금융권모바일보안기능현황과전망 조현호 * Ⅰ. 서론 5 Ⅱ. 금융권모바일기반서비스현황 6 1. 금융업권별서비스에따른분류 6 2. 기기형태에따른분류 9 3. 운영체제에따른분류 11 4. 구현형태에따른분류 14 Ⅲ. 금융권모바일보안위협 16 1. 악성코드 16 2. 플랫폼해킹 17 3. 앱위변조 18 4. 역공학 19 5. 입력값탈취 20 6. 메모리해킹 21 Ⅳ. 모바일보안기능발전현황 22 1. 위협예방 22 2. 앱보호 25 3. 인증보안 27 4. 데이터보호 29 Ⅴ. 향후전망 30 Ⅵ. 결론 31 < 참고문헌 > 32 * 금융보안원보안연구부보안기술팀 (e-mail : hhcho@fsec.or.kr) 전자금융과금융보안 2016. 4. 3
요약 스마트폰이용의급격한증가로인해, 최근몇년간모바일애플리케이션시장이빠르게 성장하였다. 많은금융회사들이 PC 기반으로제공하던기존서비스들을앞다투어 모바일에서도이용할수있도록출시하여현재는대부분의서비스를모바일로이용하고 있다. 모바일보안위협은악성코드, 플랫폼해킹, 앱위변조, 역공학등다양한형태로 존재하며기존 PC 기반의보안위협이모바일에서동일하게발생하고있다. 특히모바일 기기는전원이항상켜져있고민감한정보가많이저장되어있기때문에보안위협은 지속적으로증가하고있다. 모바일보안기능은위협예방을위한백신, 플랫폼해킹탐지, 앱보호를위한역공학 방지, 앱위변조방지등이용자의안전한모바일기반서비스이용을위해나날이발전 하고있다. 하지만향후운영체제및서비스다양화로보안위협이계속증가할것이며, 이에대응하기위해보안기능이담당하는역할도더욱커질것이다. 다양한모바일기반서비스가출시되고보안위협이증가하고있으며, 그로인해사고 발생의위협도높아지고있다. 보안사고가발생하면고객의금전적인피해및금융회사의 이미지실추등관련된모두에게부정적인영향이발생하기때문에보안사고가발생하지 않도록금융회사및이용자의다양한활동을통해보안수준이높아져야할것이다. 4
금융권모바일보안기능현황과전망 Ⅰ. 서론 스마트폰이용의급격한증가로인해, 최근몇년간모바일애플리케이션시장이빠르게성장하였다. 미래창조과학부의무선통신가입자현황에따르면 2016년 1월기준이동전화가입자는 5,900만명에달하고있어, 국민한명당 1개또는 2개이상의모바일기기를소유하고있는것으로나타났다. 이러한폭발적인이용자증가로, 많은금융회사들이 PC 기반으로제공하던기존서비스들을앞다투어모바일에서도이용할수있도록출시하여이용자확보를위해노력한결과, 현재는기존 PC 기반서비스대부분을모바일로도이용할수있게되었으며, 최근에는모바일전용서비스도출시되고있다. 모바일기기는 24시간전원이켜져있고연락처, 문자, 메신저대화, 사진등개인적인정보가다양하기때문에악성코드감염으로인한피해가상당한수준이다. 특히비밀번호나보안카드를촬영하여저장하는사용자부주의로인한금융정보의유출은다른개인정보에비해서직접적인금전손실이즉시발생할수있기때문에각별한주의가필요하다. 이처럼이용자증가와함께보안위협또한증가함에따라위협에대응하기위해다양한보안기능이출시되었다. 악성코드위협에대응하기위한모바일백신이나임의로기존앱을변조하여금융정보를탈취하는위협에대응하기위한앱위변조방지기능등다양한보안기능들이이용자의안전한모바일금융서비스이용을위해적용되고있다. 이에본고에서는 ios 및안드로이드를중심으로금융권모바일기반서비스현황과보안위협, 이에대응하기위한다양한보안기능에대해설명한다. 그리고모바일보안기능의향후전망에대해알아보고자한다. 전자금융과금융보안 2016. 4. 5
Ⅱ. 금융권모바일기반서비스현황 1. 금융업권별서비스에따른분류 가. 은행 은행권역의대표적인모바일기반서비스는모바일뱅킹을꼽을수있다. 2009년 12월아이폰용모바일뱅킹이가장먼저출시되었으며, 안드로이드용모바일뱅킹이뒤이어출시되었다. 많은은행들이자사의모바일뱅킹서비스를출시하여, 모바일뱅킹이용자가급격히증가하는계기가되었다. 한국은행의 2015년 3분기국내인터넷뱅킹서비스이용현황 에따르면, 모바일뱅킹이용자가 6,000만명을돌파하는등모바일기반서비스중에서가장많은이용자규모를이루고있다. [ 그림 1] 스마트폰기반모바일뱅킹등록고객수추이 70,000 60,000 50,000 40,000 30,000 20,000 10,000 0 2013 1Q 2013 2Q 2013 3Q 2013 4Q 2014 1Q 2014 2Q 2014 3Q 2014 4Q 2015 1Q 2015 2Q 2015 3Q 자료 : 한국은행 모바일뱅킹이용자는지속적으로증가하고있으며, 서비스형태또한조회. 이체등단순 거래위주의서비스를넘어재무설계, 상품추천등고객맞춤형서비스로성장하고있다. 6
