.jpg)
.jpg)
아마존 링 도어벨 프로, 최초 환경설정 시 민감한 정보 불안전하게 교환
아마존 측은 패치하는 데 5개월 넘게 걸려...이유 설명도 없이 패치 배포
[보안뉴스 문가용 기자] 보안 전문가들이 아마존의 링 비디오 도어벨 프로(Ring Video Doorbell Pro)라는 사물인터넷 장비에서 취약점을 발견했다. 링 비디오 도어벨은 일종의 ‘스마트 초인종’ 제품으로, 보안 카메라와 모션 탐지 기술을 합쳐놓은 것이라고 묘사할 수 있다. 누군가 불법적인 침투를 시도할 때, 이를 탐지해주는 것이다.
보안 업체 비트디펜더(BitDefender)가 발견한 바에 의하면 여기서 발견된 취약점을 성공적으로 익스플로잇 할 경우, 공격자는 물리적으로 접근해 와이파이 네트워크 크리덴셜을 가로챌 수 있게 된다.
문제의 근원은 장비를 사용하기 시작할 때의 환경설정. 스마트폰 앱을 사용해 무선망에 아마존 링을 연결하는 과정에서 네트워크 크리덴셜을 전송해야만 하기 때문이다. “크리덴셜을 입력하는 단계가 안전하지 못한 방법을 통해 실행됩니다. 보안 조치가 되지 않은 접근점을 통해 크리덴셜이 전송되고 접수되죠.”
비트디펜더에 의하면 “설정 모드에 들어가면 아마존 링이 접근점을 생성하는데, 이 접근점에는 비밀번호와 같은 보호 장치가 전혀 존재하지 않는다”고 한다. “맥 주소의 마지막 세 바이트에 해당하는 숫자가 SSID에 포함되어 있을 뿐입니다.”
그런 후 데이터가 교환되는데, 일반 HTTP를 통해 진행된다. 따라서 네트워크에 접근해 도청을 할 수 있는 자라면 누구나 이 크리덴셜을 획득할 수 있게 된다는 것이 비트디펜더의 설명이다. “이웃에서 이 초인종을 통해 당신의 와이파이 망을 몰래 사용할 수 있다는 뜻이 되죠.”
물론 옆집과 와이파이를 나눠 쓰는 게 그리 큰일 같아 보이지 않을 수 있다. 당연하지만 그렇게 훈훈하게만 끝나지 않는다는 게 진짜 문제다. “그 이웃이 꽤나 해킹 실력이 좋은 자라면 어떨까요? 네트워크에 접속함으로써, 연결된 각종 장비에 접근할 수 있게 됩니다. 그리고 각종 익스플로잇을 사용한다면 아마존 링의 환경설정 내용을 바꿀 수도 있게 됩니다.”
아마존 링의 환경설정 내용을 바꾼다는 건, “가장 간단히는 장비를 네트워크로부터 분리할 수 있다는 뜻”이 된다. “그렇다면 아마존 링과 연결된 모바일 앱과도 연동이 되지 않습니다. 피해자가 이를 알게 될 경우, 모바일 앱을 통해 설정을 다시 진행해야 합니다. 아니면 누군가 침투를 시도해도 아마존 링을 통해 어떤 경고도 받을 수 없게 됩니다.”
비트디펜더가 이 문제를 제일 처음 발견해 아마존 측에 알린 건 지난 6월 20일의 일이다. 그러나 아마존이 패치를 발표한 건 11월 7일이다. 취약점이 발견되고 패치가 등장하기까지 일반적이라고 할 수 없을 정도로 긴 시간이 흘렀다는 것이다. 그나마 다행이라면 아직까지 이 취약점 때문에 피해를 입은 사용자가 나타나지 않았다는 것이다.
아마존 링 사업부의 대변인은 해외 언론을 통해 “고객의 신뢰를 중요하게 여기며, 제품의 보안을 전혀 가볍지 않게 생각하고 있다”고 말하며 “해당 취약점에 대한 보안 업데이트가 자동으로 적용될 수 있도록 배포를 시작했다”고 발표했다. 패치가 늦은 이유에 대해서는 아무런 설명이 없었다.
비트디펜더는 “이번 사건으로 사물인터넷으로 분류되는 장비들이 내포한 위험성이 다시 한 번 드러났다”고 설명한다. “사물인터넷 장비로 분류되는 스마트홈 가전장비들은 제조 단계에서 보안이라는 요소가 전혀 고려되지 않은 것이 대부분입니다. 사용자들의 데이터와 프라이버시를 보호하는 데에 제조사가 관심을 갖지 않는다는 게 현 사물인터넷 장비들의 고질병입니다.”
3줄 요약
1. 아마존의 스마트 초인종 제품인 아마존 링 도어벨에서 취약점 발견됨.
2. 환경설정 시 민감한 정보가 교환될 때 보안 장치라고 할 만한 게 하나도 없음.
3. 누군가 네트워크에 접근해 장비 무력화시키거나 집안 모든 IoT 장비에접근 가능하게 됨.
