.jpg)
.jpg)
오프라인 사용자들에게 메시지 전달될 때 암호화 키 바뀌어
페이스북은 “메시지를 하나도 잃게 할 수 없었다”
[보안뉴스 문가용 기자] 종단간 암호화 기능을 자랑해오던 왓츠앱(WhatsApp)이 백도어와 관련된 구설수에 휘말렸다. 왓츠앱이 자사 서비스에 백도어를 심었기 때문에 고객들 간 암호화된 메시지들도 열람이 가능하다고 가디언지가 보도했기 때문이다. 가디언지는 캘리포니아대학교에서 박사과정을 밟고 있는 취약점 전문가인 토비아스 볼터(Tobias Boelter)의 의견을 따라 이러한 기사를 발표한 것으로 알려졌다.
볼터는 왓츠앱 메시지를 받는 사람이 최근 전화기를 바꿨거나 초기화를 했을 경우, 혹은 오프라인이었을 때 최신 버전의 왓츠앱 메신저가 메시지를 어떻게 처리하는지를 분석하면서 해당 백도어를 발견했다고 설명했다. “즉시 왓츠앱 메시지를 받을 수 없을 경우, 왓츠앱은 메시지를 잠시 저장했다가 받는 사람이 온라인이 되면 다시 전송합니다. 그런데 이 때 사용되는 암호화 키가 평소 메시지 암호화에 사용되는 것과 다르더군요.”
이를 공격자가 악용하면 왓츠앱 서버를 통해 메시지 수신자의 전화기를 스푸핑하거나, 자기들의 공개 키를 사용해 메시지를 중간에서 가로채는 게 가능해진다. 볼터는 “정부가 왓츠앱 사용자를 스파잉 할 때 특히나 유용한 백도어로서 사용할 수 있다”고 덧붙였다. 오프라인 사용자들을 위해서 특별 암호화 키를 새롭게 생성하는 이러한 방식은 결국 페이스북이 사용자들의 메시지를 가로채 열람할 수 있도록 해준다. 가디언지는 “왓츠앱에서 하는 대화를 아무도 볼 수 없을 거라는 식으로 광고나 홍보를 하면 안 된다”고 했다.
하지만 볼터는 “이게 의도적인 백도어일 수도 있고, 단순 버그일 수도 있다”며 “확신할 수 없다”고 설명했다. “즉, 왓츠앱 메신저에 누군가 의도적으로 이런 기능을 넣어 스파잉을 가능하게 했을 수도 있고, 왓츠앱 개발에 참여한 누군가가 순수하게 실수를 저지른 것일 수도 있습니다.”
이러한 버그 혹은 백도어를 볼터가 발견한 건 이미 지난 4월의 일이다. 이를 페이스북에 보고했을 때 페이스북은 별다른 관심을 보이지 않았다. 거의 1년이 지난 최근에야 “버그가 아니다”라고 발표하며 “오프라인 상태의 사용자에게 메시지를 확실하게 전달하기 위해 의도적으로 넣은 기능”이라고 설명했다.
페이스북 대변인은 “가디언지의 보도로 알려진 왓츠앱의 기능은 소중한 메시지가 전달되지 않는 일을 방지코자 설계된 것으로, 많은 사용자들이 여러 가지 이유로 모바일을 오프라인으로 만들거나 SIM카드를 종종 바꾸기 때문에 반드시 필요했다”고 설명했다. “전달되어야 하는 메시지가 반드시 전달되도록 하는 게 저희의 미션이었습니다. 게다가 왓츠앱은 사용자들에게 보안 알림기능을 제공하고 있습니다. 연락처에 있는 사람의 보안 코드나 공공 암호화 키가 바뀌었을 때 사용자에게 알람이 뜨는 기능이죠.”
테일즈이시큐리티(Thales e-Security)의 CTO인 존 기터(Jon Geater)는 “별로 심각한 문제가 아니다”라는 쪽이다. “왓츠앱의 디폴트 환경설정이 보안의 측면에서 불완전하다고 볼 수도 있습니다만, 그게 전부입니다. 정부가 내 메시지를 들여다볼 수도 있다는 것에 걱정이 되는 정도의 사용자라면 보안 옵션을 전부 조정했을 테고요. 옵션을 켜면 보안 문제가 전부 없어진다고 봐도 무방합니다.”
존 기터는 “정부의 감시와 검열이 심한 국가의 사용자라면 참고할 만한 뉴스인 듯 하다”며 “그런 국가에서 거주 중이라면, 해당 옵션을 다시 한 번 확인해볼 계기가 될 수 있을 것”이라고 기사의 의의를 설명했다.
시큐어드커뮤니케이션즈(Secure Communications)의 COO인 크리스 페리(Chris Perry)는 이 문제에 대한 페이스북 왓츠앱의 태도가 불분명한 게 가장 미심쩍다는 입장이다. “기술 보고나 완전 공개를 하고 있지도 않고요, 문제 제기 후 공식 발표까지 거의 1년이라는 시간이 걸렸습니다. 보통 이런 프라이버시 관련 문제가 등장하면 고객들을 안심시키기 위해서도 완전 공개를 택하는데 말이죠.”