금융권모바일보안기능현황과전망 나. 증권 증권권역의대표적인모바일기반서비스는모바일트레이딩시스템 (Mobile Trading System, 이하 MTS) 이다. HTS(Home Trading System) 는회사나집의컴퓨터에설치하여이용하기때문에장소적제약이존재하는반면, MTS는이러한제약없이서비스를이용할수있기때문에시급성이가장중요한주식거래에서 MTS 이용자는지속적으로증가하고있다. 실제 MTS에의한주식거래비중은스마트폰보급초창기인 2010년 3% 대에서 2014년 20% 대로급증했다. 최초의 MTS 출시로는 2010년 1월아이폰용 MTS 어플리케이션이었으며, 현재는증권업계의필수적인서비스로자리잡았다. [ 그림 2] HTS, MTS 이용자증감추이 100% MTS HTS 80% 60% 40% 20% 0% 2010 년 2011 년 2012 년 2013 년 2014 년 자료 : 한국거래소 다. 카드 카드권역은자신의카드이용내역을조회할수있는고객센터, 간편결제를위한모바일신용카드 ( 앱카드 ), 다양한카드를관리할수있는모바일월렛등을출시하여서비스하고있다. 특히간편결제는공인인증서또는카드정보입력등기존에불편했던결제방법을개선하여결제비밀번호, 보안패턴, 그래픽인증등다양한방법으로간단하게인증을수행하여 전자금융과금융보안 2016. 4. 7
결제를할수있는서비스이다. 최근몇년사이전자상거래시불편했던결제시스템을 대체하기위해카드사를포함하여통신사, PG(Payment Gate) 사등이경쟁적으로출시하고 있으며많은서비스들이모바일기기를기반으로하고있다. [ 그림 3] 앱카드서비스 라. 보험 8 보험권역도모바일기기를이용하여보험에가입하거나상품조회, 보험청구등대부분의 PC 기반서비스들을모바일로구현하여서비스하고있다. 초기에는자신의계약정보를조회하는수준에불과하였지만, 현재는모바일에서보험상품을조회하고가입하는등업무범위가다양해지고있다. 또한, 모바일영업지원시스템을구축하여보험계약을전자문서로처리하는등모바일기기를활용하여업무프로세스를단축하고비용을절감하는효과를거두고있다.
금융권모바일보안기능현황과전망 2. 기기형태에따른분류 가. 스마트폰 최근몇년간모바일기반전자금융서비스가생기고발전하게된계기는스마트폰이용자의폭발적인증가라고해도과언이아니다. 그래서모바일기반전자금융서비스는대부분스마트폰을중심으로먼저제공되고있다. 스마트폰을이용하여자금이체, 주식거래등금융서비스를언제어디서나이용할수있게되었고, 최근에는스마트폰에내장된지문인증센서를이용하여본인인증을하거나스마트 OTP와같이기존보안매체가스마트폰으로도대체되고있다. [ 그림 4] 스마트폰기반전자금융서비스 나. 태블릿 PC 태블릿 PC 는대형화면을가진다는점에서스마트폰과다르지만탑재되는운영체제나내부 구조는기본적으로동일하다. 그러나기존스마트폰기반으로구현된모바일뱅킹, 모바일 전자금융과금융보안 2016. 4. 9
트레이딩시스템의가독성과시인성을위해태블릿전용으로많이개발하고있다. 특히, 금융권에서는태블릿 PC를 ODS(Out Door Sales) 를위해현재활용하고있으며태블릿 PC가시스템의기반이되고있다. 또한, 계좌를개설하거나대출, 펀드와같은금융서비스가입을위해고객이영업점에방문하지않더라도영업직원이직접방문하여업무를처리할수있다. 전자문서시스템구축을통해보험계약시금융회사직원이태블릿PC를이용하여계약서작성및고객의서명을전자적으로처리함으로써업무효율성을높이고있다. [ 그림 5] 태블릿 PC 기반전자금융서비스 다. 스마트워치 최근스마트워치이용자의증가로일부은행, 증권에서도스마트워치기반의전자금융서비스를제공하고있다. 다만잔액, 거래내역조회기능만제공하거나이체시최대송금금액을제한하여제공하는등스마트폰, 태블릿기반서비스와는차이점이있다. 은행에서출시한 NH워치뱅킹, 우리워치뱅킹은스마트워치에서공인인증서나보안카드없이핀번호만으로송금하거나워치뱅킹을이용해 ATM 출금서비스를이용하는등웨어러블기기의특징을활용한서비스를제공하고있다. 일부증권사에서도종목, 시세조회, 입출금알람등을스마트워치를통해이용할수있는서비스를제공하고있다. 10
금융권모바일보안기능현황과전망 [ 그림 6] 스마트워치기반전자금융서비스 3. 운영체제에따른분류 가. 안드로이드 구글의안드로이드는리눅스 (Linux) 커널을기반으로만들어져있으며소스코드가공개되어있는개방형운영체제이다. 금융앱을안드로이드용으로개발하는경우구글플레이스토어또는통신사가제공하는앱스토어에등록하여배포한다. 그러나일부금융회사는앱스토어에등록하지않고자체홈페이지를통해직접배포하는경우도있다. 안드로이드운영체제의업데이트가매년발생하기때문에기술의변화가빠르다는것이이용자입장에서는장점으로볼수있지만금융회사는제공중인서비스를운영체제의변화에맞춰야하기때문에부담도적지않다. 전자금융과금융보안 2016. 4. 11
