신종 코로나바이러스 감염증(코로나19) 사태는 디지털 세상도 진화시켰다. IT 보안 기술이 발달할수록 해킹이나 피싱 공격도 다양해졌다. 

금융거래시 비밀번호 인증에 사용되는 문자나 OTP 같은 일회용 비밀번호 생성 방식은 해킹이나 피싱 공격에 취약해 더 이상 안전장치가 될 수 없다. 반면 하드웨어토큰은 보급비용이 많이 들고 사용자 친화적이지 않으며 주기적인 교체가 필요하다는 단점을 안고 있다. 대안으로 휴대폰인증기는 가장 안전하고 편리한 옵션으로 OTP코드를 생성하는 암호키를 전화기에 내장된 특수하드웨어를 통해 보호한다.

대다수의 인증 어플은 암호화키를 이용해 사용자를 식별하는 코드를 생성한다. 이 어플들은 해당 키만 열 수 있는 ‘보물상자’에 비유할 수 있다. 키를 도난당한 경우 거래를 인증하거나 사용자를 대신해 문서에 서명할 수 있는 능력이 해커의 ‘전리품’이 되는데, 이런 점은 많은 인증어플이 암호화 키에 사용할 수 있는 가장 안전한 저장소를 이용하려는 이유다.

안드로이드기반의 휴대전화에서는 이를 ‘스트롱박스 키스토어’라고 하며, 애플운영체제에서는 ‘iOS 시큐어엔클레이브’로 불린다.

얼 치앙 카이 브이키 맥켄지 최고기술책임자는 “아키텍처 설계에는 해커가 악용할 수 있는 일반적인 결함이 있다”며 “악성 소프트웨어가 공격 대상 인증기키에 접근해 해커가 무단거래를 하거나 가짜문서에 서명하는 데 사용될 수 있다”고 말했다. 이어 “특히 탈옥전화기나 루팅된 장치 등의 모델이 여기 해당한다”고 덧붙였다.

누군가가 휴대폰 인증어플을 이용해 2FA용 OTP를 생성하거나 디지털문서에 서명하는 경우를 들여다 보자. 어느날 재미있는 휴대폰게임이나 암호화폐에 관해 조언하는 어플을 보고 이를 다운로드해 설치했다. 하지만 이 게임이나 암호화조언 어플이 실제로 휴대폰인증 앱을 대상으로 하는 악성소프트웨어라는 것을 사용자는 모르는 게 당연하다. 권한 상승은 통상적으로 다른 어플이나 사용자로부터 보호되는 리소스에 액세스하기 위해 운영체제 또는 소프트웨어 애플리케이션의 버그, 설계 결함 또는 구성 관리 도구를 악용하는 행위다. 그 결과 악성소프트웨어는 의도한 것보다 더 많은 권한을 갖게 돼 기밀데이터액세스 권한과 승인되지 않은 작업을 수행할 수 있는 능력이 생긴다.

대개 사람들은 암호화키를 보호하는 안드로이드 키스토어나 iOS시큐어 엔클레이브의 기능을 신뢰할 수 있다고 확신하기 때문에 누군가가 자신의 인증기를 해킹할 가능성을 염두에 두지 않는다. 하지만 새로운 게임을 하거나 최신 암호화폐배팅의 이익을 계산할 때 악의적 행위자는 이미 키, 더 정확하게는 ‘OTP시드’로 알려진 인증기의 키를 훔쳤을 수 있다.

OTP시드는 여러 OTP토큰의 비밀소스다. 이 암호화자산(카운터 또는 시간수반)은 OTP코드를 생성하기 위해 인증기의 OTP 알고리즘에 입력된다. 이 OTP시드를 사용해 해커는 공격대상 인증기가 생성한 것과 같은 OTP를 생성할 수 있다. 즉, 해커는 이제 사용자의 디지털ID를 실질적으로 소유하게 되는 것이다.

이는 무척 교활한 공격으로 목표가 되는 인증어플을 실행하거나 조작할 필요가 없다. 이 취약점에 관한 질문에 구글과 애플 책임이 없다고 답한 바 있다. 특히 애플은 이 문제가 주로 탈옥된 아이폰에 한정됐으며, 이는 자사의 허용된 사용범위를 넘어서는 것이라고 답했다. 이 입장은 총기관련 사망을 처리할 때 총기제조업체가 취하는 입장과 본질적으로 유사하다는 비판을 야기한다.

이같은 시나리오는 OTP시드에 초점을 맞추고 있다. 일부 인증기는 PKI(공개키 인프라키)와 같은 다른 유형의 암호화 자산에 의존하기 때문이다. 하지만 비슷한 방식으로 복제되거나 도난당할 수 있다는 단점이 있다. 브이키의 백서는 해커가 어떻게 이를 수행하는지를 세부적으로 다루고 있다.

기업 및 전자정부 어플 개발자들이 가능한 한 많은 고객을 확보하려고 서두르는 가운데 잘못된 신뢰 때문에 이런 중요한 보안 결함을 사실상 간과해 왔다. 그러나 SMS OTP와 휴대폰 인증 어플이 손상될 수 있고 장치 및 OS레이어가 거의 도움이 되지 않는다. 궁극적으로 최상의 솔루션은 어플, 서버 또는 개별 IoT장치든 상관없이 시스템의 각 종단점을 식별하는 수단을 제공해야 한다. 

해커들의 공격이 OTP시드에 집중되자 지난해 말 SK텔레콤은 SC제일은행과 손잡고 시중은행 최초로 5G 양자보안 금융거래 서비스를 선보였다. SK텔레콤의 양자난수생성(QRNG, Quantum Random Number Generator) 칩셋은 예측 불가능하고 패턴이 없는 순수 난수를 만든다. 이 양자 난수로 SC제일은행의 모바일 OTP 생성 과정을 암호화해 보안성을 한층 강화하는 원리다.

사이버 보안 관계자는 "디지털 세계가 그 어느 때보다 빠른 속도로 확장되면서 신원보안과 신뢰를 가능하게 하는 기능이 중요해지고 있다. 해커는 손상된 휴대폰 인증 어플 하나만 있으면 기업 또는 정부 디지털서비스에 침투해 전체시스템을 다운시킬 수 있다"면서 "이런 경우 금전적 처벌이나 민사상 책임뿐 아니라 브랜드 및 평판 손상까지 초래하는 손실은 복구할 수 없을 만큼 크다"고 지적했다.

한편 국내기업 안랩의 한 관계자는 "일반 상식으로 OTP는 안전한 보안장치로 믿어 의심치 않지만 만약 OTP 토큰의 알고리즘을 만든 곳이 해킹 당하는 경우 모든 사용자가 해킹 노출될 수 있는 여지가 있다. OTP 토큰을 만들던 미국 RSA라는 회사가 해킹을 당해서 알고리즘이 털린 적이 있었다. 이에 대비해 최근 도입되는 것이5G 양자보안 등의 이중 삼중으로 보안을 강화한 솔루션이다"라고 설명했다.