구글, 보안 문제를 일으키는 '제조사 추가 기능' 정면 비판
삼성, 안드로이드OS 보안 손댔다 '보안구멍' 만들어
"긁어 부스럼 만들지 말고, 구글이 만든 기능 쓰는게 바람직"
◆…얀 호른은 올해 24살으로 구글 프로젝트 제로의 연구원이다. 2018년 1월, IT업계에 큰 충격을 가져다준 중대한 보안 취약점을 발견했다. 취약점은 인텔 중앙처리장치에서 발견되었으며, 인텔은 큰 위기를 겪었다. (출처 리얼 월드 크립토)
구글이 1년 전 해소된 안드로이드 운영체제 '보안결함'을 재차 발생시킨 삼성전자를 '저격'하고 나섰다.
구글 보안전문가인 '얀 호른'은 지난 12일 구글 '프로젝트 제로 블로그'에 "1년 전 보완된 문제가 갤럭시 A50에 다시 나타났다" 며 "문제가 된 부분이 수정되지 않고 여전히 유지되고 있어 안드로이드 생태계가 나빠지고 있는 상황"이라고 비판했다.
프로젝트 제로는 전세계 최정상 보안전문가와 해커로 구성, 하드웨어와 소프트웨어에 있는 결함을 파악해 전세계 사용자들의 사이버 보안을 지키는 전문가 조직이다.
| 삼성은 왜 기본 안드로이드를 수정했을까? |
◆…삼성만의 기능이나 생태계를 만들기 위해서는 안드로이드 운영체제에 이것저것 추가하거나 수정해야 한다. (사진 삼성전자)
구글은 안드로이드를 개발하는 주체이며 소스 코드를 공개하고 있다.
많은 제조사들이 삼성패이나 삼성패스처럼 자사 만의 기능이나 생태계를 만들고자 한다. 그렇다 보니 구글이 제공한 안드로이드 운영체제를 수정하지만 제대로 마무리하지 못해 크고 작은 문제를 일으키곤 한다.
얀 호른은 "삼성전자 등 스마트폰 제조사들이 중앙처리장치, 메모리 같은 하드웨어를 관리하는 운영체제 핵심영역에 개별 프로그램을 추가하는 바람에 많은 문제점을 만들고 있다. 구글이 제공하는 기본 보안기능을 쓰는 것이 나을 것"이라고 지적했다.
| 빈집 털이 공격 두 가지 |
◆…프로카의 메모리 관리 부분에서 발견된 '공간해제 뒤 쓰기'와 '이중 공간 해제' 취약점.
얀 호른은 갤럭시 A50의 보안시스템 중 하나인 '프로카(PROCA)'에서 메모리 관리 문제 두 개를 발견했다. 이 프로카는 삼성전자 스마트폰에만 있는 '작업 인증' 기능으로 메모리에 올려진 작업들의 인증상태를 추적해 허가받지 못한 작업은 제거한다.
이해하기 쉽게 메모리를 4층 아파트라 생각해보자.
첫번째 문제는 왼쪽 그림과 같다. 1층에 살던 A가 이사(공간해제)를 갔는데 전입말소를 하지 않았다.
새로 이사온 B가 전입신고를 하고 출력해보니, B의 신상정보와 A의 신상정보까지 함께 볼 수 있었다. 과거 데이터가 메모리에 남는 약점을 이용해 공격하는 것을 '공간 해제 뒤 쓰기(Use-After-Free)공격'이라 한다.
두번째 문제는 오른쪽 그림과 같다. 2층 B는 가족이 늘어나 3층으로 이사 간다(공간해제). 그 대신 C가 2층으로 이사(공간해제) 가기로 했다. 따라서 전입말소와 전입신고를 2번씩 다시 해야 한다.
이 복잡한 상황에 4층 D가 B의 전입주소 정보에 '1층'을 몰래 더했다. B가 받아야할 집들이 선물을 D가 가로챘다. 이렇게 정보가 뒤바뀌는 순간, 관리방식를 조작해 공격하는 것을 '공간 이중 해제(Double-Free)공격'이라 한다.
얀 호른은 "프로카는 운영체제 핵심 영역에 접근 권한이 있는 해커를 제한하기 위한 기능"이라 추측하며 "이런 기능은 구지 없어도 되며 삼성전자가 운영체제 핵심 영역 해킹 방지에 대한 기술력을 집중하기 보단, 애초에 이 영역에 접근하지 못하도록 막는 데에 기술력을 집중하는 게 효과적 일 것"이라고 쓴 소리 했다.
| '2000만대'에 생긴 '중간 정도'의 문제? |
◆…전세계 2000만대가 팔린 갤럭시 A50
삼성전자는 얀 호른이 지적한 프로카에 생긴 문제는 중대한 문제가 아닌 '중간 정도'의 문제로 지난 2월 업데이트를 통해 보완했으며 중앙처리장치가 처리할 작업을 메모리에 할당하고 해제하는 과정에서 '임의의 다른 코드'가 실행 되는 문제였다고 해명했다.
삼성전자의 해명에도 불구 갤럭시 A50은 전세계에 2000만대나 인기리에 팔렸기에 구글의 지적이 없었더라면 수많은 피해가 일어 날 수 있었는데 이것을 중간 정도의 문제로 바라 볼 수 있는지는 두고 두고 논란 소지로 작용할 것으로 보인다.
얀 호른은 "이런 문제가 생기지 않는 가장 좋은 방법은 모든 제조사들이 구글이 지원하는 운영체제를 쓰고 자주 업데이트 받는 것"이라고 강조했다.
