2018.10.29

정부 기관이 사들인 아이폰 해킹 툴··· "애플, iOS 12에서 차단 성공한 듯"

Lucas Mearian | Computerworld
애플이 미국 애틀랜타 소재의 미심쩍은 기업이 가진 아이폰 암호 해독 기술을 영구적으로 차단한 것으로 보인다. 이 회사의 블랙박스 기기는 정부 기관이 아이폰 암호를 우회하는 데 사용됐다.



애틀랜타의 그레이시프트(Grayshift)는 아이폰 암호 보안을 무차별 대입 공격으로 무력화할 수 있다고 주장한 기업 중 하나다. 이 기업의 블랙박스 기기인 그레이키(GrayKey)는 실제로 효과가 있었던 것으로 추정된다. 지역 사법 기관이 즉각 구매했고 미국 이민관세국(ICE)과 미국 시크릿 서비스(the United States Secret Service, USSS)도 도입 계약을 체결했다. 다른 기업인 이스라엘의 셀레브라이트(Cellebrite) 역시 iOS 11을 구동하는 암호화된 아이폰의 암호를 해제할 방법을 발견하고, 자사 제품을 전 세계 법 집행 기관과 민간 포렌식 기업에 판매했다. 포브스가 입수한 경찰 영장에 따르면, 미국 국토안보부도 이 기술을 테스트했다.

그러나 이 제품에 정통한 인물이 포브스 취재에 응한 내용을 보면, 지난 달 나온 애플의 최신 모바일 운영체제인 iOS 12 또는 그 이상을 구동하는 아이폰에서는 이 기기로 암호를 풀 수 없다.

그레이시프트의 암호 해독 장비는 2개의 아이폰 호환 라이팅 케이블을 가진 4인치 x 4인치 크기의 상자 형태다. 마더보드(Motherboard)가 처음 이 기기의 존재를 보도했다. 마더보드는 연방 정부로부터 입수한 경찰 기록과 이메일을 검토한 끝에 장비 구매 사실을 밝혀냈다. 이 그레이키 기기는 아이폰 소유자가 4자리 암호를 사용한 경우 약 2시간 만에, 6자리 암호를 사용한 경우 3일 정도면 암호를 해독해 냈다.

미국 전자개인정보센터(the Electronic Privacy Information Center, EPIC)가 정보 자유법(FOIA) 정보공개에 따라 입수한 자료를 보면, 그레이시프트의 경쟁 업체인 셀레브라이트 역시 8월 ICE와 체결한 55만 8,000달러 계약을 포함해 UFED(Universal Forensic Extraction Device)를 법 집행 기관에 판매했다. 애플은 이와 관련된 취재 요청에 대해 응하지 않았다.

마더보드의 정보공개 요청(FOIA) 자료를 보면, UFED 클라우드 애널라이저는 전화 데이터, 예컨대 실시간 모바일 데이터, 통화 기록, 연락처, 캘린더, SMS, MMS, 미디어 파일, 앱 데이터, 채팅, 패스워드 등을 해제하고, 해독하고 추출할 수 있다. 또한, 페이스북, 지메일, 아이클라우드, 드롭박스, 왓스앱 등에서 사용되는 프라이빗 클라우드 기반 계정에서 암호 없이 개인 정보를 추출할 수 있다.

지난 2월, 셀레브라이트가 iOS 11을 구동하는 암호화된 아이폰을 해제하는 방법을 발견해 법 집행 기관 및 사설 포렌식 기업에 판매하고 있다는 보도가 나왔다. 포브스가 입수한 경찰 영장을 보면, 미국 국토안보부까지 이 기술을 테스트했지만, iOS 12에서도 셀레브라이트 기술을 사용할 수 있는지 불분명했다.

올해 초 그레이시프트가 어떤 아이폰이든 해제하는 저렴한 블랙 박스를 개발했다. 머더보드는 지역/지방 미 경찰국 및 연방 정부가 이 기술을 구매했다고 보도했다. 보도에 따르면 그레이시프트는 전직 애플 보안 엔지니어를 영입해 이 기기를 개발했다. 올해 초, 비영리 디지털 권리 단체인 전자 프런티어 재단(the Electronic Frontier Foundation, EFF)의 상임 변호사인 네이트 카르도조는 이 보도를 신뢰한다고 말했다. 그렇지 않다면 법 집행 기관이 이 해킹 기술을 구매하지 않을 것이기 때문이다. 그는 “FBI는 이리저리 버티다가 아이폰 암호를 해제하지 못했다고 답했지만 이후 사실이 아닌 것으로 밝혀졌다. '문자 그대로' 법원 청문회 전날 저녁이었다”라고 말했다.

