괴물 같은 보안 취약점 '프릭' 후폭풍 거세

암호화 기능을 해킹하기 쉽도록 약화시켜 정보를 빼내거나 추가적인 악성코드를 주입할 수 있게 하는 일명 '프릭(FREAK)'이라는 취약점이 발견되면서 거센 후폭풍이 예상된다. 안드로이드는 물론 애플 웹브라우저 사파리, 마이크로소프트(MS)가 제공하는 주요 윈도서버에까지 모두 영향을 줄 수 있는 것으로 나타났기 때문이다.

미국 미시건대 연구팀의 조사에 따르면 암호화 기능을 적용한 1억4천만개 웹사이트 중 3분의 1이 넘는 36.7%가 이 취약점에 영향을 받을 수 있는 것으로 나타났다.

심지어 전 세계를 대상으로 콘텐츠딜리버리네트워크(CDN) 서비스를 제공하고 있는 아카마이와 함께 미국 국가안보국(NSA), 연방수사국(FBI), 백악관 웹사이트까지 이 취약점에 노출돼 있는 것으로 파악됐다. 페이스북의 경우 'connect.facebook.net'을 공격해 '좋아요' 수까지 조작할 수 있는 것으로 알려졌다.

현재 관련 기업, 기관이 문제를 해결하기 위해 임시보안책을 마련하고, 보안업데이트 작업을 진행 중이지만 워낙 광범위하게 적용될 수 있는 취약점이라 문제를 해결하는데 훨씬 많은 시간이 걸릴 것으로 전망된다.

■괴물(FREAK) 같은 취약점 뭐길래…

프릭 취약점은 말 그대로 괴물과 같이 전 방위 영역에 영향을 미칠 수 있다. 프릭은 웹사이트(웹서버)와 클라이언트(PC, 스마트폰 등) 사이에 암호화 통신을 위해 사용되는 RSA 암호화키를 해독하기 쉬운 수출용 RSA 암호화키로 바꿀 수 있게 해주는 취약점이다.

이 방법을 악용하면 공격자들이 더 쉽게 암호화 통신 내역을 훔쳐보거나 또 다른 악성코드를 주입시키는 일이 가능해진다.

안드로이드나 리눅스 서버 진영에서 활용하고 있는 암호화 통신 프로토콜인 오픈SSL, 애플이 제공하는 TLS/SSL 클라이언트인 사파리 등에서 이러한 취약점을 악용할 수 있다.

워싱턴포스트에 따르면 이 취약점을 두고 나디아 헤닝거 펜실베니아대 암호화 전문가는 기본적으로 90년대에서 넘어온 좀비와 같다며 누구도 수출용 암호화 기술이 이러한 취약점을 지원하고 있었다는 사실을 깨닫지 못하고 있다고 밝혔다.

1990년대 미국 정부는 자국에서 개발한 최신 암호화 기술(RSA 암호화키)을 수출할 수 있도록 허용하는 대신 만약을 대비해 암호화키를 해독하기 쉽도록 했다. 이를 위해 최대 512비트 길이의 암호화키를 통해 구현하는 기술에 대해서만 수출이 허가됐다.

이후 512비트 이상 암호화키 길이를 가진 기술에 대해서도 수출이 허용됐으나 여전히 많은 웹사이트에서 512비트 암호화키 길이를 쓰고 있다는 점에서 문제가 되는 것이다.

존스홉킨스대 교수이자 암호학 전문가인 매튜 그린이 블로그에 올린 글에 따르면 펜실베니아대 암호화 전문가인 나디아 헤닝거는 실제로 아마존웹서비스(AWS)가 제공하는 가상서버를 104달러에 구매한 뒤 7.5시간만에 512비트 암호화키를 해독할 수 있었다고 밝혔다.

만약 해커가 이러한 방법을 동원해 암호화키를 알아내면 어떤 웹사이트에 대해서도 중간자 공격(MiTM)을 통해 정보를 훔쳐내거나 추가적인 악성코드를 주입하는 일이 가능해진다는 지적이다.

■정식 보안패치 아직...설정 먼저 바꿔야

MS, 애플, 구글 등에서 해당 문제에 대한 해결책을 내놓고 있지만 아직은 수동으로 웹서버 설정 등을 바꿔줘야하는 경우가 대부분이다. 각 사의 공식 보안패치는 이르면 이번 주 안에 공개될 예정이다.

애플은 문제를 해결하기 위해 작업 중이나 아직 사파리를 위한 보안패치를 내놓지는 않았다. 크롬이나 파이어폭스 웹브라우저를 사용하는 것이 임시방편 중 하나다.

안드로이드, 리눅스 운영체제(OS)에서 활용하고 있는 오픈SSL의 경우 올해 1월에 배포된 최신 버전인 1.02 버전으로 업데이트를 해야한다.

미국 지디넷에 따르면 프릭 취약점은 마이크로소프트(MS)가 사용하고 있는 암호화 기술인 '시큐어 채널(Secure Channel)'에도 적용된다. MS는 보안블로그를 통해 해당 취약점(CVE-2015-1637)이 윈도서버2003 SP2, 윈도서버2008 SP2, 윈도서버 R2 SP1, 윈도서버2012 골드 및 R2, 윈도RT 골드 및 8.1, 윈도비스타 SP2, 윈도7 SP1, 윈도8, 윈도8.1 등에 적용될 수 있고 밝혔다.