조용하지만 꾸준하게 자라나는 IT 분야가 있으니 바로 전자책 시장이다. 스마트폰과 태블릿으로 책을 즐기는 인구가 늘어나고 있다. 앞으로 공격자들의 관심이 몰리는 곳이 될지도 모르는 이 생태계가 사실 매우 취약하다는 연구 결과가 곧 발표될 예정이다.

[보안뉴스 문가용 기자] 당신의 이북은 얼마나 안전한가? 이북, 즉 전차책을 모바일 장비로 읽는 방법은 크게 두 가지이다. 하나는 스마트폰이나 태블릿에 이북 포맷인 이펍(epub) 파일을 읽을 수 있는 애플리케이션을 설치하는 것이고, 다른 하나는 이북 전용 리더기를 사용하는 것이다. 이 두 가지 방법이 사이버 보안의 관점에서 얼마나 튼튼한지 알아보기 위해 보안 전문가들이 조사와 분석을 진행했다.


[이미지 = utoimage]

연구를 한 건 벨기에 루뱅가톨릭대학교에서 박사 과정을 밟고 있는 제흐티앙 프랑켄(Gertjan Franken)과 톰 반 고덤(Tom Van Goethem)이다. 프랑켄 스스로가 이북 리더기 보유자인데 책을 읽다가 문득 리더기의 보안 상태가 궁금해져서 시작한 프로젝트라고 한다. “그러면서 자연스럽게 이북 애플리케이션들에도 관심이 확장됐죠. 하지만 크게 깊이 들어가 연구하지도 않았는데 취약점들이 여럿 발견되었습니다." 프랑켄의 설명이다.

둘은 97개의 무료 이펍 리더 애플리케이션들을 분석했다. 전부 무료로 다운로드 받을 수 있는 앱들이었다. 여기에 더해 다섯 개의 전자책 리더기도 분석했다. “전자책 시스템에 대한 이전의 보안 연구 결과를 찾아내기가 힘들 정도로 전자책 분야는 미지의 영역이었습니다. 사실상 저희는 맨땅에 헤딩하듯이 저희의 방법으로 전자책 세계를 탐구해야 했습니다. 막막하기도 했고 자유롭기도 했습니다.”

둘은 자체적으로 제작한 반자동 프레임워크를 사용해 각종 이펍 애플리케이션들을 분석했다. 그랬더니 절반이 이펍 표준 사양에서 권장하는 보안 사항들을 지키지 않고 있는 것으로 밝혀졌다. “예를 들어 로컬 파일 시스템 정보를 노출시키는 앱이 16개나 되었습니다.” 분석을 계속 진행했을 때 둘은 한 가지 중요한 사실을 깨달았다. 반자동 도구가 있어 검사가 빠르게 진행될 수는 있었지만 놓치는 취약점들이 있었다는 것이다. 그래서 그 때부터는 수동 검사도 병행했다고 한다.

“그러자 좀 재미있는 취약점들이 나타나기 시작했습니다.” 하지만 수동 검사는 많은 시간을 투자해야 하기 때문에 분석할 수 있는 플랫폼/애플리케이션이 제한적이었다. 둘은 가장 인기가 높은 플랫폼이자 애플리케이션인 아마존 킨들(Amazon Kindle), 애플 북스(Apple Books), 그리고 크롬과 파이어폭스 브라우저의 이펍리더(EPUBReader)라는 플러그인이었다.

가장 위험도 혹은 영향력이 높아 보이는 취약점이 발굴된 건 브라우저 플러그인에서였다. “익스플로잇에 성공할 경우 피해자가 로그인한 사이트에 대한 정보를 공격자가 가져갈 수 있게 해 주는 취약점이었습니다. 다만 익스플로잇을 하려면 피해자가 악성 이펍 애플리케이션을 플러그인으로 업로드하도록 유도해야 해서 난이도가 좀 있습니다. 개발자에게 연락을 했습니다만 이 문제를 해결할지는 아직 확실치 않습니다.”

두 연구원이 이번 프로젝트를 통해 이룬 성과들에 대한 상세 내용은 11월 10일 열리는 블랙햇 유럽(Black Hat Europe)에서 공개될 예정이다. 해당 강연은 온라인으로도 공개가 되며 소식은 이 사이트(https://www.blackhat.com/eu-21/briefings/schedule/index.html#how-your-e-book-might-be-reading-you-exploiting-epub-reading-systems-24898)를 통해 업데이트 된다.

이번 연구를 통해 둘이 얻은 가장 큰 교훈은 무엇일까? 프랑켄은 “자동화 기술을 올바로 사용해야 한다는 것”이라고 짚는다. “모든 이펍 애플리케이션들에 통용되는 자동화 기술을 만들어 한 번에 검사를 끝내려고 했습니다만 애플리케이션들마다 너무나 다르고 특징이 뚜렷해서 도무지 자동화 알고리즘을 만들어낼 수가 없었습니다. 이번 프로젝트에서 가장 어려웠던 게 바로 분석 자동화를 구현하는 것이었습니다.”

그 다음 어려웠던 건 프로젝트의 규모가 너무 크다는 것이었다. “저희는 박사 학위를 진행 중에 있는 사람들입니다. 학계에 있다는 것이죠. 학계의 연구는 ‘생태계 전체’를 아울러야 할 때가 많습니다. 즉 현존하는 애플리케이션들과 리더 기기들 모두를 분석해야 한다는 압박 아닌 압박이 있었습니다. 그래서 다량의 이펍 파일들을 수집하고 분석하기도 했습니다. 토렌트 등을 이용해 찾을 수 있는 모든 이펍 파일들을 찾았습니다.”

한 가지 다행인 건 이펍 생태계에서 실제로 진행되는 해킹 공격은 발견되지 않았다는 것이다. “하지만 취약점이 이렇게나 많이 있는 상태라면 공격자들이 건드리지 않을 이유가 없습니다. 미래의 공격 영역이라고 볼 수도 있습니다. 특히 이펍 애플리케이션들이 설치되는 장비가 데이터를 다량으로 저장하고 있는 스마트폰과 태블릿이라는 걸 생각해 보면 더더욱 그렇습니다.”

3줄 요약
1. 전자책 생태계는 얼마나 안전할까 궁금해진 보안 연구원들.
2. 자동화 도구로 애플리케이션들과 리더기들 분석하다가 수동으로 전환.
3. 아직 실제 공격이 발생하고 있지는 않지만 잠재력은 충분.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>