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]
페이스북은 “메시지를 하나도 잃게 할 수 없었다”
[보안뉴스 문가용 기자] 종단간 암호화 기능을 자랑해오던 왓츠앱(WhatsApp)이 백도어와 관련된 구설수에 휘말렸다. 왓츠앱이 자사 서비스에 백도어를 심었기 때문에 고객들 간 암호화된 메시지들도 열람이 가능하다고 가디언지가 보도했기 때문이다. 가디언지는 캘리포니아대학교에서 박사과정을 밟고 있는 취약점 전문가인 토비아스 볼터(Tobias Boelter)의 의견을 따라 이러한 기사를 발표한 것으로 알려졌다.
볼터는 왓츠앱 메시지를 받는 사람이 최근 전화기를 바꿨거나 초기화를 했을 경우, 혹은 오프라인이었을 때 최신 버전의 왓츠앱 메신저가 메시지를 어떻게 처리하는지를 분석하면서 해당 백도어를 발견했다고 설명했다. “즉시 왓츠앱 메시지를 받을 수 없을 경우, 왓츠앱은 메시지를 잠시 저장했다가 받는 사람이 온라인이 되면 다시 전송합니다. 그런데 이 때 사용되는 암호화 키가 평소 메시지 암호화에 사용되는 것과 다르더군요.”
이를 공격자가 악용하면 왓츠앱 서버를 통해 메시지 수신자의 전화기를 스푸핑하거나, 자기들의 공개 키를 사용해 메시지를 중간에서 가로채는 게 가능해진다. 볼터는 “정부가 왓츠앱 사용자를 스파잉 할 때 특히나 유용한 백도어로서 사용할 수 있다”고 덧붙였다. 오프라인 사용자들을 위해서 특별 암호화 키를 새롭게 생성하는 이러한 방식은 결국 페이스북이 사용자들의 메시지를 가로채 열람할 수 있도록 해준다. 가디언지는 “왓츠앱에서 하는 대화를 아무도 볼 수 없을 거라는 식으로 광고나 홍보를 하면 안 된다”고 했다.
하지만 볼터는 “이게 의도적인 백도어일 수도 있고, 단순 버그일 수도 있다”며 “확신할 수 없다”고 설명했다. “즉, 왓츠앱 메신저에 누군가 의도적으로 이런 기능을 넣어 스파잉을 가능하게 했을 수도 있고, 왓츠앱 개발에 참여한 누군가가 순수하게 실수를 저지른 것일 수도 있습니다.”
이러한 버그 혹은 백도어를 볼터가 발견한 건 이미 지난 4월의 일이다. 이를 페이스북에 보고했을 때 페이스북은 별다른 관심을 보이지 않았다. 거의 1년이 지난 최근에야 “버그가 아니다”라고 발표하며 “오프라인 상태의 사용자에게 메시지를 확실하게 전달하기 위해 의도적으로 넣은 기능”이라고 설명했다.
페이스북 대변인은 “가디언지의 보도로 알려진 왓츠앱의 기능은 소중한 메시지가 전달되지 않는 일을 방지코자 설계된 것으로, 많은 사용자들이 여러 가지 이유로 모바일을 오프라인으로 만들거나 SIM카드를 종종 바꾸기 때문에 반드시 필요했다”고 설명했다. “전달되어야 하는 메시지가 반드시 전달되도록 하는 게 저희의 미션이었습니다. 게다가 왓츠앱은 사용자들에게 보안 알림기능을 제공하고 있습니다. 연락처에 있는 사람의 보안 코드나 공공 암호화 키가 바뀌었을 때 사용자에게 알람이 뜨는 기능이죠.”
테일즈이시큐리티(Thales e-Security)의 CTO인 존 기터(Jon Geater)는 “별로 심각한 문제가 아니다”라는 쪽이다. “왓츠앱의 디폴트 환경설정이 보안의 측면에서 불완전하다고 볼 수도 있습니다만, 그게 전부입니다. 정부가 내 메시지를 들여다볼 수도 있다는 것에 걱정이 되는 정도의 사용자라면 보안 옵션을 전부 조정했을 테고요. 옵션을 켜면 보안 문제가 전부 없어진다고 봐도 무방합니다.”
존 기터는 “정부의 감시와 검열이 심한 국가의 사용자라면 참고할 만한 뉴스인 듯 하다”며 “그런 국가에서 거주 중이라면, 해당 옵션을 다시 한 번 확인해볼 계기가 될 수 있을 것”이라고 기사의 의의를 설명했다.
시큐어드커뮤니케이션즈(Secure Communications)의 COO인 크리스 페리(Chris Perry)는 이 문제에 대한 페이스북 왓츠앱의 태도가 불분명한 게 가장 미심쩍다는 입장이다. “기술 보고나 완전 공개를 하고 있지도 않고요, 문제 제기 후 공식 발표까지 거의 1년이라는 시간이 걸렸습니다. 보통 이런 프라이버시 관련 문제가 등장하면 고객들을 안심시키기 위해서도 완전 공개를 택하는데 말이죠.”
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-11-01] 
