비밀번호의 약점이 계속해서 드러나고 있다. 이른 바 패스워드리스(passwordless)로의 움직임에 가속이 붙고 있는 게 사실이다. 최근에는 값싼 열화상 카메라로 비밀번호를 가져가는 기법이 개발돼 조만간 발표될 예정이다.

[보안뉴스 문가용 기자] 비밀번호를 추측하여 맞추는 일은 생각보다 그리 쉽지 않다. 그래서 보안 담당자들은 누군가 비밀번호를 순수하게 추측하여 맞추는 식으로 회사의 중요한 시스템을 뚫을까봐 걱정하지는 않는다. 하지만 최근 저렴한 열화상 카메라 한 대와 딥러닝 알고리즘만 있으면 꽤나 쉽게 비밀번호를 알아낼 수 있다는 연구 결과가 발표됐다.


[이미지 = utoimage]

이처럼 인공지능을 활용한 비밀번호 크래킹 기법을 제일 먼저 고안한 건 글래스고대학의 모하메드 카미스(Mohamed Khamis), 노라 알로타비(Norah Alotaibi), 존 윌리엄슨(John Williamson) 교수로, 조만간 정식 논문을 발표할 예정이라고 한다. 

이들이 고안한 방법은 다음과 같다.
1) 최근 사용된 키보드를 열화상 카메라로 찍는다.
2) 이미지를 인공지능 알고리즘에 대입한다.
3) 알고리즘은 이미지에 찍힌 키보드 위 온도를 분석하여 비밀번호를 추측한다.
피해자가 비밀번호를 키보드로 입력하고 20초 내에 사진을 찍는다면 86%의 성공률을, 60초 내에 분석하면 62%의 성공률을 나타낸다고 한다.

“사실 인공지능으로 분석하지 않아도 됩니다. 이제 막 사용된 키보드를 열화상 카메라로 찍으면 어떤 키가 눌렸는지를 높은 확률로 알 수 있고, 그것만으로도 조합될 수 있는 비밀번호의 수가 기하급수적으로 줄어드니까요. 모든 키들을 가지고 추측하는 것보다 훨씬 쉬워지죠.” 카미스의 설명이다. “참고로 열화상 카메라는 200달러 정도면 충분히 살 수 있습니다. 공격 가성비에 민감한 공격자들이라면 충분히 관심을 가져볼 만한 장비입니다.” 이들이 연구한 공격 기법에는 써모시큐어(ThermoSecure)라는 이름이 붙었다. 

열 탐지 기구 사용한 해킹, 과거부터 존재해
열 탐지 기술을 활용한 해킹 기술로서는 써모시큐어가 처음이라고 할 수 없다. 다만 이전 연구들은 거의 대부분 완벽한 실험 조건을 갖춘 상태에서 연구가 진행됐었다. 촬영 각도나 타이밍 등에도 결과가 민감하게 달라졌었다. 써모시큐어의 경우 열화상 이미지를 다소 덜 완벽하게 찍더라도 인공지능을 통해 보완한다는 차이를 가지고 있다. 공격의 실행 조건이 덜 까다로워진다는 뜻이고, 이는 실제 활용 가능성이 높다는 뜻으로 이어진다.

그 외에도 연구원들은 논문을 통해 비밀번호 길이가 이러한 공격의 결과에 얼마나 영향을 미치는지와 비밀번호를 보다 안전하게 관리하는 방법도 공개할 것이라고 한다. “예를 들어 8글자 비밀번호와 16글자 비밀번호는 공격 성공률을 유의미하게 낮춥니다. 키보드 타이핑 후 20초 내에 사진을 찍어도, 8글자와 16글자 비밀번호를 추측했을 때의 성공 확률은 26%p나 차이가 납니다. 타이핑 시간이 빠르면 빠를수록 열 탐지 기구로 이미지를 확보하는 게 어려워지기도 합니다.”

비밀번호의 길이를 늘리고 타이핑 속도를 높이는 것 외에 백라이트가 들어오는 키보드를 활용하는 것도 좋은 방어법이 될 수 있다고 한다. 키보드 밑에서부터 발산하는 빛이 키들을 충분히 데우기 때문에 손가락을 통해 남는 열을 식별하기가 어려워지기 때문이다. 키보드 재질도 비밀번호 추측의 결과를 크게 바꾸는 것으로 조사됐다.

하지만 연구원들은 “비밀번호 외에 다른 로그인 방법을 사용하거나 다중인증 시스템을 도입하는 게 가장 확실한 방어법”이라고 결론을 내린다. “위의 방법들은 위험을 어느 정도 완화하는 것일 뿐 근본적인 해결책이 될 수는 없습니다. 결국 타이핑을 함으로써 키보드에 비밀번호의 흔적을 남긴다는 것 자체는 변하지 않고, 그 비밀번호가 유일한 방어 장치이니까 말이죠. 비밀번호의 흔적을 남기지 않거나, 비밀번호가 유일한 방어 장치가 아니게 만들어야 합니다.”

카미스는 “열 장치에 의한 비밀번호 유출이 걱정된다면 지문이나 얼굴 인식으로 인증 방법을 바꾸는 걸 추천한다”는 입장이다. “열 화상 카메라를 통해 비밀번호를 추출하는 건 장비와 인공지능이 발전하면 할수록 현실적인 위협이 될 겁니다. 특히나 매우 민감한 정보를 다루고 있고, 여러 대상들로부터 표적이 되고 있는 조직이나 인물이라면 더더욱 고려하지 않을 수 없습니다. 비밀번호를 사용하는 게 과연 안전한 것인지부터 다시 생각해봐야 합니다.”

3줄 요약
1. 열 탐지 카메라로 키보드 촬영하면 비밀번호 글자들이 찍힘.
2. 이를 인공지능으로 분석하면 높은 확률로 비밀번호 맞출 수 있음.
3. 비밀번호라는 방어 장치 자체의 유효성을 다시 고려해야 할 때.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>