SSL인증키 가로채기, 기존 해킹과 다른점은?… 와이파이 해킹 Q&A

암호화된 개인정보 엿보기 가능

스마트폰으로 인터넷에 접속해 정보를 찾아보는 게 일상이 되면서 인터넷 서핑을 빠르게 도와주는 무선랜(와이파이) 접속장치도 많아지고 있다. 사용자들에게 많은 도움을 주지만 무선랜은 악용되면 개인정보가 고스란히 누출될 수 있다는 사실이 이번 실험에서 드러났다. UNIST 연구팀의 실험으로 드러난 궁금증을 풀어봤다.

Q. ‘SSL 가로채기’란 무엇인가, 기존 해킹과 다른 점은….

A. 해킹은 통신망에 불법적으로 침입해 데이터를 유출하거나 조작하는 것을 말한다. 이를 막기 위해 데이터가 유출되더라도 읽을 수 없도록 비밀 키로 암호화해 정보를 주고받는 게 SSL 방식이다. ‘SSL 가로채기’는 서버와 브라우저 간에 주고받는 ‘열쇠(키)’를 훔치는 것이다. 스마트폰 사용자에게는 ‘가짜 SSL 인증키’를 주고, 해커는 인터넷 사이트가 제공하는 ‘진짜 SSL 인증키’를 챙겨 중간에서 정보를 조작한다. 따라서 기존 해킹은 해킹에 성공해도 ID나 비밀번호처럼 암호화된 중요한 정보는 볼 수 없었던 것에 비해 SSL 가로채기를 통해 중간에서 개인정보를 보고 조작할 수 있다.

Q. ‘SSL 가로채기’를 통해 나올 수 있는 최악의 상황은….

A. 해커가 SSL 인증키를 갖고 있으면 포털 ID나 비밀번호 같은 중요한 개인정보를 엿볼 수 있다. 해커는 수집한 개인의 ID와 비밀번호로 포털 사이트에 들어가 사용자의 개인정보를 바꾸고 e메일을 삭제할 수 있다.

Q. 비밀번호가 있는 무선랜은 ‘SSL 가로채기’로부터 안전한가.

A. 안전하지 않다. 해커가 불법 무선접속장치를 만들 때 비밀번호가 있는 형태로 만들 수도 있다. 사용자가 어떤 비밀번호를 입력해도 다 맞다고 하고 인터넷과 연결해 주면 비밀번호가 있는 것과 없는 것이 차이가 없다.

Q. 스마트폰이 ‘SSL 가로채기’에 취약한 이유는….

A. 스마트폰은 간편하게 인터넷에 접속할 수 있는 게 장점이다. 스마트폰에는 편리한 서핑을 위해 일반 컴퓨터로 접속할 때와 같은 보안장치를 해놓지 않았다. 이 때문에 UNIST 연구팀이 설치한 가짜 무선접속장치에서 ‘가짜 SSL 인증키’를 스마트폰 사용자에게 제공해도 ‘이상한 인증키입니다’ 등의 정보가 뜨지 않은 것이다.

Q. 스마트폰의 사용자환경을 바꾼(탈옥) 스마트폰은 해킹에 더 취약한가.

A. 그렇지 않다. 사용자가 홈페이지와 SSL 인증키를 교환할 때 가로채는 것이므로 탈옥과는 관계가 없다.

김윤미 동아사이언스 기자 ymkim@donga.com
원호섭 동아사이언스 기자 wonc@donga.com