업데이트 : “이중인증이 이중인증이 아닐 때” 애플 아이클라우드 인증의 보안 구멍

Macworld
*2019년 4월 16일 업데이트 : 애플은 이 문제가 아이클라우드의 이중인증 시스템 때문이 아니라 브라우저가 처리되는 방식 때문이라고 설명했다. 애플 대변인은 브라우저는 별도의 신뢰할 수 있는 디바이스로 인식된다고 설명했다.

아이클라우드 계정과 애플 디바이스 간의 이중인증은 다른 디바이스와 계정 간의 이중인증과 매우 다르다. 애플 방식으로 아이폰이나 맥의 이중인증은 사용자가 소유한 디바이스에 종속되어 있고, 시스템 설정은 이론적으로 물리적인 시큐리티 키(security key)만큼 안전하다. 다만, 그렇지 않을 때가 있다.

예를 들어보자. 아이클라우드나 애플 뮤직 계정에 아이폰에서 로그인하려고 하면 먼저 암호를 입력해야 한다. 암호를 입력하면 신뢰할 수 있는 디바이스, 즉, 아이패드와 같은 디바이스로 전송된 코드를 입력해야 한다. 아이패드에서 누군가 자신의 계정에 로그인을 시도하고 있으며, 허용할 것인지를 묻는 창이 나타난다. 허용을 탭하면 6자리 코드가 나타나는데, 이것을 다시 아이폰의 코드 입력 창에 넣으면 된다.

코드를 받지 못하면(때때로 발생하는 현상) SMS 코드나 아이폰의 설정앱 혹은 환경 설정에서 생성되는 하나를 사용할 수 있다. 아이폰에서 아이클라우드 이름을 탭하거나 맥에서 계정 정보를 탭한 다음 ‘암호 및 보안’을 탭하고 ‘확인 코드 받기’를 탭하면 된다. 6자리 코드가 나타나면 이를 다른 디바이스를 통해 입력해서 인증할 수 있다.

애플이 기본적인 이중인증을 지원하는 것으로 보이며, 신뢰할 수 있는 디바이스를 우선순위에 두는 시스템에는 결함이 없다. 1대 이상의 iOS 디바이스를 사용할 때 최적이다. 두 번째 디바이스를 추가해서 사용자가 알고 있는 것(암호)과 사용자가 소유한 것(디바이스)를 결합하는 것은 진정한 이중인증이다.
 

애플 이중인증 시스템의 구멍

하지만 애플 디바이스를 1대만 갖고 있다면, 문제가 된다. 예를 들어, 아이폰이 유일한 애플 디바이스라고 한다면, 이중인증을 위해 SMS를 사용할 수밖에 없다. 애플이 신뢰할 수 있는 디바이스를 아이폰, 아이패드, 아이팟 터치(iOS 9 이후), OS X 엘 캐피탄 이후로 한정했기 때문에 다른 애플 디바이스로 코드를 받을 수 없다. 즉, PC, 크롬북, 안드로이드 폰 등을 사용할 수 없다는 것이며, 이런 제약은 매우 크다. 아이클라우드에 설정 앱으로 로그인하기 때문에 내장된 인증 탭도 사용할 수 없다.
 
브라우저로 아이클라우드 계정에 로그인해야 할 때 이중인증 코드는 같은 디바이스로 전송된다. ⓒ IDG

이중인증을 통해 기술적으로 계정과 서비스를 보호한다지만, 이는 최소한의 보호 방법이다. 텍스트 기반으로 전송되는 코드들은 스푸핑과 탈취에 취약하다는 점이 잘 알려져 있다. 대부분의 안드로이드 사용자들이 휴대폰에 2가지 옵션이 있다는 점을 인정하지만, 최소한 이들은 생체 인증을 위한 인증 앱을 다운로드할 수 있다. 애플은 아이클라우드를 위한 하드웨어 보안 키를 지원하지 않기 때문에 두 번째 애플 디바이스를 쓰는 것 외에 대안은 없다.

애플 디바이스 한대로 아이클라우드 이중인증을 사용하게 되면 웹에서 계정을 관리해야 할 때 결함이 발생한다. 애플 ID 계정 페이지에서 암호를 넣고 로그인을 하면, 애플은 자동으로 이중인증 코드를 입력하라는 창을 띄운다.

근데 이 코드는 신뢰할 수 있는 디바이스로만 전달이 되는데, 여기에는 현재 사용 중인 디바이스도 포함된다. 맥에서 사파리를 사용하고 있다면 이중인증 코드가 같은 창에서 나타나기 때문에 맥을 도난당한 경우 민감한 데이터를 취약하게 만들 수 있는 요소다. 맥을 훔쳐 간 사람이 계정에 로그인하기 위해 필요한 것은 암호뿐이기 때문이다.

애플은 이 문제에 대해 아이클라우드의 이중인증 시스템이 아니라 브라우저가 처리되는 방식에 따른 것이라고 해명했다. 한 대변인은 아이클라우드 이중인증에서는 브라우저가 별도의 신뢰할 수 있는 디바이스로 처리되며, 이 때문에 현재 사용 중인 같은 디바이스로 코드가 전송되는 것이라고 설명했다. 이해가 되는 부분이지만, 여전히 보안 구멍은 맞으며 애플의 강력한 이중인증 시스템을 덜 안정한 단일 인증 시스템으로 만든다. editor@itworld.co.kr