기업용 앱 관리 솔루션은 MDM과의 통신 속이는 중간자 공격 가능

[보안뉴스 문가용] 정보보안 벤더인 체크포인트(Check Point)에서 애플의 기업용 애플리케이션 배포 방식 자체에서 취약점을 발견했다. 해당 취약점을 활용하면 기업용 아이폰과 아이패드에 멀웨어를 심을 수 있다고 한다.



해당 취약점은 사이드스테퍼(SideStepper) 오류로 iOS 9가 탑재되어 있으며, 기업용 모바일 기기 관리(Mobile Device Management, MDM) 시스템에 등록되어 있는 기기들이라면 전부 적용된다고 한다. 이에 해당하는 기기는 수백만에 달한다고도 체크포인트는 설명했다.

체크포인트의 연구원인 아비 바샨(Avi Bashan)과 오하드 바브로이(Ohad Bobroy)는 이에 대한 상세 보고서를 작성했는데, MDM의 관리 하에 있는 iOS 기기와 MDM 서버 사이의 통신을 가로채는, 이른바 중간자 공격을 가능하게 해주는 취약점이라고 한다. 이를 악용할 경우 범인은 특정 대상을 겨냥해 공격을 감행, 사용자가 전혀 알지 못하게 기기를 통제할 수 있게 된다.

사이드스테퍼 취약점은 애플이 기업들이 자체적으로 개발한 iOS 애플리케이션을 아이폰과 아이패드에 설치하는 것을 활성화시키는 과정 중에 존재한다. 보통 앱이라고 하면 애플의 앱스토어에서 검색해 받아 설치한다. 또한 앱스토어에 있는 앱들은 전부 애플의 보안 점검을 거친 것들이라 비교적 안전하다. 즉 애플의 점검을 마치고 서명을 획득한 앱만이 보통의 평범한 iOS 환경에 설치가 가능한 것이다.

그런데 기업들이 내부적으로 활용하기 위해 직접 만든 앱들이 앱스토어에 올라가는 곤란할 수 있다. 일단 상업목적이 아니므로 앱스토어에 올리고 등록하는 과정 자체가 불필요하고, 다른 경쟁사에게의 노출이 꺼려질 수도 있다. 그렇기 때문에 애플은 기업에 인증서를 주어 자체 개발한 앱에 스스로 서명을 할 수 있도록 했다. (서명이 된 앱만 설치가 가능하다는 사실은 위에서 밝혔다.)

당연하게도, 이 서명을 노리는 해킹 사건이 끊임없이 발생해오고 있다. 지난 해 큰 소동을 일으켰던 이탈리아의 해킹팀(Hacking Team) 해킹 사건으로 유출된 정보에도 이런 애플의 인증서를 노리는 공격 방법이 포함되어 있기도 했다. 물론 당시 대상이 된 iOS 버전은 8.1.3 이하 버전이었다.

그렇기 애플은 일찌감치 이를 위한 대처법을 마련했다. iOS 9를 발표하면서 기업용 앱 설치를 보다 엄격하게 감독했다. 이를 사용해본 개발자들은 “세팅 화면이 미로처럼 이어진다”고 표현할 정도다. “하지만 그럼에도 구멍이 없지 않았습니다. iOS가 MDM 솔루션을 통한 설치는 거의 무조건적으로 허용한다는 것 자체가 구멍이었던 것이죠.”

이는 MDM 서버로부터 온 통신신호라고 iOS를 속이기만 한다면 그 어떤 앱이라도 설치가 가능하다는 뜻이 된다. “그렇기에 이 공격을 성공시키려면 먼저 사용자의 기기에 침투해 들어가 악성 서버와 통신을 할 수 있게 연결을 시켜놔야 합니다. 이는 피싱 공격 등을 통해 실행이 가능합니다.”

애플은 기업용 앱 설치를 보다 엄격하게 하려고 MDM 등록 과정 및 사용 과정을 까다롭게 만드는 대신 MDM에 대한 신뢰를 높였는데, 그게 역으로 이용당하기 좋은 조건이 되어버린 것. 체크포인트의 부회장인 아비 렘바움(Avi Rembaum)은 “또한 중간자 공격에 성공한다면 기기는 OTA 방식의 멀웨어 설치에도 취약해진다”고 설명한다.

“이는 대규모 공격을 하기에 적합한 환경이기도 합니다만, 오히려 한 개인이나 단체를 집중적으로 정해두고 공격하기에 더 나은 방식입니다.” 체크포인트는 이 사실을 지난 10월에 애플에 알렸고, 애플은 11월 이에 대한 조치를 취할 것이라고 했으나 아직도 문제는 여전히 남아있는 상태다.
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>