티스토리 뷰



안드로이드(Android) OS가 탑재된 스마트폰 사용자 중 약 95%가 해킹된 MMS를 받으면 그 내용(MMS 문자메시지 내용)을 열어서 확인하지 않아도 스마트폰이 해킹되어 저장된 사진, 동영상, 자료(데이터), 카메라, 마이크 정보가 해커에게 전달되거나 악용될 수 있다!




STAGEFRIGHT(무대공포증)



이번 달 초에 알려지기 시작했으니 '보안(Security)'관련 측면에서 생각하면 꽤 오래전에 문제된 내용이다. 하지만 아직도 '처리 중'이며 이런 내용을 모르는 안드로이드 스마트폰 사용자가 더 많다는 것이다. 단순히 TV나 인터넷에서 '스마트폰 보안 이슈' 또는 '정보 유출'이라는 기사를 접했지만 워낙 반복적으로 등장하는 키워드라는 생각에 이번 이슈 역시 '그냥 지나가는 일'정도로만 생각하는 경우가 많을 것이다.


하지만, 앞에서 이야기한 것처럼 이번 '안드로이드 StageFright' 이슈는 대상이 안드로이드 스마트폰 사용자 중 약 95%에 해당한다고 하니 단순히 '남의 일'이라고 치부할 수는 없다.




왜 아이폰(iPhone)은 괜찮은데 안드로이드(Android) 스마트폰만 문제가 있는 것일까?


이번 이슈를 접하면서 가장 먼저 갖게 되는 생각이 바로 '아이폰(iOS)'와 '안드로이드(Android)'의 차이일 것이다. 아이폰 사용자는 이번 이슈와 상관없는데에 비해서 안드로이드(Android) 사용자는 95%가 관련있다고 하니 당연히 이런 부분에서 안드로이드 스마트폰 사용자들은 궁금할 수 밖에 없다. 


이해하기 힘든 복잡한 설명 대신 간단히 설명하자면... 구글에서 내놓은 '안드로이드(Android)'는 스마트폰 제조사에 제공되며, 스마트폰 제조사의 입맛대로 변경된다. 쉽게 말해서 아이폰은 애플이 새로운 iOS 버전 출시 소식과 함께 1주일 이내에 업그레이드(배포)가 진행되는데 비해서 안드로이드는 구글의 새로운 Android 출시 소식과 별개로 사용하는 스마트폰 제조사에서 해당 기종(스마트폰)에 새로운 안드로이드 버전을 배포해야만 사용할 수 있다. 


쉽게 말해서 이런 보안 이슈 역시 구글이 빠르게 대처해도 안드로이드 스마트폰은 스마트폰 제조사의 업데이트를 통해서만 보안 패치(업데이트)가 진행되는 만큼 아이폰보다 느린 대응이 나올 수 밖에 없다. 물론, 안드로이드는 iOS에 비해서 개방적이기 때문에 다양한 제조사의 다양한 기기에 탑재된다는 장점도 있으니 무조건 iOS 대비 '나쁘다'라고 이야기할 수는 없다. 안드로이드의 생태계 특성상 보안 이슈가 대응이 느릴 수 밖에 없다고 할까?





일반 사용자도 스마트폰에 저장된 데이터가 많아지면서 '보안 이슈'는 점점 중요하게 다룰 수 밖에 없는 부분이다. 그런 점을 간과하지 않고 안드로이드 스마트폰 제조사 중 하나인 '삼성전자'는 안드로이드 하드웨어용 보안 패치를 한달에 한번 꼴로 제공하며, PC와 연결하지 않은 상태에서도 무선(3G, LTE, Wi-Fi)상에서 바로 할 수 있는 'OTA(Over The Air)'방식으로 제공한다고 한다.


