디지털 디바이스 / 보안

IDG 블로그 | 스포일러 경고 "TV도 해킹된다"

Roger A. Grimes | InfoWorld 2012.04.24
"2016년까지 1억 대의 TV가 웹에 연결될 것이다"라는 헤드라인의 기사를 읽어 보았을 것이다. 필자가 항상 새로운 위협에 대해 조심한다는 것을 알고 있을 것이기에, 이런 질문을 던지고 싶다. “인터넷 TV도 이전 세대의 디지털 기기와 마찬가지로 해킹을 당하게 될까?”
 
물론 그렇다.
 
TV라고 해서 PC보다 보안이 더 튼튼한 것이 아니다. 인터넷에 연결된 TV는 IP 주소, 항상 연결된 네트워크 환경, CPU, 스토리지, 메모리, 운영체제 등을 갖고 있으며, 해커들은 이런 것들을 이용해 지난 30년 동안 해킹을 자행해 왔다.
 
그렇다면 우리는 일반적인 컴퓨터보다 인터넷 TV를 더욱 안전하게 만들 수 있을까? 그렇다. 정말로 그럴까? 아마도 그렇지 않을 것이다. 우리는 무언가를 사전에 제대로 처리한 적이 없다. 대신에 우리는 실질적인 보호보다는 미봉책에 가까운 보안 솔루션을 받아 들이게 될 것이다.
 
필자는 일전에 인터넷에 연결된 TV 해킹에 성공한 적이 있다. 필자가 파운드스톤(Foundstone)에서 근무했을 때 필자의 침입 테스트 팀이 소위 말하는 최초의 IP TV의 셋톱 박스를 해킹하도록 의뢰를 받은 적이 있다. 일반적인 TV들이 특별한 BSD를 구동하는 간단한 맞춤식 개인용 컴퓨터 기기인 셋톱 박스에 연결되어 있었다.
 
우리의 목표는 셋톱 박스를 해킹해 고객의 개인정보를 훔치고 서비스를 불법 복제하며 DoS(Denial of Service) 환경을 초래할 수 있는지 확인하는 것이었다. 여기에 필자는 재미를 더하기 위해 2가지 목표를 추가했다. 그 목표는 포르노(케이블 회사의 일반적인 최대 수익원)를 훔치거나 디즈니의 콘텐츠를 시청하고 있는 TV에 강제로 포르노를 송출할 수 있는지 확인하는 것이었으며, 그 이면에는 이런 공격을 받은 고객이 서비스를 해지하게 될 것이라는 계산이 있었다.
 
3명의 전문가가 컴퓨터실에 앉아 가정용 케이블에 연결된 IP TV를 해킹하는 상황을 연출했다. 우리는 그 곳에서 며칠 동안 한 쪽에는 포르노를 틀어놓고 다른 한 쪽에는 디즈니 콘텐츠를 틀어놓고 있었다. 결론적으로 시간이 지나면서 디즈니 채널이 훨씬 볼만하다는 것을 깨닫게 되었다. 포르노는 너무 단조로웠다.
 
어쨌든 필자는 오픈소스 유틸리티 닉토(Nikto)를 이용해 셋톱 박스의 고위(High Range) 포트에서 운용되는 웹 서버를 찾아낼 수 있었다. 닉토는 웹 서버의 몇몇 취약성을 발견했지만 결국에는 모두 판단 오류로 드러났다. 하지만, 어쨌든 필자는 웹 서버를 찾아냈으며, 닉토는 해당 브랜드를 정확히 파악해 냈다. 
 
필자는 해당 웹 서버를 처음으로 접해 보았기 때문에 인터넷 검색을 통해 해당 서버가 약 7년 전에 폐기된 오픈소스 프로젝트였다는 사실을 알아냈다. 이상한 점은 해당 셋톱 박스의 제조업체가 그 이후로 우리가 현재 일반적으로 알고 있는 웹 사이트 취약성에 대해 패치(Patch)를 적용했다는 점이었다.

이제는 모든 것이 일사천리로 진행되었다. 필자는 오래지 않아 디렉토리 접근 공격(Directory Traversal Attack)을 통해 해당 박스를 해킹할 수 있었으며, 필자의 동료는 간단한 자바스크립트 XSS(JavaScript cross-site scripting) 공격이 통한다는 것을 알아냈다. 
 
우리는 이 2개의 취약성을 이용해 해당 박스를 점령했을 뿐 아니라 전체 케이블 시스템을 해킹할 수 있었다. 개인적으로 직업상 가장 큰 보람과 재미를 느꼈던 때라고 생각한다. 침입 테스트는 언제나 재미있다. 하지만 해킹을 통해 친구들과 포르노를 복제하고 기업 네트워크를 점령하는 것은? 정말 재미있다.
 
웹에 연결된 TV의 미래는 오늘의 현실과 같을 것이다. 우리는 세계적인 악성 소프트웨어, 끊임없는 TV 패치, DoS 공격 등 인터넷에 항시 연결된 세계에서 경험할 수 있는 모든 부정적인 것들을 경험하게 될 것이다. 그리고 필자는 직장을 잃을 일이 없을 것이다.  editor@itworld.co.kr
 Tags
Sponsored

회사명 : 한국IDG | 제호: ITWorld | 주소 : 서울시 중구 세종대로 23, 4층 우)04512
| 등록번호 : 서울 아00743 등록발행일자 : 2009년 01월 19일

발행인 : 박형미 | 편집인 : 박재곤 | 청소년보호책임자 : 한정규
| 사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.