삼성, 애플, 레오버, 화웨이 등 다양한 제조사의 지문 인식 기능 농락하기
세 가지 가상 시나리오로 지문 채취해 3D 프린터로 인쇄...성공률 80% 기록

[보안뉴스 문가용 기자] 2000 달러의 예산과 13개의 스마트폰과 랩톱을 가진 연구원들이 지문 인증을 뚫어내는 데 성공했다. 이들은 저렴한 3D 프린터를 통해 지문을 그대로 복제했고, 이를 가지고 약 80%의 성공률을 보였다고 한다. 그러나 공격을 실현해내는 게 쉬운 건 아니라고 결론을 내렸다.


[이미지 = iclickart]

애플이 2013년 아이폰 5를 통해 터치ID라는 것을 선보인 이후, 생체 정보를 통한 인증은 지금까지 크게 유행하고 있는 중이다. 그러면서 스마트폰은 물론, 랩톱, USB, 자물쇠에까지 생체 인증 기능이 추가되었다. ‘100% 안전한 건 아니지만(해킹 성공 사례는 수없이 많다), 비밀번호보다는 낫다’는 인식이 퍼져가고 있다는 것도 주목해야 할 일이다.

이에 따라 생체 정보를 스캔하는 기술들도 변모해가고 있는데, 최근에는 세 가지 종류의 센서가 각광을 받고 있다. 바로 광센서, 정전식 감응 센서, 초음파 센서가 그것인데, 신체에 자연스럽게 생기는 전류를 감지해 읽는 정전식 감응 센서가 현재로서는 가장 인기가 높다. 광센서의 경우 빛을 활용해 스캔을 실시한다. 초음파 센서는 가장 최근에 나온 것으로 주로 ‘온스크린 센서’를 통해 구현된다.

이번에 생체 인증 우회 연구를 진행한 전문가들 중 하나인 폴 라스카그네레스(Paul Rascagneres)는 자신의 블로그를 통해 “최첨단 지문 스캐너를 바보로 만드는 게 불가능한 건 아니지만, 대단히 어렵고 고단한 일”이라고 먼저 밝혔다. 그러나 “80%의 높은 성공률을 기록한 것 자체는 사실이며, 따라서 생체 인증이 지금 기술 그대로 안전하다고 말하기는 힘든 것 또한 사실”이라고 강조했다. “일반인들에게야 지금의 지문 인식 기술이 충분히 튼튼하겠지만 공격자들이 표적을 삼은 인물이라면 아니라고 볼 수 있습니다.”

그래서 연구진들은 실험과 분석을 시작했다. 목표는 최대한 적은 자원으로 실제 세계에서 일어날 법한 공격을 성공시키는 것이다. “현실적인 자원만을 활용하는 것이 중요한 목표였습니다. 즉 누구나 할 수 있는 공격 방법을 찾아내고자 한 것이죠. 그래서 예산을 2천 달러로 한정시켰습니다. 이 예산 안에서 공격을 성공시킨다면, 국가 지원을 받는 고급 해커들도 당연히 할 수 있다는 결론을 내릴 수 있으니까요.”

연구진들은 세 가지 공격 시나리오를 구성했다. 전부 지문을 수집해 3D 프린터로 찍어내는 것이었는데, 상황과 환경을 조금씩 바꿨다. “첫 번째는 지문을 피해자로부터 직접 채취하는 게 가능할 때, 두 번째는 지문 스캐너로부터 지문 데이터를 탈취했을 때, 세 번째는 문 손잡이 등에서 채취하는 것에 성공했을 때로 각각 상정하고 실험을 시작했습니다.”

각각의 시나리오로 지문 채취에 성공한 연구원들은 3D 프린터로 모형을 만들어냈다. 처음에는 독성이 있는 레진을 이용했고, 자외선 빛으로 처리했다. 그 외 실리콘 등 다양한 재료들을 섞어가며 실험을 진행했다. 가장 효과가 좋았던 건 값싼 섬유접착제였다. “하고 많은 고급 재료들 중 섬유접착제라니, 저희들도 전부 놀랐습니다. 전혀 예상하지 못했어요.”

과정을 몇 문단으로 쉽게 쓰긴 했지만, 실제 실험 시간은 약 3개월 정도 걸렸다고 한다. “80%의 성공률에 도달하는 데 3개월이 걸린 듯합니다. 일반인이 누군가를 노리고 이 공격을 실제로 한다고 했을 때, 불가능한 건 아니지만 대단히 복잡하고 어려운 건 맞습니다. 특히 3D 프린터로 찍어낼 손의 재질과 이상적인 크기를 찾는 것에 어마어마한 시간이 들어갑니다. 조금씩 줄이거나 키우고 실험해보고 기록하고 비교하는 걸 100일 동안 반복한다고 생각해보세요. 게다가 재질들마다 특성이 달라서 주변 환경에 반응하기도 하고, 애써 만든 게 금방 쓸모없게 변하기도 합니다. 전문가라고 하는 저희만 해도 이번 실험을 통해 50번 이상 새로운 모형을 만든 것 같아요.”

연구원들은 50개가 넘는 모형을 아이폰 8, 삼성 갤럭시 S10, 맥북 프로 2018, 레노보 요가, AI케이스(AICase) 자물쇠 등 13개의 장비에 각각 20번 넘게 실험했다. 결과는 장비마다 크게 달랐다. 삼성 A70의 경우 가짜 지문으로 절대 통과할 수 없었다. 마이크로소프트 윈도우 10을 기반으로 한 장비들의 경우도 마찬가지였다. “대신 A70의 경우, 실제 사용자의 지문 인식률도 크게 떨어지는 것으로 분석됐습니다. 윈도우 장비들도 공격 예산이 200만원이 넘어가면 충분히 성공할 것으로 예상됐고요.”

맥북 프로의 경우, 피해자의 지문을 직접 채취한 시나리오에서는 공격 성공률인 95%인 것으로 나타났다. 그 외 두 가지 시나리오에서는 보다 낮은 성공률이 기록됐다. 화웨이의 아너 7x(Honor 7x)와 삼성 S10 경우에도 성공률이 매우 높았다. 연구진들은 이러한 실험의 결과를 각 제조사들로 보냈다.

라스카그네레스는 “지난 7년 동안 지문 인식 기술은 크게 변하지 않았다”고 말한다. “일반인들을 대상으로 할 때 충분히 강력한 것이 지문 인식 기술이라는 사실도 크게 변하지 않았습니다. 다만 집요한 공격자들의 주요 표적이 되었을 때는 이야기가 달라집니다.” 그래서 연구원들은 “생체 정보 인식 시도 횟수를 제한해야 한다”고 제안한다.

“예를 들어 애플은 다섯 번까지 지문 인식을 시도할 수 있게 합니다. 삼성 역시 다섯 번 틀리면 30초 동안 기다리도록 장비를 만들고 있죠. 그나마 이것도 10번만 반복할 수 있습니다. 반명 아너 7x 장비들은 70번 이상 시도할 수 있게 해두고 있습니다. 이 횟수를 줄여주는 게 현재로서는 가장 현실적인 대처 방안입니다.”

3줄 요약
1. 총 200만원 예산으로 생체(지문) 인식 시스템을 80% 확률로 뚫어내는 데 성공함.
2. 특히 지문을 피해자로부터 직접 채취해 3D 프린터로 구현했을 때 성공률 높았음.
3. 지문 스캔 시도 횟수를 제한하는 것이 현재로서는 가장 현실적인 대처법.
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>