[ 표 1] 안드로이드운영체제버전별특징 로고발표일코드네임버전특징 2009.4.30 Cupcake 1.5 가상키보드, 라이브폴더, 음성인식지원, 풀스크린위젯, 홈스크린기능이추가 2009.9.15 Donut 1.6 WVGA 등다양한스크린사이즈가지원 Text-To-Speech 엔진기능추가 통합검색기능이추가 2009.10.26 Eclair 2.0~2.1 여러개의구글계정을동시에등록하여사용 블루투스 2.1, 멀티터치지원 HTML5 를지원하며카메라지원기능과멀티미디어재생기능이향상 2010.5.20 Froyo 2.2 앱속도개선, 메모리관리개선 2010.12.6 Gingerbread 2.3 NFC 지원, 배터리성능강화 오디오믹싱지원, 복합카메라지원등 2011.2.24 Honey Comb 3.0~3.2 태블릿전용버전 2011.10.19 Icecream sandwich 4.0 안면해제잠금해제기능탑재 Adobe Flash Player 제한 2012.6.28 JellyBean 4.1~4.3 프로젝트버터적용 ( 화면움직임개선 ) HTML5 와자바스크립트성능이향상 2013.10.31 KitKat 4.4 ART(Android RunTime) 기능추가 클라우드프린팅지원 12
금융권모바일보안기능현황과전망 2014.10.16 Lollipop 5.0~5.1 달빅캐시 (Dalvik cache) 를 ART(Android RunTime) 으로완전히변경 64 비트 CPU 지원 삼성녹스 (Knox) 적용 2015.10.6 Marshmallow 6.0 앱권한설정가능 안드로이드페이기능추가 메모리관리기능향상 자료 : 위키피디아 나. ios 애플의 ios는다윈 (Darwin) 커널기반으로만들어져있다. ios는소스코드가공개되어있지않는폐쇄형구조를가지고있고, 현재는 ios 9 까지공개되어있다. ios 앱의경우애플에서제공하는앱스토어를통해서만배포가가능하다. 특히앱스토어심사가까다롭기때문에앱업데이트가안드로이드에비해오래걸린다는단점이있다. 다만기업내부에서사용하는용도로앱을개발하는경우별도의기업용인증서를이용하여 URL 등을통해직접배포가가능하다. 까다로운앱심사를통해애플앱스토어에서배포되는앱은안드로이드에비해악성코드와같은위협에비교적안전한것으로알려져있다. [ 표 2] ios 운영체제버전별특징 버전발표일특징 ios 3 2009 년 6 월 17 일 앱권한설정가능 안드로이드페이기능추가 ios 4 2010 년 6 월 1 일 멀티태스킹및패스트앱스위칭 ios 5 ios 6 ios 7 ios 8 ios 9 2011 년 10 월 12 일 2012 년 9 월 20 일 2013 년 6 월 12 일 2014 년 9 월 17 일 2015 년 6 월 9 일 icloud, imessage 기능추가 카메라앱개선 Siri 한국어지원 페이스북기본탑재 전체적인 UI 변경 멀티태스킹강화 애플페이기능추가 앱스토어구매시추가승인기능추가 Siri 기능개선 보안기능향상 전자금융과금융보안 2016. 4. 13
4. 구현형태에따른분류 가. 네이티브앱 네이티브앱이란특정플랫폼에맞게작성된앱을말하며안드로이드의경우 Java, ios의경우 Objective-C 언어로개발된앱이이에해당한다. 네이티브앱으로개발되면실행속도가빠르고안정적이며 NFC, Bluetooth, GPS 등하드웨어제어가용이하여단말기에있는모든기능을활용할수있다는장점이있다. 그러나네이티브앱을업데이트해야하는경우앱을다시다운로드받아서설치해야한다는불편함이있다. 나. 웹앱 웹앱이란크롬, 사파리등모바일웹브라우저상에서동작하도록구현된형태를말한다. 웹브라우저에서동작하기때문에 HTML, 자바스크립트, CSS 등을이용하여구현되며, 개발속도가빠르고업데이트시서버측에서만반영하면되기때문에업데이트가용이하다는장점이있다. 그러나웹앱으로구현되는경우카메라, 블루투스등단말기하드웨어에대한제어가불가능하다는단점이있다. 다. 하이브리드앱 하이브리드앱이란네이티브앱과, 웹앱구현방식을결합한형태로말한다. 하이브리드앱형태의경우, 금융서비스구현시단순정보제공 ( 공지사항, 도움말등 ) 기능은웹으로구현하고중요기능 ( 조회, 이체등 ) 은네이티브앱형태로구현하여개발기간과비용을단축시킬수있다. 14
금융권모바일보안기능현황과전망 [ 표 3] 구현형태별장단점및특징 구분네이티브앱웹앱하이브리드앱 장점 구동속도가빠름 가장동적으로표현가능 인터넷연결없이도사용가능 개발기간이짧음 업데이트가용이함 운영체제와무관하게브라우저로접근 구동속도는중간 필수적인요소만으로개발가능 동적인데이터는실시간통신 단점 개발기간, 비용이상대적으로높음 앱스토어를통해배포해야함 각기다른운영체제로개발해야함 인터넷접속으로구동이느림 단말기의특정기능사용불가 (GPS, 카메라, 센터등 ) 자체사이트만지원하므로타사이트브라우징불가능 네비게이션설계잘못시, 사용자불편함증가 특징 빠른구동속도및스마트폰에최적화된앱개발가능 웹브라우징을통한높은접근성 별도의설치과정없이사용 네이티브앱과웹앱의장점을수용 전자금융과금융보안 2016. 4. 15