[국제부 문가용 기자(globoan@boannews.com)]
아마존 측은 패치하는 데 5개월 넘게 걸려...이유 설명도 없이 패치 배포
[보안뉴스 문가용 기자] 보안 전문가들이 아마존의 링 비디오 도어벨 프로(Ring Video Doorbell Pro)라는 사물인터넷 장비에서 취약점을 발견했다. 링 비디오 도어벨은 일종의 ‘스마트 초인종’ 제품으로, 보안 카메라와 모션 탐지 기술을 합쳐놓은 것이라고 묘사할 수 있다. 누군가 불법적인 침투를 시도할 때, 이를 탐지해주는 것이다.
[이미지 = iclickart]
보안 업체 비트디펜더(BitDefender)가 발견한 바에 의하면 여기서 발견된 취약점을 성공적으로 익스플로잇 할 경우, 공격자는 물리적으로 접근해 와이파이 네트워크 크리덴셜을 가로챌 수 있게 된다.
문제의 근원은 장비를 사용하기 시작할 때의 환경설정. 스마트폰 앱을 사용해 무선망에 아마존 링을 연결하는 과정에서 네트워크 크리덴셜을 전송해야만 하기 때문이다. “크리덴셜을 입력하는 단계가 안전하지 못한 방법을 통해 실행됩니다. 보안 조치가 되지 않은 접근점을 통해 크리덴셜이 전송되고 접수되죠.”
비트디펜더에 의하면 “설정 모드에 들어가면 아마존 링이 접근점을 생성하는데, 이 접근점에는 비밀번호와 같은 보호 장치가 전혀 존재하지 않는다”고 한다. “맥 주소의 마지막 세 바이트에 해당하는 숫자가 SSID에 포함되어 있을 뿐입니다.”
그런 후 데이터가 교환되는데, 일반 HTTP를 통해 진행된다. 따라서 네트워크에 접근해 도청을 할 수 있는 자라면 누구나 이 크리덴셜을 획득할 수 있게 된다는 것이 비트디펜더의 설명이다. “이웃에서 이 초인종을 통해 당신의 와이파이 망을 몰래 사용할 수 있다는 뜻이 되죠.”
물론 옆집과 와이파이를 나눠 쓰는 게 그리 큰일 같아 보이지 않을 수 있다. 당연하지만 그렇게 훈훈하게만 끝나지 않는다는 게 진짜 문제다. “그 이웃이 꽤나 해킹 실력이 좋은 자라면 어떨까요? 네트워크에 접속함으로써, 연결된 각종 장비에 접근할 수 있게 됩니다. 그리고 각종 익스플로잇을 사용한다면 아마존 링의 환경설정 내용을 바꿀 수도 있게 됩니다.”
아마존 링의 환경설정 내용을 바꾼다는 건, “가장 간단히는 장비를 네트워크로부터 분리할 수 있다는 뜻”이 된다. “그렇다면 아마존 링과 연결된 모바일 앱과도 연동이 되지 않습니다. 피해자가 이를 알게 될 경우, 모바일 앱을 통해 설정을 다시 진행해야 합니다. 아니면 누군가 침투를 시도해도 아마존 링을 통해 어떤 경고도 받을 수 없게 됩니다.”
비트디펜더가 이 문제를 제일 처음 발견해 아마존 측에 알린 건 지난 6월 20일의 일이다. 그러나 아마존이 패치를 발표한 건 11월 7일이다. 취약점이 발견되고 패치가 등장하기까지 일반적이라고 할 수 없을 정도로 긴 시간이 흘렀다는 것이다. 그나마 다행이라면 아직까지 이 취약점 때문에 피해를 입은 사용자가 나타나지 않았다는 것이다.
아마존 링 사업부의 대변인은 해외 언론을 통해 “고객의 신뢰를 중요하게 여기며, 제품의 보안을 전혀 가볍지 않게 생각하고 있다”고 말하며 “해당 취약점에 대한 보안 업데이트가 자동으로 적용될 수 있도록 배포를 시작했다”고 발표했다. 패치가 늦은 이유에 대해서는 아무런 설명이 없었다.
비트디펜더는 “이번 사건으로 사물인터넷으로 분류되는 장비들이 내포한 위험성이 다시 한 번 드러났다”고 설명한다. “사물인터넷 장비로 분류되는 스마트홈 가전장비들은 제조 단계에서 보안이라는 요소가 전혀 고려되지 않은 것이 대부분입니다. 사용자들의 데이터와 프라이버시를 보호하는 데에 제조사가 관심을 갖지 않는다는 게 현 사물인터넷 장비들의 고질병입니다.”
3줄 요약
1. 아마존의 스마트 초인종 제품인 아마존 링 도어벨에서 취약점 발견됨.
2. 환경설정 시 민감한 정보가 교환될 때 보안 장치라고 할 만한 게 하나도 없음.
3. 누군가 네트워크에 접근해 장비 무력화시키거나 집안 모든 IoT 장비에접근 가능하게 됨.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-11-22] 
.jpg)
.jpg)
.jpg)
.jpg)
