.jpg)
마케팅 등의 용도로 활용되어 온 핑거프린팅, 점점 하기 어려워져
모바일 기기 내 센서들 통한 핑거프린팅 기법 개발돼...광범위한 취약점
[보안뉴스 문가용 기자] 영국 캠브리지 대학의 연구원들이 모바일을 공격하는 해커들의 새로운 움직임에 대해 발표했다. 모바일 장비들에 장착된 각종 센서들을 통해 장비만의 고유한 디지털 지문을 생성한다는 내용이다. 이를 디바이스 핑거프린팅(device fingerprinting)이라고 한다.
디바이스 핑거프린팅 기술은 수년 동안 활용되어 왔다. 기기 고유의 식별자를 생성해내는 것인데, 이 식별자라는 것은 결국 장비에서부터 나오는 여러 종류의 정보를 조합한 것을 말한다. 데스크톱 컴퓨터에서도 이런 일이 벌어지는데, 대부분 브라우저를 통해서 이뤄진다. 모바일 장비의 경우 브라우저는 물론 각종 앱들이 활용된다.
그렇다면 왜 ‘디바이스 핑거프린팅’ 기술이 필요한 것일까? 여러 가지 이유가 있지만 안전이라는 측면에서는 예를 들어 특정 장비가 계속해서 같은 웹사이트로의 연결을 시도한다고 했을 때 공격을 의심할 수 있게 된다. 물론 디바이스 핑거프린팅 용례의 절대 다수는 ‘마케팅’이 차지하고 있긴 하다.
“장비의 지문 즉, 디바이스 핑거프린트가 있으면 웹사이트 운영자가 고객의 재방문 현황을 파악할 수 있고, 고객이 어떤 패턴으로 웹 서핑을 하는지도 파악할 수 있습니다. 추적이 가능하다는 것이죠.” 퀸즈칼리지의 컴퓨터 보안 연구원인 알라스테어 베레스포드(Alastair Beresford)의 설명이다. “마케팅에서 활용될 수도 있지만, 아이덴티티 탈취, 신용카드 사기 등에도 악용될 수 있는 기술입니다.”
그래서 최근 모질라는 파이어폭스 67 버전을 통해 디지털 지문 채취를 차단하는 기능을 추가했다. 애플의 맥OS 모하비에 탑재된 사파리 브라우저의 경우도 사용자들을 겨냥한 추적을 어느 정도 방어할 수 있다고 한다. ‘어느 정도’라 함은, 식별자를 생성하기는 하되 고유한 것이 아니기 때문에 추적 용도로서는 가치가 낮게 된다는 뜻이다. 이번 달 초 구글 역시 크롬을 발표하며 ‘핑거프린팅 행위를 공격적으로 제한할 것’이라고 약속했었다.
이렇게 되자 핑거프린팅 작업의 난이도가 크게 올라갔다. 이에 캠브리지대학과 폴리매스 인사이트(Polymath Insight)라는 곳에서 이런 방어 툴들을 뚫고 핑거프린팅을 할 수 있는 방법을 연구하기 시작했던 것이다. iOS와 안드로이드 환경에서 모두 작동하는 핑거프린팅 기법을 찾아내는 게 연구의 목적이었다.
연구원들이 들여다보기 시작한 건 모바일 장비 내 탑재된 센서들이었다. “센서는 다수의 앱에서 사용하기 때문에 접근하기가 용이하다는 장점이 있습니다. 이런 점 때문에 모바일 기기를 공략하는 게 점점 더 인기를 끌고 있기도 하지요. 센서를 이용해 핑거프린팅을 하고자 하는 시도는 이전부터 있어 왔습니다만 정확도나 일관성 면에서 부족함이 있었습니다.”
연구원들에 따르면 센서들로부터 나오는 출력값을 측정하는 건 크게 도움이 되지 않는다. 왜냐하면 센서들은 계속해서 출력값을 바꾸는 것이 정상이기 때문이다. 또한 센서에 직접 접근하는 것도 불가능하다. 그래서 연구원들은 “센서의 상세 교정(calibration) 상태를 추론하는 방법”을 찾아냈다. 센서들의 미세한 오류를 해결하기 위해 교정을 가하는 건 반드시 필요한 일이었기에, 이 정보는 핑거프린팅에 꽤나 도움이 될 수 있었다.
