이용자수가 10억 명에 달하는 페이스북의 모바일 메시징 서비스 왓츠앱(WhatsApp)에서 관리자 허락 없이 그룹 대화방(채팅방)에 들어가 대화 내용을 옅볼 수 있는 보안 결함이 발견됐다.
독일 보훔 루르대학(Ruhr University Bochum) 보안 연구팀은 10일(현지시간) 스위스 취리히에서 열린 정보보호 이론 및 암호화 기술연구 학술단체 IACR이 주최하는 '현실 세계 암호학(Real World Crypto) 2018' 보안 컨퍼런스에서 논문
(https://eprint.iacr.org/2017/713.pdf)을 발표하고 이같이 밝혔다.
왓츠앱은 사용자들이 메시지를 교환하고 사진을 보내고 전화를 하고 동영상을 교환 할 수 있는 온라인 메시징 서비스다. 2014년 이후 10억 명까지 사용자가 늘어나면서 정부기관이나 해커로부터의 개인정보 보안 강화를 요구하는 목소리가 커지면서 2016년 4월 종단간(End-To-End) 암호화 기능을 도입했다.
2명 이상이 대화 하는 채팅방에 이 종단간 암호화가 적용되면 허락되지 않은 사람은 이용자가 주고받는 모든 메시지와 전화통화, 사진과 비디오를 읽을 수 없다. 왓츠앱 직원도 확인이 불가능하다.
하지만 독인 보안 연구팀은 서버 조작을 이용한 보안 허점을 발견했다. 왓츠앱에서 초대받지 못한 사람은 채팅방에 참여할 수 없지만 서버를 장악 할 경우 채팅방 관리자의 허락 없이 임의로 새로운 사용자를 채팅방에 추가시킬 수 있다고 연구팀은 설명했다. 이같은 보안 허점은 비교적 약하지만 시그널(Signal)과 쓰리마(Threema)에서도 발견됐다.
일반적인 해킹으로 암호화된 대화 내용(데이터)은 인증(채팅방 관리자 초대)받지 않은 제 3자가 볼 수 없지만 그룹 채팅방 대화상대로 등록되면 채팅방의 내용을 볼 수 있는 것처럼 쉽게 서버를 조작해 대화상대를 각 채팅방에 쉽게 추가시킬 수 있다는 것이다.
암호학 및 네트워크 보안 박사과정에 있는 논문 공동저자 파울 뢰슬러(Paul Rösler)는 이같은 허점을 지적하면서 "채팅방 내 그룹이나 2자간 대화 모두에 종단간 암호화를 적용했다면 허락 받지 않은 제 3자가 새로운 대화상대로 추가되도 대화내용이나 주고받은 데이터를 볼 수 없어야 하는데 다 볼 수 있다"며 "이런 암호화는 아무런 의미가 없었다"고 지적했다.
존스 홉킨스 대학의 암호학 전문가인 매튜 그린 교수도 정보기술 매체 더 와이어드와의 인터뷰에서 "구축된 서버를 신뢰할 수만 있다면 종단간 암호화라는 복잡한 작업을 할 필요가 없을 것"이라면서 "왓츠앱의 보안 허점은 변명의 여지가 없다. 엉망"이라고 꼬집었다.
왓츠앱의 허점은 비교적 간단한 버그에 뚫리는 것으로 나타났다.
왓츠앱은 채팅방 관리자만 새로운 대화 상대를 초대 할 수 있지만 서버에 접근해 조작할 경우 채팅방 초대장에 대한 인증 매커니즘이 적용되지 않아 해커가 위조 초대장을 이용해 채팅방 관리자와 상관 없이 대화상대를 간단하게 추가할 수 있다. 채팅방 참가자들의 전화기는 편법으로 대화상대가 추가되도 정상적으로 암호화 키를 공유하는 등 채팅방 내 모든 권한을 똑같이 부여받는다. 다만, 편법으로 초대된 대화 상대는 채팅방에 들어가기 전까지 공유됐던 데이터는 해독할 수 없었다.
