FBI가 테러리스트의 아이폰을 뚫는 방법, "낸드 미러링 밖에 없다"

한 포렌식 전문가는 23일 FBI와 지속적인 관계를 가져온 한 외부 도급업체가 기기의 플래시 스토리지 콘텐츠를 복사하는 방식으로 아이폰의 보안 장치를 회피하는 방법을 FBI 조사관들에게 보여줬을 가능성이 높다"고 말했다.


Credit: Macworld UK

"낸드 미러링(NAND mirroring)"이라고 불리는 이 기법은 아이폰 스토리지의 수많은 복사본에 의존해 맞는 암호를 찾을 때까지 가능한 암호 조합들을 입력한다.

아이폰 포렌식과 보안 전문가인 조나단 지라스키는 "다른 개념들은 어느 정도 배제한 상태"라며, "다른 아이디어들은 하나도 맞지 않았다"고 말했다.

지라스키는 "데이터를 위험에 빠트리거나, 도저히 FBI가 받아들일 수 없는 다른 방법들은 사예드 리즈완 파룩이 사용한 아이폰 5C를 수사하는데 훨씬 이전에 검토되어왔다. 그렇지 않더라도 미국 법무부가 주는 2주 시간보다 훨씬 더 걸리기 때문이다"고 설명했다.

파룩과 그의 부인 타프신 말릭은 2015년 12월 2일, 미국 캘리포니아 샌버나디노에서 14명의 사람들을 살해했다. 이 둘은 사건 이후 경찰과의 총격전에서 사망했다. 정부 당국은 발 빠르게 이 사건을 테러 공격이라 불렀다.

2016년 2월, 미 정부는 애플에게 FBI가 아이폰의 암호 해독을 통해 기기로부터 데이터를 추출할 수 있는 소프트웨어를 개발하라는 법원의 명령서를 받아냈다. 애플은 그 법원 명령서를 거부했다.

이 법원 명령의 취득 과정과 이후에 미국 법무부 측은 법정 기록지에 오직 애플만이 이 문제에 도움을 줄 수 있다고 이야기했다. 하지만 3월 21일 미국 법무부는 갑자기 완전히 태도를 바꾸고 이 사건을 담당한 연방 판사에게 아이폰을 뚫을 다른 방법에 대한 단서를 찾았다고 말했다.

미국 법무부는 브리핑에서 "2016년 3월 20일 일요일, 한 외부 단체가 FBI에 파룩의 아이폰을 뚫을 수 있는 가능한 방법을 시연했다"며, "이 방법이 파룩의 아이폰상의 데이터를 망가트리지 않을 유효한 방법인지 알아보기 위해 테스트가 필요하다. 만약 그 방법이 유효하다면 애플의 도움을 받을 필요가 없어진다"고 밝혔다.

미 정부는 법원에 3월 22일로 예정된 공판을 연기해줄 것을 요청했고, 4월 5일까지 일의 진행상황에 대해 법원에 업데이트할 것을 약속했다.

이런 '가능한 방법'이 무엇인지 보안 업체와 지라스키와 같은 포렌식 전문가들의 궁금증을 자아냈다. 지라스키는 자신이 예상한 가능한 기법들의 목록을 살펴보고 몇개씩 지워나가면서 낸드 미러링이 답이라고 결론내렸다.

지라스키는 "탈옥 전문가들의 의견은 듣지 않았을 것이다"며, 사용자가 허가 받지 않은 앱을 아이폰에 추가할 수 있게 해주는 iOS 취약점을 찾는 해커들을 언급하며 말했다. 지라스키는 그와 다른 유명 연구자들이 도움을 자원했을 때 FBI가 거절했다고 이야기했다. 만약 그들이 막다른 벽에 부딪혔으면 탈옥 전문가들은 더 이상 손쓸 수가 없었을 것이라고 추론했다.

또한 아이폰의 프로세서를 산과 레이저를 사용해 해체하는 것을 말하는 용어인 "디-캐핑(de-capping)"과 같은 다른 기법도 쓸 수 없는데, FBI가 정말로 필요로 하는 파룩의 전화기에 저장된 데이터가 파괴될 위험이 있기 때문이라고 설명했다.

이 때문에 낸드 미러링 기법만이 남게 된다. 조금 더 발전된 형태인 이 기법은 비교적 직관적이다. 지라스키는 "아이폰을 연 후에 이 기기의 프로세서가 기판에서 분리된다. 이 콘텐츠를 복사하고 그 결과를 칩 리더/프로그래머에 덤핑하는데, 이를 CD나 DVD 버너와 유사한 작업을 실리콘 칩에 하는 것이다"고 이야기했다.

원본 데이터로부터 무한한 수의 복사본을 만들 수 있기 때문에 '외부'에서 하나의 복사본에 10회씩 비밀번호를 시험해 볼 수 있는데 10회 제한은 바로 애플이 해제를 요청받은 보안 세이프가드 방법 가운데 하나다.

그 복사본은 10회 잘못된 비밀번호 입력 이후 버려지고 다시 복사된 새 버전에 다시 비밀번호를 10회 입력해 볼 수 있다.

지라스키는 "마치 비디오 게임과 같다"고 말했다. 저장된 게임처럼 플레이어가 같은 단계를 깰 때까지 계속해서 시험해보는 것이다. 저장된 데이터로 비밀번호 조합을 계속해서 시험해 볼 수 있는 것이다.