카르도조가 언급한 것은 샌 버나디노의 살인자 사예드 리즈완 파룩의 조사에 대한 것이었다. FBI는 처음에는 파룩이 사용한 아이폰 암호를 해독할 수 없었다고 주장했고, 법무부는 애플이 해당 장비를 잠금 해제하라는 명령을 강제하도록 법원에 청원했다. 애플은 아이폰 1대가 뚫리면 다른 모든 아이폰의 보안을 약화할 것이라는 논리로 맞서왔다. 판사는 FBI의 요청을 받아들였지만, 양 당사자로부터 주장을 듣기 전까지 최종 결정을 연기했다. 그리고 문제의 결정을 내릴 법원 청문회가 있기 전날 밤 FBI는 외부의 도움을 받았다고 실토한 것이다.

결국 2가지 아이폰 해독 기법을 정부기관이 널리 이용했다는 뉴스가 잇달아 나왔지만 전문가들은 놀라지 않았다. "그럴 줄 알았다"는 반응이다. J. 골드 어소시에이츠의 수석 애널리스트인 잭 골드는 “깨뜨릴 수 없는 암호 같은 것은 존재하지 않는다. 그냥 암호화 계층이나, 긴 암호를 추가함으로써 최대한 어렵게 만드는 것뿐이다. 그렇더라도 충분한 도구와 충분한 시간만 있다면 깨뜨릴 수 있다”고 말했다.

---------------------------------------------------------------
프라이버시 인기기사
->블로그 | '투명한 소통? 개인정보 장사 합리화?' AVG의 쉬운 프라이버시 정책 해프닝
->안면 인식 기술의 발전··· 프라이버시는 이제 글렀는가?
->'해결책이 없다!' 빅 데이터 보안·프라이버시 문제
->무인 飛行體의 非行!··· 기상천외 드론 악용 사례들
->'합법'은 있으나 '의리'는 없다?··· 소셜 기업과 프라이버시
->'개인정보 거간꾼' 데이터 브로커의 어두운 세계
->IT 업계 최악의 배신 10가지
-> RSA 참관해보니··· "해커보다 기업들이 더 무섭더라"
-> IT 분야 거대 기업들의 '악질적 행태들'
---------------------------------------------------------------

그레이키 기기는 1만 5,000달러에 판매된다. 이 모델은 특정 장소로 지리적으로 한정되고, 인터넷 연결이 필요하며 300개까지 암호를 해독할 수 있다. 3만 달러짜리 모델은 인터넷 연결과 무관하게 사용할 수 있고, 암호 해제를 무제한으로 할 수 있다고 머더보드는 보도했다. 맬웨어바이츠에 따르면, 셀레브라이트는 아이폰 1대의 암호를 해제하는 데 5,000달러를 받는다.

법 집행 기관이 기기를 해제하려면 법원이 발부한 영장이 필요하므로 사람들이 아이폰 크래킹 기술을 지나치게 우려할 필요가 없다는 주장도 있다. 그러나 프라이버시 권리에 민감한 사람이라면 일단 크래킹 기술이 이용 가능해지면 이를 법 집행 기관만 이용하지는 않을 거라고 믿는 것이 합리적임을 알 것이다. EFF의 카르도조는 “경찰만 그레이키와 셀레브라이트를 이용한다고 믿는 것은 순진한 발상이다”라고 말했다.

이에 따라 애플은 잠긴 iOS 기기에 무단으로 접근하는 것을 차단하는 추가 조처를 했다. iOS 11.3의 베타 버전에서 애플은 USB 제한 모드로 알려진 기능을 도입했다. 보안 소프트웨어 회사인 엘콤소프트(Elcomsoft)가 베타 버전 설명서 안에 깊이 파묻힌 이 신기능을 처음 발견했다. 설명서에서는 신 기능을 ‘보안을 강화하는’ 방법이라고 서술했다. 이에 따르면 “잠긴 iOS 기기가 UBS 장치와 통신하려면 기기가 잠금 해제된 상태에서 라이팅(Lighting) 커넥터를 통해 최소한 1주에 1회 연결되어야 한다. 아니라면 연결된 상태에서 기기 암호를 입력해야 한다.”

엘콤소프트의 설명에 따르면 iOS 기기가 7일이 지나기까지 잠금 해제되지 않았다면 아이폰 또는 아이패드의 라이팅 포트는 단순히 충전 포트로 변하고 USB 인터페이스 수준에서의 일체의 데이터 연결이 차단된다. 업체는 “이것이 셀레브라이트, 그레이소프트가 개발한 기법에도 효과가 있는지는 아직 검증되지 않았다”라고 말했다. 애플의 CEO 팀 쿡은 최근 브뤼셀에서 열린 유럽 프라이버시 커미셔너 회의에서 이용자 프라이버시를 보호하려는 회사의 노력을 재차 언급했다. ciokr@idg.co.kr 



2018.10.29

정부 기관이 사들인 아이폰 해킹 툴··· "애플, iOS 12에서 차단 성공한 듯"

Lucas Mearian | Computerworld
애플이 미국 애틀랜타 소재의 미심쩍은 기업이 가진 아이폰 암호 해독 기술을 영구적으로 차단한 것으로 보인다. 이 회사의 블랙박스 기기는 정부 기관이 아이폰 암호를 우회하는 데 사용됐다.



