복사 및 잘라내기 후 붙여 넣기 하면, 데이터가 클립보드에 저장되는데...
이 클립보드에 모든 앱이 자유롭게 접근할 수 있어...애플은 ‘취약점 아니’라고 주장

[보안뉴스 문가용 기자] 아이폰과 아이패드에서 복사 혹은 잘라내기 이후 붙여 넣기 작업을 실시할 때 데이터가 유출될 가능성이 있다는 지적이 나왔다. 독일 소프트웨어 엔지니어인 토미 미스크(Tommy Mysk)가 발견한 것으로 “특정 장비에서 ‘복붙’을 할 때 메모리에 저장되는 데이터가 다른 앱들에 의해 열람될 수 있다”고 한다.


[이미지 = iclickart]

미스크는 이것이 “애플의 취약점(Apple vulnerability)”이라고 보고 있으며, 상황의 심각성을 알리기 위해 클립보드스파이(KlipboardSpy)라는 개념증명용 앱을 제작하기도 했다. 또한 iOS용 위젯인 클립스파이위젯(KlipSpyWidget)까지도 발표했다. 둘 다 “어떤 앱이든 iOS 장비에 설치만 되어 있다면 악성 앱처럼 작동할 수 있다”는 걸 증명하기 위해 만들어진 것이라고 한다. “어떤 앱에서든 메모리에 접근할 수 있게 되거든요.”

미스크에 따르면 사용자가 스마트폰에 기본적으로 설치된 카메라 앱에서 사진을 복사해 어디론 가 붙여넣기 하는 것만으로 애플 취약점 때문에 위치 정보를 노출시키는 결과를 낳을 수 있다고 한다. “이미지에 저장된 각종 메타데이터까지도 메모리에 저장되고, 다른 앱을 통해 이 정보에 접근하면 정확한 위치를 알 수 있게 됩니다. 사용자의 동의 없이 말이죠.”

이에 대해 애플은 “잘라내 붙여 넣는 기능을 취약점이라고 볼 수 없다”는 답변을 보냈다고 한다. 미스크는 자신의 블로그를 통해 “장비의 클립보드에 저장된 데이터를 정상 앱을 통해 읽어 들일 수 있는 상태가 되는 건데 왜 취약점이 아니라고 하는지 모르겠다”고 토로했다.

미스크의 설명에 의하면 “iOS는 앱이 배경이 아니라 전경에 활성화 되어 있을 때에만 클립보드 데이터를 읽을 수 있게 해주도록 설계되어 있는데, 이 역시 우회가 가능하다”고 한다. “아이폰의 투데이 뷰(Today View) 위에 위젯을 위치시켜 놓으면, 사용자가 투데이 뷰를 스와이핑 할 때마다 그 위젯을 통해 메모리를 읽을 수 있게 됩니다. 때문에 위협의 표면적이 더 넓어지는 것입니다.”

이렇게 장비 내 ‘클립보드’와 관련된 문제가 애플 장비에서 불거진 것은 이번이 처음이 아니다. 3년 전 한 레딧 사용자가 “클립보드 접근 시 사용자의 허락을 득해야 한다는 정책을 새롭게 수립해야 한다”고 지적한 바 있다. “클립보드 접근이 너무 쉽기 때문에 악성 앱이 활동할 여지가 너무나 크다”는 게 그의 설명이었다.

미스크 역시 클립보드 데이터에 대한 허용 시스템을 마련하는 쪽의 의견을 가지고 있다. “아이폰 내 연락처나 위치 정보 서비스에 접근하기 위해 사용자의 허용이 필요하듯, 클립보드 데이터에 접근하기 위해서도 허락을 받아야 한다고 생각합니다. 애플이 메모리 보호 강화에 신경을 더 써야 합니다.”

그러면서 미스크는 “애초에 사용자의 동의 없이 앱이 클립보드에 무제한으로 접근할 수 있다는 것 자체가 문제의 소지가 다분한 것”이라고 덧붙이기도 했다. “사진에 같이 저장되는 위치 정보는 복사 시 OS가 자동으로 삭제해야 한다고 본다”는 의견도 있었다.

클립보드 데이터를 빼돌리는 공격은 암호화폐와 관련된 사이버 공작에서 많이 발견된다. 사용자들은 암호화폐 거래 시 주소를 복사해서 붙여 넣기 하는데, 공격자들이 클립보드에 접근해 주소를 바꿔치기 하는 식으로 많은 돈을 훔쳐 왔다. 클립보드 데이터에 공격자가 접근할 경우 사용자 모르게 민감한 정보가 유출될 가능성이 높다는 건 보안 업계가 항상 경고해 온 것이기도 하다.

3줄 요약
1. 아이폰과 아이패드에서 ‘복붙’할 때, 모든 앱들이 클립보드에 접근 가능.
2. 이를 발견한 전문가는 ‘취약점’이라고 주장하지만, 애플 측은 ‘아니’라고 반박.
3. 앱이 클립보드에 접근할 때마다 사용자의 허락을 구하도록 설계하면 어떨까?
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>