구글 계정 접속시 해커에 노출
게임개발사 부랴부랴 보안조치
게임개발사 부랴부랴 보안조치
# 최근 인기를 끌고 있는 증강현실(AR) 모바일 게임인 '포켓몬GO(Pokemon GO)' 등장과 함께 보안 취약점에 대한 지적이 나왔다. 애플 iOS에서 구글 계정으로 접속할 경우 해커가 여기에서 노출된 정보를 이용해 사용자의 구글 계정과 연계된 모든 내용을 들여다볼 수 있다는 지적이었다. 게임 개발사 측은 부랴부랴 이에 대한 보완 조치를 시행했다.
"게임 로그인만 했을 뿐인데 내 이메일과 사진이 다 유출될 수 있다."
18일 보안 업계에 따르면 새로운 개방형 표준기술인 OAuth 2.0 적용 과정에서 허술한 관리에 따른 문제점이 계속 나타나고 있어 피해가 우려되고 있다. OAuth 2.0은 오픈ID로 개발된 표준 인증 방식인데 각종 애플리케이션에서 사용자 인증을 거칠 때 활용될 수 있다.
정보 자원을 보유한 사업자(Resource Owner)가 서비스 제공자(Provider)를 통해 접속자(Client)에게 정보 자원이 담긴 서버(Resource Server) 접근 권한을 부여하는 과정에서 적절한 접속자인지 여부를 확인하고 권한을 내주는 보안인증 방식이다. 앞서 언급한 포켓몬GO 게임의 경우, 구글 계정을 이용해 포켓몬GO 게임에 접속할 때 사용자가 입력한 구글 계정의 정보가 맞는지 여부를 게임 운영업체가 구글에 확인하는 과정에서 이 기술을 사용한다.
하지만 이 과정에서 사용되는 주요 정보가 외부에 노출되는 상황이 발생하면서, 해커가 이를 이용할 경우 해당 계정에 연결된 서비스 내용을 모두 들여다 볼 위험이 있다. 가령 카카오 계정을 이용하다 정보가 노출되는 경우 카카오톡, 카카오스토리, 다음 메일 등 해당 계정으로 이용하는 각종 서비스에 개인적으로 저장한 데이터를 고스란히 유출될 수 있다.
보안 업계 관계자는 "클라이언트에 부여하는 숫자 값을 원래는 난수화 작업을 거쳐 사용해야 하는데 이를 거치지 않은 5자리 숫자로만 부여한 경우도 있었다"며 "이 경우 최근 해커들의 기술력을 이용하면 금세 클라이언트 정보를 파악해낼 수 있다"고 설명했다.
카카오, SK플래닛, 네이버 등 국내 IT업체 3사의 서비스에서도 이 같은 문제가 일시적으로 발견됐으나 현재는 대부분 보완 조치가 완료된 상황이다.
이재운기자 jwlee@
"게임 로그인만 했을 뿐인데 내 이메일과 사진이 다 유출될 수 있다."
18일 보안 업계에 따르면 새로운 개방형 표준기술인 OAuth 2.0 적용 과정에서 허술한 관리에 따른 문제점이 계속 나타나고 있어 피해가 우려되고 있다. OAuth 2.0은 오픈ID로 개발된 표준 인증 방식인데 각종 애플리케이션에서 사용자 인증을 거칠 때 활용될 수 있다.
정보 자원을 보유한 사업자(Resource Owner)가 서비스 제공자(Provider)를 통해 접속자(Client)에게 정보 자원이 담긴 서버(Resource Server) 접근 권한을 부여하는 과정에서 적절한 접속자인지 여부를 확인하고 권한을 내주는 보안인증 방식이다. 앞서 언급한 포켓몬GO 게임의 경우, 구글 계정을 이용해 포켓몬GO 게임에 접속할 때 사용자가 입력한 구글 계정의 정보가 맞는지 여부를 게임 운영업체가 구글에 확인하는 과정에서 이 기술을 사용한다.
하지만 이 과정에서 사용되는 주요 정보가 외부에 노출되는 상황이 발생하면서, 해커가 이를 이용할 경우 해당 계정에 연결된 서비스 내용을 모두 들여다 볼 위험이 있다. 가령 카카오 계정을 이용하다 정보가 노출되는 경우 카카오톡, 카카오스토리, 다음 메일 등 해당 계정으로 이용하는 각종 서비스에 개인적으로 저장한 데이터를 고스란히 유출될 수 있다.
보안 업계 관계자는 "클라이언트에 부여하는 숫자 값을 원래는 난수화 작업을 거쳐 사용해야 하는데 이를 거치지 않은 5자리 숫자로만 부여한 경우도 있었다"며 "이 경우 최근 해커들의 기술력을 이용하면 금세 클라이언트 정보를 파악해낼 수 있다"고 설명했다.
카카오, SK플래닛, 네이버 등 국내 IT업체 3사의 서비스에서도 이 같은 문제가 일시적으로 발견됐으나 현재는 대부분 보완 조치가 완료된 상황이다.
이재운기자 jwlee@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
