 모든 무선랜 기기에서 사용한다. 그런데 컴퓨터 보안학자 매씨 반호프가 최근 이 표준의 보안 구현 절차에서 통신내용을 암호화할 때 쓰는 키를 공격자에게 도용당할 수 있다는 사실을 발견했다. 이른바 '키 재설치 공격(Key Reinstallation Attack)을 허용하는 보안 버그라는 뜻에서 그 줄임말로 '크랙(KRACK)'이라는 명칭이 부여됐다. [☞관련기사]

아직 WPA2의 크랙 취약점을 악용할 수 있는 실제 코드가 공개된 건 아니다. 전세계 범죄자에게 당장 악용될만큼 긴박하진 않다. 하지만 결국 누군가는 버그를 악용하는 코드를 만들고 누군가는 이를 통해 범죄를 저지르는 상황이 올 수 있다. 수많은 IoT 기기에 디도스(DDoS)를 유발한 '미라이'나 전세계 PC를 감염시켰던 랜섬웨어 '워너크라이'같은 악성코드 확산과 피해가 재현될 우려가 있다.

무선랜 보안표준 WPA2에서 키재설치공격(KRACK) 버그가 발견됐다. 네트워크 참여자 키 발급 과정 헛점으로 공격자가 해당네트워크에 연결된 기기 사용자의 프라이버시와 민감 정보를 들여다볼 수 있는 위협을 낳고 있다. [사진=Pixabay 원본 편집]

국내도 예외가 아니다. 전국에 깔린 초고속인터넷과 기가랜 서비스 이용자 대다수가 무선인터넷 공유기를 설치해 쓰고 있다. 무선인터넷 공유기를 통해 집안에서 무선인터넷을 쓸 수 있게 만드는 기능 역시 와이파이다. 개인 및 기업 사용자는 어떻게 대처해야 할까? 주요 외신들은 WPA2 보안 버그 등장에 따른 개인 사용자 차원의 대처법과 주요 개인 및 기업용 통신장비 제조사의 조치 상황을 전하고 있다.

■"WPA2 계속 쓰되 서둘러 패치 적용하라"

미국 씨넷은 지난 17일 보도를 통해 어떤 무선랜 기기를 위험하다고 봐야 할지, 사용자들이 뭘 주의해야 할지, WPA2 버그에 따른 보안 위협에서 자신을 어떻게 보호해야할지 등을 다뤘다. [☞원문보기]

버그가 있다는 WPA2를 안 쓰면 될까? 씨넷 설명에 따르면 WPA2 프로토콜 자체는 계속 써야 한다. 현존 무선 네트워크 보안 기술 중엔 가장 낫기 때문이다. 대신 KRACK 버그의 영향을 받는 기기의 소프트웨어 코드를 안전하게 패치해야 한다. 사용자는 보유하고 있는 모든 기기의 제품 공급업체나 소프트웨어 개발업체에서 제공한 패치를 모두 내려받아 업그레이드해야 한다는 얘기다.

KRACK 버그 위협 가능성을 증명한 전문가의 웹사이트에 따르면 안드로이드, 리눅스, 애플, 윈도, 오픈BSD, 미디어텍, 링크시스 및 기타 제품 소프트웨어가 영향권에 있었다. 다만 마이크로소프트(MS) 윈도와 애플 iOS 기기에 구현된 WPA2 기능은 상대적으로 덜 취약한 상태다. 반면 리눅스와 안드로이드 기기는 KRACK 버그에 더 취약한 상태다. MS는 최근 버그를 직접 해결한 패치를 추가로 내놨다. 애플도 패치를 준비 중이다. 리눅스용 액세스포인트(AP) 기능 'hostapd'와 'WPA Supplicant'용 패치는 이달초 공개됐다. 구글도 패치를 내놓겠다고 예고했다.

KRACK 버그에 따른 대다수 위협 시나리오는 공격자와 취약점이 있는 기기 사용자가 같은 무선 네트워크로 연결되는 범위 안에서 성립한다. 가정용 무선랜 공유기 와이파이처럼 단일 구획에서 소규모로 운영되는 무선랜은 상대적으로 덜 위험하다는 뜻이다. 카페, 도서관, 길거리 등 사업장이나 불특정 다수가 오갈 수 있는 공용 공간에서 제공되는 무선랜을 사용할 때 더 주의해야 한다.

■Wi-Fi 지원 SW·제품 공급업체별 조치 현황

미국 지디넷은 현재까지 KRACK 버그 패치를 내놓은 개인 및 기업용 모바일 기기와 네트워크 장비 제조사 목록을 게재하고 있다. [☞원문보기]

MS는 윈도용 취약점 패치를 지난 10일 내놨고 이는 윈도 자동업데이트를 통해 적용받을 수 있다. 리눅스 배포판 가운데 데비안 빌드의 소프트웨어 수정판이 나왔고 이에 기반한 우분투, 젠투도 업데이트를 지원한다. 애플은 iOS, 맥OS, 워치OS, TVOS용 패치를 베타 버전으로 만들었고 추후 정식판이 나올 전망이다. 구글은 몇 주 안에 버그 영향을 받는 안드로이드 기기를 패치할 계획이지만, 실제 사용자들은 안드로이드 스마트폰과 태블릿 제조사들의 패치를 기다려야 한다. 안드로이드 커스텀롬 '리니지OS'는 14.1 빌드에서 패치됐다.

인텔은 영향을 받는 자사 무선랜 장치 관련 보안권고와 함께 드라이버 소프트웨어 새 버전을 공개했다. 기업용 무선랜 장비업체 아루바는 '아루바OS', '아루바인스턴트', '클래리티엔진' 및 기타 회사 제품 소프트웨어를 위한 패치를 제공 중이다. 기업용 통신장비업체 시스코는 일부 제품 대상 패치를 냈고 전체 제품 대상으로는 아직 해결 중이다. 보안장비업체 포티넷은 제품의 '포티AP' 5.6.1 버전의 문제를 해결했으나 5.4.3 버전은 아직 취약한 상태다. 넷기어는 일부 라우터 제품을 업데이트했고 유비쿼티도 패치를 적용한 펌웨어를 내놨다.