국내 인터넷전화 시장의 보안/암호화 부족의 실태
교환장비 해킹으로 인한 수천만~수억원의 피해발생

[보안뉴스 정규문] 보다 빠르게, 보다 많은 사람이 이용하는 것을 목표로 빠르게 달려온 대한민국의 통신시장은 양적인 측면으로 큰 성장을 한 것이 사실이다. 하지만 수년 전부터 외쳐온 IP 중심의 변화에 보안수준은 한참 뒤쳐진다는 의견이 지배적이다.

최근 IT전문 매체에 의해 조사된 자료에 의하면, 모바일 데이터망을 통한 VoLTE뿐 아니라, 유선인터넷 망을 통한 인터넷전화(VoIP) 또한 많은 장비들이 최소한의 보안기능조차 적용되지 않아 사실상 해킹에 노출되어있고, 실제로 이러한 장비를 사용하던 기업들이 수백만 원에서 수억 원에 이르는 요금폭탄을 맞는 사례(출처:미래부)가 발생한 바 있어 대책 마련이 시급한 것으로 나타났다.

요금폭탄의 대표적인 피해사례로 국제전화 요금폭탄이 있다. 해킹을 당한 인터넷 전화 교환기를 통해, 비교적 비싼 국가들(동티모르, 쿠바등)로 다량의 콜을 발신을 하는 방식으로, 수십분 내에 수백만원에서 수천만원의 비용을 발생시킬 수 있다.

에스비인터랙티브 유희훈대표는 “이러한 해킹 사고들은 주로 관리가 되지 않는 구형 IP-PBX에서 발생하고 있으며, 문제가 되는 장비들의 제조사가 파산한 경우가 많아서, 피해의 책임이 고스란히 가입자에게 전가될 수 밖에 없는 상황이다”라고 경고했다.

특히 국내 인터넷전화 가입자는 1,200만 명을 넘어(출처:KTOA) 꾸준히 성장하고 있지만, 일반 시장에 유통되고 있는 인터넷전화 장비 대부분이 최소한의 보안기능도 없는 상태로 출시되고 있어 해커의 공격 대상이 되어 왔다.

이와 관련하여 최준균 한국과학기술원(KAIST) 교수는 “암호화 처리 없이 패킷통신을 한다는 것은, 언제 누군가가 통신내용을 들여다 볼 수 있는 것과 같다”고 말했다.

통신업계에서도 VoIP 보안문제는 이미 현실이다라며 피해가 발생하지 않은 것이 아니라 무관심에 의해 인지하지 못했거나, 피해사실을 파악조차 하지 못하는 경우가 대부분라고 귀뜸 했다.

이러한 인터넷전화 보안을 강화하기 위해서 국정원에서 인터넷전화 보안가이드를 마련하여 보안인증 평가 기관인 한국정보통신기술협회(TTA)에서 인터넷전화 시스템에 대해 보안 인증 제도를 시행하고 있다. 해당 인증 제도의 대표적인 내용은 통화 보안을 위하여 TLS와 sRTP, RSA 키관리를 통한 sRTP 암호화 알고리즘으로 AES/ARIA를 수용하도록 하고 있다.

이러한 인터넷전화 보안 피해에 대응하기 위해 에스비인터랙티브는 지난 8월에 자사의 IP PBX 솔루션(XPBX-300)에 대해 TTA Verified Ver3를 취득하여 TLS1.2, sRTP, RSA 키관리 등의 보안 기능을 제공하게 되었으며 기업 고객의 내부 통화 뿐만 아니라 자사 인터넷전화 서비스를 사용하는 개인 고객들에게도 보안이 한층 강화된 통신 서비스를 제공할 예정이라고 밝혔다.

이에 대해 김영락 에스비인터랙티브 영업본부장은 “인터넷 전화의 음성 패킷을 스니핑으로 가로채면 도감청이 가능하다. 이에 음성 통화 패킷을 암호화해야 하는데  에스비인터렉티브는 sRTP 암호화 알고리즘으로 AES와 ARIA 모두 적용해 TTA인증을 받았다”면서 “특히 공공기관의 IP PBX기반 인터넷 전화는 반드시 보안이 강화된 인증제품을 사용하도록 규정하고 있다”고 설명했다.

보다 자세한 보안인증 제도의 평가 검증은 한국인터넷진흥원(www.kisa.or.kr) 및 한국정보통신기술협회(TTA / www.tta.or.kr)를 통해 확인할 수 있다.

[정규문 기자(kmj@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>