Ⅲ. 금융권모바일보안위협 1. 악성코드 악성코드는모바일뿐만아니라 PC, 서버등프로그램이설치될수있는기기라면어디든지감염될수있다. 하지만모바일기기는언제나항상켜져있는상태로네트워크에연결되어있는특성때문에, 악성코드에의해 24시간개인의사생활이노출되거나, 좀비스마트폰이되어 DDoS 공격에이용되는등 PC 기반악성코드보다그피해가더치명적일수있다. 모바일기반악성코드가급격하게증가하는주된이유는모바일플랫폼이개방된운영체제에서누구나쉽게앱을제작하여배포할수있고, 외부에서접속할수있는방식이다양화되었기때문이다. 안랩 (Ahnlab) 에따르면모바일기기가악성코드에감염되는주요경로는 1 유용한 S/W로위장해온라인마켓통해악성코드유포 2 이동저장장치이용 ( 메모리카드또는 PC와스마트폰의직접연결을통한상호감염 ) 3 테더링 (Tethering) 사용자증가에따른감염 ( 블루투스등을통한통신기능을이용한악성코드유포 ) 4 웹브라우저취약점이용 ( 브라우저의취약점을공격해악성코드감염시도 ) 5 Wi-Fi 등네트워크의취약점을통해특수하게조작된패킷전송이있다. [ 그림 7] 2015 모바일뱅킹악성코드증가추이 30000 25000 20000 15000 10000 5000 0 1 월 2 월 3 월 4 월 5 월 6 월 7 월 8 월 9 월 10 월 11 월 12 월 자료 : 카스퍼스키랩 16
금융권모바일보안기능현황과전망 특히대부분의악성코드는안드로이드기반에서동작하는데, 이는 URL을이용한앱설치, 블랙마켓의활성화등악성코드의감염경로가 ios 보다다양하고, 이용자수도많기때문에현재까지모바일악성코드중에서안드로이드기반악성코드가가장많은수를차지하고있다. 그러나최근 ios 기반악성코드도기업용인증서나앱스토어의취약점등을이용하여배포하는사례가발견되고있어안심할수없는추세이다. 2. 플랫폼해킹 플랫폼해킹이란제조사에서배포하는단말기운영체제의최고관리자권한을획득하는것을말한다. 안드로이드계열단말기에대한플랫폼해킹은최고관리자인루트 (root) 계정을획득한다는의미에서루팅 (rooting), ios 계열단말기에대한플랫폼해킹은애플의샌드박스를탈출한다는의미로탈옥 (jailbreak) 이라는명칭으로부른다. 제조사는사용자가운영체제최고관리자권한을얻는것을보안적인이유로제한하고있지만, 플랫폼해킹을통해이용자가단말기의최고관리자권한을얻게되면, 일반적인유저권한으로접근할수없었던시스템파일에접근하거나불필요한기본앱제거, 주요설정변경등여러가지행위가가능하기때문에일부사용자들사이에서플랫폼해킹을시도하고있다. 플랫폼해킹을시도하는주체는목적에따라크게두가지로나누어진다. 첫번째는앞서설명했던운영체제에서제한하는기능을사용자가직접플랫폼해킹을시도하는것이고, 두번째는악성앱이운영체제를감염시킨후추가적인권한상승을위해악성앱에권한상승코드를심어놓는경우이다. 권한상승을하는이유는설치된앱목록에서악성앱을안보이도록하거나다른프로그램영역에접근하는등의행위가가능하기때문이며, 사용자의의도와는상관없이단말기의운영체제가해킹되는사례라고볼수있다. 전자금융과금융보안 2016. 4. 17
[ 그림 8] ios 탈옥전 ( 좌 ), 후 ( 우 ) 비교 애플은하드웨어와소프트웨어를모두만들기때문에 ios 버전별로사용되는탈옥도구가명확하다. 그러나안드로이드는하드웨어와소프트웨어제조사가다르기때문에출시되는단말기와탑재되는안드로이드버전이상이하고제조사마다운영체제를커스터마이징하기때문에버전별로분류하기보다는루팅을하는방식에특징이있다. 플랫폼해킹을위해개인또는특정보안단체에서제작한도구를이용하고있지만제작자가악의적인목적을가지고플랫폼해킹도구에악성코드를삽입하여배포하는경우이용자에게피해가발생할수있다. 실제로특정루팅도구를이용하여플랫폼해킹시설치되는앱에서기기정보를수집하는사례가발견되어, 신뢰할수없는단체에서제작한도구를무분별하게사용하는것은각별한주의가필요하다. 3. 앱위변조 18 앱위변조공격은대부분안드로이드계열단말기를대상으로발생하며그이유는안드로이드앱의경우악성코드를추가하여재컴파일 (recompile) 을하는것이기술적으로쉽기때문이다. 앱위변조를통해기존금융앱을변조해서악성기능을추가하거나아이콘및메뉴가유사한가짜금융앱을제작하여배포하고이를설치한사용자의비밀번호등의정보를탈취할수있다. 또한악의적인사용자들이보안인증과정을우회하거나임의의기능을호출하여비정상적인프로세스로서비스를실행할수있다. 모바일보안솔루션업체인 Arxan의
