가정과 사무실에서 사용하는 라우터 6대 중 5대가 알려진 보안 취약성조차 제대로 업데이트 되지 않은 것으로 나타났다. 또한 구글 플레이스토어에 등록된 인기 애플리케이션 중 32%에 평균 19개의 취약성이 있으며, 발견된 1978건의 취약점 중 43%에 고위험 또는 치명적인 것으로 드러났다.
이 같은 결과는 미국 소비자협회(ACI)가 발표한 ‘IoT 디바이스의 보안: 당신의 와이파이 라우터는 얼마나 안전한가?’, ‘인기 있는 앱은 얼마나 안전한가? 치명적인 취약성에 소비자가 관심을 기울여야 할 이유에 대한 연구 보고서’에서 나타났다.
보고서가 분석한 라우터의 83%가 잠재적인 사이버 공격에 취약한 것으로 나타났으며, 평균 186개의 라우터 샘플에서 3만2003개의 취약점이 발견됐으며, 라우터들은 평균적으로 172개의 취약점을 갖고 있는 것으로 드러났다. 발견된 취약성 중 28%가 ‘고위험’ 혹은 ‘치명적’인 것으로 분류돼 평균 12개의 치명적인 취약점과 36개의 고위험 취약점이 각 라우터에 발생한 것으로 나타났다.
안드로이드 앱의 경우, 구글 플레이스토어 내 33개의 개별 카테고리에서 10위권 이내에 랭크 된 인기 있는 애플리케이션으로, 보안 패치가 적용되지 않은 오픈소스 코드가 광범위하게 사용될 때, 해당 애플리케이션은 심각한 보안 취약점을 갖게 된다.
보고서에서는 “인스타그램, 스냅챗, 맥도날드 등 가장 보편적으로 사용하고 있는 은행, 티켓, 스포츠 및 여행 애플리케이션이 알려진 취약성에 대한 보안 패치가 없는 경우 기업과 소비자에게 심각한 피해를 끼칠 수 있다”고 경고했다.
SW 90% 오픈소스 코드 포함…취약점 점검해야
ACI의 보고서는 인사이너리(대표 강태진)의 핑거프린트 기반 바이너리 코드스캔 소프트웨어 ‘클래리티(Clarity)’를 사용해 점검한 결과를 분석한 것이다. ‘클래리티’는 임베디드 펌웨어 또는 모든 바이너리에 대해 공개된 보안 취약점을 능동적으로 검사하고 라이선스 문제를 검증하는 솔루션으로, 소스코드나 리버스 엔지니어링 없이 바이너리 코드에 사용된 오픈소스 컴포넌트를 검출할 수 있다.
현재 유통되고 있는 소프트웨어의 90% 이상은 어떤 형태든 오프소스 기반의 코드를 포함하고 있다. 비용절감, 생산성 향상 등의 큰 장점 때문에 널리 사용되고 있지만, 반면에 오픈소스 사용에는 잠재적 리스크를 갖고 있다.
대부분의 경우 오픈소스가 포함된 펌웨어, 프로그램 등은 바이너리 파일의 형태로 고객에게 배포되거나 기업간 공유가 이루어지는데 기존의 오픈소스 스캔 솔루션으로는 바이너리가 어떤 오픈소스를 사용해서 만들어졌는지 파악이 어렵다.
따라서 바이너리 파일 검증을 통해 사용된 오픈소스를 확인하여 사전에 보안 취약점을 파악하고 라이선스를 관리해야 하지만, 사전에 오픈소스 보안 취약점을 확인하는 것이 거의 불가능했다.
인사이너리가 지난해 7월 국내에서 판매되는 주요 IP 공유기 펌웨어의 바이너리를 체크해 펌웨어 제작시 사용된 오픈소스를 분석한 결과, 보안 취약점이 다수 포함돼 있다는 것을 밝힌 바 있다. 국내 시장 점유율 상위 4개 회사 제품 총 10가지 모델을 대상으로 진행한 결과, 대부분의 모델에서 위험도가 ‘높음’인 보안 취약점이 10개 이상 발견됐다.
강태진 인사이너리 대표는 “ACI의 이번 연구를 통해 아쉽게도 오픈소스를 활용한 많은 소프트웨어가 알려진 오픈소스 취약성으로부터 안전하지 못하다는 점이며, 제대로 관리가 이루어지지 않고 있다는 점을 알 수 있었다”며 “이렇게 발생하는 취약점으로 인해 기업, 소비자 및 정부는 해커의 공격에 노출되고 주요 데이터 및 소비자 정보가 유출되는 결과를 맞이하게 될 것이다. 따라서 바이너리 코드스캔과 같이 다양한 방법을 활용해 안전한 오픈소스를 쓰고 있는지 사전에 탐지 및 방지할 필요가 있다”고 강조했다.
