iOS 10으로 업그레이드한 순간부터 여러분의 아이폰은 이전만큼 안전하지 않을 수 있습니다. 그리고 그 원인은 다름 아닌 iOS 10 자체에 있습니다.
iOS 10으로 업데이트한 뒤에는 수동 백업 파일의 보안 수준이 크게 낮아집니다. 비밀번호로 보호되는 백업 파일에 새롭게 적용된 '대체 비밀번호 검증 메커니즘'이 기존 방식보다 훨씬 빠른 속도로 해독될 수 있기 때문입니다.
이 취약점을 발견한 곳은 러시아의 디지털 포렌식 전문기업 엘콤소프트(Elcomsoft)입니다. 동사는 아이폰 잠금 해제 도구인 'Phone Breaker'를 업데이트하는 과정에서 이 문제를 확인했고, 블로그 게시물을 통해 애플의 실수를 공개했습니다.
초당 2400개에서 600만 개로, 2500배 빨라진 해독 속도
엘콤소프트는 새로운 메커니즘이 적용된 iOS 10 백업 파일을 iOS 9 이하에서 사용되던 기존 방식 대비 약 2,500배 빠르게 해독할 수 있다고 밝혔습니다. 실제 수치로 비교하면 그 차이는 더욱 극명합니다.
- iOS 9 이하: 초당 약 2,400개의 비밀번호 시도 가능
- iOS 10: 초당 약 600만 개의 비밀번호 시도 가능
즉, 원래라면 수년이 걸렸을 작업이 단 며칠 만에 끝나는 수준으로 보안성이 후퇴한 것입니다.
애플의 공식 입장: "예정된 보안 업데이트로 해결하겠다"
애플은 포브스(Forbes)에 이 문제를 "검토 중"이라고 밝히며, 다음과 같은 공식 성명을 통해 조만간 수정될 것임을 시사했습니다.
"우리는 Mac 또는 PC의 iTunes로 iOS 10 기기를 백업할 때 백업 암호화 강도에 영향을 미치는 문제를 인지하고 있습니다. 해당 문제는 조만간 진행될 보안 업데이트를 통해 해결될 예정입니다. 이 문제는 iCloud 백업에는 영향을 미치지 않습니다."
"사용자 여러분은 Mac 또는 PC를 강력한 비밀번호로 보호하고, 승인된 사용자만 접근할 수 있도록 관리해 주시기 바랍니다. FileVault 전체 디스크 암호화를 활용하면 추가적인 보안을 확보할 수 있습니다."
실제 위험은 얼마나 클까?
다행인 점은, 이 취약점을 악용하려면 해커가 백업 파일이 저장된 Mac 또는 PC에 직접 접근해야 한다는 사실입니다. 따라서 일반 사용자가 실제 피해를 입을 가능성은 매우 낮은 편입니다. 그럼에도 불구하고, 몇 달 뒤가 아니라 지금 이 시점에 문제가 발견된 것은 천다행이라 할 수 있습니다.
문제가 해결될 때까지는 iTunes 백업을 저장하는 컴퓨터의 물리적 보안에 각별히 신경 쓰는 것이 좋습니다. 강력한 로그인 비밀번호 설정, FileVault 암호화 활성화 등 기본적인 보안 수칙을 지키는 것이 현실적인 대응책입니다.
전문가들은 "보안의 거대한 후퇴"라고 비판
비밀번호 보안 전문가 페르 토르셈(Per Thorsheim)은 포브스와의 인터뷰에서 "이런 실수를 저질렀다면 애플은 '올해의 어리석음상'을 받아야 마땅하다"고 꼬집으며, 이번 사태를 "보안 분야의 거대한 후퇴"라고 평가했습니다.
수백만 명이 매일 사용하는 운영체제에서 암호화 강도가 사실상 무너졌다는 점을 감안하면, 이러한 비판이 과장이라고 하기는 어렵습니다. 애플이 얼마나 빠르게 이 문제를 수정하느냐가 향후 사용자 신뢰를 좌우할 것으로 보입니다.