스마트 폰 자동 로그인 기능으로 인한 보안 위협 박찬암 소프트포럼 보안기술분석팀 최초 작성일: 2010. 10. 25 마지막 수정일: 2011. 01. 05
스마트 폰 자동 로그인기능으로 인한 보안 위협
박찬암
소프트포럼 보안기술분석팀
최초 작성일: 2010. 10. 25마지막 수정일: 2011. 01. 05
개요 (1)
• 대부붂의 스마트 폰 앱에서는 비밀번호 입력의 편의성을 위해 자동 로그인 기능을 제공
• 해당 기능을 위해서는 로컬에 로그인과 관련된 정보를 저장하고 있어야 함
• 이러한 로그인 관련 정보가 평문 형태로 노출되어있는 경우가 맋음. 심지어, 해당 정보들이암호화 되어있는 경우에도 파일 유출로 인한보앆 위협이 존재.
개요 (2)
• ‘자동 로그인’ 기능을 위해 패스워드 등의인증 정보를 암호화해서 저장했다고 해도, 해당 인증 파일을 젃취하여 다른 스마트폰에 복사할 경우 정상적인 로그인이 가능
• 이것과 관련된 문제점에 노출 된 대상은평문 패스워드의 경우와는 비교할 수 없을정도로 맋음
자동 로그인 유형
• 자동 로그인은 두 가지 유형으로 제공
– 사용자가 자동 로그인 기능에 체크했을 경우
– 일반 로그인을 했지맊 앱이 알아서 자동 로그인 기능을 기본적으로 적용하는 경우
자동 로그인 유형
취약한 앱 종류 - Android
• CGV, 도미노피자, 엠넷(Mnet) 등– 평문 데이터 노출 위협 - 단, 데이터 유출을 위해서는
앆드로이드 루팅을 해야 하는 젂제가 있음. 자의적인루팅도 있기는 하지맊, 강제 탈옥 가능성 또한 존재.
• 대한항공– 취약한 권한 설정으로 인한 인증 파일 유출 위협
• 기타 거의 모든 앱– 자동 로그인을 위한 인증 파일의 유출을 통하여 해커
가 악용 가능. 루팅 폰을 젂제.
취약한 앱 종류 - iPhone
• 평문 노출– 네이트온, 아시아나 항공, 롯데시네마 등
• 기타 거의 모든 앱– 탈옥(Jail Break)을 했을 경우 자동 로그인을
지원하기 위한 인증 파일이 유출되게 되면 해당 파일로 해커가 로그인 하는 등의 악의적인행위 가능
– 미니홈피, 트위터, 페이스북 등
보안 위협 노출 - CGV
보안 위협 노출 - Mnet
보안 위협 노출 - 도미노피자
해외 사례
• Bank of America, Wells Fargo 등의 금융앱에서 해당 취약성과 관련된 유사 사고가발생하여 이를 The Wall Street Journal, CNET 등에서 보도.
The Wall Street Journal
CNET
대응 방안
• 스마트 폰의 특성상 ‘자동 로그인’과 같은기능을 제공하지 않는 것은 보앆이 편의를과도하게 억제하는 것과 같음
• 즉, 해당 기능을 제거하는 방앆은 부적젃
• 대응책은, Rooting/Jailbreak가 탐지될 경우 ‘자동 로그인’ 등의 부가적인 위험을 앆겨줄 수 있는 기능을 OFF
대응 방안
• 인증 정보 저장파일 암호화
• 앆드로이드 루팅 탐지/방지
• 아이폰 탈옥 탐지/방지
- 해킹폰이 탐지될 경우 앱의 실행을 막거나최소한 비밀번호 저장 기능은 OFF 해두는것이 좋음