Cyber Security Issue 8월동향 ë³´ê³ ì„œ.pdf

유심카드의 취약점을 통한 휴대전화 해킹 가능※ AES(Advanced Encryption Standard) : 고급 암호화 표준으로 이전의 DES를 대체하며, 미국 표준 기술 연구소(NIST)가 5년의 표준화 과정을 거쳐 2001년 11월 26일에 연방 정보 처리 표준▣ 개요○ 카로스텐 놀(Karsten Nohl) 연구원은 블랙 햇 보안 컨퍼런스에서 오래되고 약한 암호화기술의 유심카드(SIM card) 취약점을 통하여 수십 억의 모바일 장치가 해킹 될 수 있다고 발표※ 카로노텐 놀(Karsten Nohl) : 독일의 보안 업체 시큐리티리서치랩의 암호 보안 전문가블랙 햇(Black Hat) : 매년 7월 말경 전 세계의 언더그라운드 해커들과 정보보호업계 종사자들이 라스베이거스에 모여컨퍼런스 개최▣ 주요내용○ 카르스텐 놀 연구원은 2013 블랙 햇 컨퍼런스에서 유심카드의 취약점을 발표○ 유심카드 현황 및 조사- 서비스 제공자는 서비스제공에 속하는 서버와 통신 할 수 있도록 특정 관리 프로토콜이 내장된 유심카드들을 소비자에게 판매- 유심카드와 서비스 제공자간의 통신은 기본적인 텍스트 메시지이며, 단말기 화면에 표시되지 않을 뿐유심카드에 직접 전달- 전 세계의 모든 휴대전화는 사용자의 인지 없이 메시지 송수신 기능을 포함한 유심카드를 사용- 약 3년 동안 연구에서 OTA(over-the-air)와 통신을 완전히 무시한 휴대전화는 한 개 밖에 없었다고 발표※ OTA(over-the-air) : 무선 통신 시스템에서 시스템 등록에 관한 정보를 송수신하기 위한 표준- 무차별 공격을 통해 유심카드와 사업자간의 통신을 가로챌 수 있으나, 시간과 비용이 많이 소비※ 1998년에 전자 프론티어 재단(EFF)에서는 56시간 안에 암호를 해독하는 무차별 대입 공격 하드웨어를 만들었으며,1999년에는 22시간 15분 안에 해독하는 하드웨어를 만듬- 유심카드는 오류메시지를 전달 할 경우에 DES키를 포함한 암호화한 장치서명을 응답하며, 이 취약점을 이용하여 조작된 OTA업데이트 메시지를 전송하였을 경우 DES키를 획득할 수 있음○ 획득한 DES 키를 이용하였을 경우 많은 문제점이 발생 할 수 있음- 암호화 된 56비트의 DES OTA 키를 해독하여 제어권을 획득- 키를 획득한 공격자는 악성코드 설치 통해 SMS 사기를 저지를 수 있으며, 발신번호를 숨기거나, 보이스 메일 조작, 전화 문자메시지 등을 리다이렉션 할 수 있고, 결제 시스템을 남용할 수 있음○ 발표자는 비용절감의 이유로 무선통신 사업자의 미흡한 기술지원에 대해 비판○ 네트워크 사업자들은 사전에 발표한 취약점에 대해서는 조치를 취함○ 발표자는 데이터 접근이 가능한 경우에 유심카드 복제 및 2G,3G,4G의 트래픽을 해독할 수 있으며, NFC 또한 복제가 가능하다는 것을 제기 하며, 유심카드 및 운영체제에대한 패치의 필요성을 주장[출처]1. http://threatpost.com/weak-encryption-enables-sim-card-root-attack/1015572. http://news.cnet.com/8301-1009_3-57594754-83/sim-card-flaw-said-to-allow-hijacking-of-millionsof-phones/II. 인터넷 보안 동향○ 유심카드의 자바애플릿 통신을 이용한 취약점에 초점- 공간 절약을 위해 DES암호 알고리즘을 기반으로 하는 유심카드는 OTA서버와 동일한 키를 사용※ DES(Data Encryption Standard) : 블록 암호의 일종으로 미국 NBS에서 국가 표준으로 정한 암호이고 대칭키암호이며, 56비트의 키를 사용- 대부분의 카드는 다양한 목적을 위해 사용되는 여러 개의 키가 있는 반면, 유심카드의 대부분은 여전히하나의 DES키를 사용함- 일부 제조업체는 3DES 및 AES로 업그레이드되고 있지만, 이도 일부에 지나지 않으며, 최근에 생산된유심카드임※ 3DES(Triple-DES) : DES를 세 번 반복해서 사용하여 DES에 비해 안전한 것으로 알려짐26 월간 「Cyber Security Issue」 8월 동향 II. 인터넷 보안 동향 27