위조된 초대장으로 채팅방에 들어가도 채팅 멤버들은 채팅방 관리자가 새로운 대화 상대를 초대했다는 일반적인 메시지만 확인 할 수 있다. 채팅방 관리자가 문제를 알아차리고 의도하지 않은 초대 상대에 대한 경고 메시지를 전파 할 수 있지만 독일 보안 연구팀과 그린 교수는 몇 가지 트릭을 사용하면 그룹 관리자에게 들키지 않을 수 있다고 지적했다.
서버를 장악한 해커가 채팅방 서버를 통제해 편법 참가자에 대해 던지는 질문이나 경고 메시지 등을 선택적으로 차단할 수 있다는 것이다.
파울 뢰슬러는 "공격자가 채팅방 내에서 오가는 모든 메시지를 숨길수도 있고 누구에게 메시지를 보내고 말지를 결정할 수도 있다"고 강조했다.
이같은 방식으로 몰래 채팅방을 도청하려는 해커를 채팅방 관리자나 채팅 멤버들이 '편법 참가자'를 의식하지 못하는 상황으로 만들어 '불청객'을 제거하려는 시도를 차단 할 수 있게 된다.
이에 대해 왓츠앱은 "해당 논문을 확인했지만 그 누구도 몰래 채팅방 대화 상대를 추가 할 수 없다"고 선을 그었다.
왓츠앱 대변인은 "이 문제를 신중하게 검토 한 결과, 새로운 대화 상대가 왓츠앱
채팅방에 추가 될 때는 기존 멤버들은 응당 통보를 받게 되며 채팅방 메시지를 '불청객'에게 보낼 수 없도록 왓츠앱을 구축했다"며 "사용자의 개인정보 보호 및 보안은 왓츠앱에게 매우 중요하기 때문에 우리는 개인 정보를 거의 수집하지 않으도록 왓츠앱을 통해 보낸 모든 메시지는 종단간 암호화가 된다"고 밝혔다.
왓츠앱의 서버에 접근할 수 있는 허가된 사람은 왓츠앱 직원 뿐이다. 그러나 종단간 암호화를 했다는 왓츠앱도 사용자들의 대화를 들여다 볼 수 있고, 영장을 발부받은 사법당국이 도청을 하거나 전 세계 해커들도 할 수만 있다면 서버에 접근하는 것이 불가능 하지 않다는 것이 보안 전문가들의 지적이다.
독일 연구팀은 "왓츠앱이 이런 보안 결함을 해결하기 위해서는 새로운 대화 상대 초대 방식을 URL 링크 주소를 클릭해 특정 그룹에 가입할 수 있게 하는 '그룹 초대 링크' 방식으로 변경해야 한다"고 조언했다.
이날 왓츠앱 보안 허점에 관한 내용이 보도되자 알렉스 스타모스 페이스북 최고보안책임자(CSO)는 자신의 트위터를 통해 "우리는 채팅방의 '불청객'을 확인할 수 있는 다양한 방법들이 있다"는 왓츠앱 대변인의 말을 인용해 "그룹 초대 링크 방식을 사용할 경우 왓츠앱의 기본 기능을 훼손 할 수 있다"며 "앱을 새로 디자인 한다면 왓츠앱을 사용하기 쉽지 않을 것"이라고 말했다.
왓츠앱과 페이스북 모두 사실상 자체적인 보안 시스템이 있다며 독일 보안 연구팀의 조언을 거부한 것이다.
그린 교수는 이에대해 "마치 은행 금고를 활짝 열어둬도 CCTV 카메라가 있으니 아무도 금고를 털지 않을 것이라고 말하는 것과 같다"며 "어리석은 생각"이라고 꼬집었다.
왓츠앱은 지난해에도 글로벌 사이버 보안 업체 체크포인트(Checkpoint)가 사용자의 계정을 탈취하고 대화내용과 연락처 목록, 공유된 사진 및 비디오를 들여다 볼 수 있는 취약점을 발견해 왓츠앱이 이를 즉각 수정하기도 했다.
기술 업계가 종단간 암호화 등 개인정보 보호를 위한 우수한 보안 기술을 도입하고 있지만 이용자 수와 서비스가 거대해지면서 그만큼 취약점 발생도 늘어나고 있다.