Offcanvas

검색|인터넷 / 데이터센터 / 보안 / 통신|네트워크

"시간으로 공격 가능 ··· NTP 취약점 주의해야" 보스턴 대학 연구진 경고

2015.10.22 Brian Cheon  |  CIO KR
2012년 미 해군이 가동 중인 서버 2대가 시간을 12년 전으로 돌려 2000년으로 설정했다. 문제는 이 서버들이 NTP(Network Time Protocol)를 통해 전세계 컴퓨터의 시간 설정을 담당하는 네트워크의 구성 요소로, 아주 중요한 역할을 하고 있었다는 것이다.

그 결과 전세계에 산재한 여러 컴퓨터들이 그에 맞춰 시간을 변경했고 이는 여러 문제로 이어졌다. 전화기 시스템, 라우터, 인증 시스템 등 문제 범위도 다양했다. 해당 사고는 NTP를 이용할 때 나타날 수 있는 사고의 심각성을 조명했다. NTP는 1985년 주창된 구식 인터넷 프로토콜이다.

21일 보스턴 대학 연구진은 이 프로토콜과 관련해 몇몇 결함을 발견했다고 밝히며, 이들 결함이 비트코인 거래를 방해하거나 암호화된 커뮤니케이션에 문제를 일으키는 결과로 이어질 수 있다고 경고했다.

그들이 발견한 문제 중 하나는 한 조직의 서버들이 시간 확인을 하지 못하도록 공격받을 수 있다는 것이다. 설명은 이렇다. NTP는 속도 제한(rate-limiting) 메커니즘을 보유하고 있다. '키스 오 데스'(Kiss O' Death) 패킷이라는 이름으로도 불린다. 이 메커니즘은 기술적 문제가 발생할 경우 컴퓨터가 시간 쿼리를 반복하지 않도록 막는다. 패킷이 발송되면 시스템은 시간 쿼리를 며칠, 또는 몇 년 동안 멈추게 된다.

연구진은 공격자들이 키스 오 데스(KOD) 패킷을 조작해 시스템이 정상인 경우에도 문제 상황인 것처럼 동작하게 할 수 있다는 사실을 발견했다고 밝혔다. 이에 따라 시간 쿼리를 보내지 않게 되고 결과적으로 시간 확인을 멈추게 되는 것이다.

보스턴 대학 컴퓨터 공학과 샤론 골드버그 조교수는 "KOD 취약성은 그저 (NTP) 프로토콜 제원을 읽는 것만으로 발견할 수 있었다"라고 전했다.

연구진은 단 한 대의 컴퓨터 만으로도 대규모 스케일의 NTP 클라이언트들을 대상으로 스푸핑 공격을 진행할 수 있을 것으로 보고 있다. 대부분의 NTP 서버는 클라이언트와 소통할 때 암호화를 이용하지 않는다. 따라서 엔맵(nmap)이나 지맵(zmap) 등으로 손쉽게 NTP 클라이언트를 확인할 수 있다.

그리고 그 결과 시간을 확인할 수 없게 된 컴퓨터는 다양한 문제를 일으킬 수 있다. 기술 문서에 따르면 시간이 롤백되면 기간 종료된 SSL/TLS 인증서, 즉 공격자가 암호화 키를 보유한 인증서를 수용하게 될 수 있다. 또 비트코인 거래의 경우 클라이언트 소프트웨어가 시간 불일치를 이유로 거래를 거부하는 결과로 이어질 수도 있다.

이 밖에 NTP 클라이언트로부터 비롯된 것처럼 보이는 KOD 패킷을 스푸핑함으로써 일종의 디도스 공격을 감행할 수도 있으며, 공격자가 비암호화된 NTP 트래픽을 가로채 컴퓨터의 시간을 앞이나 뒤로 돌리는 것도 가능하다고 연구진 측은 진단했다.

한편 이 문제에 대한 소프트웨어 픽스는 이미 공개돼 있다. 연구진이 지난 8월 이 문제를 뉴욕 타임즈 재단에 공개하고 레드햇, 시스코 등의 벤더들이 자신의 NTP 관련 제품에 패치할 수 있도록 했기 때문이다. 이 밖에 ntp-4.2.8p4인 최신 NTP 버전이 20일 공개됐다. 관리자들은 가능한 한 이를 빠르게 패치할 것이 권장되고 있다.

골드버그는 NTP가 워낙 탄탄한 것으로 여겨져 그간 그리 주목받지 않았다고 전하며, 기존 NTP 4.1.1의 경우 10년도 더 전에 마련된 것이라고 전했다. ciokr@idg.co.kr
 
CIO Korea 뉴스레터 및 IT 트랜드 보고서 무료 구독하기
Sponsored
추천 테크라이브러리

회사명:한국IDG 제호: CIO Korea 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아01641 등록발행일자 : 2011년 05월 27일

발행인 : 박형미 편집인 : 천신응 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.