WPA2 취약점(KRACK) 이해와 IoT 기기 영향

핵심 발견사항

이번 주 초 KU 루벵 대학교 아이멕-디스트리넷(imec-DistriNet) 마티 반호프(Mathy Vanhoef)가 전 세계 대다수 와이파이 연결을 보호하는 WPA2 프로토콜의 결함을 공개했습니다. KRACK(키 재설치 공격, Key Reinstallation Attack)으로 알려진 이 취약점은 무선 범위 내 공격자가 4웨이 핸드셰이크를 조작해 트래픽을 복호화하고 악성 페이로드를 주입할 수 있게 합니다.

공격자가 할 수 있는 일

KRACK을 이용해 악의적 행위자는:

• 암호화됐다고 믿던 데이터—신용카드 번호, 비밀번호, 이메일, 사진, 채팅 메시지—를 읽을 수 있습니다.
• 트래픽을 수정하고 웹페이지나 펌웨어 업데이트에 랜섬웨어 등 멀웨어를 주입할 수 있습니다.
• 사용자 모르게 민감 정보를 탈취하는 중간자(man-in-the-middle) 위치를 확보할 수 있습니다.

누가 영향을 받는가?

약점은 개별 제품이 아닌 와이파이 표준 자체에 있습니다. WPA2를 지원하는 모든 기기—안드로이드, iOS, 윈도우, 맥OS, 리눅스, 오픈BSD, 임베디드 또는 IoT 가젯—가 최신 보안 패치를 받지 않았다면 침해될 수 있습니다.

소비자는 펌웨어 업데이트가 나오는 즉시 설치할 것을 강력히 권고합니다.

참고

IoT 네트워크 보안을 위해 알아야 할 6가지 기술

전문가 통찰: 커넥티드 기기 업데이트

사이버보안 연구자 나디르 이즈라엘(Nadir Izrael), 아미스(Armis) CTO 겸 공동창업자가 커넥티드 기기 보안 유지의 더 넓은 과제를 강조했습니다. 블루본(BlueBorne)—광범위한 기기를 장악할 수 있는 블루투스 취약점—을 발견한 같은 팀이 IoT 생태계가 점점 더 노출되고 있다고 경고했습니다.

이즈라엘은 지적합니다:

"벤더들이 패치 출시에 서두르지만 IoT 현실은 더 복잡합니다. 많은 기기에 무선(OTA) 업데이트 메커니즘이 없고, 일부는 아예 업데이트가 불가능합니다."

KRACK이 임박한 위협인가?

KRACK은 여전히 개념증명 단계지만 패치 배포 과정에서 범죄자들이 여전히 악용을 시도할 수 있습니다. 이즈라엘은 기업들에 다음을 권고합니다:

• 모든 기업 및 직원 기기가 최신 펌웨어를 실행하도록 보장하세요.
• 관리되지 않거나 패치 불가능한 기기가 핵심 인프라에 접근 못하도록 네트워크를 분리하세요.

"IoT 프로토콜 전반에 표준화된 보안 부재가 급속히 확장되는 공격 표면을 만듭니다."라고 그는 말합니다. "조직은 종종 자사 네트워크에 연결된 기기 40%조차 볼 수 없습니다. 경각심을 일깨우는 블라인드 스팟입니다."

앞으로의 전망

보안 연구자들은 이미 KRACK 기원과 배후 인물을 조사 중입니다. 업계 전문가들은 공격자들이 현대 연결성을 떠받치는 기초 프로토콜을 계속 표적으로 삼으며 WPA2 특정이든 그 이상이든 새로운 와이파이 취약점이 계속 등장할 것으로 예측합니다.