By LILY HAY NEWMAN, WIRED US

앵 쿠이(Ang Cui)는 10년간 인터넷과 연결된 사무실 전화와 각종 내장형 기기를 해킹했다. 한마디로 말하자면, 컴퓨터나 서버처럼 보이지는 않지만, 프로세서와 메모리, 그리고 종종 다른 기기나 인터넷에 연결할 수 있는 능력 등 트래핑을 지닌 기기를 의미한다. 사이버 보안 기업 레드 벌룬 시큐리티(Red Balloon Security) 창립자인 쿠이는 오랜 시간 동안 첨단화된 산업 제어 시스템과 위성 기반시설을 평가하지만, 여전히 IP 전화를 사물인터넷(IoT) 보안 진전 정도를 평가할 척도로 삼는다. 쿠이가 가장 최근 진행한 연구는 IoT 보안 강화를 위해 나아갈 길이 멀다는 사실을 암시한다.

7월 9일(현지 시각), 앵 쿠이는 레드 벌룬 시큐리티 동료인 유안제 우(Yuanzhe Wu)와 함께 뉴욕에서 개최된 서머콘(SummerCon) 보안 콘퍼런스에 참석해, 10여 개가 넘는 시스코 IP 사무실 전화의 취약점을 새로이 발견했다. 공격 대상이 된 기기에 물리적으로 접근할 때만 악용할 수 있지만, 해커가 물리적 접근 권한을 얻은 뒤에는 전화 통제 권한을 완전히 장악할 수 있다. 이후, 전화 도청이나 주변 공간 소리 녹음, 다른 각종 악성 행위 등으로 이어질 수 있다.

시스코 대변인은 와이어드에 공식 성명을 통해 “시스코는 IP 전화의 취약점을 해결할 소프트웨어 업데이트를 배포했다. 또, 공식 발표로 설명한 바와 같이 취약점을 악용한 사례는 없다는 점을 확인했다”라고 밝히며, 7월 7일(현지 시각), 시스코가 공개한 보안 공지사항을 언급했다.
 
그러나 레드 벌룬 연구팀은 시스코의 패치가 취약점을 완전히 수정하지 못한다고 지적한다. 시스코의 패치는 그저 버그를 악용하기 더 어렵게 만드는 수준에 불과하다. IP 전화에서 새로 발견한 취약점이 실제로 시스코가 재작성하거나 제어할 수 있는 코드가 아니기 때문이다. 대신, 시스코가 추가 보안 기능에 사용하는 칩을 제작한 브로드컴이 프로세서에 적용하고자 개발한 낮은 수준의 펌웨어에 적용된다. 시스코 제품과 똑같은 브로드컴 칩을 사용하는 다른 내장형 기기에 같은 취약점이 나타날 수도 있다는 의미이기도 하다.

이와 관련, 브로드컴은 와이어드의 문의에 답변하지 않았다. 다만, 시스코는 7월 7일, 브로드컴의 펌웨어 구축 과정에 결함이 존재한다고 밝혔다.

쿠이는 서머콘이 열리기 전, 와이어드에 “레드 벌룬은 이전에도 서머콘에 참석해, 시스코에 IP 전화 버그가 존재한다고 알렸다. 그런데, 여러모로 문제를 해결하기 위해 갈 길이 멀다. 하지만, 시스코의 IP 전화에 취약점이 존재한다는 사실 자체가 그리 놀랍지 않다. 결과적으로 시스코 IP 전화의 보안은 10년 전보다 나아진 점이 없다”라고 설명했다.

레드 벌룬 시큐리티 연구팀은 하드웨어 신뢰점(RoT)을 제공하기 위해 특수 설계된 브로드컴의 BCM 911360 칩을 장착한 시스코 8841 전화의 취약점을 시험했다. 하드웨어 RoT는 기기의 전체 보안을 강화할 수 있다. 일례로, 마이크로소프트는 윈도11 시스템 요구사항의 일부분으로 사용자가 RoT를 채택하도록 대대적으로 추진하고 있다. 변경할 수 없으면서 근본적으로 기기의 메인 프로세서로 변경하지 못하도록 하는 별도의 칩 실행 코드를 추가한다는 생각이다. 이와 같은 방식으로 트러스트존(TrustZone)은 기본적으로 시스템 나머지 부분을 보고, 그 자체가 손상될 위험성이 없는 상태인 부트 모니터링과 같은 보안 보호를 구축하는 것이다.

하드웨어 RoT는 기기 보안 표준을 높일 수 있으나 실질적으로 ‘누가 감시자를 지켜보는가’라는 복잡한 문제를 만들기도 한다. 하드웨어 보안 기능에 취약점이 있자면, 사용자가 인지하지 못하는 사이에 조용히 기기 전체의 무결성을 저해할 수 있다.

레드 벌룬 시큐리티 연구팀이 본 시스코 전화에 장착된 브로드컴 칩은 기기 암호화 서비스 설정과 같은 제한된 상호작용을 허용하는 애플리케이션 프로그래밍 인터페이스를 지니고 있다. 하지만, 연구팀은 API에 결함이 있다면, 해커가 사용자를 속여 받아들여서는 안 될 명령을 실행할 수 있다는 사실을 확인했다.

쿠이는 “시스코 전화 보안 악용을 신경 쓴다면, 누구나 쉽게 찾을 수 있는 결함이다. 지난 몇 년간 시스코 전화의 보안 문제를 이야기한 동시에 IP 전화가 사무실 환경에 매우 놀라울 정도로 보편적으로 존재한다는 사실을 우려했다. 사무실 내 모든 자리와 회의실에 IP 전화가 설치돼, 비밀회의 내용까지 들을 수 있다”라고 말했다.

레드 벌룬 연구팀이 이번에 발견한 취약점은 트러스트존 구축 취약점을 지닌 브로드컴 칩을 장착한 다른 내장형 기기 보안 상태와 관련된 광범위한 질문을 제기한다. 쿠이는 하드웨어 보안 메커니즘이 아무리 우수해도 하드웨어 보안을 지원하는 코드 수준이라고 말한다. 한 가지 취약성을 지닌 메커니즘이 세계에 등장한다면, 효과적인 패치 작업이 어렵다. 제품이 이미 출하된 후에는 여러 제조사와 유통 업체가 기기 유통 과정에 참여하기 때문이다.

쿠이는 와이어드에 “매번 업계가 더 안전한 코드를 작성해 무언가를 해결하는 것을 원하지 않는 듯하다. 코드를 다시 작성하는 대신 그저 상징적인 하드웨어만 추가한다. 그러나 하드웨어에 사용할 신뢰할 만한 코드가 없다면, 사용자는 하드웨어 보안을 강화할 수 없을 것이다”라고 설명했다.

쿠이는 잠깐 말을 멈추고 시험을 위해 배치된 보안이 취약한 시스코 IP 전화 12개를 응시했다. 이어, 그는 “항상 올바른 코드를 작성하는 것에 달려있다. 여러 측면에서 올바른 코드가 전혀 작성되지 않는다”라고 말했다.

** 위 기사는 와이어드US(WIRED.com)에 게재된 것을 와이어드코리아(WIRED.kr)가 번역한 것입니다. (번역 : 고다솔 에디터)

<기사원문>
An Office Phone Flaw Can’t Be Fixed by Cisco Alone