By DHRUV MEHROTRA, WIRED US

정부 청사 건물부터 호텔 바로 옆 객실까지 미국 전역의 수많은 건물은 RFID 제어 잠금장치로 보호 기능을 적용했다. 필자는 최근 사무실로 이동하면서 세계에서 가장 흔한 형태인 키가 없는 출입 시스템이 적용된 건물 약 20채를 지났다. 그러나 손바닥과 비슷한 크기와 다마고치와 같은 인터페이스 조합으로 개발된 흥미로운 기기 한 대로 건물 여러 채에 적용된 잠금 시스템을 해제할 수 있다.

바로 200달러에 구매할 수 있는 플리퍼 제로(Flipper Zero)가 그 주인공이다. 플리퍼 제로는 스마트폰보다 작기 때문에 숨기기 쉽고, 다양한 라디오, 센서를 갖추어 키가 없는 출입 시스템과 사물인터넷(IoT) 센서, 창고 출입문, NFC 출입문을 포함하여 사실상 근거리 무선 통신이 가능한 모든 기기의 신호를 가로채고 연계할 수 있다. 필자는 플리퍼 제로로 단 몇 초 만에 지갑에 안전하게 보관한 사무실 RFID 배지 신호를 간단하게 복제했다.

플리퍼 제로 영상이 널리 확산된 틱톡을 통해 기기 이름을 들어보기만 했다면, ATM의 현금 대거 인출과 차량의 출입문 잠금 해제, 펌프가 가스를 마구 분출하도록 조작할 수 있는 장난감 정도로만 여길 수도 있을 것이다. 필자는 지난 일주일 동안 플리퍼 제로를 시범 사용하면서 틱톡으로 확산된 것처럼 세계가 플리퍼 제로에 취약한가 확인해보았다. 필자가 직접 기기를 사용하면서 발견한 사실은 장점과 단점이 혼재한다. 틱톡에 등장한 가장 극적인 영상은 조작되었을 확률이 높다. 대다수 최신 무선 기기는 간단한 재전송 공격을 개시할 수 없다. 그러나 플리퍼 제로의 성능이 강력해, 해커와 침투 시험에 능숙한 전문가 모두에게 전 세계의 가장 만연한 무선 기기 보안을 간단하게 검증할 새로운 도구를 제공한다는 사실을 부인할 수 없다.
 
리뷰를 보면, 많은 사용자가 플리퍼 제로를 물리적 침투 시험용 도구인 스위스 군용 칼(Swiss Army knife)에 비유했다. 그러나 필자가 직접 플리퍼 제로를 사용했을 때는 블랙라이트(blacklight)와 더 비슷하다고 생각했다. 플리퍼 제로를 사용하면, 말 그대로 시스템 작동 방식과 방출 데이터, 데이터 방출 빈도 등 인간이 맨눈으로는 볼 수 없는 정보를 공개할 수 있다.

필자가 플리퍼 제로 덕분에 알게 된 사실을 다음과 같이 간단하게 전달한다. 일부 동물용 마이크로칩은 애완동물의 체온을 알려준다. 필자의 이웃 차량 타이어 압력 센서는 신호 반경 안에 있는 모든 이에게 데이터를 보여준다. 필자의 아이폰은 몇 초 단위로 계속 얼굴을 향해 적외선을 발사했다. 필자의 가정 보안 시스템은 신호 혼선 감지 기능이 기본적으로 적용됐다. 와이어드 사무실 화장실에 배치된 비누 디스펜서는 비누를 채워야 할 때 신호를 송출한다.

플리퍼 제로 공동 개발자 중 한 병인 알렉스 쿠라긴(Alex Kulagin)에게 플리퍼 제로를 사용하면서 일상에서 직접 관찰한 사항을 이야기했다. 쿠라긴은 필자가 발견한 요소가 바로 플리퍼 제로의 개발 의도라고 설명했다. 그는 “일상 속 보안을 더 깊이 이해하면서 보안 시스템 작동 방식을 이해하고, 그동안 이해하기 어려웠던 무선 기기로 연결된 세계를 탐색하도록 한다”라고 말했다.

쿠라긴과 그의 동업자인 파벨 조브너(Pavel Zhovner)는 2019년에 처음 플리퍼 제로 개발 아이디어를 제안했다. 이후 플리퍼 제로 15만 대를 판매하고, 50여 명을 채용한 기업으로 규모를 키워나갔다. 그러나 기업 규모가 성장하면서 몇 가지 저항을 직면했다. 2022년 여름, 플리퍼 제로의 페이팔 결제 요청 금액이 130만 달러를 넘어섰으나 9월, 미국 관세국경보호청(US Customs and Border Patrol)이 플리퍼 제로 출하 물품을 압수했다. 쿠라긴은 관세국경보호청의 압수 물품을 한 달 뒤에 돌려받았으나 압수 사유를 안내받지 못했다고 밝혔다. 관세국경보호청은 와이어드의 문의에 답변하지 않았다.