모바일 장비의 모션 센서들은 초소형 미세공정 시스템, 혹은 멤스(micro-electro-mechanical system, MEMS)를 기반으로 하고 있다. 또한 미세 가공 기술(microfabrication)을 통해 기계적인 부분들을 모방한다. 이렇게 함으로써 비용을 낮추지만, 대신 오류 발생률이 올라간다. “생산 과정에서는 결정적 오류(deterministic error) 임의 오류(random error)가 발생합니다. 결정적 오류는 생산 과정의 불완전함 때문에 생기고, 임의 오류는 전자적 노이즈의 개입 때문에 나타납니다. 결정적 오류를 해결하기 위해 교정(calibration)이 필요합니다.”
이론상 각 기계와 부품마다 발생하는 오류와 그에 따른 교정은 굉장히 고유하다. 연구원들은 센서들의 출력값을 세부적으로 분석함으로써 교정과 관련된 데이터를 수학적으로 추론하는 방법을 발견해냈다. 이를 바탕으로 교정 관련 데이터를 1초 안에 추출해내는 앱을 개발하는 데 성공했다. 이런 기능을 가진 웹 페이지에 사용자가 방문했을 때에도 센서들로부터 이런 정보를 추출하는 걸 가능하게 만들기도 했다. 즉 원격에서 센서를 활용한 디지털 핑거프린팅을 해낸 것인데, 이 때에는 정확도가 조금 떨어진다고 한다.
“기술적인 용어를 사용하자면, 아이폰 6S에서는 자이로스콥으로부터 42 비트의 엔트로피를, 자력계로부터는 25 비트의 엔트로피를 끌어낼 수 있었습니다. 이 두 가지 결과를 합쳐서 센서아이디(SensorID)를 만들어냈는데, 이것이 바로 고유한 식별자가 됩니다. 구글 픽셀폰 2와 3에서도 비슷한 방식으로 핑거프린팅에 성공했습니다.”
교정과 관련된 데이터를 추출해내는 데에 걸리는 시간은 1초도 걸리지 않는다. 또한 장비의 현재 상태나 위치, 놓인 방향에 영향을 받지도 않는다고 한다. “추출이 진행되는 동안 장비를 사납게 흔들어보기도 했습니다. 그런 경우 추가적인 데이터가 필요한데, 그럼에도 수초가 더 걸릴 뿐이었습니다. 심지어 사용자가 뭔가를 허용해주거나 특정 앱을 열어야 한다거나 하는 전제 조건도 없습니다. 특수하게 조작된 웹사이트를 방문하거나 앱을 설치하기만 하면, 디바이스 핑거프린팅이 성공한다는 겁니다.”
만약 공격자가 특정 인물의 장비를 핑거프린팅 하고 싶을 때면, 피싱 공격이나 소셜 엔지니어링을 통해 웹사이트를 1~2초 정도 방문하게 하거나, 앱을 설치하도록 하면 된다. 그러면 해당 모바일 장비를 얼마든지 추적할 수 있게 된다. “교정 값을 통한 핑거프린팅 공격은 광범위하게 적용할 수 있습니다. 이번 연구에서는 애플 장비를 위주로 자이로스콥과 자력계 센서만 연구가 되었지만 다른 장비의 여러 센서들을 통해서도 같은 결과를 이끌어낼 수 있다는 겁니다.”
그렇다면 어떻게 해야 이런 식의 공격에 대비할 수 있을까? “모바일 기기가 누군가에게 특정되어 감시되는 걸 막으려면, 교정을 시작하기 전에 등분포 무작위 잡음(uniformly distributed random noise)을 센서의 출력값에 추가해야 합니다. 애플 측은 저희의 이런 제안을 받아들였고, iOS 12.2부터 이 방법을 적용했습니다.”
3줄 요약
1. 핑거프린팅이란, 고유한 식별자를 기기로부터 찾아내는 일. 추적할 때 매우 용이함.
2. 모바일 기기의 경우 탑재된 센서들의 교정값을 수학적으로 추론함으로써 핑거프린팅 할 수 있음.
3. 이를 막으려면 센서 교정 전에 무작위 잡음을 추가해야 함. 애플은 iOS 12.2 버전부터 이 방법을 적용.
