IT 기획시리즈 스마트폰정보보안기술동향 조병호관동대학교정보통신학과조병호 bhcho@kd.ac.kr 1. 개요 2. 스마트폰정보보안의특징및대응방안 3. 스마트폰보안제품동향 4. 스마트폰 OS 별보안위협및대응방안 5. 결언 1. 개요최근에아이폰의등장으로촉발된세계휴대폰시장은개방형운영체제를갖춘고기능의스마트폰사용이일반픽처폰을빠른속도로대체하고있다. 미국 IDC 에따르면 2010 년 4 분기스마트폰전세계출하대수가전년동기대비 87% 증가한 1 억 90 만대로같은기간 PC 출하대수는 3% 증가한 920 만대에그쳐분기기준으로처음스마트폰이 PC 를추월하였다. 이와같이전세계적으로많이사용하고있는스마트폰은범용 OS 를채택하고있고이식성이높아모바일악성코드의제작이용이하고다양한형태의경로를통해악성코드의유포가가능하여모바일공격의규모및피해가증가할것으로예상된다. 향후더욱지능화되고다양한형태로변형될수있는악의적행위에의한정보유출, 불법과금, 부정사용등과같은보안위협으로부터스마트폰사용자를보호하고, 서비스환경에대한안전성, 무결성, 가용성, 신뢰성을제공하기위한보안기술개발이요구된다. 본고에서는스마트보안의특징과기술대응방안에대해기술하고, 최근의국내외스마트폰보안제품현황분석, OS 별대응방안등을통해국내외기술동향에대해알아보고스마트폰보안강화를위한방향을제시하고자한다. * 본내용과관련된사항은관동대학교정보통신공학과조병호교수 ( 033-649-7567) 에게문의하시기바랍니다. ** 본내용은필자의주관적인의견이며 NIPA 의공식적인입장이아님을밝힙니다. 17
주간기술동향 2011. 9. 30. 2. 스마트폰정보보안의특징및대응방안 가. 스마트정보보안의특징 [1] - 스마트폰은휴대폰, PC, 인터넷이결합된휴대단말기로써휴대및기능의편리함때문에이용자들이개인화된정보를단말기에저장 - 스마트폰은내부 API 제공으로악성코드가은닉된모바일애플리케이션제작이용이 - PC 환경하에서제공하는단말기기반보안솔루션을적용하기에는제약이있음 - 스마트폰의분실이나도난, 악성코드전파와같은단말공격이나해킹등에대해효과적으로방어하기위한보안솔루션이필요하나, 이러한이슈에대해서대응수준은초기단계 - 스마트폰악성코드유형은단말장애유발형악성코드, 배터리소모형악성코드, 과금유발형악성코드, 정보유출형악성코드, 크로스플랫폼악성코드등이있음 나. 스마트폰정보보안기술대응방안 [1] (1) 모바일서비스를제공하는데있어서관련된정보보안은크게 3 가지로나눌수있으며, 이는스마트폰단말자체의보안, 네트워크보안, 모바일플랫폼및고객서버간의보안으로나눌수있음 (2) 모바일악성코드는모바일단말의성장과더불어규모면에서빠르게증가하고위협요인도다양화하고있으나, 보안정책을적용하고자하는기관측면에서개인이소유하고있는스마트폰에보안소프트웨어설치또는보안정책을강제로적용하는데어려움이있음 (3) 기술적으로안전한인증방식을위해서 ID/PW 외에단말기정보즉, 단말기내에부여된고유주소인 MAC Adress, 가입시이동단말기에할당된고유식별번호인 IMSI(International Mobile Station Identity) 등과같은정보를포함하여인증체계를구현하는것이효과적임 (4) 정부는앞으로제공하는모바일서비스를보안위협으로부터대비하기위한보안대책확보에노력하고있음 - 범국가적정보보안인프라확충대비 - 사이버침해사고대응력강화 18 www.nipa.kr
- 사용자인증에대한공인인증제도에대한개선 이와같은스마트폰의위협및보안기술에대해정리하면 < 표 1> 과같다 [2]. < 표 1> 스마트폰위협및보안기술영역위협보안기술 단말기영역 네트워크영역 Service 영역 PC, Memory 영역 애플리케이션스토어영역 - 애플리케이션분석을통한악용 - 애플리케이션의기능을이용한악용 - 음성도청 - 분실및도난 - 공개된 Exploit 공격 - 패스워드공격 - 악성코드 - 애플리케이션설치동의우회 - 데이터스니핑및변조 - 모바일 Voip 에서의기존 Voip 취약점적용및스니핑 - 애플리케이션취약점을이용한악용 - 웹사이트를통한피싱및악성코드다운로드 - 이메일을통한악성코드첨부및스팸메일발송 - 내부망을우회한외부정보유출 - 스마트폰과 PC 연결을통한악성코드전파및접근 - 