국내 IC카드 취약점 노출...“대책 필요”

침해/비침해 공격과 부채널 공격에 의한 취약점 노출

이성욱 금융보안연구원 선임 연구원은 한국광고문화회관 2층 대회의실에서 개최되고 있는 ‘2008 u-Payment Grand Forum’에서 “IC카드의 취약점이 노출되고 있어 대책이 필요한 상황”이라고 역설했다.

이성욱 금융보안연구원 선임 연구원은 “최근 금융IC카드 및 신용카드(SEED 알고리즘 기반)의 암호키 노출 및 복제가능성에 대한 위험성이 공개되고, 침해공격과 비침해 공격에 대한 위협이 나타나고 있다”면서 “금융 IC칩 관련 표준의 재개정과 DPA 등 부채널 공격에 대한 IC칩 보안이 강화돼야 한다”고 주장했다.

현재 IC카드에 대한 보안위협은 침해공격과 비침해공격 그리고 부채널에 의한 공격이 나타나고 있다. 침해공격은 Microprobing이라고 하는 방법을 통해 스마트카드의 물리적인 패키지를 열어, 칩표면의 반도체에 접근해 IC칩을 물리적으로 변형하거나 데이터통로(BUS)를 조작해 공격하는 방법이다.

비침해공격은 스마트카드의 통신 인터페이스를 통해, 프로토콜, 암호 알고리즘의 취약성을 남용하거나, 전자기적 신호를 분석하거나, 프로토콜의 신호와 시간을 통해 도청하는 방법과 운영환경에서 온도조절, 전압, 충격 등을 통해 오류를 생성하는 공격 등 카드의 동작 중에서 공격하는 방식이다.

특히 주목되고 있는 부채널 공격은 통신 중인 암호작동 중 나타나는 전력 소비, 전자기 방출, 실행시간 등의 부채널을 통해 추가적인 정보가 노출되는 것을 의미한다.

부채널 공격중 DPA(Differential Power Analysis)의 경우 대량 측정치의 평균을 잡고 측정 오차와 노이즈 등의 영향을 작게해, 모든 데이터의 평균치와의 차분을 잡는 것으로, 연산 프로세스에 의한 전력소비의 영향을 빼고, 사용되는 비밀 정보에 의한 소비전력의 변화만 빼내는 방법이다. 이런 방법을 이용하면 암호에 대한 알고리즘과 상관없이 정보를 빼낼 수 있다.

이 연구원은 “금융 IC카드의 경우, 특히 SEED 알고리즘 관련 취약점 점검이 필요하다”면서 “신용카드의 경우, EMV에 의한 승인된 시험기관으로부터 인증받은 제품을 사용해야한다”고 강조했다.

[오병민 기자(boan4@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)