국내 IC카드 취약점 노출...“대책 필요”

침해/비침해 공격과 부채널 공격에 의한 취약점 노출

이성욱 금융보안연구원 선임 연구원은 한국광고문화회관 2층 대회의실에서 개최되고 있는 ‘2008 u-Payment Grand Forum’에서 “IC카드의 취약점이 노출되고 있어 대책이 필요한 상황”이라고 역설했다.

이성욱 금융보안연구원 선임 연구원은 “최근 금융IC카드 및 신용카드(SEED 알고리즘 기반)의 암호키 노출 및 복제가능성에 대한 위험성이 공개되고, 침해공격과 비침해 공격에 대한 위협이 나타나고 있다”면서 “금융 IC칩 관련 표준의 재개정과 DPA 등 부채널 공격에 대한 IC칩 보안이 강화돼야 한다”고 주장했다.

현재 IC카드에 대한 보안위협은 침해공격과 비침해공격 그리고 부채널에 의한 공격이 나타나고 있다. 침해공격은 Microprobing이라고 하는 방법을 통해 스마트카드의 물리적인 패키지를 열어, 칩표면의 반도체에 접근해 IC칩을 물리적으로 변형하거나 데이터통로(BUS)를 조작해 공격하는 방법이다.

비침해공격은 스마트카드의 통신 인터페이스를 통해, 프로토콜, 암호 알고리즘의 취약성을 남용하거나, 전자기적 신호를 분석하거나, 프로토콜의 신호와 시간을 통해 도청하는 방법과 운영환경에서 온도조절, 전압, 충격 등을 통해 오류를 생성하는 공격 등 카드의 동작 중에서 공격하는 방식이다.

특히 주목되고 있는 부채널 공격은 통신 중인 암호작동 중 나타나는 전력 소비, 전자기 방출, 실행시간 등의 부채널을 통해 추가적인 정보가 노출되는 것을 의미한다.

부채널 공격중 DPA(Differential Power Analysis)의 경우 대량 측정치의 평균을 잡고 측정 오차와 노이즈 등의 영향을 작게해, 모든 데이터의 평균치와의 차분을 잡는 것으로, 연산 프로세스에 의한 전력소비의 영향을 빼고, 사용되는 비밀 정보에 의한 소비전력의 변화만 빼내는 방법이다. 이런 방법을 이용하면 암호에 대한 알고리즘과 상관없이 정보를 빼낼 수 있다.

이 연구원은 “금융 IC카드의 경우, 특히 SEED 알고리즘 관련 취약점 점검이 필요하다”면서 “신용카드의 경우, EMV에 의한 승인된 시험기관으로부터 인증받은 제품을 사용해야한다”고 강조했다.

[오병민 기자(boan4@boannews.com)]

최근 발생한 크라우드 스트라이크의 보안 SW 업데이트 오류 사태처럼 SW 공급망에 보안이슈가 발생할 경우 관련된 각종 시스템 및 IT 인프라 마비가 일어날 수 있다는 게 드러났습니다. 이러한 공급망 보안을 위협하는 가장 큰 요인은 무엇이라고 생각하시나요?
	랜섬웨어, 피싱 등의 사이버 공격
	SW 업데이트 및 SW 교체 과정에서의 오류
	SW 자체에 존재하는 보안 취약점
	시스템 관리자의 운영상 실수 및 관리 미흡
	기타(댓글로)