외장메모리를이용한악성코드전파 - 개인정보유출 - AD-HOC 을통한비인가된접근 - 악의적개발자에의한악성프로그램유포 - 보안메커니즘을우회한악성프로그램등록 - 애플리케이션코드의난독화기술적용 - 데이터의암호화 - 도난및분실방지솔루션 - 정기적인업데이트 - 안티베이스 - 데이터암호화 - 방화벽, VPN - 디바이스인증 - 스마트폰안티바이러스기술 - 첨부파일필터링 - 스팸메일필터링 - 불법 AP 및인터넷사용방지 - 스마트폰안티바이러스기술 - 보안저장장치 - 개인정보유출방지솔루션 - AD-HOC 을통한접근통제 GPS 영역 - GPS 를통한위치정보유출 - 위치정보보호 - 전자서명기술을이용한코드서명기술 3. 스마트폰보안제품동향 스마트폰에서의보안제공을위한대표적인기업의국내외제품동향에대해알아본다. 가. 국외동향 (1) 노턴스마트폰시큐리티 ( 시만택 )[5] 이보안제품은안티바이러스, 침임차단시스템, SMS 안티스팸기능을제공하며주요특징은아래와같다. - SMS 스팸의최소화 : 알수없는사람으로부터의수신된단문자와멀티미디어메시지를차단 - 바이러스와다른위협으로부터보호 : 스마트폰을침입하여소유자의프라이버시를침 19
주간기술동향 2011. 9. 30. 해하는악의적인위협으로부터보호 - SMS 안티스팸보호 : 알수없는사람으로부터수신된짧은메시지 ( 문자와멀티미디어 ) 를차단 - 진화된보호 : 노턴안티바이러스기술이개별파일과애플리케이션내의바이러스웜과모바일스파이웨어를자동으로스캔하고탐지하여검역 - 실시간보호 : 개선된침입차단시스템은해커와침입자와서비스공격을차단 - 지원스마트폰 OS: 심비안, MS 모바일플랫폼 (2) 스마트폰프로텍션 ( 가이언에이지 )[6] 이는보호된데이터노출로주요지적재산의손실등의위험으로부터보호하며, 스마트폰상의데이터보안뿐만아니라광범위한장치보안기능을제공하며주요특징은아래와같다. - 암호 : FIPS 140-2 검증암호 (AES 128/196/256 및 Triple DES), 관리자구성및정책통제, 데이터타입별암호 ( 아웃룩, 워드, 엑셀, PDF 등 ), 데이터위치별암호 ( 온디바이스및첨부된 SD 카드, 파일경로별 ), 그룹을위한공유된키암호옵션 - 인증 : 정첵에의한통제 ( 패스워드또는 PIN) 포트및접근통제, 포트통제 (USB, 시리얼, SD 카드, 블루투스, WIFi 동작 / 비동작, 무선 ), 자원접근통제 (IR, 카메라, 음성녹음 ) - 장치보안 : 신뢰되는애플리케이션구조를통해비인가된애플리케이션의암호화된데이터에대한접근금지, 애플리케이션실행금지, 침입차단시스템통제 (IP 주소, 입력통신및출력통신에대한포트 ), 장치에대한애플리케이션프로파일잠금, 데이터삭제등 - 지원하는스마트폰 OS 버전 : 윈도모바일 5/6/6.1, 팜 OS 5.x, 애플아이폰 2.0 및그이상 나. 국내동향 (1) 터치세이프 ( 소프트시큐리티 )[7] 터치앤세이프는 2009 년 7 월부터 6 개월동안정보통신진흥원 (NIPA) 의과제로소프트시큐리티 를중심으로루멘소프트, 쉬프트웍스 3 사가공동개발한스마트폰통합보안솔루션이다. 스마트폰사용자에게 보안브라우저 형태로제공되며, 스마트폰에대한 20 www.nipa.kr
편리한보안환경을제공한다. 터치앤세이프는스마트폰에적합한사용적친화적보안을제공을목적으로외부와의주된통신채널인웹에대한친화적인보안을제공하기위해외부와의주된통신채널인웹에대한집중적인보안관리를수행하며, 보안저장소를이용하여개인정보를안전하게관리한다. 이를통해사용자가안전한환경에서스마트폰을사용할수있도록하고, 스마트폰이지니는입력제한성을극복하는동시에사용자인증정보의편리한사용환경을제공한다. 또한스마트폰성능에영향을주지않는저부하악성코드탐지기법을적용해효율적보안관리기능을수행한다. (2) Anlab Mobile Security( 안철수연구소 )[8] 안철수연구소는 2001 년부터모바일보안솔루션 AMS 를개발하여판매하고있다. AMS 는윈도모바일이나심비안운영체제를이용한스마트폰과같은휴대전화에설치되어웜, 트로이목마, 바이러스등악성코드를실시간으로차단하여모바일디바이스를안전하게보호하는보안솔루션이며, 주요특징은아래와같다. - 휴대전화, PDA, MID 등모바일기기의악성코드실시간진단및치료 - 모바일악성코드에대한철저한사전, 사후방역 : V3 의강력한성능그대로모바일백신으로구현 - 사용자편의를고려한다양한옵션 : 오용방지를위한검역소기능 ( 파일복원기능 ), 예약검사, 진단된악성코드에대한상세정보제공 4. 