5G 스마트폰과 각종 기기들이 이미 매장에 등장하기 시작했습니다. 그리고 곧 초고속 5G가 이동통신 기술의 새로운 표준으로 자리 잡을 것입니다. 5G 연결을 활용하면 고화질 영상 스트리밍은 물론, 모바일 기기에서 온라인 게임도 훨씬 쾌적하게 즐길 수 있습니다.
하지만 모든 새로운 기술이 그렇듯, 5G 역시 간과할 수 없는 보안 문제를 안고 있습니다. 이 글에서는 5G의 주요 보안 위험 요소를 짚어보고, 5G 기기를 구매하거나 사용할 때 더 현명한 판단을 내리는 데 도움이 되는 정보를 정리했습니다.
1. 5G의 선택적 보안 기능
5G에 대한 우려는 한동안 제기되어 왔습니다. 실제로 미국의 론 와이든(Ron Wyden) 상원의원은 2019년 11월 연방통신위원회(FCC) 위원장에게 서신을 보내 이러한 우려를 직접 전달하기도 했습니다.
와이든 의원이 서신에서 지적한 핵심 문제는, 알려진 취약점에 대한 일부 사이버 보안 대책이 5G에서 ‘선택 사항’이라는 점입니다. 여기에는 암호화와 인증 같은 필수적인 기능이 포함됩니다.
이러한 기능이 의무 사항이 아니기 때문에, 각 이동통신사가 스스로 보호 장치를 활성화할지 결정해야 합니다. 대부분의 통신사가 이를 선택하기를 바랄 뿐, 법적으로 강제된 사항은 아닙니다.
“수십 년 동안 무선 통신사들은 외국 정부가 과거에도, 그리고 지금도 미국인들을 표적으로 삼아 적극적으로 악용해 온 잘 알려진 사이버 보안 취약점들을 방치해 왔습니다”라고 와이든 의원은 썼습니다. “소비자들이 통신사들의 사이버 보안 실태를 비교할 방법이 없기 때문에, 시장 역시 보안 강화를 유도하지 못했습니다.”
이 문제는 보안에 소홀한 통신사를 이용하는 5G 사용자만의 것이 아닙니다. 예를 들어, A 사용자의 통신사가 안전하지 않은 상태에서 B 사용자와 메시지를 주고받는다면, 두 사람의 데이터 모두 위험에 노출됩니다.
와이든 의원은 외국 정부가 이러한 취약점을 악용해 미국인들을 표적으로 삼는 문제를 지적했지만, 사용자는 자국 정부의 감시에도 노출될 수 있다는 점을 기억해야 합니다.
2. 5G 하드웨어 및 인프라에 대한 위험
미국 사이버보안 및 인프라보안국(CISA)의 2019년 보고서는 5G에 대한 또 다른 우려를 제기했습니다. 이 보고서는 현재 4G 기술에 존재하는 보안 위험을 분석한 뒤, 그 위험이 5G에 어떻게 확대 적용될 수 있는지 검토했습니다.
특히 보고서는 신뢰할 수 없는 기업이 제조한 하드웨어가 보안을 어떻게 위협할 수 있는지 다루었습니다. 이는 미국인 감시 혐의를 받아온 화웨이(Huawei) 같은 중국 기업들을 염두에 둔 지적으로 읽힙니다.
“미국 네트워크가 아무리 안전하더라도, 신뢰할 수 없는 해외 통신망을 거쳐 이동하는 미국의 데이터는 가로채기, 조작, 교란, 파괴의 잠재적 위험에 노출되어 있습니다”라고 보고서는 경고했습니다.
여기에 더해, 5G에서 사용되는 부품의 수가 이전 세대보다 훨씬 많다는 점도 문제입니다. 5G 구축을 위해서는 새로운 물리적 인프라가 필요하며, 통신사들은 더 많은 기지국과 소형 셀(small cell), 마이크로 셀(micro cell)을 건설해야 합니다. 시스템을 구성하는 요소가 많아질수록 공격에 노출될 경로도 그만큼 늘어난다는 것이 문제입니다.
특히 자율주행차, 원격 의료 시술, 사물인터넷(IoT) 기기처럼 5G를 기반으로 작동할 기술들을 생각하면 우려는 더 커집니다. 이들 모두 사이버 공격에 취약하며, 공격이 성공할 경우 그 결과는 매우 심각할 수 있습니다.