[국제부 문가용 기자(globoan@boannews.com)]
모바일 기기 내 센서들 통한 핑거프린팅 기법 개발돼...광범위한 취약점
[보안뉴스 문가용 기자] 영국 캠브리지 대학의 연구원들이 모바일을 공격하는 해커들의 새로운 움직임에 대해 발표했다. 모바일 장비들에 장착된 각종 센서들을 통해 장비만의 고유한 디지털 지문을 생성한다는 내용이다. 이를 디바이스 핑거프린팅(device fingerprinting)이라고 한다.
[이미지 = iclickart]
디바이스 핑거프린팅 기술은 수년 동안 활용되어 왔다. 기기 고유의 식별자를 생성해내는 것인데, 이 식별자라는 것은 결국 장비에서부터 나오는 여러 종류의 정보를 조합한 것을 말한다. 데스크톱 컴퓨터에서도 이런 일이 벌어지는데, 대부분 브라우저를 통해서 이뤄진다. 모바일 장비의 경우 브라우저는 물론 각종 앱들이 활용된다.
그렇다면 왜 ‘디바이스 핑거프린팅’ 기술이 필요한 것일까? 여러 가지 이유가 있지만 안전이라는 측면에서는 예를 들어 특정 장비가 계속해서 같은 웹사이트로의 연결을 시도한다고 했을 때 공격을 의심할 수 있게 된다. 물론 디바이스 핑거프린팅 용례의 절대 다수는 ‘마케팅’이 차지하고 있긴 하다.
“장비의 지문 즉, 디바이스 핑거프린트가 있으면 웹사이트 운영자가 고객의 재방문 현황을 파악할 수 있고, 고객이 어떤 패턴으로 웹 서핑을 하는지도 파악할 수 있습니다. 추적이 가능하다는 것이죠.” 퀸즈칼리지의 컴퓨터 보안 연구원인 알라스테어 베레스포드(Alastair Beresford)의 설명이다. “마케팅에서 활용될 수도 있지만, 아이덴티티 탈취, 신용카드 사기 등에도 악용될 수 있는 기술입니다.”
그래서 최근 모질라는 파이어폭스 67 버전을 통해 디지털 지문 채취를 차단하는 기능을 추가했다. 애플의 맥OS 모하비에 탑재된 사파리 브라우저의 경우도 사용자들을 겨냥한 추적을 어느 정도 방어할 수 있다고 한다. ‘어느 정도’라 함은, 식별자를 생성하기는 하되 고유한 것이 아니기 때문에 추적 용도로서는 가치가 낮게 된다는 뜻이다. 이번 달 초 구글 역시 크롬을 발표하며 ‘핑거프린팅 행위를 공격적으로 제한할 것’이라고 약속했었다.
이렇게 되자 핑거프린팅 작업의 난이도가 크게 올라갔다. 이에 캠브리지대학과 폴리매스 인사이트(Polymath Insight)라는 곳에서 이런 방어 툴들을 뚫고 핑거프린팅을 할 수 있는 방법을 연구하기 시작했던 것이다. iOS와 안드로이드 환경에서 모두 작동하는 핑거프린팅 기법을 찾아내는 게 연구의 목적이었다.
연구원들이 들여다보기 시작한 건 모바일 장비 내 탑재된 센서들이었다. “센서는 다수의 앱에서 사용하기 때문에 접근하기가 용이하다는 장점이 있습니다. 이런 점 때문에 모바일 기기를 공략하는 게 점점 더 인기를 끌고 있기도 하지요. 센서를 이용해 핑거프린팅을 하고자 하는 시도는 이전부터 있어 왔습니다만 정확도나 일관성 면에서 부족함이 있었습니다.”
연구원들에 따르면 센서들로부터 나오는 출력값을 측정하는 건 크게 도움이 되지 않는다. 왜냐하면 센서들은 계속해서 출력값을 바꾸는 것이 정상이기 때문이다. 또한 센서에 직접 접근하는 것도 불가능하다. 그래서 연구원들은 “센서의 상세 교정(calibration) 상태를 추론하는 방법”을 찾아냈다. 센서들의 미세한 오류를 해결하기 위해 교정을 가하는 건 반드시 필요한 일이었기에, 이 정보는 핑거프린팅에 꽤나 도움이 될 수 있었다.