'최근 보안 이슈를 통해 보안 업데이트를 기기에 제공하는 방식에 대해 다시 생각하게 되었다. SW는 새로운 방법으로 공격에 활용되고 있기 때문에 보안 패치를 전달할 수 있는 빠른 대응 프로세서를 만드는 것은 기기들을 안전하게 유지하는데 있어서 핵심이다"


삼성전자는 최근 이슈된 안드로이드 취약점인 "스테이지프라이트(StageFright)'에 대응하기 위해서 이통사 및 파트너들과 협력해 자사 갤럭시 사용자들에게 보안 업데이트를 제공했다.

[관련 기사 : 삼성-구글, 월 1회 안드로이드 기기 보안 업데이트]



.



위 기사 내용을 보면 현재 '갤럭시 스마트폰'에는 스테이지프라이트(StageFright) 취약점에 대응했다는 내용을 확인할 수 있다. 일반 사용자라면 사실 스테이지프라이트가 무엇인지 그리고 어떻게 내 스마트폰의 상태를 확인하는지 알기 어렵다. 그래서 스테이지프라이트 취약점에 대한 스마트폰의 상태 확인 방법을 간단히 소개하면 다음과 같다.



Stagefright Detector 앱 설치


안드로이드 스마트폰의 앱스토어(Play 스토어)를 실행한 후 앱 검색란에 'Stagefright Detector'을 입력 후 검색한다.




위와 유사한 검색 결과를 확인할 수 있는데, 필자가 설치한 1, 2번 항목의 앱을 설치한다. Lookout Mobile Security의 'Stagefright Detector'은 심플한 결과를 보여주는데 반해서 Zimperium INC의 'Stagefright Detector'앱은 보안 이슈를 항목별로 확인시켜준다.




참고로 필자가 이번 글에서 확인한 스마트폰은 SKT 갤럭시 S6 이다. 최신 업데이트 상태이며 안드로이드 버전은 5.1.1이다. [2015년 8월 12일 오후 12시 기준]




Lookout Mobile Security의 'Stagefright Detector' 앱을 실행하면 자동으로 검사를 진행하고 위와 같이 검색 결과를 안내해준다. 'vulnerable'는 단어의 뜻이 '취약하다'이므로 not vulnerable은 '취약하지 않다'로 생각하면 된다.




Zimperium INC의 'Stagefright Detector'앱으로 확인해보니 총 7개의 이슈 가운데 CVE-2015-1539와 CVE-2015-3827이 취약점으로 확인되며, 그 외에는 취약점 이슈가 처리된 것을 확인할 수 있다.



보안 이슈가 완전히 정리되기 전까지 사용하는 스마트폰의 보안 패치가 적용되지 않는다면... 사용자 입장에서 할 수 있는 최대한의 방법은 'MMS'를 자동으로 다운로드 받지 않는 것이다.


'MMS만으로도 감염될 수 있는 Stagefright'라는 Reinia님의 글을 보면 문자메시지 설정에서 'MMS 자동 수신'을 체크해제하여 한단계 더 보호를 할 수 있는 방법이 소개되고 있다. 앞에서 필자가 Stage fright 이슈는 해당 MMS를 열지 않아도 문제가 될 수 있다고 했는데 그 이유가 일바 스마트폰은 디폴트로 'MMS 자동 수신'이 체크되어 있어서 MMS 수신과 동시에 다운로드가 진행된다. 이 과정을 사용자가 수동으로 전환하여 불필요한 MMS 다운로드를 방지하여 이슈 확률을 줄이는 것이다.




이번 글에서 소개한 앱을 통한 보안 상태 확인이나 MMS 자동 수신 체크 해제를 통한 한 단계 더 안전하게 관리하는 방법은 '사용자 측면'에서 접근할 수 있는 차선책일 뿐이며... 가장 좋은 방법은 역시 스마트폰을 최신 상태로 유지하는 것이다. 보안 업데이트는 물론이고 스마트폰 제조사에서 내놓는 업데이트를 최신 상태로 유지할 수 있는 것이 스마트폰 사용자에게 가장 안전하게 스마트폰을 관리/사용할 수 있는 방법인 셈이다.





댓글