현금인출기 부채널을 이용한 암호해킹 ‘대비필요’

디바이스 부채널을 통한 보안위협 증가...국내 분석장비 개발 필요

악성공격자들의 암호 해킹 수법이 암호알고리즘에 대한 허점을 이용하기보다 전자기기 자체에서 나타나는 전자신호를 이용하는 경향이 있어 이에 대한 연구가 필요하다는 의견이 제기됐다.

이런 문제제기는 한국광고문화회관 2층 대회의실에서 개최되고 있는 ‘2008 u-Payment Grand Forum’에서 나왔다. 2일째인 10일 두 번째 강사로 나선 ETRI 한동국 연구원은 암호의 알고리즘을 건드리지 않고도 암호를 해독할 때 디바이스에서 발생하는 연산시간이나 소모전력, 전자기과 오류출력 등의 부채널 정보를 분석하면 암호를 찾아낼 수 있다고 주장했다.

그는 “암호알고리즘을 건드리지 않고 보안하드웨어장치를 구동할 때 발생하는 부수정보를 찾아내 보안암호를 탐색할 수 있다”면서 “이는 아무리 보안알고리즘이 잘돼 있다해도 이와 별개로 부채널 정보를 통해 모든 보안암호를 찾아낼 수 있기 때문에, 부채널에 대한 대비가 없다면 어떤 암호 알고리즘을 이용한다해도 안전할 수 없다”고 강조했다.

이런 위협은 키보드에서 발생하는 전자파를 이용해 패스워드를 빼내는 동영상이 인터넷에 공개되면서 일반인에게도 소개된 바 있다.

부채널 보안위협에 대한 연구는 미국과 일본, 유럽 등에서 이미 10년 전부터 시작되고 있었지만 우리나라의 경우 올해부터 본격적인 연구를 시작하고 있어 다른 나라에 비해 늦은 편.

특히 금융권에서 IC카드의 사용이 늘고 있는 가운데 IC카드에 대한 부채널 위협 가능성이 있기 때문에 이에 대한 대비가 필요할 것으로 보인다. 올해초 금융정보화추진분과위원회는 금융IC카드 보안토큰 규격 v1.10에서 차분전력분석기법 등에 의해 저장된 정보가 외부로 유출되지 않는 IC카드 사용하라고 권고하고 있다.

하지만 아직까지 부채널 분석 장비가 외산에 의존해 고가로 형성돼 있고 분석에 대한 표준도 아직까지 정립돼 있지 않아 많은 관련 제조사들이 부채널에 대한 대비에 어려움을 겪고 있다. 특히 보안업체들의 경우 부채널에 대한 기준이 CC인증의 시험항목에도 포함돼 있어 국산 저가 분석장비 개발의 필요성이 더욱 강조되는 상황.

이에 대해 한동국 연구원은 “앞으로 보안 디바이스의 물리적 안정성에 대한 검증이 필요한 가운데 외산 분석장비 및 기술 의존도를 탈피해야한다”며 “이를 위해서는 국내에서도 저가 보급형 부채널 분석시스템의 개발이 필요하며, 더 나아가 수출을 위해서 보안모듈 평가 관련 국제 표준화 작업도 참여해야할 필요가 있다”고 역설했다.

[오병민 기자(boan4@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)