[단독] 삼성전자 갤럭시 보안 허점, 이스라엘 연구자들이 막았다 [아이티라떼]

"우리는 1억대의 삼성전자 갤럭시폰에 내재된 심각한 보안 위험을 차단했다."

10일 미국 보스턴에서 세계적 보안 학술 행사인 '유즈닉스(USENIX) 보안 심포지엄'이 열립니다. 여기에서 삼성전자와 관련한 깜짝 놀랄 만한 연구 결과가 보고됩니다. 바로 삼성전자 갤럭시 S시리즈 관련 보안 결함 대응 성과입니다. 작년 초 이스라엘 텔아비브대 아비샤이 울 교수(전기공학) 연구팀은 갤럭시 S시리즈 하드웨어에 어떤 보안 취약점이 있는지를 조사했습니다.

S시리즈에 탑재된 프로세서는 영국의 세계적 반도체 설계회사인 ARM이 디자인한 '트러스트 존'을 기반으로 하고 있습니다. 이 설계의 특징은 보안성을 높이기 위해 프로세서 내 실행 환경을 일반 영역과 각종 인증 암호·지문 정보 등 민감한 정보를 다루는 보안 영역으로 나눴다는 점입니다. 무결점 보안을 자랑한다고 간주됐던 '트러스트 존' 설계에 대해 이스라엘 연구팀은 "세상에 완벽한 보안은 없다"는 전제하에 보안 영역 침투를 시도한 것이지요.

연구자들은 '초기화 백터(IV) 재사용' 공격, '다운그레이드' 공격 등을 통해 삼성전자 프로세서 내 보안 영역에서 암호화 키를 추출하고, 삼성전자 디바이스를 통해 서버까지 해킹할 수 있음을 시현했습니다. 연구진은 그 결과를 즉각 삼성전자에 공유했고, 양측은 협업을 통해 작년 10월 보안 업데이트를 실시했습니다. 갤럭시 S8·9·10·20·21 시리즈 제품이 업데이트 대상이었습니다.

연구진은 10일 미국 보스턴 학술 행사에서 당시 구체적인 연구 성과를 전 세계 학계와 공유할 예정입니다. 매일경제가 유즈닉스 심포지엄 사이트를 확인한 결과 이날 이스라엘 연구팀의 발표 제목이 의미심장합니다. '신뢰는 (정보가 공유되지 않는) 어둠 속에서 죽게 된다.'

풀어 해석하면 스스로 완벽한 보안성을 확신하며 소스코드 공개를 주저하는 '비밀주의'보다 학계와 소스코드를 공유하고 더욱 완벽한 보안 설계를 추구하는 '개방형 노력'이 기업들에 필요하다는 뜻입니다. 이날 텔아비브대 연구진의 발표가 삼성전자에 묵직한 울림이 될 것 같습니다.

[이재철 기자]

[ⓒ 매일경제 & mk.co.kr, 무단전재 및 재배포 금지]