Offcanvas

How To / 검색|인터넷 / 보안 / 통신|네트워크

기고 | 공공 무선랜은 '지뢰투성이' ··· 공격 기법과 방어 방안

2015.04.03 Tzvi Kasten, Andriy Okhrimets, Artem Kharchenko  |  Network World
무료 와이파이 서비스 지역이 까페에서부터 레스토랑 체인에 이르기까지 나날이 확대되고 있다. 하지만 무료 와이파이의 편리함 이면에는 바이러스나 신원 도난 같은 위협이 따른다.

와이파이의 핵심 요소는 유선 네트워크와 와이파이 네트워크를 연결하는 AP다. 이 AP는 일반적으로 내장한 네트워크 라우터를 통해 인터넷에 연결된다.



공격자들로부터 데이터 탈취를 방어하기 위해 와이파이 기술에는 사용자 기기 인증 및 데이터 암호화 프로토콜 세트가 포함되어 있다.

AP와 연결 기기 모두에 들어있는 이런 프로토콜은, 사전 정의된 암호나 다른 형태의 독특한 신원 인증을 활용하거나 데이터를 암호화해서 정해진 기기에서만 접속할 수 있게 한다.

현재 보안 표준으로 널리 활용되는 WPA2는 PSK(pre-shared key)를 사용자 인증과 데이터 암호화를 위해 텍스트 문자 시리즈의 형태로 사용한다. 참고로 디지털 기기와 AP가 WPA2 프로토콜을 활용해 커뮤니케이션 하는 방식은 4단계(포웨이 핸드셰이크) 과정으로 이뤄진다.

퍼블릭 와이파이의 위험
“핫스팟”이라 불리는 공공 AP는 특정 장소 내의 많은 사람들이 인터넷에 접속할수 있게 해준다. 다시 말해 스타벅스 매장 내의 모든 사람들이 “스타벅스 와이파이” 채널을 통해 인터넷에 접속할 수 있다는 이야기다.

안타깝게도 공공 핫스팟은 그 구역 내의 누구라도 공중에 떠다니는 데이터를 읽어낼 가능성을 남긴다. 아래는 공공 와이파이를 사용할 때 프라이버시가 침해될 수 있는 몇 가지 흔한 방식들이다.

네트워크 스니핑 : 공격자는 채널상의 모든 눈에 보이는 트래픽을 수집하고 가로채는 “스니핑(sniffing)” 애플리케이션만 있으면 개인 정보를 훔칠 수 있다.

WPA2가 와이파이 네트워크와 사용자의 클라이언트 사이 각각의 연결을 암호화하지만, 이는 PSK를 모르는 사람들만 네트워크에서 막기 위해 만들어진 것이다.

만약 공격자가 포웨이 핸드셰이크(fourway handshake)를 탐지해 PSK를 잡아내면 PSK가 변경될 때까지 기기로 들어오는 모든 트래픽의 암호를 해제해버릴 수 있다.

심지어 공격자에게 PSK가 없다 하더라도 무차별대입공격을 시도할 수도 있다. 이 때에는 무선 네트워크 관리자가 선택한 PSK의 품질(길이, 대소문자 조합, 심볼이나 알려진 단어 사용 등)이 키 탈취의 난이도에 결정적 영향을 미친다. 커피숍 등에서 관리자가 어려운 PSK 암호를 설정해야 하는 이유다. 

써드파티 데이터 수집 : 해커가 없다고 할지라도 공공 핫스팟에 접속할 때 프라이버시가 완전히 안전하지 않다. 특히 무료 와이파이를 사용할 때 그렇다.

가끔 AP 근방에 소재한 고객을 식별하기 위해 와이파이가 쓰이는 경우가 있는데, 이게 사용자가 방문하는 웹사이트를 추적하는데 사용되기도 한다. 비록 치명적으로 악성적인 건 아니지만, 이런 써드파티 데이터 수집 역시 프라이버시 침해다.

다음은 핫스팟 제공자들이 와이파이 사용자들의 정보를 취득하기 위해 사용하는 흔한 기법들이다.

악성 AP : 종종 선택 가능한 네트워크가 여러 개가 있어서 특정 시설에 소속된 핫스팟이 무엇인지 불확실할 때가 있다.

사용자에 따라서는 암호 설정이 되어있지 않다는 이유만으로 전혀 알지 못하는 네트워크에 덜컥 접속하기도 한다. 그러나 만약 공격자가 미리 조작해둔 AP라면 그로 인해 심각한 위험에 빠질 수 있다.

가장 큰 위협 중 하나로 “페이지 스푸핑(page spoofing)”을 들 수 있다. 이는 악성 AP가 도메인명을 숫자 IP 주소로 변환하는 DNS(domain name resolution)를 제어하는 방식으로 이뤄지는 공격이다.

정상정인 DNS 과정


일반적인 DNS 프로세스에서는 클라이언트 기기가 인터넷 접속을 위해 서버와 통신한다. 그러나 스푸핑 공격에서는 해커가 가짜 웹사이트를 만들어 연결시킴으로써 신원 정보를 훔칠 수 있다.

예를 들어 페이스북상 무언가에 “좋아요”를 누르도록 요청 받고 실제와 똑같아 보이는 가짜 페이스북 로그인 페이지에 로그인 하도록 유도하는 식이다.

여기서 로그인하면 이 가짜 페이지는 그 로그인 정보를 기록하고 로그인 에러를 표시한다. 글 후 다시 진짜 페이스북 페이지 로그인으로 유도해 “두 번째 로그인 시도”를 하도록 만든다. 무슨 일이 일어났는지도 모르는 새에 소셜 신원 정보가 탈취되는 것이다.

DNS 스푸핑 공격

CIO Korea 뉴스레터 및 IT 트랜드 보고서 무료 구독하기
추천 테크라이브러리

회사명:한국IDG 제호: CIO Korea 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아01641 등록발행일자 : 2011년 05월 27일

발행인 : 박형미 편집인 : 천신응 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.