금융권모바일보안기능현황과전망 안드로이드악성코드분석결과에따르면분석한 1,260 개악성코드중 86% 가앱위변조에 의한악성코드로밝혀졌다. [ 그림 9] 가짜구글플레이스토어 ( 좌 ) 및뱅킹 ( 우 ) 앱 4. 역공학 역공학 (reverse engineering) 이란프로그램의소스코드가없어도컴파일된코드를디컴파일 (decompile) 하고소스코드를복원하여분석하는기법을말한다. 역공학위협은대부분자바프로그래밍언어를사용하는안드로이드에서발생하는데그이유는자바로개발된프로그램은가상머신에서실행되도록바이트코드로컴파일되기때문이다. 안드로이드의바이트코드는달빅 (Dalvik) 가상머신에서실행되도록컴파일된 DEX 파일이며, 이파일을디컴파일하여원본소스코드로복원이가능하다. 전자금융과금융보안 2016. 4. 19
[ 그림 10] 역공학도구를이용한안드로이드원본코드와디컴파일코드비교 < 원본코드 > < 디컴파일코드 > 역공학을통해금융앱의중요로직을분석하거나소스코드에포함된금융회사정보를 획득하여 2 차공격에활용할수있기때문에소스코드가복원되는문제는안드로이드 초창기부터보안위협으로지적되어왔다. 5. 입력값탈취 금융서비스의경우계좌비밀번호등사용자가입력하는정보의민감도가매우높아입력값이탈취될경우큰문제가될수있다. 모바일기기에서는물리적인키보드입력이아닌가상키보드를이용한터치이벤트를통해입력을받기때문에사용자가터치한좌표값으로키정보를획득하거나, 스크린캡처등을통해사용자가입력한비밀번호가유출될수있다. 아래그림과같이스마트폰에서기본으로제공하는가상키보드의경우터치좌표값만획득하면원본키보드이미지와대조하여쉽게입력값탈취가가능하다. 20
금융권모바일보안기능현황과전망 [ 그림 11] 스마트폰가상키보드좌표, 입력값노출 6. 메모리해킹 메모리해킹이란실행중인프로그램의메모리에있는계좌번호, 금액을변조하여서버로전송하거나, 사용자가입력한비밀번호를탈취하는것을말한다. 메모리해킹기법이창궐하던초기에는보안카드번호를탈취한후사전에유출된금융정보로계좌이체를하였으며, 이후계좌이체시입금계좌번호및금액을실시간으로변조하여공격자의계좌로돈을입금하는기법으로진화하였다. 메모리해킹은인터넷뱅킹이용시악성코드가브라우저의메모리에접근하여변조및탈취가이루어져 2013년에사회적으로큰문제가되었으며모바일뱅킹에서도인터넷뱅킹과마찬가지로동일한문제가발생할수있다. [ 그림 12] 메모리해킹개념도 전자금융과금융보안 2016. 4. 21
Ⅳ. 모바일보안기능발전현황 1. 위협예방 가. 백신 금융권에적용된모바일백신은인터넷뱅킹등에적용된백신과마찬가지로금융서비스가구동되는동안만백신기능이활성화되고서비스가종료되면백신기능도같이종료되는형태로구현되어있다. 백신의주요기능은기기에악성앱이설치되어있는지검사하여악성앱이존재하는경우서비스를중단하고악성앱을삭제하는것이다. 모바일백신의경우애플앱스토어정책상 ios에는백신이존재하지않고, 안드로이드대상으로만서비스가출시되고있다. 모바일백신은제품별로별도의백신앱을설치하여서비스형태로동작하는방법과, 금융앱설치파일내부에라이브러리형태로동작하는방법으로구동되고있다. 금융서비스에적용된백신외에단말기가출시될때기본으로설치되어있거나사용자가직접설치한모바일백신의경우대규모검색으로인한배터리사용량증가, 패턴업데이트를위한데이터사용등환경적인문제로인해운영체제에항상상주하기가어렵고사용자들도자주실행하지않는다는문제가있다. 나. 플랫폼해킹탐지 플랫폼해킹탐지기능은제조사에서배포된순정운영체제를사용자가임의로변조하여 관리자권한을획득하였는지검사하고, 순정상태가아닌경우앱실행을종료하는기능이다. 22
금융권모바일보안기능현황과전망 [ 표 4] ios, 안드로이드플랫폼해킹탐지대상예시 구분 ios 안드로이드 설치된앱검색 /Applications/blackra1n.app /Applications/Cydia.app /Applications/FakeCarrier.app /Applications/Icy.app /Applications/IntelliScreen.app /Applications/MxTube.app /Applications/RockApp.app /Applications/SBSettings.app /Applications/WinterBoard.app com.tegrak.lagfix eu.chainfire.supersu com.noshufou.android.su com.jrummy.root.browserfree com.jrummy.busybox.installer me.blog.markan.unrooting com.formyhm.hideroot 특정파일검색 /bin/ps /etc/fstab /etc/master.passwd /private/var/lib/apt /private/var/stash /private/var/mobile/ Library/SBSettings/Themes /private/var/tmp/cydia.log /private/var/lib/cydia /usr/sbin/sshd /usr/libexec/sftp-server /system/xbin/su /system/bin/su /system/bin/.user/.su /dev/com.noshufou.android.su /data/data/com.tegrak.lagfix /data/data/eu.chainfire.supersu /data/data/com.noshufou.android.su /system/app/superuser.apk /data/app/com.tegrak.lagfix.apk /data/app/eu.chainfire.supersu.apk /data/app/com.noshufou.android.su.apk [ 그림 13] 플랫폼해킹탐지메시지 전자금융과금융보안 2016. 4. 23
플랫폼해킹탐지기능은대부분금융앱을대상으로적용되어있으며, 탐지기능초기에는특정앱이설치되었는지유무를탐지하는수준이었으나, 탐지우회프로그램을이용하여해킹된운영체제에서앱을사용하는사례가발견되어최근에는시스템변화에대한탐지기능이추가하는등고도화되고있다. [ 표 5] ios, 안드로이드플랫폼해킹탐지우회프로그램 구분프로그램명구현방식세부 xcon 플러그인 해외에서제작되었으며다양한해외앱과일부국내앱을지원 ios kbanktweak 플러그인 국내금융권앱을타겟으로제작되었으며, 현재는공식배포중단 HideJB 플러그인국내금융앱의경우별도로지원하지않음 tsprotector 플러그인 시스템에접근하는함수를후킹해서사용자가접근여부선택가능 SuperSU 앱 안드로이드루팅관리용도구로활성화 / 비활성화전환지원 SuperUser 앱 안드로이드루팅관리용도구로활성화 / 비활성화전환지원 안드로이드 SuperRoot 앱 안드로이드루팅관리용도구로활성화 / 비활성화전환지원 테그라크커널 앱 테그라크로전용루팅관리용도구로활성화 / 비활성화전환지원 RootCloak 플러그인함수후킹기법을이용한루팅탐지우회 플랫폼해킹탐지를위해파일등에접근하는 API 함수를이용하여구현하고있지만, 함수를후킹하여탐지기능을우회하는프로그램을이용하는사례가발견되고있다. 우회프로그램을이용하여플랫폼이해킹된운영체제에서금융앱을이용하는경우보안성이낮아지기때문에일부금융앱에서는탐지우회프로그램에대응하기위해 API 함수를호출하지않고슈퍼바이저콜 (supervisor call) 1) 을직접호출하는방법으로구현하여탐지모듈이우회되지않도록기능을강화하고있다. 24 1) 제어를운영체제로넘기기위해소프트웨어적으로발생되는인터럽트
금융권모바일보안기능현황과전망 [ 그림 14] 슈퍼바이저콜 (SVC) 을이용한플랫폼해킹탐지예시 char *str = /Applications/Cydia.app ; int flag=0; asm volatile( mov r0, %0 :: =r (str)); asm volatile( mov r1, #0 ); asm volatile( mov r12, #5 ); asm volatile( svc 0x00000080 ); asm volatile( bcc 0x5 ); asm volatile( mov r0, 0x0 ); asm volatile( b 0x3 ); asm volatile( mov r0, 0x1 ); asm volatile( mov r0, %0 : =r (flag)); 탐지대상 SVC 호출결과확인 return flag; 2. 앱보호 가. 역공학방지 역공학으로인해금융앱의보안기능우회, 소스코드내금융정보유출, 악의적인코드삽입등 2차피해가발생할수있으며, 이를방지하기위한역공학방지기술은크게두가지로나눠질수있다. 첫번째는배포되는앱의난독화또는실행압축, 코드분리와같이소스코드를쉽게알아보지못하도록변형을가하여분석을지연시키는방법이다. 대표적인난독화도구로는구글에서제공하는프로가드 (Proguard) 가있으며, 상용도구도많이출시되어있다. 분석을지연시키는방법은클래스, 메소드, 변수명등을의미없는문자로변경하거나소스코드내포함된문자열, 리소스를암호화하는등난독화기법도매우다양하다. [ 그림 15] 프로가드적용전후소스코드비교 전자금융과금융보안 2016. 4. 25
