BYOD / 개발자 / 보안 / 스마트폰 / 안드로이드

삼성의 스마트폰용 보안 SW ‘녹스’서 치명적 취약점 발견

Mark Hachman | IDG News Service 2013.12.27
삼성 갤럭시 S4, 노트 3 등에 사용된 보안 소프트웨어인 ‘녹스’(Knox)에 악의적인 앱이 보안 환경에서 주고받는 데이터를 가로챌 수 있는 보안 취약점이 발견됐다.

이 취약점은 이스라엘의 벤 구리온 대학 연구진이 발견한 것으로, 지난 24일 월스트리트저널 보도를 통해 알려졌다. 삼성 관계자는 이 취약점이 개발자 휴대폰에서 발견됐으며 “현재 기업들이 사용하는 (녹스가 탑재된) 휴대폰 전체로 배포된 상태는 아니”라고 설명했다. 현재까지 녹스의 보안취약점은 갤럭시 S4에서만 확인됐다.

니트로데스크(NitroDesk)의 '터치다운 HD’(TouchDown HD) 같은 서드파티 앱들처럼 녹스 역시 BYOD(Bring Your Own Device)라 불리는 새로운 트렌드에 대응하기 위해 개발됐다. BYOD는 개인의 스마트폰과 모바일 기기를 기업 네트워크에서 업무용으로 사용할 수 있도록 허용하는 것이다.

문제는 기업 네트워크 관리자들은 이메일과 연락처, 일정 정보 등 민감한 기업 데이터 보안을 확실히 해야 한다는 것이다. 이러한 데이터는 어떤 이유로든 기업 방화벽 밖으로 벗어나서는 안 된다. 삼성의 녹스는 스마트폰 내에 암호화와 가상화가 적용된 공간을 만들어 이메일, 연락처 같은 앱이 보안이 확실한 상태에서 실행되도록 한다. 이 공간 내에서는 보안 정책을 통해 데이터가 녹스 밖으로 이동할 수 없도록 막을 수 있다.

BYOD의 또 다른 보안 문제는 마이크로소프트 익스체인지를 사용해 이메일을 관리하는 기업들이 잃어버리거나 도난당한 휴대폰을 원격에서 초기화하거나 데이터를 삭제할 수 있어야 한다는 것이다. 직원이 퇴사했을 때도 마찬가지 작업이 필요하다.

만약 이때 보안 컨테이너 기술을 사용할 수 없다면 휴대폰 전체를 초기화해야 한다. 직원이 개인적으로 저장한 음악과 개인 연락처를 비롯한 모든 데이터가 함께 삭제된다. 반면 삼성이 개발한 녹스를 이용하면 직원 개인 데이터를 제외한 기업 데이터만 제한적으로 삭제할 수 있다.

이번에 발견된 보안취약점을 이용하면 녹스 보안 컨테이너를 통해 기업 데이터를 빼낼 수 있다. 컨테이너 외부에서 코드를 임의로 추가해 기어 네트워크에서 실행하는 것도 가능하다고 연구진을 설명했다.

기업 데이터와 개인 데이터를 분리하는 것은 블랙베리 10 OS가 여전히 판매되는 이유 중 하나다. 이른바 '퍼앱 VPN’(Per-app VPN) 기술(이 기술은 애플 iOS 7에도 적용됐다)로, 별도의 보안 공간 생성 앱인 ‘디바이드'(Divide)가 대표적이다. 이 앱은 안드로이드용으로도 출시됐으며 비용은 사용자당 월 5달러(약 5,300원)다. 비슷한 역할을 하는 안드로이드용 ‘터치다운’은 균일요금으로 20달러(약 2만 1,200원)이다. editor@itworld.co.kr 

회사명 : 한국IDG | 제호: ITWorld | 주소 : 서울시 중구 세종대로 23, 4층 우)04512
| 등록번호 : 서울 아00743 등록발행일자 : 2009년 01월 19일

발행인 : 박형미 | 편집인 : 박재곤 | 청소년보호책임자 : 한정규
| 사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.