iOS / 보안

인스타그램 “아이폰 사용자 계정 해킹 가능한 취약점 있어”

Jeremy Kirk | IDG News Service 2012.12.04
한 보안 연구가가 지난 주 금요일 인스타그램에 해커가 사용자 계정을 제어할 수 있도록 하는 취약점이 있다고 밝혔다.
 
지난 11월 보안 연구가 칼로스 레벤트로브는 인스타그램에 취약점을 발견해 이를 악용한 공격을 시연했고, 그는 이 사실을 11월 11일에 인스타그램측에 알렸으나 지난 화요일 까지도 수정되지 않았다고 전했다.
 
이 취약점은 10월 23일에 배포된 아이폰용 인스타그램 버전 3.1.2에 있는 것으로, 레벤트로브는 로그인 및 프로필 데이터 편집과 같은 중요한 활동들은 인스타그램에 암호화되어 전송되지만 다른 데이터는 평문으로 전송되는 것을 발견했다. 그는 iOS 6를 구동하는 아이폰 4에서 두 가지 공격을 테스트해봤다.
 
그는 “사용자가 인스타그램 앱을 시작하면 평문 쿠키가 인스타그램 서버로 전송된다”라면서, “공격자가 이 쿠키를 손에 넣으면 데이터를 얻거나 사진을 삭제할 수 있는 특별한 HTTP 요청을 만들 수 있다”라고 설명했다.
 
해커가 사용자와 같은 LAN을 사용하면 중간자 공격으로 이 평문 쿠키를 빼낼 수 있다. 쿠키를 취득하면 사진을 삭제하거나 다운로드하거나 희생자의 친구 사진에 접근할 수 있다.
 
레벤트로브는 연구를 계속한 결과, 이 쿠키 이슈로 인해서 해커가 사용자의 계정까지 탈취할 수 있다는 사실을 발견했다. 공격자가 희생자와 같은 LAN을 사용할 때 해당되는 것이다.
 
사용자의 모바일 웹 트래픽을 공격자의 컴퓨터로 통하게 만드는 ARP(Address Resolution Protocol) 스푸핑과 웹 브라우저의 헤더를 수정하는 툴을 이용하면 공격자가 피해 사용자로 둔갑해 로그인하고 이메일 주소를 변경하는 등, 해킹이 가능하다는 설명이다. 
 
레벤트로브에 따르면, 이 문제를 인스타그램이 해결하는 방법은 간단하다. API 요청을 할 때 항상 HTTPS를 사용하도록 하는 것이다. 
 
레벤트로브는 “많은 아이폰 앱 들이 비슷한 취약점이 있는 것을 발견했는데, 인스타그램처럼 인기가 있는 것은 없었다”라고 전했다.
 
한편, 인스타그램이나 페이스북측은 이 같은 취약점에 대해서 공식적인 입장을 밝히지 않았다. editor@itworld.co.kr
Sponsored

회사명 : 한국IDG | 제호: ITWorld | 주소 : 서울시 중구 세종대로 23, 4층 우)04512
| 등록번호 : 서울 아00743 등록발행일자 : 2009년 01월 19일

발행인 : 박형미 | 편집인 : 박재곤 | 청소년보호책임자 : 한정규
| 사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.