[2018년 12월 02일] - 지난 11월 24일 발생한 KT 아현지사 화재로 서울의 절반가량 지역에서 공용 와이파이 지역을 찾아 헤매는 ‘와이파이 난민’이 속출했다. 당국은 피해 지역을 서울 서대문구, 마포구, 용산구, 중구, 은평구, 경기도 고양시로 한정했으나, 실상은 서울 중구를 중심으로 상당수 KT 통신망이 마비 상태에 이르렀던 터다.
KT는 원상복구까지 “갑작스레 일어난 화재로 끊긴 통신 및 인터넷망에 대한 복구가 일주일가량 소요될 것”이라고 했으나, 지난 30일 당일까지도 KT 통신망은 완벽히 복구되지 않은 탓에 예전같은 인터넷 서비스는 기대할 수 없다.
인터넷 접속 하나쯤 안된다고 그게 뭔 대수겠는가!? 할 수도 있겠지만 결국 그게 문제가 됐다.
인터넷 없는 삶은 여지껏 생각지도 못했던 사용자는 예측못한 통신대란을 직면하자 공용 와이파이를 찾아나서는 좀비 행렬을 강행했고, 평소 귀가 닳도록 들었던 보안 취약성을 떠올리기에는 당시 상황이 너무 긴박했다. 결국 KT가 아닌 다른 통신망이 될 지라도 ‘인터넷 연결이 가능한 공짜 와이파이라면 무조건 OK’라는 생각으로 커피숍, 피시방 등을 전전했는데 이의 행동이 열지 말아야 할 판도라의 상자를 자발적으로 건드는 형국이라 보안업계 관계자는 당시 현상을 유심히 봤다는 후문이다.
“무료는 항상 무료가 아니다.
위험한 공용 와이파이의 진실”
그 이유는 ‘공용 또는 공짜’ 와이파이를 통해 발생할 우려가 일반 와이파이 대비 높다는 것 때문인데 다수 사용자가 예기치 않은 화재에 ‘멘탈 붕괴’ 상태로 와이파이 난민이 되어 통신 가능 존을 찾았다. 비단 해당 사건이 아닐지라도 점차 스마트폰 등 모바일 단말기에서 오가는 트래픽 증가에 따라 공공 와이파이 이용을 반기는 분위기가 정착되는 것이 사실이다.
보안업계 관계자가 우려의 목소리를 내는 이유는 두 가지다. 첫 번째는 무선 암호화 인증 없는 공용 와이파이에 접속해 개인정보 입력 혹은 금융거래시에는 해커에게 손쉬운 먹잇감이 될 수 있다는 확률이 높다는 데 주목하자. 해킹을 목적으로 공공 와이파이의 SSID와 같은 이름을 지닌 가짜 트랩 SSID를 만들어 접속을 유도하는 범죄도 등장하는 만큼 더욱 주의가 요구되는데, 물론 이의 대비책이 없는 것은 아니다.
보안 인증 방식을 생략한 오픈 SSID가 아닌 와이파이 통신 보안 기술인 ‘WPA2(Wi-Fi Protected Access 2)’ 사용이다. 하지만 이 대목에서 두 번째 문제가 언급될 수 있다. 기존에 가장 안전하다 여겨졌던 와이파이 공용 표준 방식인 WPA2가 올해 해커의 놀잇감이 되었고 결국 뚫리면서 그간 비밀번호 없이 사용할 수 있던 오픈 모드 SSID 또한 보완이 필요해진 상황이다.
그나마 WPA2의 표준화가 이뤄진 이후 14년 만인 올해 6월에 들어 WPA3(Wi-Fi Protected Access 3)’ 보안표준이 발표되었지만, 이미 공용 와이파이를 이용할 수 있도록 하는 서비스 지역에서 보안에 강한 WPA3 보안 표준 준수 가능한 설비를 충분히 갖췄다고는 볼 수 없는 노릇이라는 것이 업계 관계자의 전언이다.
워치가드 코리아 강도균 팀장은 “단순히 편리하고 쉽게 접속되는 공용 와이파이를 이용하게 될 경우, 해커가 불법으로 설치한 공유기를 통해 개인의 정보가 탈취될 수 있다는 점을 사용자들이 잘 모르는 경우가 많다”며, “이번 KT화재 사건을 계기로 공용 와이파이 지역에서의 보안 취약점에 대한 사용자들의 인식 개선이 함께 이뤄져야 할 것”이라고 지적했다.
한국 아루바 SE(System Engineer) 한창훈 상무 또한 “초연결 사회가 도래하고 점차 모바일 기기에서 사용해야 하는 트래픽은 증가세를 보이는데, 공공장소에서 구축한 공용 와이파이를 이용하는 형태가 점차 확대하는 추세”라며, “LTE보다 빠른 품질의 네트워크 서비스를 이용할 수 있다는 장점은 있지만, 무선 암호화 과정 인증이 적용되지 않은 공용 와이파이에 접속한 경우 개인정보 및 금융거래 정보, 스마트폰 내의 앱 및 웹의 정보들이 모두 해킹 위험에 노출된다.”며 우려를 나타냈다.
공용 와이파이 노리는 기법
그 중 ‘Evil Twin AP 공격’
은 가장 만연한 공격 패턴
공용 와이파이 지역에서 가장 많이 이용되는 해킹 방식은 무려 6가지에 달한다. 네트워크 내에 허가받지 않은 SP를 심어 공격자가 주변의 보안을 우회해 네트워크 내부로 침투할 수 있도록 하는 Rogut AP 공격부터 최근 해커에게 가장 주목받고 있는 Evil Twin AP 공격처럼 다양하다. 이 때문에 공용 와이파이 사용 중 발생하는 문제에 대해 사용자가 알아채지 못한다.
