원격 조정 관련 취약점...인슐린 투입량 높여 저혈당 일으킬 수도
취약점 발견 당사자 “우리 아이가 당뇨라면 기기 사용하게 할 것”
[보안뉴스 문가용 기자] 절찬리 판매되고 있는 무선 인슐린 주입 장치 아니마스 원터치 핑(Animas OneTouch Ping)에서 세 가지 보안 취약점이 발견되었다. 하지만 이 취약점들을 발견한 제이 래드클리프(Jay Radcliffe) 보안 전문가는 “그리 걱정할 일은 아니다”라고 환자들을 먼저 안심시켰다. “저도 해당 인슐린 주입 장치를 사용하는 당뇨병 환자입니다.”
평문 텍스트로 통신이 이뤄지는 ‘사물인터넷 기기들 사이에 흔히 발견되는’ 특징을 포함한 이 세 가지 취약점들은, 사물인터넷 기기 개발 과정에서의 보안 프로토콜이 아직도 부족하다는 걸 시사하고 있다. 그리고 공격자가 마음만 먹으면 해당 취약점들을 익스플로잇 해서 인슐린 주입량을 조작해 저혈당 반응을 일으킬 수 있게 된다.
래드클리프는 이 취약점들을 공개하며 “내 아이 중 누군가가 당뇨병에 걸려 병원에 갔더니 인슐린 주입 장치 사용을 권한다면, 나는 이런 취약점들이 존재하는 걸 알고 있지만 망설이지 않고 의사의 말에 따를 것”이라고 설명했다. 또한 “세상에 완벽한 게 어디있나?”라고 덧붙이기도 했다. 사용을 중단할 정도로 심각한 취약점은 아니라는 것.
아니마스 원터치 핑은 무선 원격 조정을 가능하게 하는 옵션을 가지고 있는데, 이 부분에서 첫 번째 취약점인 CVE-2016-5084가 발견되었다. 기기와 무선 원격 제어장치 사이의 통신이 평문으로 이뤄지는 것. 혈당 수치와 인슐린 투입량 등 치명적일 수 있는 정보가 아무런 암호화 장치 없이 오고가는 것이다. 불행 중 다행으로 아이덴티티와 관련된 정보는 해당되지 않는다.
원격 제어 장치와 주입 장치는 페어링을 통해 연결되며, 페어링 덕분에 다른 원격 장치로부터 명령을 받지 않을 수 있다는 게 제작사 측의 설명이다. 하지만 이 페어링에도 취약점이 발견되었다. CVE-2016-5085로, 페어링을 위한 패킷 교환 방식에 문제가 있다는 것. “항상 같은 패킷이 교환됩니다. 그러므로 스니핑 및 스푸핑이 매우 간단해지는 것이죠.” 이 취약점을 악용하면 저혈당 반응을 일으킬 수 있다.
마지막 취약점은 CVE-2016-5086으로 ‘리플레이 공격 방지’ 메커니즘의 부재에 관한 것이다. 래드클리프는 “원격 제어 장치와 기기 사이의 통신에 시퀀스 번호, 타임스탬프 등 리플레이 공격에 대한 방어 체계가 존재하지 않는다”고 설명했다. 리플레이 공격이란 이전에 환자가 명령 내렸던 걸 다시 반복하게 해주는 것으로, 이 역시 인슐린 투입량을 늘릴 수 있게 해주는 취약점이다.
원래의 원격 장치는 최대 30피트 밖에서도 작동이 되도록 한 것이지만 시중에 파는 무선 전송기를 사용하면 1~2km 밖에서도 공격이 가능하다고 래드클리프는 설명했다. “하지만 산업 표준 암호화를 도입하고 고유 암호키를 활용해서 페어링을 하면 어느 정도 해결할 수 있는 취약점입니다.” 제조사인 아니마스도 여러 권고사항들을 발표했다.
원격에서 인슐린 투입량을 증가시킬 수 있는 취약점이라면 ‘치명적’이라고 분류가 가능한데, 왜 래드클리프는 ‘괜찮다’고 한 걸까? “구현 가능성이 낮습니다. 매우 고차원적인 기술력이 필요한 해킹 기법입니다. 게다가 공격 대상자와 물리적으로 가까워야 하고요. 가장 중요한 건 공격 대상 환자가 반드시 원격 제어 장치 옵션을 활성화시켜야만 공격이 가능하다는 겁니다. 이런 모든 확률이 맞아떨어지기가 힘듭니다.”
업계에서는 메드섹(MedSec)이 주가 조작을 위하여 의료장비의 취약점을 공개한 것과 비교해 제조사와 식약청에 먼저 취약점을 보고한 래드클리프의 이번 행적을 매우 ‘윤리적’이라고 칭찬하고 있다. 래드클리프 역시 “내가 당뇨병 환자이기 때문인지, 아무래도 환자에게 미칠 영향이 가장 걱정되더라”라고 말했다.
또한 점점 사물인터넷 장비의 사용이 늘어가는 의료업계가 사물인터넷 보안에 본격적으로 뛰어들어야 하는 것 아니냐는 목소리도 높아지고 있다. 래드클리프도 여기에 동의한다. “IT 보안 전문인을 병원 내 상주시켜야 하는 건 물론이고, 의료 장비 메이커들과도 다른 차원의 사업을 진행해야 할 겁니다. 안 그러면 환자의 생명이 위험에 처할 수 있게 되거든요.”