애틀랜타의 그레이시프트(Grayshift)는 아이폰 암호 보안을 무차별 대입 공격으로 무력화할 수 있다고 주장한 기업 중 하나다. 이 기업의 블랙박스 기기인 그레이키(GrayKey)는 실제로 효과가 있었던 것으로 추정된다. 지역 사법 기관이 즉각 구매했고 미국 이민관세국(ICE)과 미국 시크릿 서비스(the United States Secret Service, USSS)도 도입 계약을 체결했다. 다른 기업인 이스라엘의 셀레브라이트(Cellebrite) 역시 iOS 11을 구동하는 암호화된 아이폰의 암호를 해제할 방법을 발견하고, 자사 제품을 전 세계 법 집행 기관과 민간 포렌식 기업에 판매했다. 포브스가 입수한 경찰 영장에 따르면, 미국 국토안보부도 이 기술을 테스트했다.

그러나 이 제품에 정통한 인물이 포브스 취재에 응한 내용을 보면, 지난 달 나온 애플의 최신 모바일 운영체제인 iOS 12 또는 그 이상을 구동하는 아이폰에서는 이 기기로 암호를 풀 수 없다.

그레이시프트의 암호 해독 장비는 2개의 아이폰 호환 라이팅 케이블을 가진 4인치 x 4인치 크기의 상자 형태다. 마더보드(Motherboard)가 처음 이 기기의 존재를 보도했다. 마더보드는 연방 정부로부터 입수한 경찰 기록과 이메일을 검토한 끝에 장비 구매 사실을 밝혀냈다. 이 그레이키 기기는 아이폰 소유자가 4자리 암호를 사용한 경우 약 2시간 만에, 6자리 암호를 사용한 경우 3일 정도면 암호를 해독해 냈다.

미국 전자개인정보센터(the Electronic Privacy Information Center, EPIC)가 정보 자유법(FOIA) 정보공개에 따라 입수한 자료를 보면, 그레이시프트의 경쟁 업체인 셀레브라이트 역시 8월 ICE와 체결한 55만 8,000달러 계약을 포함해 UFED(Universal Forensic Extraction Device)를 법 집행 기관에 판매했다. 애플은 이와 관련된 취재 요청에 대해 응하지 않았다.

마더보드의 정보공개 요청(FOIA) 자료를 보면, UFED 클라우드 애널라이저는 전화 데이터, 예컨대 실시간 모바일 데이터, 통화 기록, 연락처, 캘린더, SMS, MMS, 미디어 파일, 앱 데이터, 채팅, 패스워드 등을 해제하고, 해독하고 추출할 수 있다. 또한, 페이스북, 지메일, 아이클라우드, 드롭박스, 왓스앱 등에서 사용되는 프라이빗 클라우드 기반 계정에서 암호 없이 개인 정보를 추출할 수 있다.

지난 2월, 셀레브라이트가 iOS 11을 구동하는 암호화된 아이폰을 해제하는 방법을 발견해 법 집행 기관 및 사설 포렌식 기업에 판매하고 있다는 보도가 나왔다. 포브스가 입수한 경찰 영장을 보면, 미국 국토안보부까지 이 기술을 테스트했지만, iOS 12에서도 셀레브라이트 기술을 사용할 수 있는지 불분명했다.

올해 초 그레이시프트가 어떤 아이폰이든 해제하는 저렴한 블랙 박스를 개발했다. 머더보드는 지역/지방 미 경찰국 및 연방 정부가 이 기술을 구매했다고 보도했다. 보도에 따르면 그레이시프트는 전직 애플 보안 엔지니어를 영입해 이 기기를 개발했다. 올해 초, 비영리 디지털 권리 단체인 전자 프런티어 재단(the Electronic Frontier Foundation, EFF)의 상임 변호사인 네이트 카르도조는 이 보도를 신뢰한다고 말했다. 그렇지 않다면 법 집행 기관이 이 해킹 기술을 구매하지 않을 것이기 때문이다. 그는 “FBI는 이리저리 버티다가 아이폰 암호를 해제하지 못했다고 답했지만 이후 사실이 아닌 것으로 밝혀졌다. '문자 그대로' 법원 청문회 전날 저녁이었다”라고 말했다.

