WPA3는 Wi-Fi Protected Access 3의 약자로, 가장 최신 세대의 Wi-Fi 보안 기술입니다. 2018년 Wi-Fi Alliance(Wi-Fi 얼라이언스)가 발표했으며, 개방형 네트워크의 보안 강화, 취약한 비밀번호 보호, 기기 설정 간소화를 목표로 기존 WPA2를 개선한 표준입니다.
그럼 기존의 WPA2는 어떻게 되나요?
걱정하지 않으셔도 됩니다. WPA2가 당장 사라지는 것은 아닙니다. Wi-Fi Alliance는 앞으로도 WPA2의 단점을 지속적으로 보완할 예정이며, 당분간 WPA3 액세스 포인트는 WPA2와의 하위 호환성을 유지합니다.
WPA의 첫 번째 버전이 2003년에 등장했고, WPA2는 불과 1년 뒤인 2004년에 출시되었다는 점을 생각해 보면, 새로운 버전이 나오기까지 얼마나 긴 시간이 흘렀는지 짐작할 수 있습니다. WPA3의 등장은 그로부터 10년 이상이 지난 후의 일이었습니다.
WPA3 vs WPA2: 무엇이 달라졌나?
WPA3에는 더 안전한 공용 Wi-Fi, 취약한 비밀번호에 대한 보호, 더욱 간편한 설정 등 여러 가지 보안 개선 사항이 반영되었습니다.
1. 더 안전한 공용 Wi-Fi
공용 Wi-Fi는 보통 어쩔 수 없는 경우에만 사용하거나, 비밀번호나 개인 메시지처럼 민감한 정보를 주고받지 않을 때만 이용하는 것이 좋습니다. 같은 네트워크에 누가 도청하고 있는지 알 수 없고, 대부분의 무료 Wi-Fi는 암호화되어 있지 않기 때문입니다.
WPA3는 이러한 상황에서 보안을 강화하는 두 가지 핵심 기술을 제공합니다. 바로 순방향 비밀성(forward secrecy)과 암호화(encryption)입니다.
순방향 비밀성이 왜 중요할까요? 간단히 말해, 공격자가 데이터를 미리 대량으로 수집해 놓고 나중에 천천히 해킹하는 것이 불가능해진다는 뜻입니다. 기존 WPA 버전에서는 공격자가 네트워크에서 데이터를 수집한 뒤, 비밀번호를 적용해 오프라인에서 분석함으로써 해당 정보는 물론 이후 캡처한 모든 데이터에도 접근할 수 있었습니다. WPA3는 각 세션을 개별적으로 격리해 이런 '게으른' 해킹 방식을 무력화하며, 공격자가 비밀번호를 추측하려면 네트워크에 실시간으로 접속해 있어야만 합니다.
암호화 부재는 개방형 네트워크의 오랜 문제였지만, 이제 WPA3를 통해 해결되었습니다. WPA2 네트워크에는 이미 암호화가 적용되어 있었지만, 비밀번호 없이 열려 있는 개방형 네트워크에는 암호화가 존재하지 않았습니다. 당연히 훨씬 일찍 개선됐어야 할 부분이지만, 늦게라도 이루어진 것은 다행입니다.
이 기능은 OWE(Opportunistic Wireless Encryption) 기술을 기반으로 하며, Wi-Fi Enhanced Open을 통해 네트워크가 비밀번호를 요구하지 않더라도 각 기기에 개별화된 암호화를 제공해 데이터를 보호합니다.
2. 취약한 비밀번호에 대한 보호
개방형 네트워크의 보안 강화와 더불어, WPA3는 약한 비밀번호조차 강력한 비밀번호 못지않게 안전하게 만들어 주는 장점이 있습니다. WPA3에 적용된 SAE(Simultaneous Authentication of Equals, 동등 간 동시 인증) 방식은 IEEE에 따르면 수동 공격(passive attack), 능동 공격(active attack), 사전 공격(dictionary attack)에 저항력을 갖추고 있습니다.
결국 이는 비밀번호 자체가 강력하지 않더라도 해커가 이를 크랙하기 훨씬 어려워진다는 의미입니다.
3. 더 쉬운 기기 설정
Wi-Fi 네트워크에 기기를 연결하는 작업은 때때로 번거로운 과정입니다. WPA3는 QR 코드를 활용해 더 빠르게 설정할 수 있는 Wi-Fi Easy Connect라는 간편 페어링 방식을 도입했습니다.
예를 들어, 집안 곳곳에 배치된 IoT(사물 인터넷) 기기들은 편리하지만, 그 설정 과정은 많은 사람이 귀찮아하는 부분입니다. 보통 스마트폰으로 기기에 직접 연결한 뒤, 다시 홈 네트워크에 연결하는 복잡한 절차를 거쳐야 하는데, QR 코드 하나만 스캔하면 이 과정이 훨씬 빨라집니다.
비밀번호가 필요 없는 개방형 네트워크에 게스트 기기를 추가할 때도 Wi-Fi Easy Connect가 유용하게 쓰입니다. 한 기기가 구성자(configurator) 역할을 맡고, 다른 기기들은 등록자(enrollee)가 됩니다. 한 기기로 다른 기기를 스캔하기만 하면, 비밀번호 입력 없이도 즉시 올바른 접속 정보가 전달됩니다.
WPA3에도 존재하는 보안 취약점
모든 기술이 그렇듯이, WPA3 역시 시간이 지나면서 테스트 과정에서 취약점이 발견되고 있습니다. 구버전 표준보다 뛰어난 핵심 기능들을 갖추고 있다고 해서, 문제점이 전혀 없다는 뜻은 아닙니다.
2019년에는 '드래곤블러드(Dragonblood) 공격'이라 불리는 취약점이 공개되어, 해커가 무차별 대입(brute-force) 공격과 서비스 거부(DoS) 공격을 통해 Wi-Fi 암호 문구를 크랙할 수 있는 가능성이 제기되었습니다. 다만 다행히 이 취약점은 HTTPS를 사용하지 않는 경우에만 문제가 되는 것으로 알려져 있으며, 실제로는 드문 상황입니다.