정부 관계자에 따르면, 파룩의 아이폰은 4자리 비밀번호가 걸려있는데 이는 1만 개 순열이 가능해 낸드 미러링 기법을 사용해 모든 수를 대입시키기에 충분한 수준이다. 하지만, 법무부가 연방 법원에 보고하도록 준 시한인 2주 이상의 시간이 걸릴 수도 있다.

비밀번호 입력은 귀찮은 일일 수 있지만 자동화가 거의 가능한 부분이다. 지라스키는 "인턴이 이걸 하나하나 입력하는 일은 없을 것"이라고 말했다.

그 대신 FBI가 언급한 외부 업체 측이 이 절차 일부를 자동화했을 가능성이 높고 또한 비밀번호 인식을 담은 아이폰의 프로세서 일부를 추려내 전체 콘텐츠를 계속해서 복사하지 않아도 될 것이다.

지라스키는 "비밀번호는 USB 포트를 통해 전자적으로 입력되는데, 이 부분은 정부가 애플에게 도움을 요청한 또 다른 부분이다. 이 브루트 포스(Brute Force) 기법은 이미 구형 iOS 에디션을 구동하는 아이폰에 대해 일부 포렌식 업체에서 사용되어왔다"고 주장했다.

지라스키는 "이 모든 상황이 아주 분명하게 짜맞춰진다. 현재 가장 앞서가는 이론은 하드웨어 능력을 갖춘 외부 포렌식 업체가 칩에서 낸드 스토리지를 복사해 칩의 콘텐츠 일부 혹은 전부를 계속 재카피해 비밀번호를 일괄 입력해보고, 어쩌면 iOS 8 기법의 구형 장비를 사용하는 것일 수도 있다"고 분석했다.

지라스키는 자신의 웹사이트에서 "FBI가 요청한 2주는 이 기법을 개발하려는 게 아니라 이 기법을 몇몇 데모 유닛상에서 실제로 시험하는 방식으로 FBI에 이 기법을 입증하고 판매하기 위함일 것이다"고 전했다.

지라스키는 이런 테스트를 수행할 능력이 있을 것으로 추정되는 포렌식 업체를 밝히기를 거부했지만 일부 주요 벤더들이 최근 입조심을 하고 있다는 점은 확인해주었다. "현재 무언가 작업 중에 있음을 부인하지 않은 업체는 단 두 곳뿐이다"고.

지라스키는 지난 20일 FBI의 발표 일자를 지적했는데, 미국에서 이 시각대는 일요일이지만, 해외 다른 지역에서는 월요일이어서 그 포렌식 업체가 미국에 있지 않음을 시사했다.

어쨌든 FBI는 이 사건 해결을 위해 더 많은 시간을 원했다.
지라스키는 "FBI가 목격한 것에 만족했다면 아마 가격 협상이 필요할 것"이라고 말했다. 지라스키는 FBI가 무명 벤더와의 작업을 회피할 것이어서 아마도 FBI의 도급업체 목록에 올라와 있는 업체라고 추정했으며, 다른 모든 주요 포렌식 업체들처럼 이미 미국 정부와의 관리 연속성 협약을 체결했을 것이라고 가정했다.

지라스키는 애플과 FBI와의 대립에서 애플의 입장을 지지했고, 이번 달 초 애플이 파룩의 아이폰을 잠금 해제하는데 도움을 줄 수 있는 정부의 요청을 거절하는 탄원서에 이름을 올린 여러 저명한 iOS 보안 전문가 법정 조언자 가운데 한 명이다.

미 정부가 180도 입장을 바꾼 데 대해 지라스키가 비판한 것도 놀라운 일은 아니다. FBI가 판사에게 애플로 하여금 지원을 해주도록 요청했을 때 "FBI는 암호 입력 시도를 모두 소진했다고 이야기했다. 하지만 "21일 갑자기 FBI가 연구를 계속해왔음을 인정한 것은 지금까지 완전히 솔직하게 드러내지 않았던 것이다"고 말했다.

애플을 압박하기 위한 FBI의 시도를 비판한 다른 이들도 그런 시각을 공유한다.
법정 조언자 의견서를 제출한 미국 시민 자유 연합(American Civil Liberties Union, ACLU)의 변호사 알렉스 압도는 "현재 FBI는 오직 애플만이 도울 수 있다는 이전 진술이 틀렸을 수 있음을 인정하고 있다"고 말했다.

압도는 "이는 신뢰에도 도움이 되지 않고 IT 기업들이 정부에 접속권을 주기 위해 기기의 암호화 수준을 약화시켜야만 하는지에 대한 더 큰 논의에 있어서 정부의 요청에 저항해야 하는 또 하나의 이유가 된다"고 전했다.

압도는 ACLU의 블로그에 "만약 정부의 요청대로 한다면 보안에 있어서 파국으로 이어질 수 있다는 보안 전문가들의 보기드문 의견 일치가 있었다. FBI는 보안 커뮤니티의 이런 의견 일치를 무시하는 방식으로 대응해왔다. 애플 사례의 최근 진행 상황은 FBI가 이 부분에 있어 자신의 논리를 뒷받침하는데 필요한 기술적 역량이 없다고 생각하게 만든다"고 전했다. editor@itworld.co.kr