예상 못했던 문제는 아니었다. 와이파이가 사무실과 가정, 각종 가게 등 곳곳에 설치되면서부터 무선 인터넷이 가진 보안의 취약성 문제는 여러차례 제기돼 왔다. 특히 스마트폰이 대중적으로 널리 사용되면서 모빌리티(네트워킹에 모바일 개념을 도입한 것)가 전자제품 구입의 핵심이 됐다. 이에 따라 대중들의 와이파이 수요는 크게 늘었고, 그 때문에 와이파이의 보안이 취약하다는 우려가 더욱 커진 것 뿐이다.

최근 울산과학기술대 전기전자컴퓨터공학부 서의성 교수팀은 얼마나 스마트폰이 와이파이로 웹사이트에 접속할 때 보안이 취약한 지에 대해 실험, 각종 개인정보를 빼내는 데 성공했다.

해킹팀은 가짜 무선접속장치(AP)를 만들어 놓고 여기에 접속하는 스마트폰 이용자의 개인정보를 중간에서 가로채거나 사용자가 현재 전송 중인 메시지 등을 간단하게 훔쳐낼 수 있음을 시연했다.

해킹팀은 사용자들이 주고 받는 거의 모든 텍스트를 원하는대로 들춰볼 수 있었으며, 각종 포털사이트나 사회적 관계망 사이트의 내용 등도 제한없이 활용할 수 있었다. 이번 해킹실험은 컴퓨터업계에서 전혀 새로운 이슈를 만들어낸 것은 아니다. 다만 스마트폰 사용자가 급격히 늘어 보안의 취약성에 대한 대중적 공포가 극대화된 상태다 보니 사회적인 관심을 환기시키는데는 효과가 있었을 것으로 풀이된다.

스마트폰, 보안 사각지대

대개 스마트폰 가입자는 자신이 가입한 이동통신사에서 제공하는 AP가 발견되면 거의 자동적으로 인터넷에 접속한다. 당연히 그 AP가 통신사가 제공하는 것인지 해커가 설치한 것인지를 확인할 방법이 없다. 통신사들이 제공하는 AP는 대부분 비슷한 이름으로 무선인터넷 목록에 뜨기 때문이다. 해커는 이러한 점을 이용해 마치 인증과정을 거치는 것처럼 꾸밀 수 있다.

이는 마치 금융회사 사이트와 엇비슷한 도메인으로 비슷한 가짜 사이트를 개설해 여기에 접속하는 사람들의 아이디와 비밀번호를 빼내는 ‘피싱’ 방법과 유사하다. 스마트폰은 ‘스마트하지 못하게도’ 미리 저장된 아이디와 패스워드를 가짜 AP 중계기에 보고한다.

가짜 AP중계기는 이후에도 스마트폰 사용자가 전송하는 명령어 등을 받아 실제 인터넷에 접속하고, 받아온 정보를 다시 스마트폰에 전달해준다. 이 과정에서 사용자의 정보들은 고스란히 가짜 AP중계기에 남게되는 방식이다. 그러나 자신이 스마트하다고 믿는 사용자는 개인정보가 넘어가고 있는 줄도 모르기 마련이다.

이미 노트북을 중심으로 무선인터넷이 널리 활용되면서 이 같은 보안 취약성은 문제로 지적돼 왔다. 10여년 전부터 무선인터넷에 접속할 때는 그 중계기를 통해 다른 사람이 당신의 정보를 볼 수 있다는 메시지를 확인할 수 있도록 했지만, 그런 메시지를 중요하게 판단하는 사람들은 별로 없다. 누군가 마음씨 좋은 후원자가 제공하는 공짜 무선 인터넷이라는 유혹에 빠져 보안 점검보다 당장에 필요한 정보를 구하기 바빴기 때문이다. 보안 불감증이 지속되는 가운데 스마트폰이 제공되면서 훨씬 더 많은 사람들이 보안의 사각지대에 놓이게 된 셈이다.

매년 보안관련 학자들의 국제컨퍼런스에서는 무선인터넷에서 과연 어떤 보안의 취약지점이 있는지 밝히는 것이 일종의 유행처럼 되어가고 있다. 대중적인 학계 이슈이면서 대규모 사업자들이 보안취약지점을 보완하기 위해 해킹에 성공한 학자들에게 거금의 연구비를 지원했기 때문이다.

사회적으로는 스마트폰의 현재 보안 수준은 거의 3만원정도 밖에 안되는 장비로도 대부분의 개인정보를 알아낼 수 있는 정도다. 이런 사실이 대중들에게 알려지면, 이에 따른 보안취약성을 보완하기 위한 움직임이 크게 일어날 것으로 기대된다.

AP, 가짜와 진짜 식별 가능해야

우선 각 통신사업자들이 접속 편의성을 높여 사용자들이 인터넷에 접근하기 쉬운 것처럼 보이게 만들고 있는 개발정책에 제동이 걸릴 것으로 보인다. 단순한 텍스트를 주고 받아 개인인증을 하는 방식에서 벗어나 각 텍스트들을 암호화하고 암호키를 별도로 전송하는 방식을 고안해야 한다. 어차피 인터넷과 연결된 대부분의 AP는 개인정보 텍스트를 주고 받아야 하지만, 이를 인증하는 방식을 좀 더 꼬아놔 중간에 텍스트를 가로채려는 시도가 있어도, 그 텍스트가 무엇을 의미하는지 모르게 만든다는 것이다.

AP가 공인된 것인지 가짜인지를 식별할 수 있는 스마트폰의 기능도 추가돼야 할 것으로 보인다. 접속가능 목록에 떠있는 이름만으로는 해당 AP가 통신사업자의 것인지 악의적으로 만든 것인지를 구별할 수 없기 때문이다. 혹은 ‘와이브로’처럼 개인이 설치하기 힘든 설비로 공급하는 인터넷 서비스를 확대할 필요도 있다.

물론 현재 PC에서도 완벽한 보안을 이뤄낼 수 없고 유선 인터넷의 경우도 보안관련 책 몇권을 읽은 사람이 ‘마음만 먹으면’ 위험에 빠뜨릴 수 있는 수준이다. 하물며 단순한 스마트폰이 대중적으로 널려있는 와이파이를 활용한다면 사실상 개인정보를 세상에다 뿌리고 다니는 것과 다를 바 없다. 보안과 관련해 완벽한 대비책은 없다.

다만 해당 사회 기술자들의 수준이 점차 발달하면서 이들의 아이디어를 모을 수 있도록 창의적인 보안 프로그래머들의 저변을 확대하는 수밖에 없다. 최소한 중요한 보안이 필요한 업무라면 카페에서 우아하게 스마트폰으로 처리하지 않는 것이 상책이다.