메시지 암호화 안돼 아이디ㆍ비밀번호 손쉽게 빼내
"비밀번호 최대한 길게"
인터넷전화(VoIP)의 보안이 허술해 사용자 등록정보가 유출될 수 있는 것으로 나타났다.
13일 서울 양재동 서울교육문화회관에서 열린 `국제 해킹보안 콘퍼런스 POC 2008'에서 프리랜서 프로그래머인 이경문씨는 인터넷전화를 위해 개발된 통신규약 프로토콜인 SIP(Session Initiation Protocol) 기반의 인터넷전화의 취약점에 대해서 발표하면서 인터넷전화 사용자 등록정보를 알아내는 방법을 시연했다.
이경문씨는 이날 시연에서 시스템상의 패킷(전송되는 데이터)의 정보를 알아내는 스니퍼 프로그램으로 인터넷전화 전화를 걸 때 패킷들을 수집해 등록자의 아이디를 알아내고 크래킹 프로그램으로 비밀번호를 찾아내는 상황을 보여줬다.
그는 "이렇게 수집한 등록자 아이디와 비밀번호를 입력해 다른 사람 계정으로 전화를 걸 수 있다"며 "아직은 아는 사람이 별로 없지만 시연에 이용된 스니퍼, 크래킹 프로그램들을 누구나 쉽게 인터넷에서 구해 조합할 수 있기 때문에 나중에 문제가 될 수 있다"고 지적했다.
이날 행사의 참석자들은 시연 후 등록정보가 유출돼 악의적으로 사용될 가능성에 대해 우려했다. 한 참석자는 "최근 기업들이 전사차원에서 인터넷전화를 도입하는데 누군가 임원의 VoIP 등록정보를 빼내서 악의적으로 그를 사칭한다면 혼란이 올 수 있지 않겠냐"고 말했다.
시연 후 이경문씨는 취약점들에 대한 대책에 대해 "이런 취약점들에 대비하기 위해 개인사용자들은 비밀번호를 만들 때 가능한 길게 만들어 암호의 크래킹 가능성을 낮춰야 한다"며 "또 SIP 기반 메시지들을 암호화해야 한다"고 말했다.
한국정보보호진흥원은 인터넷전화 등록정보 유출 가능성에 대해 현재 통신 중간에서 정보들을 암호화 해주는 모듈 개발을 진행하는 등 취약점을 막기 위한 대책을 마련하고 있다고 밝혔다.
한편 한국의 해커 및 보안전문가 단체인 POC(Power Of Community)가 주최한 이날 행사는 200여명이 참석한 가운데 열렸다. 이날 행사에서 독일의 스테판 에세는 PHP 어플리케이션에 존재하는 취약점을 발견하는 방법과 공격에 대해 발표했고 일본의 하세가와 요스케가 문자 인코딩을 이용한 공격법 등을 소개했다.
"비밀번호 최대한 길게"
인터넷전화(VoIP)의 보안이 허술해 사용자 등록정보가 유출될 수 있는 것으로 나타났다.
13일 서울 양재동 서울교육문화회관에서 열린 `국제 해킹보안 콘퍼런스 POC 2008'에서 프리랜서 프로그래머인 이경문씨는 인터넷전화를 위해 개발된 통신규약 프로토콜인 SIP(Session Initiation Protocol) 기반의 인터넷전화의 취약점에 대해서 발표하면서 인터넷전화 사용자 등록정보를 알아내는 방법을 시연했다.
이경문씨는 이날 시연에서 시스템상의 패킷(전송되는 데이터)의 정보를 알아내는 스니퍼 프로그램으로 인터넷전화 전화를 걸 때 패킷들을 수집해 등록자의 아이디를 알아내고 크래킹 프로그램으로 비밀번호를 찾아내는 상황을 보여줬다.
그는 "이렇게 수집한 등록자 아이디와 비밀번호를 입력해 다른 사람 계정으로 전화를 걸 수 있다"며 "아직은 아는 사람이 별로 없지만 시연에 이용된 스니퍼, 크래킹 프로그램들을 누구나 쉽게 인터넷에서 구해 조합할 수 있기 때문에 나중에 문제가 될 수 있다"고 지적했다.
이날 행사의 참석자들은 시연 후 등록정보가 유출돼 악의적으로 사용될 가능성에 대해 우려했다. 한 참석자는 "최근 기업들이 전사차원에서 인터넷전화를 도입하는데 누군가 임원의 VoIP 등록정보를 빼내서 악의적으로 그를 사칭한다면 혼란이 올 수 있지 않겠냐"고 말했다.
시연 후 이경문씨는 취약점들에 대한 대책에 대해 "이런 취약점들에 대비하기 위해 개인사용자들은 비밀번호를 만들 때 가능한 길게 만들어 암호의 크래킹 가능성을 낮춰야 한다"며 "또 SIP 기반 메시지들을 암호화해야 한다"고 말했다.
한국정보보호진흥원은 인터넷전화 등록정보 유출 가능성에 대해 현재 통신 중간에서 정보들을 암호화 해주는 모듈 개발을 진행하는 등 취약점을 막기 위한 대책을 마련하고 있다고 밝혔다.
한편 한국의 해커 및 보안전문가 단체인 POC(Power Of Community)가 주최한 이날 행사는 200여명이 참석한 가운데 열렸다. 이날 행사에서 독일의 스테판 에세는 PHP 어플리케이션에 존재하는 취약점을 발견하는 방법과 공격에 대해 발표했고 일본의 하세가와 요스케가 문자 인코딩을 이용한 공격법 등을 소개했다.