카르도조가 언급한 것은 샌 버나디노의 살인자 사예드 리즈완 파룩의 조사에 대한 것이었다. FBI는 처음에는 파룩이 사용한 아이폰 암호를 해독할 수 없었다고 주장했고, 법무부는 애플이 해당 장비를 잠금 해제하라는 명령을 강제하도록 법원에 청원했다. 애플은 아이폰 1대가 뚫리면 다른 모든 아이폰의 보안을 약화할 것이라는 논리로 맞서왔다. 판사는 FBI의 요청을 받아들였지만, 양 당사자로부터 주장을 듣기 전까지 최종 결정을 연기했다. 그리고 문제의 결정을 내릴 법원 청문회가 있기 전날 밤 FBI는 외부의 도움을 받았다고 실토한 것이다.

결국 2가지 아이폰 해독 기법을 정부기관이 널리 이용했다는 뉴스가 잇달아 나왔지만 전문가들은 놀라지 않았다. "그럴 줄 알았다"는 반응이다. J. 골드 어소시에이츠의 수석 애널리스트인 잭 골드는 “깨뜨릴 수 없는 암호 같은 것은 존재하지 않는다. 그냥 암호화 계층이나, 긴 암호를 추가함으로써 최대한 어렵게 만드는 것뿐이다. 그렇더라도 충분한 도구와 충분한 시간만 있다면 깨뜨릴 수 있다”고 말했다.

---------------------------------------------------------------
프라이버시 인기기사
->블로그 | '투명한 소통? 개인정보 장사 합리화?' AVG의 쉬운 프라이버시 정책 해프닝
->안면 인식 기술의 발전··· 프라이버시는 이제 글렀는가?
->'해결책이 없다!' 빅 데이터 보안·프라이버시 문제
->무인 飛行體의 非行!··· 기상천외 드론 악용 사례들
->'합법'은 있으나 '의리'는 없다?··· 소셜 기업과 프라이버시
->'개인정보 거간꾼' 데이터 브로커의 어두운 세계
->IT 업계 최악의 배신 10가지
-> RSA 참관해보니··· "해커보다 기업들이 더 무섭더라"
-> IT 분야 거대 기업들의 '악질적 행태들'
---------------------------------------------------------------

그레이키 기기는 1만 5,000달러에 판매된다. 이 모델은 특정 장소로 지리적으로 한정되고, 인터넷 연결이 필요하며 300개까지 암호를 해독할 수 있다. 3만 달러짜리 모델은 인터넷 연결과 무관하게 사용할 수 있고, 암호 해제를 무제한으로 할 수 있다고 머더보드는 보도했다. 맬웨어바이츠에 따르면, 셀레브라이트는 아이폰 1대의 암호를 해제하는 데 5,000달러를 받는다.

법 집행 기관이 기기를 해제하려면 법원이 발부한 영장이 필요하므로 사람들이 아이폰 크래킹 기술을 지나치게 우려할 필요가 없다는 주장도 있다. 그러나 프라이버시 권리에 민감한 사람이라면 일단 크래킹 기술이 이용 가능해지면 이를 법 집행 기관만 이용하지는 않을 거라고 믿는 것이 합리적임을 알 것이다. EFF의 카르도조는 “경찰만 그레이키와 셀레브라이트를 이용한다고 믿는 것은 순진한 발상이다”라고 말했다.

이에 따라 애플은 잠긴 iOS 기기에 무단으로 접근하는 것을 차단하는 추가 조처를 했다. iOS 11.3의 베타 버전에서 애플은 USB 제한 모드로 알려진 기능을 도입했다. 보안 소프트웨어 회사인 엘콤소프트(Elcomsoft)가 베타 버전 설명서 안에 깊이 파묻힌 이 신기능을 처음 발견했다. 설명서에서는 신 기능을 ‘보안을 강화하는’ 방법이라고 서술했다. 이에 따르면 “잠긴 iOS 기기가 UBS 장치와 통신하려면 기기가 잠금 해제된 상태에서 라이팅(Lighting) 커넥터를 통해 최소한 1주에 1회 연결되어야 한다. 아니라면 연결된 상태에서 기기 암호를 입력해야 한다.”

엘콤소프트의 설명에 따르면 iOS 기기가 7일이 지나기까지 잠금 해제되지 않았다면 아이폰 또는 아이패드의 라이팅 포트는 단순히 충전 포트로 변하고 USB 인터페이스 수준에서의 일체의 데이터 연결이 차단된다. 업체는 “이것이 셀레브라이트, 그레이소프트가 개발한 기법에도 효과가 있는지는 아직 검증되지 않았다”라고 말했다. 애플의 CEO 팀 쿡은 최근 브뤼셀에서 열린 유럽 프라이버시 커미셔너 회의에서 이용자 프라이버시를 보호하려는 회사의 노력을 재차 언급했다. ciokr@idg.co.kr 

X