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]
취약점 발견 당사자 “우리 아이가 당뇨라면 기기 사용하게 할 것”
[보안뉴스 문가용 기자] 절찬리 판매되고 있는 무선 인슐린 주입 장치 아니마스 원터치 핑(Animas OneTouch Ping)에서 세 가지 보안 취약점이 발견되었다. 하지만 이 취약점들을 발견한 제이 래드클리프(Jay Radcliffe) 보안 전문가는 “그리 걱정할 일은 아니다”라고 환자들을 먼저 안심시켰다. “저도 해당 인슐린 주입 장치를 사용하는 당뇨병 환자입니다.”
평문 텍스트로 통신이 이뤄지는 ‘사물인터넷 기기들 사이에 흔히 발견되는’ 특징을 포함한 이 세 가지 취약점들은, 사물인터넷 기기 개발 과정에서의 보안 프로토콜이 아직도 부족하다는 걸 시사하고 있다. 그리고 공격자가 마음만 먹으면 해당 취약점들을 익스플로잇 해서 인슐린 주입량을 조작해 저혈당 반응을 일으킬 수 있게 된다.
래드클리프는 이 취약점들을 공개하며 “내 아이 중 누군가가 당뇨병에 걸려 병원에 갔더니 인슐린 주입 장치 사용을 권한다면, 나는 이런 취약점들이 존재하는 걸 알고 있지만 망설이지 않고 의사의 말에 따를 것”이라고 설명했다. 또한 “세상에 완벽한 게 어디있나?”라고 덧붙이기도 했다. 사용을 중단할 정도로 심각한 취약점은 아니라는 것.
아니마스 원터치 핑은 무선 원격 조정을 가능하게 하는 옵션을 가지고 있는데, 이 부분에서 첫 번째 취약점인 CVE-2016-5084가 발견되었다. 기기와 무선 원격 제어장치 사이의 통신이 평문으로 이뤄지는 것. 혈당 수치와 인슐린 투입량 등 치명적일 수 있는 정보가 아무런 암호화 장치 없이 오고가는 것이다. 불행 중 다행으로 아이덴티티와 관련된 정보는 해당되지 않는다.
원격 제어 장치와 주입 장치는 페어링을 통해 연결되며, 페어링 덕분에 다른 원격 장치로부터 명령을 받지 않을 수 있다는 게 제작사 측의 설명이다. 하지만 이 페어링에도 취약점이 발견되었다. CVE-2016-5085로, 페어링을 위한 패킷 교환 방식에 문제가 있다는 것. “항상 같은 패킷이 교환됩니다. 그러므로 스니핑 및 스푸핑이 매우 간단해지는 것이죠.” 이 취약점을 악용하면 저혈당 반응을 일으킬 수 있다.
마지막 취약점은 CVE-2016-5086으로 ‘리플레이 공격 방지’ 메커니즘의 부재에 관한 것이다. 래드클리프는 “원격 제어 장치와 기기 사이의 통신에 시퀀스 번호, 타임스탬프 등 리플레이 공격에 대한 방어 체계가 존재하지 않는다”고 설명했다. 리플레이 공격이란 이전에 환자가 명령 내렸던 걸 다시 반복하게 해주는 것으로, 이 역시 인슐린 투입량을 늘릴 수 있게 해주는 취약점이다.
원래의 원격 장치는 최대 30피트 밖에서도 작동이 되도록 한 것이지만 시중에 파는 무선 전송기를 사용하면 1~2km 밖에서도 공격이 가능하다고 래드클리프는 설명했다. “하지만 산업 표준 암호화를 도입하고 고유 암호키를 활용해서 페어링을 하면 어느 정도 해결할 수 있는 취약점입니다.” 제조사인 아니마스도 여러 권고사항들을 발표했다.
원격에서 인슐린 투입량을 증가시킬 수 있는 취약점이라면 ‘치명적’이라고 분류가 가능한데, 왜 래드클리프는 ‘괜찮다’고 한 걸까? “구현 가능성이 낮습니다. 매우 고차원적인 기술력이 필요한 해킹 기법입니다. 게다가 공격 대상자와 물리적으로 가까워야 하고요. 가장 중요한 건 공격 대상 환자가 반드시 원격 제어 장치 옵션을 활성화시켜야만 공격이 가능하다는 겁니다. 이런 모든 확률이 맞아떨어지기가 힘듭니다.”
업계에서는 메드섹(MedSec)이 주가 조작을 위하여 의료장비의 취약점을 공개한 것과 비교해 제조사와 식약청에 먼저 취약점을 보고한 래드클리프의 이번 행적을 매우 ‘윤리적’이라고 칭찬하고 있다. 래드클리프 역시 “내가 당뇨병 환자이기 때문인지, 아무래도 환자에게 미칠 영향이 가장 걱정되더라”라고 말했다.
또한 점점 사물인터넷 장비의 사용이 늘어가는 의료업계가 사물인터넷 보안에 본격적으로 뛰어들어야 하는 것 아니냐는 목소리도 높아지고 있다. 래드클리프도 여기에 동의한다. “IT 보안 전문인을 병원 내 상주시켜야 하는 건 물론이고, 의료 장비 메이커들과도 다른 차원의 사업을 진행해야 할 겁니다. 안 그러면 환자의 생명이 위험에 처할 수 있게 되거든요.”
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-05-30] 
.jpg)
.jpg)