글렌데일 경찰서 부서장 겸 법률 집행 기관 관료의 업계 단체인 하이테크 크라임(High Tech Crime Cops) 행정관인 밥 자레딘(Bob Zahreddine)은 사이버 경찰과 조사관을 연결하는 역할을 한다. 자레딘은 관세국경보호청이 플리퍼 제로를 압수한 것이 놀라운 일이 아니라고 말한다. 그는 “플리퍼 제로는 기능 맞춤 설정이 가능하다는 점에서 각종 범죄에 악용될 우려가 있다”라고 설명했다.

하이테크 크라임은 조사관이 종종 동료에게 솔직한 조언을 제공하면서 최신 법률 집행 기관 기술 개발 관련 뉴스와 정보를 공유하는 리스트 서버를 유지한다. 자레딘은 와이어드에 리스트 서버에서 플리퍼 제로를 범죄에 악용했다는 정보를 접한 적이 없다고 밝혔다. 또, 조사관은 쿠라긴과 조브너가 크라우드펀딩 플랫폼인 킥스타터(Kickstarter)에서 자본금 조달에 나설 때부터 플리퍼 제로 개발 상황을 조사했다고 덧붙여 전했다.

사실, 플리퍼 제로로 불법 행위를 저지르거나 사소한 장난을 할 가능성을 떠올리기 쉽다. 예를 들어, 필자는 플리퍼 제로로 ID 배지를 복제한 것 이외에도 이웃집 차고지 개폐문의 신호를 기록해, 외출 도중 차고지 문을 여닫을 수도 있었다. 코드 암호화가 되지 않은 구형 차량은 플리퍼 제로로 출입문을 열기 더 쉽다. 필자가 사용한 플리퍼 제로는 필자의 지갑과 바지를 통해 신용카드 번호를 읽었다.
 
그러나 쿠라긴은 플리퍼 제로의 범죄 악용 위험성을 특별히 우려하지 않는다. 쿠라긴은 “구형 차량이 플리퍼 제로에 취약한 것은 사실이다. 그러나 구형 차량은 기본적으로 보안을 갖추지 않았다. 플리퍼 제로의 문제가 아니다”라며, “어디든지 악의를 지닌 이들이 있다. 악의가 있는 이들은 손에 쥐고 있는 기기가 무엇이든 기기를 이용해 악의적인 행동을 한다. 플리퍼 제로는 위법 행위를 위해 제작된 기기가 아니다”라고 강조했다.

따라서 기본적으로 플리퍼 제로의 펌웨어는 개인이 기기 사용 국가에서 금지된 주파수를 전송하지 못하도록 한다. 그리고 플리퍼 제로의 디스코드 서버는 불법 기능을 지닌 대안 펌웨어 논의를 분명하게 금지한다. 플리퍼 제로 서버는 모든 암호화 신호를 복제하거나 재전송할 수 없다. 예를 들어, 필자는 플리퍼 제로로 비접촉 결제 시스템으로 무엇이든 결제할 때 사용하는 신용카드와 직불카드 신호를 읽을 수 있었다. 그러나 플리퍼 제로 개발 프로젝트는 오픈소스 프로젝트이기 때문에 사용자는 펌웨어를 변경해 기능을 추가할 수 있다. 어쩌면, 악성 기능을 추가할 수도 있을 것이다.

쿠라긴에게 플리퍼 제로 개발과 관련해, 법률 집행 기관과 연락한 적이 있는지 물어보았다. 쿠라겐은 “적어도 지금까지는 법률 집행 기관과 연락한 적은 없다”라고 답변했다.

플리퍼 제로와 같은 기기가 문제를 직면할 수는 있지만, 플리퍼 제로 자체는 주변 기기에 대한 호기심이 풍부한 이들이 기기 접근 방식과 일상생활에 활용하는 신호와 프로토콜 신호를 자세히 이해하도록 돕는다는 점은 부인할 수 없다. 개인적으로 필자는 일주일간 플리퍼 제로를 휴대하면서 여러 장소를 돌아다닐 때 일상에서 접한 기술을 이전보다 더 깊이 탐색했다. 플리퍼 제로 덕분에 더 훌륭한 침투 시험 전문가가 된 듯한 느낌이 들었다.

** 위 기사는 와이어드US(WIRED.com)에 게재된 것을 와이어드코리아(WIRED.kr)가 번역한 것입니다. (번역 : 고다솔 에디터)

<기사원문>
Hands On With Flipper Zero, the Hacker Tool Blowing Up on TikTok