iOS

애플, ‘데이터 트래픽 추적만 해도’ 앱스토어에서 앱 내린다

Jeremy Kirk | IDG News Service 2015.10.12
애플이 지난 목요일 신뢰할 수 없는 출처로 사용자의 웹 트래픽을 노출할 보안 위험을 안고 있는 몇 가지 앱을 앱 스토어에서 삭제했다고 밝혔다. 애플은 사용자에게 이들 앱의 삭제를 권장했으나 정확한 앱 이름이나 제조사를 밝히지 않아 사용자가 어떤 앱에서 데이터 위협이 발생하는지 정확히 알 수 없는 상태다.

이 의문의 앱들은 사용자의 애플 모바일 기기에 자체적인 디지털 인증서를 설치하는 것으로 알려졌다. 이를 통해 기기와 서비스 간의 암호화 연결을 끊고 트래픽을 감시할 수 있어 보안 위협으로 작용할 가능성이 높다.

대부분의 웹사이트와 앱은 사용자와 교환된 데이터 트래픽을 암호화하는 SSL/TLS(Secure Socket Layer/Transport Security Layer) 프로토콜을 사용한다. SSL/TLS는 인터셉트 된 데이터 트래픽 해독을 불가능하게 하는 웹 보안의 이정표 격인 프로토콜이다.

일부 사례에서 암호화된 연결에 간섭하는 것은 이론적으로 가능하다. 보안을 위해 암호화된 트래픽 분석을 원하는 대부분의 기업들은 SSL 프록시를 사용해 기존 세션을 끊고 자체적인 디지털 인증서로 새로운 세션을 시작할 것이다. 이로써 트래픽을 탐지해 악성 움직임을 알아낼 수 있다.

이런 시나리오에서 기업의 직원들은 언제나 모니터링될 수 있다는 확률을 염두에 두어야 한다. 그러나 앱 스토어를 이용하는 사용자들은 아마도 민감한 데이터에 앱이 접근할 가능성에 대해 모르고 있는 경우가 많다.

애플은 악성 앱이 자체 스토어에서 유통되지 않도록 확인하는 과정을 갖추고 있다. 이러한 확인 과정은 애플 앱 스토어에 악성 모바일 앱으로 인한 문제가 상대적으로 더 적은 원인이 되기도 한다.

디지털 인증서 설치 그 자체는 위험한 행동이 아니지만, 애플은 실제 사용자들이 이런 앱이 어떤 결과로 이어질지 정확히 모르고 있다는 사실을 인지하고 우려할 수 있다. 애플은 컨피겨레이션 파일이 있는 앱을 지우는 방법을 자세히 설명하는 지원 안내문을 공개했다. 컨피겨레이션 파일은 디지털 인증서가 설치됐다는 신호가 된다. 그러나 어떤 앱인지 특정하지 않았기 때문에 많은 사용자들이 어떤 앱을 삭제해야 할지 알 수 없다는 우려가 남는다. editor@itworld.co.kr  

회사명 : 한국IDG | 제호: ITWorld | 주소 : 서울시 중구 세종대로 23, 4층 우)04512
| 등록번호 : 서울 아00743 등록발행일자 : 2009년 01월 19일

발행인 : 박형미 | 편집인 : 박재곤 | 청소년보호책임자 : 한정규
| 사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.