칼럼 | ‘문자 인증’은 통념보다 훨씬 더 위험하다

문자 메시지로 숫자를 전송해 인증하는 관행은 보안에 치명적이다. 필자를 포함해 많은 보안 전문가들이 예전부터 IT 부서 대상의 교육에서 강조해온 바이기도 하다. 이제 바이스(Vice)의 훌륭한 기사 덕분에 문자 메시지 상황이 생각했던 것보다 더 안 좋다는 점이 명확해졌다. 단순히 문자 메시지에만 사이버 보안 결함이 내재되어 있는 것이 아니다. 문자 메시지 인프라를 포함한 통신 분야 전체가 최악이다.

바이스의 시연된 화이트 해커 공격에서는 피해자의 모든 문자 메시지를 가로채 재전송했다. 기술적인 탈취도 아니었다. (바이스의 리포터로부터 자신의 문자 메시지를 훔쳐보라는 부탁을 받은) 화이트 해커는 적법한 SMS 마케팅 및 대규모 메시지 전송 기업 사카리(Sakari)에 소액(16달러)을 지불했을 뿐이다. 그 화이트 해커는 사용자 권한이 있다고 거짓말을 해야 했지만 유의미한 증거를 제시할 필요가 없었다.

바이스는 기사를 통해 “(공격자가) 표적의 문자 메시지를 재전송할 수 있게 된다면 해당 전화번호와 관련된 다른 계정을 손쉽게 해킹할 수 있다. 이 경우 (공격자는) 범블(Bumble), 왓츠앱(WhatsApp), 포스트메이츠(Postmates)에 로그인 요청을 보냈고 계정에 손쉽게 액세스했다”라고  밝혔다.

IT 보안 관점에서 이 기사는 문자 메시지 통신 보호와 관련하여 통신 세계 전체가 얼마나 엉망인지 여실히 보여주면서 주의를 환기시킨다. 인증이나 여타 다른 용도에서 문자 메시지를 신뢰할 수 없음을 명확히 보여준다.

기사의 일부는 다음과 같다. “마더보드(Motherboard)가 입수한 사카리의 LOA(Letter of Authorization)의 사본에 따르면 사카리는 밴드위드(Bandwidth)라는 기업으로부터 문자 메시지 재전송을 통제하는 능력을 부여받는다. 밴드위드는 넷넘버(NetNumber)라는 다른 기업과의 관계를 통해 번호 할당 및 트래픽 라우팅을 관리할 수 있도록 돕는다고 마더보드 측에 전했다. 넷넘버는 해당 업계에서 문자 메시지 라우팅을 위해 사용하는 전매특허 중앙 집중식 데이터베이스인 OSR(Override Service Registry)을 소유 및 운영하고 있다.”

오래 전부터 문자 메시지 확인 의존에 대한 주요 쟁점은 중간자 공격에 취약하다는 점이었으며, 지금도 그렇다. 하지만 문자 메시지를 위한 인프라를 훔쳐볼 수 있으면 문자 메시지 탈취가 훨씬 단순하게 이뤄질 수 있다.

구글 인증기(Google Authenticator), 시만텍(Symantec)의 VIP 액세스(VIP Access), 어도비 인증기(Adobe Authenticator), 시그널(Signal) 등 문자 같은 인증을 더욱 안전하게 만드는 간편한 앱들이 많다. 굳이 암호화되지 않고 쉽게 훔칠 수 있는 문자 메시지를 사용하는 위험을 감수할 필요가 있을까?

좀더 안전한 버전의 문자 메시지 확인으로 전환하는 것이 얼마나 상대적으로 쉽고 비용이 낮은지를 논외로 해보자. 또한 암호화되지 않은 문자 메시지를 통해 계정 액세스를 부여하도록 허용함으로써 발생하는 컴플라이언스 및 운영 위험에 대한 생각도 접어두자.

암호화되지 않은 문자 메시지 인증을 통해 제3자 액세스를 제공할 때의 위험과 컴플라이언스 영향만 보면 어떨까? 바이스의 기사 중 다음을 살펴보자 

“(공격자는) 범블(Bumble), 왓츠앱(WhatsApp), 포스트메이츠(Postmates)에 로그인 요청을 보냈고 계정에 손쉽게 액세스했다.”

악당이 고객의 문자 메시지를 통제하게 되면 광범위한 도미노 효과가 발생하고 많은 서비스에 부적절하게 액세스할 수 있다. 이런 기업들 중 하나의 변호사가 여러분의 회사를 상대로 이렇게 주장할 수 있다. 

“(당신의 회사가) 암호화되지 않은 문자 메시지를 인증으로 사용하도록 주장함으로써 안전하지 못한 체인 반응을 발생시키지 않았다면 내 고객은 이에 대해 안전하다고 느끼지 않았을 것이다. 그래서 (당신의 회사는) 우리의 손실을 보상해야 한다.” 

터무니없게 들리는가? 그렇지 않다. 많은 기업들이 소송을 하기 전에 내년도 IT 예산 증액 요청분 중 일부를 주고 합의할 것이다.

그리고 설치된 기반과 잠재 고객들로부터 역타격을 받을 수 있으며(금융, 브랜드 인지도, 소셜 미디어의 끔찍한 댓글, 새 고객 감소 등) 그들로부터 고소를 당할 수도 있다. -> 위기와 문제는 다르다··· 산전수전 CIO가 전하는 위기 관리 플레이북

그렇다면 컴플라이언스는? 규제 당국 앞에서 이런 신중하지 못한 행동을 방어할 때 일반적으로 2가지를 주장한다. 

첫째 : “업계 관행이었다. 경쟁사의 80%가 그렇게 했다는 증거를 제시할 수 있다.” 
둘째 : “당시 우리는 암호화되지 않은 문자 메시지의 보안이 그렇게 좋지 못하다고 생각할 근거가 없었다.”

첫 번째 주장(업계 관행)의 경우 방어력이 순식간에 사라질 것이다. 2020년까지는 먹일 수 있는 주장일 수 있다. 하지만 많은 기업들이 이번 여름까지는 움직이기 시작할 것이다.

두 번째 주장(누가 알았겠는가?)의 경우 이 바이스의 기사와 이에 대한 반응이 그 방어력을 무력화할 것이다.

업계에서 인증을 위해 암호화되지 않은 문자 사용을 중단하는 마지막 기업이 되지 말기를 바란다. 대가를 치르고 싶지 않다면 말이다. 

* Evan Schuman는 리테일 테크놀로지 사이트 ‘StorefrontBacktalk’의 설립 편집자다. ciokr@idg.co.kr