가장 긴장하게 만드는 해킹 기법은 Evil Twin AP다. 최근 러시아의 해킹그룹 GRU가 미국 법무부의 공공 와이파이 지역에 침투하면서 악명을 떨친 이 공격은 해킹 커뮤니티에서 널리 알려진 보안 공격 방식 중 하나다. 802.11 무선 네트워크를 사용해 합법적인 와이파이 액세스 포인트와 같은 SSID를 사용한다. 이 때문에 피해자의 장치가 애초에 의도했던 와이파이 장치와 연결되는 것이 아닌, 해커의 장치로 와이파이로 우회한다.
이 과정에서 사용자는 자신의 트래픽이 공격자의 AP를 통해 탈취되고, 인터넷 활동이 조작하거나 감시되는 것을 모른 채 피해를 입을 수 있다. 쉽게 말해 자신이 이용하는 공공 와이파이 구역의 통신 자체를 도청하는 방식으로 이용자의 모든 개인정보가 해커에게 무방비로 노출될 수 있다는 의미다.
이 공격을 어떻게 막을 수 있을까? 개인 사용자가 Evil Twin AP 공격에서 트래픽을 숨기기 위해 공공 와이파이에 연결된 시간 동안 가상 사설망을 연동해야 한다. 또한 공공 와이파이 서비스 제공 기업은 WIPS(Wireless Intrusion Prevention System) 기능을 활용해 무선 공격을 탐지하고 예방하는 와이파이 솔루션을 사용해야 한다는 것이 보안업계의 공통된 조언이다.
한가지 더 있다. 장비는 최신 보안 버전인 WPA3 기반으로 교체와 공공 와이파이 서비스 주도 정부 기관 혹은 통신사가 무선 액세스 포인트 가상화 시스템을 구축해 물리적으로 보안을 강화하는 것도 좋다. 에컨대 공공 와이파이 지역 내 시스템 업그레이드 지원 가능한 장비 중 대표적인 제품인 워치가드의 ‘와이파이 클라우드’, HPE 아루바의 ‘11ax WPA3 이지커넥트’도입이다.
워치가드의 와이파이 클라우드는 지난 10월 열린 CyberSecurity Breakthrough Awards 2018에서 ‘올해의 와이파이 보안 솔루션’으로 선정된 바 있다. 특히 주요 네트워킹 벤더의 AP에 대한 테스트에서 보안 와이파이 액세스 포인트가 모든 와이파이 위협 범주를 자동으로 탐지하고 차단할 수 있음을 입증한 장비다.
HPE 아루바의 무선랜 솔루션은 사용자가 스마트폰이나 태블릿으로 제품 QR 코드를 스캔해 다양한 기기를 모든 와이파이 네트워크에 안전하게 연결할 수 있도록 해주는 솔루션이다. 특히 WPA2 및 WPA3 네트워크에 대한 프로비저닝을 모두 지원해 변화하는 보안 환경 속에서 안전한 연결과 편리한 사용자 환경을 동시에 보장한다.
공공 와이파이 지역 권장
보안 수칙 3가지는 무엇?
결정적인 거라면 일반 사용자가 공공 와이파이 기반 시설을 바꾸지는 못한다는 사실. 이러한 구도에서 나의 개인정보를 지킬 방법에는 어떤 것이 있을까? 글로벌 보안기업 워치가드가 공개한 자료에 따르면 첫 번째는 유사한 공공 와이파이가 다수 확인될 경우 접속을 피해야 한다.
두 번째는 공공 와이파이 접속시 이메일 열람이나 인터넷 뱅칭 사용은 가급적 자제하는 것이 좋다. 특히 개인정보를 다수 보유하고 있는 앱을 로딩할 경우라면 주의를 요한다. 세 번째는 공공 와이파이 자동연결 기능 미사용 설정이다. 사실상 우리가 일상적으로 사용하던 방식에 해당한다.
KT 아현지사 화재는 인터넷 없는 세상으로 인도하는 효과를 야기했다. 덕분에 보안업계의 공공 와이파이 보안 위험성은 언제, 어디서든 발생할 수 있는 보안 위협을 다시금 돌아보게 한 계기가 됐다. 소 잃고 외양간 고치는 속담처럼 우리는 일이 터지기 전에는 괜찮겠지!를 주문하는 경향이 짙다. 과거에도 그랬고 직전까지도 통신사 화재 사건 중 가장 최악의 화재로 분류한 이슈가 터지지 않았다면 언제 발생해도 이상하지 않을 이슈를 외면 하며 지냈을 우리.
마찬가지로 일상에서 흔히 사용하는 공공 와이파이 보안 수칙은 얼마나 제대로 준수하고 있는지 일이 터지기 전에 점검하고 문제점이 있다면 더 불거지기 전에 보완해야 할 필요가 있다. 사건은 미연에 방지하면 예방이 되지만 터지면 돌이킬 수 없는 피해가 된다. 하지만 보안사고는 한 가지 옵션이 더 따른다. 바로 천문학적인 금전적 손실이다.
By 김미리 에디터 miri.kim@weeklypost.kr
〈저작권자ⓒ 위클리포스트, 무단전재 및 재배포 금지〉