두번째는앱실행환경을탐지하여역공학환경이탐지되는경우실행을차단하는보안기능을추가하는방법이다. 역공학기법중하나인동적분석을위해서는운영체제에디버거와같은분석도구를설치하거나, 실제단말이아닌에뮬레이터와같은가상머신을이용하기때문에이러한환경이탐지되는경우앱을종료하거나정상적으로동작하지않도록하는방법이다. 아래코드는 ios에서자신의앱이디버거에의해디버깅되지않도록삽입된디버깅방지코드로 API를이용하는기법중하나이다. [ 그림 16] 디버깅방지코드예시 void nodebug() { void* handle = dlopen(0, RTLD_GLOBAL RTLD_NOW); ptrace_ptr_t ptrace_ptr = dlsym(handle, ptrace ); ptrace_ptr(pt_deny_attach, 0, 0, 0); dlclose(handle); } [ 표 6] 역공학방지방법예시 구분방식설명 난독화 클래스, 메소드, 변수명등을의미없는문자나식별할수없는문자로치환 분석지연 암호화 문자열, 리소스등암호화 코드분리 핵심로직이담긴코드를분리하고실행도중동적으로로드 디버거탐지 프로세스 ID 확인 디버깅탐지 API 결과값리턴 환경탐지 에뮬레이터탐지 플랫폼해킹탐지 단말 ID, 전화번호, 빌드값, 아이피체크 운영체제해킹여부확인 앱변조탐지 앱위변조여부, 앱서명값확인 26
금융권모바일보안기능현황과전망 나. 앱위변조방지 앱위변조방지기능이란모바일애플리케이션의위변조를방지하기위한보안기능으로, 금융권을중심으로도입이활발하게진행되었다. 주요기능은배포되는모바일앱설치파일의무결성검증값을생성하고생성된검증값의유효성을검증하는방법이다. 검증값생성을위해서는주로해시알고리즘을이용하는데앱의기능이변조될경우생성되는해시 2) 값이변하는특성을이용하는방법이다. 앱위변조방지솔루션은모바일보안전문기업의경우대부분출시했을만큼다양한제품이시장에출시되어있다. 앱위변조기능초기에는항상동일한무결성검증값을생성하여서버로전송하는재전송공격 (replay attack) 이나, 클라이언트모듈에서만검증을수행하는등의보안취약점을통해위변조방지기능이우회되는사례도있었다. 현재는서버의챌린지값을이용하여검증값을생성하고공격자가위변조방지기능자체를변조하여우회하는공격을막기위해자체난독화, 플랫폼해킹탐지등추가적인보호기능을적용하여출시하고있다. 3. 인증보안 가. 생체인증 생체인증은사용자의고유한생체정보를이용하여사용자의신원을확인하는것이다. 모바일기기는지문센서, 카메라, 마이크를탑재하고있기때문에전통적인비밀번호입력이아닌지문인식, 얼굴인식이나음성인식등생체인증을사용자인증수단으로활용할수있다. 금융권에서도이미공인인증서대신 FIDO(Fast IDentity Online) 기반의지문인식으로사용자인증을수행하는서비스를출시한바있고, 최근점포에방문하지않고사용자의신원을확인하기위한비대면실명확인을위한방법의하나로영상통화를이용하는방법이제시되었기때문에모바일기기를이용하여사용자를식별하는서비스가더욱증가할것으로예상된다. 2) 임의의길이의입력메시지를고정된길이의출력값으로압축시키는함수 전자금융과금융보안 2016. 4. 27
[ 그림 17] 생체인식기술의유형과특징 생체적특징 지문 개인지문특성을 DB 와비교해인증 장점 : 편리하고안전, 위조어려움 단점 : 땀, 먼지등에의한인식률저하 홍채. 망막 홍채무늬, 형태, 색, 망막모세혈관분포패턴분석 장점 : 낮은오인식률, 고도의보안성, 위조불가능, 분실위험없음 단점 : 눈을뜨고있어야하는불편함, 인식거리 지정맥 혈관패턴특징을비교 장점 : 편리, 복제불가능 단점 : 높은구축비용, 소형화어려움 얼굴 눈, 코, 입등얼굴요소특징분석 장점 : 비접촉식으로편리성, 시스템비용저렴 단점 : 빛세기, 촬영각도, 자세등에따라인식률저하 행동적특징 서명 서명과제 ( 펜움직임, 속도, 압력 ), 모양분석 장점 : 분실, 도난위험없음 단점 : 서명복제, 위조가능 음성 음성특징을 DB 와대조해개인인증 장점 : 편리성, 전화. 인터넷으로원격지에서이용가능 단점 : 녹음으로타인이용가능성, 목소리상태에따른오인식 자료 : KCA, 스마트폰언굴인식기술적용현황및전망, 2012 나. 보안키보드 보안키보드란인증을위한중요정보 3) 입력시키보드후킹이나좌표값추출과같은입력값탈취공격으로부터방어하기위해운영체제에서제공하는키보드가아닌앱자체에서보안기능을제공하는키보드를말한다. 보안키보드는화면에표시되는키보드버튼의배열을다르게표시하여고정좌표값을탈취하여입력값을유추하는것을막는다. 그러나배열간격이크지않고여러번시도하면유추가가능하다는단점이있으나, 키보드배열을무작위로변경할경우가독성이떨어지기때문에좌우로일정부분만변경하여표시하고있다. 초기에는단순히키보드배열을다르게표시하는정도의보안기능만적용되었으나, 현재는입력값을암호화하여메모리해킹을이용한비밀번호평문을탈취하지못하도록하거나, 보안키보드가동작하는동안화면을캡쳐하지못하도록하는등의방어기능도적용되고있다. 28 3) 공인인증서비밀번호, 계좌비밀번호, 로그인비밀번호, 보안카드 /OTP 번호등
