[왓츠뉴]보안허점 제보하면 상금 11억..아이폰 잠금 못 푸는 이유 있었네

檢, 靑 민정비서관실 특별감찰반원 아이폰 확보 한 달..보안해제 난항
비밀번호 경우의 수 560억 개..영구 잠금‧데이터 삭제 우려에 마냥 해제시도도 못해
NSA, 구글‧애플 등 협조로 전 세계인 개인정보 수집 논란이후 애플, 수사기관 협조요구 불응
애플 "중대 보안 허점 제보 시 상금 최고 11억6천만 원" vs 국정원, 보안해제 기술개발 연구용역비 3천만 원
전문가 "고급 포렌식 기술개발에 예산‧인력 투자해야"

■ 방송 : CBS라디오 <김덕기의 아침뉴스>
■ 채널 : 표준 FM 98.1 (07:00~07:30)
■ 진행 : 김덕기 앵커
■ 코너 : 김수영 기자의 <왓츠뉴(What's New)>

◇ 김덕기 > 새로운 IT 트랜트를 읽는 '김수영의 왓츠뉴' 시간입니다. 산업부 김수영 기자 스튜디오에 나와 있습니다. 김 기자, 오늘은 어떤 주제를 갖고 오셨나요?

◆ 김수영 > 지난해 검찰이 청와대 민정비서실에서 특별감찰반원으로 일했다가 숨진 검찰수사관의 휴대전화를 확보했었는데요. 한 달 가까이 잠금 해제에 난항을 겪고 있다고 알려지고 있습니다.

이렇게 휴대폰 등 디지털기기에 남아있는 정보를 분석해 범죄 단서를 찾는 수사기법을 '디지털포렌식'이라고 하는데, 오늘은 디지털포렌식에 대한 이야기 준비했습니다.

◇ 김덕기 > 숨진 수사관이 사용하던 휴대전화가 아이폰인거죠?

◆ 김수영 > 네. 숨진 수사관이 사용하던 휴대전화는 애플사가 2017년 출시한 '아이폰X(10)'인데요. 6자리 비밀번호나 얼굴인식(페이스ID)으로만 잠금을 풀 수 있는데, 비밀번호 경우의 수가 무려 560억 개라고 합니다.

검찰이 아이폰을 대검찰청 국가디지털포렌식센터(NDFC)에 맡겨 암호를 풀고 있는데 아직 암호를 풀지 못해서 포렌식 작업에도 들어가지 못한 것으로 알려졌습니다.

시간이 걸리더라도 하나씩이라도 풀어갈 수 있다면 좋겠지만, 계속 틀린 비밀번호를 입력하면 수 분 동안 잠금 해제 시도를 하지 못하고 10회 이상 들리면 영구 잠금 되는데다 내부 데이터도 삭제될 수 있다고 하네요. 그래서 검찰은 아이폰의 메모리 등을 복사한 파일을 만들어 비밀번호 해제를 시도하고 있는 것으로 전해졌습니다.

◇ 김덕기 > 휴대전화 제조사인 애플의 협조를 받을 순 없나요?

◆ 김수영 > 결론부터 말씀드리면 어렵습니다. 2013년 미국 국가안전국(NSA) 직원이었던 에드워드 스노든의 폭로가 계기인데요, NSA가 전 세계인의 개인정보를 광범위하게 수집해 왔고, 이 과정에서 구글과 페이스북, 애플 등 대형 IT기업이 협력했다는 내용입니다. 이후 고객 신뢰 회복을 위해 글로벌 IT기업들이 수사기관을 비롯한 정부의 개인정보 접근 요구에 협조하지 않고 있습니다.

2015년 미국의 연방수사국(FBI)이 총기 난사 사건 용의자의 아이폰 잠금 해제를 하지 못해 애플에 협조를 요청한 적이 있는데 애플은 거부했고요. FBI는 아이폰 보안 해제 기술을 갖고 있는 IT기업인 '셀레브라이트(Cellebrite)' 10억을 주고 잠금을 풀었던 것으로 전해집니다.

아이폰 보안해제 기술을 보유하고 있는 IT기업 셀레브라이트(Cellebrite)(사진=홈페이지 캡쳐)

◇ 김덕기 > 우리도 셀레브라이트 같은 업체의 도움을 받을 수 있지 않나요?