3. 5G 인증 프로토콜의 취약점
일반적인 위협 외에도, 연구자들은 5G 고유의 보안 문제를 구체적으로 밝혀냈습니다. 노르웨이 SINTEF 디지털과 베를린 공과대학교 연구진은 2019년 발표한 논문에서 5G가 사용하는 인증 및 키 합의(AKA) 프로토콜의 취약점을 기술했습니다.
AKA 프로토콜은 기기가 5G 네트워크와 통신할 때 사용하는 절차로, 3G와 4G에서도 유사한 방식이 쓰였습니다. 이 프로토콜은 일회용 비밀번호를 생성해 기기와 이동통신망이 데이터를 주고받으면서 해당 데이터가 변조되지 않았음을 확인할 수 있게 해줍니다.
새롭게 설계된 5G 버전의 AKA 프로토콜은 기존보다 안전하도록 만들어졌으며, 특히 ‘가짜 기지국 공격(fake base station attack)’으로부터 사용자를 보호하는 것을 목표로 했습니다.
그러나 새로운 AKA 프로토콜은 자체적인 약점을 드러냈습니다. 연구진이 발견한 것은 논리적 취약점, 즉 근본 코드의 결함이 아니라 시스템 작동 방식 자체의 문제였습니다. 이 프로토콜은 데이터를 보호하기 위해 무작위화된 암호화를 사용해야 하지만, 연구진은 이를 우회하는 데 성공했고 ‘활동 모니터링 공격(activity monitoring attack)’이라 이름 붙인 새로운 공격 기법을 만들어냈습니다.
이는 해커가 5G망을 통해 전송되는 정보를 탈취할 수 있음을 의미합니다. 연구진은 이 취약점에 대한 수정 방안을 제시했지만, 아직까지 업계에 채택되지 않고 있습니다.
4. 5G는 IMSI 캐처로부터 안전하지 않다
정부가 5G를 통해 사용자를 감시할 가능성도 존재합니다. 2018년 제기된 보안 문제가 상당한 주목을 받았는데, 미국 국토안보부가 워싱턴 D.C.에서 국제 이동 가입자 신원(IMSI) 캐처라 불리는 전자 감시 장치를 발견했다고 발표한 사건입니다.
IMSI 캐처는 기지국인 척하는 장치로, 휴대폰 같은 기기가 이에 연결되도록 유도합니다. 기기가 연결되면 IMSI 캐처의 소유자는 통화와 문자 메시지를 가로챌 수 있습니다. 참고로 FBI는 1990년대 중반부터 ‘스팅레이(Stingray)’라 불리는 유사한 기술로 휴대폰 통신을 추적해 왔습니다.
지난 5년간 스팅레이에 대한 여론의 비판이 이어졌음에도 FBI는 여전히 이 기술을 사용하고 있으며, 캐나다와 영국의 법 집행 기관들도 비슷한 장치를 활용합니다.
5G는 사용자를 IMSI 캐처로부터 보호할 것으로 기대되었지만, 공격자가 5G의 방어 장치를 우회할 수 있는 여러 경로가 존재하는 것으로 드러났습니다.
한 가지 방법은 앞서 설명한 AKA 프로토콜의 취약점을 이용하는 것입니다. 또 다른 방법은 ‘토르페도(Torpedo)’라 불리는 공격으로, 통화나 메시지 도착을 기기에 알리는 호출(paging) 프로토콜의 약점을 악용합니다. 해커는 토르페도를 통해 앰버 경보(실종 아동 긴급 경보)를 사칭하거나 수신 메시지를 아예 차단할 수도 있습니다.
나아가 해커가 토르페도를 배치한 뒤 ‘피어서(Piercer)’와 ‘IMSI 크래킹(IMSI-Cracking)’이라는 후속 공격을 이어가면, 4G와 5G 네트워크 모두에서 IMSI 데이터에 접근할 수 있습니다.
결국 5G 역시 IMSI 캐처로부터 완전히 안전하다고 말하기 어렵습니다.
마무리: 5G 도입 전 생각해야 할 보안 문제
5G 기술은 더 빠른 인터넷 속도와 함께 모바일 게임 스트리밍 같은 새로운 경험을 가능하게 할 것입니다. 하지만 이 새로운 기술에는 그만큼의 보안 위험도 따릅니다. 5G로 전환하기 전에 자신의 기기 보안 상태를 점검하고, 5G 네트워크 연결로 인해 기기가 위험에 노출될 수 있는지 충분히 고민해 볼 필요가 있습니다.
연결된 기기의 보안을 더 강화하고 싶다면, 스마트폰과 태블릿을 위한 최고의 보안·프라이버시 앱 목록을 확인해 보시기 바랍니다.