금융권모바일보안기능현황과전망 [ 그림 18] 보안키보드의자판랜덤표현 4. 데이터보호 가. TEE(Trusted Execution Environment) 데이터를안전하게보호하고프로그램을실행하기위해하드웨어적인환경을이용하기도한다. 대표적으로트러스트존은일반영역과보안영역이분리되어있어독립적으로격리된실행환경을제공한다. 보호하고자하는데이터를보안영역에저장하여일반영역에서악성코드에감염이되더라도악성코드가보호영역으로접근이불가능하다. 일반영역에는금융앱이설치되고보안영역에중요정보 ( 암호키, 인증서등 ) 를저장하여허용된앱만보안영역에접근함으로써안전한암호화, 인증등에사용되고있다. [ 그림 19] 트러스트존일반영역, 보안영역구조 일반영역 일반영역유저모드 일반영역커널모드 보안영역 보안영역유저모드 보안영역커널모드 모니터모드 전자금융과금융보안 2016. 4. 29
Ⅴ. 향후전망 모바일기기는금융거래, 쇼핑, 이메일등다양한업무에이용되기때문에개인정보가많이저장되어있고전원도항상켜져있다. 따라서해커들은모바일기기에지속적으로관심을갖게될것이며, 보안위협은더지능적이고정교한방법으로진화할것이다. 이러한흐름에맞춰모바일보안기능은다음과같은방향으로발전할것으로예상된다. 첫째, 모바일운영체제다양화및위협증가로인해위협예방기능이강화될것이다. 현재모바일운영체제는 ios, 안드로이드가주를이루고있으나윈도우모바일, 타이젠등신규운영체제의점유율이점차확대되고, 모바일간편결제, 사물인터넷 (IoT) 등의활성화로보호가필요한업무범위가늘어나게될수록보안기능의역할은더욱커질것이다. 현재모바일기반보안위협은기존 PC 기반의보안위협을그대로이어받고있고, 언제어디서나이용하는모바일의특성때문에위협이점차고도화되고있다. 특히최근유행하고있는랜섬웨어 (Ransomware) 4), APT(Advanced Persistent Threat) 등이용자에게큰피해가발생하는위협이지속적으로출현하고있기때문에모바일보안기능은좀더선제적으로대응이필요할것으로보인다. 대부분의보안위협은악성코드감염으로부터시작되기때문에악성코드감염방지를위한플랫폼해킹탐지강화, 백신패턴업데이트및행위기반탐지고도화등을통해위협을사전에예방하는쪽으로발전할것으로예상된다. 둘째, 모바일운영체제업데이트에대한대응강화및보안기능의효율성이강화될것이다. 모바일운영체제의버전업데이트가빠르고이로인해금융회사나보안업체에서알지못하는내부라이브러리, API 등의교체가있을수있다. 그렇기때문에예상치못한장애가발생하는것을방지하기위해보안기능도이에맞춰빠른대응이필요하다. 실제로정식출시되기전테스트버전인안드로이드 6.0 프리뷰버전에서, 국내일부금융앱이정상적으로동작하지않는문제가발생했다. 그이유는 6.0 버전부터라이브러리가변경되면서백신프로그램의호환성에문제가생겨보안기능을사용하는금융앱이동작하지않는것이었다. 이처럼한개의금융앱이다양한제조사의여러보안기능을탑재하고있기때문에이를예방하기위한보안기능의통합화및간소화도고려되어야할것이다. 특히모바일기기는컴퓨팅파워, 배터리등과같은리소스를보안기능이많은양을점유하는것이큰부담으로작용하기때문에단말기영역에서보안기능이효율적으로동작할수있도록앞으로발전해야할것이다. 30 4) 'Ransom' 과 'Software' 의합성어로 PC 나모바일기기에저장된데이터를암호화하고, 해제하기위한조건으로금전을요구하는악성코드
금융권모바일보안기능현황과전망 Ⅵ. 결론 지금까지금융권모바일서비스현황과보안위협, 그리고보안위협에따른다양한보안기능에대해알아보았다. 북한발사이버위기로보안위협이고조되고, 그로인해다양한분야에서서비스를하고있는금융권도만반의대응태세를갖추고있다. 그중모바일기반서비스를보호하기위한보안기능은운영체제와서비스의빠른발전과더불어이용자보호를위해많은기술의발전을이루었고계속발전해나갈것이다. 금융권에서보안사고가발생하면고객의금전적피해는물론, 금융회사의이미지실추등관련된모두에게부정적인영향이발생하기때문에사고를예방하는것이가장중요하다. 따라서안전하게모바일기반금융서비스를이용하기위해보안기술의발전과더불어이용자의보안인식을높이는것이가장중요한요소가되어야한다. 최근비대면실명확인이가능해지고모바일전용금융서비스가출시되는등서비스가다양화되고보안위협이증가함에따라보안사고발생시신속한대응이필요하다. 따라서금융회사의보안인력확보및역량강화, 최신위협동향습득및지속적인교육, 서비스이용자에대한사고예방캠페인등여러활동을통해금융회사와이용자의보안수준이높아져야할것이다. 전자금융과금융보안 2016. 4. 31
< 참고문헌 > [1] 이형우, 안드로이드기반모바일단말루팅공격에대한이벤트추출기반대응기법, 2013.5 [2] 이윤호, 모바일기기를위한보안키패드의취약점분석,2013.6 [3] 하동수, 이강효, 오희국, 안드로이드어플리케이션역공학보호기법, 2015.6 [4] 김미주, 신영상, 이태진, 염흥열, 안드로이드모바일악성앱동적분석회피기술동향, 2015.12 32