“스마트폰 공격이 몰려온다” 안드로이드 보안 책임자 경고

구글의 안드로이드 보안 최고 책임자가 스마트폰의 인기가 올라감에 따라, 점차 범죄 대상으로도 인기가 올라가고 있다고 경고했다.

지난 'USENIX 시큐리티 심포지엄'에서 안드로이드 보안 최고 책임자인 리치 캐닝스는 “스마트폰의 운영체제는 앞으로 보안 공격의 주요한 타깃이 될 것”이라고 지적했다. 공격자들은 스마트폰을 공격해 수백만의 피해자를 만들 수 있는 능력을 이미 가지고 있으며, 이런 피해자의 숫자는 더 커질 것이라는 설명. 캐닝스는 “개인적으로 이것이 악성 프로그램을 제작하는 사람들에게는 하나의 계시처럼 다가올 것”이라고 덧붙였다.

현재까지는 마이크로소프트의 운영체제인 윈도우가 이러한 범죄의 일차적인 공격대상이고, 해커들은 모바일 기기에 대해서는 관대한 모습을 보여 왔다. 보안 전문가들은 그 이유로 그 동안은 전통적으로 모바일 기기에는 중요한 데이터를 보관하는 일이 별로 없었고, 너무나 다양한 기기가 존재해 다수의 이용자를 한 번에 감염시킬 수 있는 바이러스의 개발이 힘들었기 때문이라고 설명하고 있다.

하지만 사람들이 아이폰, 블랙베리, 그리고 구글의 바램대로 삼성의 I7500과 같이 안드로이드를 탑재한 스마트폰 등을 사용하기 시작하면서, 지금까지와는 다른 양상으로 변화하고 있다.

구글은 아이폰 등과 같은 경쟁자에 비해서 시장에 늦게 진입했지만, 안드로이드 플랫폼을 더욱 개방해 개발자들에게 매력적인 것으로 다가갈 수 있도록 함으로써 다른 경쟁자와의 간극을 좁혀갈 수 있기를 기대하고 있다. 안드로이드는 오픈소스를 구성요소로 사용하고 있으며, 구글은 애플에 비해 기기 제조사나 애플리케이션 개발자들에 대한 제약을 훨씬 적게 두고 있다.

예를 들어, 애플은 애플리케이션을 앱스토어에서 판매하려면, 사전에 반드시 애플의 인가를 받도록 규제하고 있다. 구글은 안드로이드 마켓에서 이러한 제약을 전혀 두지 않고 있다.

보안 부분에 대한 공개적 접근 방식은, 보안 책임자인 캐닝스가 안드로이드 보안에 대해 말하는 것이 허가되었다는 사실에서도 잘 드러난다. 일반적으로 휴대폰 제조업체는 자사의 보안정책에 대해서는 일절 언급하지 않기 때문이다.

구글의 개방성은 개발자들에게는 혁신의 자유를 제공하지만, 동시에 이것이 잘못된 곳에 사용될 가능성도 열어두고 것이다. 캐닝스는 “우리는 개발자가 아무런 제약없이 애플리케이션을 업로드할 수 있기를 바란다. 하지만 불행한 것은 악성 프로그램의 업로드에도 제약이 없다는 것”라고 강조했다.

구글은 (안드로이드의 테스트 버전을 탑재한 컴퓨터에게는) 안드로이드 마켓의 프로그램들을 점검하기 위해 애플리케이션 허니팟을 운용하고 있으며, 안드로이드의 리눅스 운영체제가 애플리케이션을 구동하는 방법에도 변화를 주고 있다. 각각의 애플리케이션은 “애플리케이션 샌드박스(sandbox)”라고 부르는 가상머신 환경에서 실행되는데, 이 안에서는 프로그램이 휴대폰 내의 다른 프로그램에 영향을 미칠 수 없다.

애플리케이션은 필요에 따라 운영체제 중 일부에 접근할 수는 있으나, 다른 부분에의 접근은 차단되어 있다. 예를 들어, 안드로이드에는 미디어 서버 처리기능이 있어 휴대폰의 화면에 글을 쓴다거나, 사운드 카드를 이용하는 것이 가능하지만, 브라우저나 블루투스 연결에의 접근은 불가능하게 되어 있다.

캐닝스는 이 같은 접근방식이 지난 2월, 보안 연구가인 찰리 밀러가 안드로이드에서 MP3를 재생하는 방식에서 버그를 찾아냄으로써 그 가치가 확인됐다고 설명했다. 다른 많은 운영체제에서 이런 종류의 버그는 컴퓨터에서 불법 소프트웨어를 돌리는 데에 사용될 수 있으나, 안드로이드의 애플리케이션 샌드박스가 이런 부분을 적절히 제한했다는 것이다.

밀러는 최근 아이폰과 안드로이드 모두에서 문자 메시지를 처리하는 방식에 심각한 결함이 있음을 발견했다. 그러나 이런 취약점에 따른 결과는 안드로이드에서는 그다지 심각하지 않은 것이라고 지적했다.

그러나 밀러는 아이폰은 안드로이드에는 없는 중요한 보안상의 특징을 가지고 있다고 덧붙였다. 애플의 정교한 메모리 보호 시스템과 아이폰의 코드에 접근하기 위해서는 디지털 서명이 필요하도록 만든 것은 모두 매우 강력한 보안 기능이라는 것이다. 그러나 안드로이드의 샌드박스에 대해서는 “해커의 삶을 힘들게 하는 것만은 확실한 정도”라고 평했다.

밀러가 지난 2월 안드로이드를 자세히 살펴봤을 때, 아이폰보다 더 안정적인 부분을 발견하지는 못했지만, 일부 보안 전문가들은 구글이 좀 더 우세한 것으로 보고 있다.

미시건 주립 대학의 전기공학 및 컴퓨터학 조교수인 알렉스 할더만은 “비록 시장 점유율에선 애플이 앞서고 있지만, 보안 경쟁에서는 구글이 앞서 있다”며, “구글 시스템은 애플리케이션이 깨지더라도 피해가 심각해지지 않도록 설계되어 있다”고 설명했다.

할더만은 공개적인 접근 방식이 구글의 “주요 경쟁력”을 될 것이고, 안드로이드가 우세하게 되어 애플이 플랫폼을 공개하게 만들 수 있을 것이라고 믿고 있다.  robert_mcMillan@idg.com