◆ 김수영 > 현재 시점에서는 이마저도 어렵습니다. 셀레브라이트는 iOS 12.3 이하, 그레이시프트는 iOS 11 이하로 구동되는 애플 디바이스를 해킹할 수 있다고 하는데요. 숨진 수사관의 휴대폰은 2017년에 출시됐지만 운영체제를 최신 버전(iOS 13)으로 업데이트했다고 알려져 이런 IT기업들의 도움을 받기에도 한계가 있습니다.

◇ 김덕기 > 기술적으로는 어렵다는 것이군요.

◆ 김수영 > 그래서 보안업계에서는 검찰이 다른 방법으로 암호 해제의 단서를 얻을 것으로 보고 있는데요. 엘리베이터 CCTV 등에 해당 수사관이 아이폰을 만지는 모습 등에서 손의 움직임을 파악해 암호해제 가능성을 높인다는 거죠.

문제는 이런 수사기법이 알려지면서 휴대전화 최신 기종 등의 경우 이용자가 설정하면 암호패드에서 숫자 위치 등을 랜덤하게 바꿀 수 있게 됐다고 하네요. 금융거래를 할 때 비밀번호를 입력하는 키보드에 숫자가 매번 다른 위치에 설정되는 것처럼 말입니다. 숨진 수사관이 암호패드 배열을 랜덤하게 설정해 놓았다면 CCTV를 분석해 암호해제 힌트를 얻기도 쉽지 않은 거죠.

물론 검찰은 해당 수사관이 아이폰을 PC나 클라우드 등에 백업을 해 놓았는지 등 다른 우회로도 확인할 것으로 보입니다.

◇ 김덕기 > 보안을 뚫으려는 수사기관과 이를 높은 보안으로 막으려는 휴대전화 제조사의 노력이 마치 창과 방패 같은데요. 아이폰에 대한 디지털포렌식 난항은 자주 뉴스가 되는 것 같은데 아이폰의 보안이 안드로이드폰의 보안보다 특히 더 우수한가요?

◆ 김수영 > 전문가들은 "초기에는 그랬을지 모르지만 현재는 우열을 가리기 어렵다"고 입을 모으고 있습니다. 삼성전자를 보면 갤럭시S8을 시작으로 안드로이드폰의 보안 수준이 크게 높아졌다고 합니다.

다만 iSO의 보안이 점차 무력화되는 것처럼 갤럭시도 S9시리즈의 암호해제 기술은 이미 확보된 것으로 알려졌습니다.

(사진=애플 홈페이지 캡쳐)

◇ 김덕기 > 디지털포렌식이 휴대전화 보안기술을 따라가지 못하는 이유는 뭔가요?

◆ 김수영 > 휴대전화 제조사는 작은 보안 허점이라도 발견되면 수시로 보안 업데이트를 하는데 수사기관은 보안해제에만 집중할 수 없으니 차이가 생기는 거죠.

수사기관도 나름대로 노력은 하고 있는데 투입되는 자원의 열세가 꽤 큽니다. 올해 초 국립과학수사연구원이 최신 안드로이드폰 보안해제 기술 등을 확보하기 위해 연구용역을 발주했는데요. 예산이 3천만 원이었습니다.

반면 애플사는 애플 디바이스의 치명적인 보안 취약점을 신고할 경우 1개당 100만 달러, 우리 돈으로 11억5천만원이 넘는 포상금을 주고 있어요. 아까 FBI가 아이폰의 보안을 해제하기 위해 10억 원을 썼다고 말씀드렸는데 이 마저도 큰 액수가 아닌 겁니다.

(사진=애플 홈페이지 캡쳐)

◇ 김덕기 > 수사기관들도 보안기술 확보를 위한 투자를 더 해야 하는 것이군요.

◆ 김수영 > 맞습니다. 고려대 정보보호대학원 김승주 교수의 말 들어보시죠.

"우리나라 같은 경우는 포렌식 기술이 악용될 수 있다는 우려 때문에 기술개발 자체에 대해서 조금 우려 섞인 시선으로 바라보는 경향이 좀 있습니다. 그런데 기술의 개발과 그것을 잘 활용하는 것은 별개의 문제이기 때문에 우리나라도 외국과 같이 고급 포렌식 기술에 좀 더 예산과 인력을 투입할 필요가 있습니다"

국내에서는 보안해제 기술이 수사기관의 사찰위험 등을 이유로 지양되고 있다는 것이 전문가들의 지적인데 이런 분위기도 개선돼야 할 것으로 보입니다.

◇ 김덕기 > 오늘은 여기까지 듣겠습니다.

▶ 기자와 카톡 채팅하기
▶ 노컷뉴스 영상 구독하기

[CBS노컷뉴스 김수영 기자] sykim@cbs.co.kr