독일의 싱크탱크에서 진행한 가정용 라우터 조사...보안 개념 찾기 힘들어
기본적인 방어 대책조차 없는 장비 많아...보안 무시하고 제조했다고 보는 게 맞아
[보안뉴스 문가용 기자] 127가지의 인기 높은 가정용 라우터들에 대한 보안 검사가 진행됐다. 그리고 거의 모든 제품에서 최소 한 개 이상의 치명적 취약점이 발견됐다. 이에 대한 보고서를 독일의 싱크탱크인 프라운호퍼 인스티튜트(Fraunhofer Institute)가 ‘가정용 라우터 보안 보고서(Home Router Security Report)’라는 이름으로 발표했다.
보고서를 위해 분석된 라우터는 디링크(D-Link), 넷기어(Netgear), 에이수스(ASUS), 링크시스(Linksys), TP링크(TP-Link), 자이젤(Zyxel)에서 만든 것으로 평균 53개의 치명적 취약점이 있는 것으로 나타났다. 가장 안전하고 튼튼하게 만들어진 모델이라고 하더라도 1개의 취약점을 가지고 있었다고 한다.
연구원들은 다음 항목들을 기준으로 장비를 검사했다고 한다.
1) 장비 업데이트
2) OS 버전
3) 알려진 취약점의 존재 여부
4) 제조사에서 제공하는 익스플로잇 완화 방법
5) 4)번이 발동되는 주기
6) 펌웨어 내 비밀 암호화 키와 관련된 정보의 유무
7) 하드코드 된 로그인 크리덴셜의 존재 여부
“요약하자면, 완벽한 라우터는 하나도 없다는 게 우리의 결론입니다. 이게 그냥 수사가 아닙니다. 정말로 하나도 없어요. 보안이라는 측면에서는 라우터 제조사들이 아무런 신경을 쓰지 않는 수준이라고 봐도 무방합니다. 보안이 무엇인지, 왜 필요한지부터 라우터 제조사들이 이해해야 할 것으로 보입니다.” 프라운호퍼 측의 주장이다.
그러면서 프라운호퍼는 “보통 사물인터넷 장비나 라우터의 보안 이야기를 하면 사용자들의 잘못된 설정 습관 등을 이야기 하는데, 그게 문제의 전부는 아니”라고 덧붙였다. “가장 기본적으로 사물인터넷 장비와 라우터를 위험하게 하는 건, 제조사들의 기본적인 허술함이죠. 이번 조사를 통해 드러난 것도 바로 그 부분입니다.”
연구원들은 자동화 기술을 통해 장비들에 설치된 펌웨어의 버전을 확인하는 등 여러 가지 보안 기본 사항들을 확인했다고 한다. 그 결과 127개 모델 중 자동화 기술로 펌웨어 정보를 완전히 추출할 수 있었던 것은 117개였고, 그 중 116개가 리눅스를 기반으로 하고 있다는 것을 알아냈다. 리눅스는 이론상 보안이 튼튼한 OS로 있을 수 있지만 현실 속에서는 그렇지 않다고 한다. “왜냐하면 대부분 제조사들은 리눅스가 공짜라서 쓰거든요. 따라서 보안 업데이트 등의 지원이 되지 않는 오래된 버전을 사용하는 게 보통이죠.”
이번에 분석된 장비들의 경우도 예외는 아니었다. “대부분 2.6 리눅스 커널을 기반으로 하고 있었어요. 수년 째 지원이 되지 않고 있는 버전이죠. 2.6 리눅스 커널을 사용하고 있다는 것 자체만으로도 수많은 취약점들이 나타나고 있습니다.”
게다가 제조사들 중 흔한 익스플로잇 공격에 대한 기본적인 대응책조차 사용하지 않는 곳들도 별로 없는 것으로 나타났다. “크랙이 어려운 비밀번호를 사용한다든가, 사용자가 어려운 비밀번호만을 설정하도록 한다든가 하는 기본적인 고려도 없는 장비가 대부분입니다. 보안을 조금이라도 생각하지 않았다는 게 맞아 보입니다.”
분석된 펌웨어 이미지들 대부분에서 비밀 암호화 키가 발견되기도 했다. “즉 암호화 키를 사용해 뭔가를 보호하려고 했지만, 사실은 아무 것도 보호하지 않았다는 뜻입니다. 눈 가리고 아웅한 거죠. ‘자, 봐라, 우리는 암호화를 사용했다’하고 과시하려고요. 하지만 열쇠를 펌웨어 이미지 안에 숨겨놨다면 실질적으로 아무런 효력이 없었다는 겁니다.”
물론 개중에 나은 곳도 있었다. “AVM 인터내셔널(AVM International)이라는 회사가 보안이라는 측면에서는 가장 나았습니다. 그렇다고 완벽한 것과는 거리가 멀었습니다만.” 또한 에이수스와 넷기어도 굳이 따지면 나은 편에 속한다고 프라운호퍼는 설명했다. “일단 이 두 회사는 업데이트를 가장 자주 합니다. 사용하는 리눅스 버전도 비교적 최신이고요. 기본은 하고 있다고 볼 수 있습니다.”
가장 취약한 회사는 디링크, 링크시스, TP링크, 자이젤인 것으로 나타났다. “라우터의 기본적인 성능에 관해서는 서로 비슷할 수 있습니다만 보안이라는 측면에서는 이 네 곳이 가장 취약했습니다.”
3줄 요약
1. 가정용 라우터들 중 보안 개념 제대로 잡힌 채 만들어진 건 없다시피 한 수준.
2. 그나마 AVM 인터내셔널, 에이수스, 넷기어가 나은 수준.
3. 디링크, 링크시스, TP링크, 자이젤은 최악 수준.