모바일 장비의 모션 센서들은 초소형 미세공정 시스템, 혹은 멤스(micro-electro-mechanical system, MEMS)를 기반으로 하고 있다. 또한 미세 가공 기술(microfabrication)을 통해 기계적인 부분들을 모방한다. 이렇게 함으로써 비용을 낮추지만, 대신 오류 발생률이 올라간다. “생산 과정에서는 결정적 오류(deterministic error) 임의 오류(random error)가 발생합니다. 결정적 오류는 생산 과정의 불완전함 때문에 생기고, 임의 오류는 전자적 노이즈의 개입 때문에 나타납니다. 결정적 오류를 해결하기 위해 교정(calibration)이 필요합니다.”
이론상 각 기계와 부품마다 발생하는 오류와 그에 따른 교정은 굉장히 고유하다. 연구원들은 센서들의 출력값을 세부적으로 분석함으로써 교정과 관련된 데이터를 수학적으로 추론하는 방법을 발견해냈다. 이를 바탕으로 교정 관련 데이터를 1초 안에 추출해내는 앱을 개발하는 데 성공했다. 이런 기능을 가진 웹 페이지에 사용자가 방문했을 때에도 센서들로부터 이런 정보를 추출하는 걸 가능하게 만들기도 했다. 즉 원격에서 센서를 활용한 디지털 핑거프린팅을 해낸 것인데, 이 때에는 정확도가 조금 떨어진다고 한다.
“기술적인 용어를 사용하자면, 아이폰 6S에서는 자이로스콥으로부터 42 비트의 엔트로피를, 자력계로부터는 25 비트의 엔트로피를 끌어낼 수 있었습니다. 이 두 가지 결과를 합쳐서 센서아이디(SensorID)를 만들어냈는데, 이것이 바로 고유한 식별자가 됩니다. 구글 픽셀폰 2와 3에서도 비슷한 방식으로 핑거프린팅에 성공했습니다.”
교정과 관련된 데이터를 추출해내는 데에 걸리는 시간은 1초도 걸리지 않는다. 또한 장비의 현재 상태나 위치, 놓인 방향에 영향을 받지도 않는다고 한다. “추출이 진행되는 동안 장비를 사납게 흔들어보기도 했습니다. 그런 경우 추가적인 데이터가 필요한데, 그럼에도 수초가 더 걸릴 뿐이었습니다. 심지어 사용자가 뭔가를 허용해주거나 특정 앱을 열어야 한다거나 하는 전제 조건도 없습니다. 특수하게 조작된 웹사이트를 방문하거나 앱을 설치하기만 하면, 디바이스 핑거프린팅이 성공한다는 겁니다.”
만약 공격자가 특정 인물의 장비를 핑거프린팅 하고 싶을 때면, 피싱 공격이나 소셜 엔지니어링을 통해 웹사이트를 1~2초 정도 방문하게 하거나, 앱을 설치하도록 하면 된다. 그러면 해당 모바일 장비를 얼마든지 추적할 수 있게 된다. “교정 값을 통한 핑거프린팅 공격은 광범위하게 적용할 수 있습니다. 이번 연구에서는 애플 장비를 위주로 자이로스콥과 자력계 센서만 연구가 되었지만 다른 장비의 여러 센서들을 통해서도 같은 결과를 이끌어낼 수 있다는 겁니다.”
그렇다면 어떻게 해야 이런 식의 공격에 대비할 수 있을까? “모바일 기기가 누군가에게 특정되어 감시되는 걸 막으려면, 교정을 시작하기 전에 등분포 무작위 잡음(uniformly distributed random noise)을 센서의 출력값에 추가해야 합니다. 애플 측은 저희의 이런 제안을 받아들였고, iOS 12.2부터 이 방법을 적용했습니다.”
3줄 요약
1. 핑거프린팅이란, 고유한 식별자를 기기로부터 찾아내는 일. 추적할 때 매우 용이함.
2. 모바일 기기의 경우 탑재된 센서들의 교정값을 수학적으로 추론함으로써 핑거프린팅 할 수 있음.
3. 이를 막으려면 센서 교정 전에 무작위 잡음을 추가해야 함. 애플은 iOS 12.2 버전부터 이 방법을 적용.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-11-22] .jpg)
.jpg)
.jpg)
.jpg)
.jpg)