스마트폰 OS 별보안위협및대응방안 현재스마트폰 OS 별보안위협에대해알아보고, 각 OS 마다의보안위협에대응하기 위한방안에대해최근가장많이사용하고있는 ios, 안드로이드에대해알아본다. 가. 아이폰 ios[4] 애플의아이폰은 2007 년출시된이후가장빠르게성장하고하고있으며, 스마트폰에서발생할수있는위협들에대한대응방안으로다음과같은보안대책을제공한다. - 장치통제및보호 : 인가된사용자만이아이폰에저장된데이터에접근하도록하는패스코드정책, 보안정책등을포함하는설정프로파일을제공하는장치설정 - 데이터보호 : 데이터보호를위해서 3GS 는장치내의데이터를보호하기위해 AES 21
주간기술동향 2011. 9. 30. 를활용하며, 아이폰분실이나도난을고려해서원격으로데이터를삭제하도록지원, 장치는패스워드입력에실패할경우로컬내용을삭제하는등로컬삭제기능을제공 - 보안네트워크통신 : VPN, SSL/TLS, WPA/WPA2 를지원 - 보안플랫폼 : 개발자를위한애플리케이션데이터저장을암호화하는데활용할수있는공통크립토구조를제공, 런타임보호, 의무적인코드서명, AES, RC4 또는 3DES, SHA-1 등을지원하는공통암호구조등을제공 나. 구글의안드로이드 [3] 안드로이는리눅스기반의 OS 로써리눅스의보안정책과유사한부분이많다. 애플리케이션은단말에설치될때고유의 USER ID 와 GROUP ID 를부여받는다. 사용자 ID 를할당받은애플리케이션이만든파일은기본적으로사용자 ID 가다른애플리케이션이읽거나쓸수없다. 애플리케이션이사용하고자하는시스템자원이있다면필요로하는퍼미션선언을위해애플리케이션개발단계에서 AndroidManifest xml 파일의 <uses-permission> 태그에사용하고자하는시스템자원을입력해야한다. 입력하지않고설치된애플리케이션은단말이시스템자원의사용을제한한다. 모든안드로이드애플리케이션은개발자의인증서를이용하여자신의비밀키로사이닝해야한다. 인증서는애플리케이션개발자신원증명을위해서만사용되며, 신뢰할수있는인증국에의해발급된것일필요는없고자기서명인증서도사용이가능하다. 5. 결언스마트폰의급격한보급과더불어스마트폰의개방성으로인해누구나콘텐츠를제작하여배포가가능하기때문에다양한콘텐츠생성이가능하다는장점이있지만, 일부악의적인개발자가이를이용하여악의적인프로그램을제작및유포해서스마트폰에침해를가하거나개인정보를습득할수있는가능성도높아졌다. 따라서, 본고에서는스마트폰보안의특성및기술적인대응방안을알아보고이를활용한기업및개인의스마트폰보안에인식및대처방안을위한고려할사항들을짚어보았다. 또한실제스마트폰보안제품으로나와있는국내외제품동향과최근가장많이사용하고있는아이폰 ios 및안드로이드의 OS 별보안위협및대응방안을알아보았다. 22 www.nipa.kr
이와같이스마트폰보안위협에안전하게스마트폰을활용하기위해서정부, 업체등 이대응책을마련하고있지만산발적인기술개발보다는규격화된보안기술및대책마련 이필요할것이며, 기술뿐만아니라규제도함께마련하여야할것이다. < 참고문헌 > [1] 스마트폰환경에서의정보보안, 한국지역정보개발원, 2010. 12. 24( 제 8 호 ). [2] 염홍열, 장기헌, 국내외스마트폰보안표준화동향및추진전략, TTA Journal No. 132, 59. [3] 김기영, 강동호, 개방형모바일환경에서스마트폰보안기술, 정보보호학회지, 제 19 권 5 호, 2009. 10. [4] 강동호외 6 인, 스마트폰보안위협및대응기술, ETRI, 전자통신동향분석제25 권제 3 호, 2010. 6. [5] http://www.symantech.com/notorn [6] http://www.guardianedge.com/shared/ds_smartphone.pdf [7] http://www.touchsafe.com [8] http://www.ahnlab.com/kr/site/product/ 23