스마트폰 OS 3개 안전실태 점검, 절대평가 어려워

양대산맥 아이폰-안드로이드폰의 보안상황은?

윈도우 스마트폰에 대한 긍정적 인식 확산중

[보안뉴스 주소형] 비즈니스맨들 사이에서 애플의 아이폰이 안드로이드 폰보다 안전하다는 인식이 높다. 그러나 실제로는 이제 비등비등하다고 한다. 특히 구글 넥서스(Nexus)와 삼성 녹스(Knox) 버전의 휴대폰은 안전성을 놓고 아이폰과 견주었을 때 손색이 없다는 결과가 나왔다.

영국의 보안업체 소포스(Sophos)의 쳇 비스니브스키(Chet Wisniewski) 수석 보안고문이 iOS, 안드로이드, 윈도우 기반의 스마트폰에 대한 프라이버시와 보안의 연관성을 분석했다. 조사에 사용됐던 기기 종류는 구글 넥서스 6 버전 5.0.1, 애플 아이폰 6+ iOS 버전 8.2, 노키아 루미아 635 윈도우 8.1로 해당 기기들은 모두 초기화시켜 진행했다.

먼저 그는 애플의 아이폰 iOS은 이미 알려진 것과 같이 전반적으로 보안성에 큰 문제가 없다며 말을 시작했다. 그는 사용자가 관리만 잘하면 기기 보안에 대한 의구심을 가질 필요 없다고 설명했다.

이어서 안드로이드 폰 역시 크게 위험하지는 않다고 덧붙였다. “대부분의 안드로이드 폰도 안전 궤도에 많이 올라와 있는 상황이다. 특히 삼성 녹스나 넥서스는 아이폰과 동일한 수준으로 인정된다.”

다만 “예전 버전의 안드로이드 폰을 가지고 있다면 이야기가 달라진다. 안드로이드는 유난히 기본으로 탑재되어 있는 앱(App)들이 많다. 이들을 사용자에 의해 검증되지 않아 위험요소를 많이 갖고 있어 철저한 관리가 요구된다. 사실 내가 한 회사의 대표라고 가정하면, 직원이 오래된 안드로이드 폰을 업무에 사용하는 것을 허용하지 않을 것”이라고 말했다.

반면 윈도우 폰은 아이폰 및 안드로이드 폰과 비교했을 때 아직까지 위험요소가 많다고 비스니브스키는 우려했다. 특히 비즈니스의 용도로 사용하기에는 무리가 있어 보인다는 것. 그러면서도 “윈도우 10 휴대폰이 나오기 전에 평가하는 것은 다소 이르다”라고 말을 아꼈다. 윈도우 10은 종전대비 통제력과 운영체제와 응용프로그램 사이의 통신에 사용되는 언어나 메시지 형식인 API 서포트가 강화될 것이 틀림없기 때문이라고 그는 덧붙였다.

“그런데 흥미로운 점은 IT 전문가들 사이에서 윈도우 모바일을 선택하는 이가 늘고 있다는 것이다”라며 “그들은 윈도우 폰이 아직 널리 알려지지 않았지만 인터페이스도 쉽고, 배터리 수명도 좋고, 전반적인 질도 좋다고 평가하고 있다. 아이폰 대비 가격이 저렴한 것도 장점이어서 IT 전문가들이 눈독을 들이고 있다.”

그러나 그는 윈도우 폰이 대부분의 사용자 및 기기의 정보들을 과도히 수집하고 있다는 점은 문제가 될 수 있다고 강조했다. “그렇게 정보를 수집하는 것은 비즈니스 상에서 상당히 예민하게 작용될 수 있는 부분이다.”

뿐만 아니라 윈도우 폰은 기능 수행 혹은 해제를 위해 키를 두드리거나 눌러서 작동시키는 사용자의 키스트로크(keystroke) 정보까지 수집하고 있다. 물론 마이크로소프트가 이를 모으고 것에 대한 명분이 사용자들의 경험을 토대로 향후 키보드 소프트웨어의 기능을 강화하겠다는 취지라는 것은 십분 이해하지만, 그래도 그렇게 수집하는 것이 위험하다는 사실은 여전히 변화가 없다고 꼬집었다.

그에 따르면 윈도우 폰의 또 다른 약점은 무분별한 Wi-Fi 사용이다. 윈도우 폰은 와이파이 사용을 굉장히 쉽게 만들어 주는데, 옵션 설정에 따라 친구와 와이파이 로그인 정보를 자동으로 공유하는 게 가능하다. 즉 윈도우 폰을 가진 내 친구가 로그인한 와이파이 망에 나도 자동으로 로그인할 수 있다는 것이다. 개발부서에서는 편하라고 만든 혁신적인 기능일지 몰라도 보안의 시각에서는 대단히 큰 위험요소다.

안드로이드 폰 역시 위치 정보가 유출되는 경향이 있다고 그는 설명했다. 반면 애플은 그런 면에서는 철벽방어를 하고 있다고 덧붙였다. 사용자의 동의를 엄격히 요하기 때문이다.

기기와 OS에 따른 차이가 이 정도라면 앱은 어떨까? 사람들이 비즈니스와 개인적으로 동시에 사용하고 있는 앱의 경우 페이스북, 페이스북 메신져, 핀터레스트(Pinterest), 스냅쳇(SnapChat), 트위터 뿐 아니라 캔디 크러쉬 사가 게임, 플래시라이트(flashlight) 등을 실험해 보았다.

여기서 플래시라이트 앱은 불빛이 나오는 손전등 기능 앱이다. iOS상에서 해당 앱은 18개의 다른 네트워크들과 연결되며 14개의 광고 네트워크들과 연결시킨다는 걸 발견했다. “이로 인해 위치 정보 승인 없이도 개인 IP주소가 노출되는 경로가 될 수 있다.” 안드로이드 폰에서 플래시라이트 앱을 사용할 때는 8개의 광고 네트워크들과 연결된다. “1분에 7메가바이트가 전송되는 꽤나 괜찮은 속도까지도 감지됐다.”

앞서 말한 세 개의 스마트폰 OS의 특징은 워낙 제각각이라 보안성에 있어서 근소한 차이를 가지고 있다. 하지만 무조건 iOS가 최고고 윈도우 폰은 사용조차 고려할 수 없다는 결론에 이르지는 않는다. 앱들에도 OS와는 전혀 상관 없는 나름의 취약점들이 있기 때문이다. 따라서 세 개의 플랫폼에 대한 보안점수가 각각 몇 점이라는 절대적인 수치를 낼 수 없다고 설명했다. “결국 어떻게 사용하고 업무 환경에 어떻게 적용하느냐에 따라 보안성에 큰 차이가 납니다. 먼저는 기기나 앱, 데이터를 사용함에 있어서 비지니스용과 개인용을 구분하는 습관이나 정책이 중요하다.”

@DARKReading

[국제부 주소형 기자(sochu@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)