대부분의 시스템 캐시는 주기적으로 비울 필요가 없습니다. 하지만 일부 캐시는 예상치 못한 보안상 단점을 안고 있는데, macOS의 훑어보기(Quick Look) 캐시가 대표적인 사례입니다. 이 캐시는 암호화된 디스크에 보관된 파일의 미리보기를 외부로 유출할 수 있습니다.
macOS에서 훑어보기 캐시를 삭제해야 하는 이유
훑어보기 캐시는 암호화된 파일의 미리보기를 암호화되지 않은 상태로 저장할 수 있습니다. 그 결과, 시스템 구조를 어느 정도 아는 사람이라면 원본 파일을 복호화하지 않고도 암호화된 파일의 미리보기를 몰래 열어볼 수 있습니다. 보안을 중시하는 사용자라면 캐시를 수시로 비워 주는 것이 좋습니다.
훑어보기의 핵심 서비스는 "com.apple.quicklook.ThumbnailsAgent"입니다. 이 에이전트는 시스템 전반을 탐색하며 미리보기 이미지를 생성하고, 그 결과물을 누구나 접근할 수 있는 SQLite 데이터베이스에 저장합니다. 문제는 이 캐시가 훑어보기로 직접 열어본 적이 없는 파일까지 포함해 모든 파일의 미리보기를 담고 있다는 점입니다.
캐시는 "/var/folders" 경로 안에 위치합니다. 이 폴더 구조 속에서 "com.apple.QuickLook.thumbnailcache"라는 이름의 폴더를 찾아야 합니다.
실제로 보안 문제가 될까?
암호화된 데이터가 어떤 형태로든 새어 나가는 것은 바람직하지 않습니다. 특히 이미지 파일이 가장 큰 위험 요소입니다. 축소된 썸네일이라 해도 내용을 어느 정도 들여다볼 수 있기 때문입니다. 훑어보기로 미리 열어본 적 없는 이미지는 가장 긴 변 기준 128픽셀로 저장되지만, 한 번이라도 확인한 이미지는 그 세 배에 가까운 해상도로 캐시됩니다.
이미지가 아닌 파일 역시 예외는 아닙니다. 문서 종류에 따라 파인더 아이콘 형태의 썸네일이 저장되는데, TXT나 RTF 파일이라면 페이지가 살짝 말린 모양에 본문 미리보기가 담긴 아이콘이 캐시에 남습니다.
이 취약점을 최근에 공개한 보안 연구자에 따르면, 썸네일은 원본 파일을 삭제한 뒤에도 그대로 남아 있습니다. 게다가 USB 드라이브를 Mac에서 분리한 후에도 해당 드라이브의 파일 미리보기가 캐시에 저장된 채 유지됩니다. 즉, USB 메모리를 잠깐 연결만 했어도 드라이브를 뽑고 난 뒤에도 흔적이 남고, 원본 파일에 더 이상 접근할 수 없는 상황에서도 미리보기를 통해 파일 내용이 노출될 수 있습니다.
macOS에서 훑어보기 캐시 삭제하기
1. "/Applications/Utilities/Terminal.app"에서 터미널을 실행하거나, Spotlight(⌘ + 스페이스)에 "터미널"을 입력해 엽니다.
2. 아래 명령어를 터미널에 붙여넣고 Enter 키를 눌러 실행합니다. 훑어보기 서비스가 즉시 중단되면서 캐시 파일이 함께 삭제됩니다.
qlmanage -r cache
macOS에서 훑어보기 캐시 비활성화하기
위 명령어는 캐시를 비우는 작업만 수행합니다. 설정을 그대로 두면 시간이 지난 뒤 캐시는 파일의 암호화 여부와 상관없이 다시 차곡차곡 쌓이기 시작합니다.
근본적인 해결책은 캐시 기능을 영구적으로 끄는 것입니다. 이 경우 훑어보기 속도가 다소 느려질 수 있지만, 취약점을 원천적으로 차단할 수 있습니다. 영구 비활성화는 아래 명령어로 실행합니다.
qlmanage -r disablecache
다시 캐시 기능을 켜고 싶다면 disablecache 대신 enablecache 옵션을 사용하면 됩니다.
마무리
Apple이 언젠가 이 취약점을 패치할 가능성은 있지만, 컴퓨터 포렌식 전문가들이 신뢰할 만한 이미지 추출 수단으로 꼽을 만큼 오랫동안 방치되어 왔습니다. 따라서 보안을 강화하려면 반복 실행 스크립트를 만들어 주기적으로 캐시를 비우거나, USB 드라이브를 분리할 때마다 수동으로 명령어를 실행하는 습관을 들이는 것이 좋습니다.