스마트 폰 자동 로그인기능으로 인한 보안 위협

박찬암

소프트포럼 보안기술분석팀

최초 작성일: 2010. 10. 25마지막 수정일: 2011. 01. 05

개요 (1)

• 대부붂의 스마트 폰 앱에서는 비밀번호 입력의 편의성을 위해 자동 로그인 기능을 제공

• 해당 기능을 위해서는 로컬에 로그인과 관련된 정보를 저장하고 있어야 함

• 이러한 로그인 관련 정보가 평문 형태로 노출되어있는 경우가 맋음. 심지어, 해당 정보들이암호화 되어있는 경우에도 파일 유출로 인한보앆 위협이 존재.

개요 (2)

• ‘자동 로그인’ 기능을 위해 패스워드 등의인증 정보를 암호화해서 저장했다고 해도, 해당 인증 파일을 젃취하여 다른 스마트폰에 복사할 경우 정상적인 로그인이 가능

• 이것과 관련된 문제점에 노출 된 대상은평문 패스워드의 경우와는 비교할 수 없을정도로 맋음

자동 로그인 유형

• 자동 로그인은 두 가지 유형으로 제공

– 사용자가 자동 로그인 기능에 체크했을 경우

– 일반 로그인을 했지맊 앱이 알아서 자동 로그인 기능을 기본적으로 적용하는 경우

자동 로그인 유형

취약한 앱 종류 - Android

• CGV, 도미노피자, 엠넷(Mnet) 등– 평문 데이터 노출 위협 - 단, 데이터 유출을 위해서는

앆드로이드 루팅을 해야 하는 젂제가 있음. 자의적인루팅도 있기는 하지맊, 강제 탈옥 가능성 또한 존재.

• 대한항공– 취약한 권한 설정으로 인한 인증 파일 유출 위협

• 기타 거의 모든 앱– 자동 로그인을 위한 인증 파일의 유출을 통하여 해커

가 악용 가능. 루팅 폰을 젂제.

취약한 앱 종류 - iPhone

• 평문 노출– 네이트온, 아시아나 항공, 롯데시네마 등

• 기타 거의 모든 앱– 탈옥(Jail Break)을 했을 경우 자동 로그인을

지원하기 위한 인증 파일이 유출되게 되면 해당 파일로 해커가 로그인 하는 등의 악의적인행위 가능

– 미니홈피, 트위터, 페이스북 등

보안 위협 노출 - CGV

보안 위협 노출 - Mnet

보안 위협 노출 - 도미노피자

해외 사례

• Bank of America, Wells Fargo 등의 금융앱에서 해당 취약성과 관련된 유사 사고가발생하여 이를 The Wall Street Journal, CNET 등에서 보도.

The Wall Street Journal

CNET

대응 방안

• 스마트 폰의 특성상 ‘자동 로그인’과 같은기능을 제공하지 않는 것은 보앆이 편의를과도하게 억제하는 것과 같음

• 즉, 해당 기능을 제거하는 방앆은 부적젃

• 대응책은, Rooting/Jailbreak가 탐지될 경우 ‘자동 로그인’ 등의 부가적인 위험을 앆겨줄 수 있는 기능을 OFF

대응 방안

• 인증 정보 저장파일 암호화

• 앆드로이드 루팅 탐지/방지

• 아이폰 탈옥 탐지/방지

- 해킹폰이 탐지될 경우 앱의 실행을 막거나최소한 비밀번호 저장 기능은 OFF 해두는것이 좋음