어도비, 클릭재킹 취약점 해결한 플래시 플레이어 발표

Robert McMillan | IDG News Service 2008.10.16

어도비가 클릭재킹 문제를 해결한 플래시 플레이어의 새 버전을 발표했다. 어도비의 대변인 데이빗 레노에는 블로그 포스팅을 통해 새 버전으로 업데이트할 수 없는 사용자를 위한 플래시 9 보안 패치는 아직 1달 정도가 있어야 나올 것이라고 밝혔다.

 

아직 해커들에게 많이 사용되고 있지는 않지만, 클릭재킹은 매우 위험한 버그로 업계의 관심을 모았다. 물론 클릭재킹 공격의 대상이 되는 것은 플래시 만이 아니지만, 가장 많이 사용되는 있는 온라인 소프트웨어인 만큼 가장 위험한 것으로 평가되고 있다.

 

이 취약점을 발견한 보안 연구원인 로버트 한센과 제레미아 그로스먼은 원래 보안 컨퍼런스에서 이 문제를 전면적으로 다룰 계획이었지만, 어도비 측이 패치를 발표할 시간을 요청해 문제점의 일부만 공개한 바 있다.

 

하지만 지난 주 또다른 보안 연구원인 가이 아하로노브스키가 어도비 플래시에 대한 클릭재킹 공격이 어떻게 이뤄지는 지를 보여주면서 관련 정보가 완전히 공개되었고, 한센과 그로스먼 역시 자신들이 찾아낸 문제점을 완전히 공개했다.

 

클릭재킹 공격에서 해커는 피해자가 실제로 클릭하는 링크를 마음대로 제어하기 위해 다양한 기법을 사용한다. 대표적인 방법은 정상적인 버튼 밑에 해킹 기능을 포함한 보이지 않는 버튼을 배치하는 것이다. 실제로 피해자는 플래시 오브젝트처럼 뭔가 달라보이는 것을 클릭한다. 한센은 “링크를 클릭했을 때 무슨 일이 일어날지를 사용자가 결정하는 것은 거의 불가능하다”고 강조했다.

 

클릭재킹 공격자는 피해자의 PC에 몰래 연결해 온라인 주식거래를 하거나 블로그 페이지를 지우고 라우터나 파이어월 설정을 변경하고 새로운 웹 메일 계정을 만들고 소프트웨어를 다운로드하도록 할 수 있다는 것이 한센의 설명이다.

 

더구나 클릭재킹 공격은 브라우저의 플러그인에도 영향을 미치기 때문에 이 문제를 해결하는 최상의 방법은 브라우저가 동작하는 방식을 바꾸는 것이다. 한센은 “브라우저 개발업체들도 이 문제를 인식하고 있고, 현재 해결책을 찾고 있다”고 전했다.

Sponsored

회사명 : 한국IDG | 제호: ITWorld | 주소 : 서울시 중구 세종대로 23, 4층 우)04512
| 등록번호 : 서울 아00743 등록발행일자 : 2009년 01월 19일

발행인 : 박형미 | 편집인 : 박재곤 | 청소년보호책임자 : 한정규
| 사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.