[국제부 문가용 기자(globoan@boannews.com)]
기본적인 방어 대책조차 없는 장비 많아...보안 무시하고 제조했다고 보는 게 맞아
[보안뉴스 문가용 기자] 127가지의 인기 높은 가정용 라우터들에 대한 보안 검사가 진행됐다. 그리고 거의 모든 제품에서 최소 한 개 이상의 치명적 취약점이 발견됐다. 이에 대한 보고서를 독일의 싱크탱크인 프라운호퍼 인스티튜트(Fraunhofer Institute)가 ‘가정용 라우터 보안 보고서(Home Router Security Report)’라는 이름으로 발표했다.
[이미지 = utoimage]
보고서를 위해 분석된 라우터는 디링크(D-Link), 넷기어(Netgear), 에이수스(ASUS), 링크시스(Linksys), TP링크(TP-Link), 자이젤(Zyxel)에서 만든 것으로 평균 53개의 치명적 취약점이 있는 것으로 나타났다. 가장 안전하고 튼튼하게 만들어진 모델이라고 하더라도 1개의 취약점을 가지고 있었다고 한다.
연구원들은 다음 항목들을 기준으로 장비를 검사했다고 한다.
1) 장비 업데이트
2) OS 버전
3) 알려진 취약점의 존재 여부
4) 제조사에서 제공하는 익스플로잇 완화 방법
5) 4)번이 발동되는 주기
6) 펌웨어 내 비밀 암호화 키와 관련된 정보의 유무
7) 하드코드 된 로그인 크리덴셜의 존재 여부
“요약하자면, 완벽한 라우터는 하나도 없다는 게 우리의 결론입니다. 이게 그냥 수사가 아닙니다. 정말로 하나도 없어요. 보안이라는 측면에서는 라우터 제조사들이 아무런 신경을 쓰지 않는 수준이라고 봐도 무방합니다. 보안이 무엇인지, 왜 필요한지부터 라우터 제조사들이 이해해야 할 것으로 보입니다.” 프라운호퍼 측의 주장이다.
그러면서 프라운호퍼는 “보통 사물인터넷 장비나 라우터의 보안 이야기를 하면 사용자들의 잘못된 설정 습관 등을 이야기 하는데, 그게 문제의 전부는 아니”라고 덧붙였다. “가장 기본적으로 사물인터넷 장비와 라우터를 위험하게 하는 건, 제조사들의 기본적인 허술함이죠. 이번 조사를 통해 드러난 것도 바로 그 부분입니다.”
연구원들은 자동화 기술을 통해 장비들에 설치된 펌웨어의 버전을 확인하는 등 여러 가지 보안 기본 사항들을 확인했다고 한다. 그 결과 127개 모델 중 자동화 기술로 펌웨어 정보를 완전히 추출할 수 있었던 것은 117개였고, 그 중 116개가 리눅스를 기반으로 하고 있다는 것을 알아냈다. 리눅스는 이론상 보안이 튼튼한 OS로 있을 수 있지만 현실 속에서는 그렇지 않다고 한다. “왜냐하면 대부분 제조사들은 리눅스가 공짜라서 쓰거든요. 따라서 보안 업데이트 등의 지원이 되지 않는 오래된 버전을 사용하는 게 보통이죠.”
이번에 분석된 장비들의 경우도 예외는 아니었다. “대부분 2.6 리눅스 커널을 기반으로 하고 있었어요. 수년 째 지원이 되지 않고 있는 버전이죠. 2.6 리눅스 커널을 사용하고 있다는 것 자체만으로도 수많은 취약점들이 나타나고 있습니다.”
게다가 제조사들 중 흔한 익스플로잇 공격에 대한 기본적인 대응책조차 사용하지 않는 곳들도 별로 없는 것으로 나타났다. “크랙이 어려운 비밀번호를 사용한다든가, 사용자가 어려운 비밀번호만을 설정하도록 한다든가 하는 기본적인 고려도 없는 장비가 대부분입니다. 보안을 조금이라도 생각하지 않았다는 게 맞아 보입니다.”
분석된 펌웨어 이미지들 대부분에서 비밀 암호화 키가 발견되기도 했다. “즉 암호화 키를 사용해 뭔가를 보호하려고 했지만, 사실은 아무 것도 보호하지 않았다는 뜻입니다. 눈 가리고 아웅한 거죠. ‘자, 봐라, 우리는 암호화를 사용했다’하고 과시하려고요. 하지만 열쇠를 펌웨어 이미지 안에 숨겨놨다면 실질적으로 아무런 효력이 없었다는 겁니다.”
물론 개중에 나은 곳도 있었다. “AVM 인터내셔널(AVM International)이라는 회사가 보안이라는 측면에서는 가장 나았습니다. 그렇다고 완벽한 것과는 거리가 멀었습니다만.” 또한 에이수스와 넷기어도 굳이 따지면 나은 편에 속한다고 프라운호퍼는 설명했다. “일단 이 두 회사는 업데이트를 가장 자주 합니다. 사용하는 리눅스 버전도 비교적 최신이고요. 기본은 하고 있다고 볼 수 있습니다.”
가장 취약한 회사는 디링크, 링크시스, TP링크, 자이젤인 것으로 나타났다. “라우터의 기본적인 성능에 관해서는 서로 비슷할 수 있습니다만 보안이라는 측면에서는 이 네 곳이 가장 취약했습니다.”
3줄 요약
1. 가정용 라우터들 중 보안 개념 제대로 잡힌 채 만들어진 건 없다시피 한 수준.
2. 그나마 AVM 인터내셔널, 에이수스, 넷기어가 나은 수준.
3. 디링크, 링크시스, TP링크, 자이젤은 최악 수준.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-11-05] 
