-
인증 절차없는 메세지로 통신을 원격 마비시킬수 있다
최근 발생한 SKT 해킹 사고와 KT 소액 결제 사건은 이동통신 보안의 중요성을 더욱 강조하고 있다. 휴대폰이나 IoT 기기가 기지국(무선)과 연결되면, 그 신호를 받아서 사용자의 정체 확인, 인터넷 연결, 전화·문자·요금 처리, 다른 사용자와의 데이터 전달 등을 담당하는 것이 ‘LTE 코어 네트워크’다. KAIST 연구진이 LTE 코어 네트워크에 인증되지 않은 공격자가 원격으로 정상 사용자의 내부 정보를 조작할 수 있는 새로운 보안 취약점을 세계 최초로 규명했다.
우리 대학 전기및전자공학부 김용대 교수 연구팀이 LTE 코어 네트워크에서 인증되지 않은 공격자가 원격으로 다른 사용자의 내부 상태 정보를 조작할 수 있는 심각한 보안 취약점을 발견했다고 2일 밝혔다.
김용대 교수 연구팀은 LTE 코어 네트워크에서 ‘컨텍스트 무결성 침해(Context Integrity Violation, CIV)’라는 새로운 취약점 클래스를 발견하고, 이를 체계적으로 탐지하는 세계 최초의 도구 ‘CITesting’을 개발했다.
이 연구는 10월 13~17일 대만 타이베이에서 열린 제32회 ACM CCS(Conference on Computer and Communications Security)에서 발표됐으며, 우수논문상(Distinguished Paper Award)을 수상했다.
ACM CCS는 전 세계 4대 최고 권위 보안 학회 중 하나로, 올해 약 2,400편의 논문이 제출된 가운데 단 30편만이 수상 논문으로 선정됐다.
기존 보안 연구들이 주로 '네트워크가 단말기를 공격하는' 다운링크 취약점에 집중한 반면, 이번 연구는 상대적으로 소홀히 다뤄진‘단말기가 코어 네트워크를 공격하는' 업링크 보안을 집중 분석했다. 특히 연구팀은 '컨텍스트 무결성 침해(Context Integrity Violation, CIV)'라는 새로운 취약점 클래스를 정의했다.
즉, 단말(또는 공격자가 조작한 단말)이 정상 기지국을 통해 코어 네트워크로 메시지를 보낸 뒤, 그 메시지가 네트워크 내부의 사용자 상태(정보)를 잘못 변경하게 만드는 ‘업링크 보안’에 집중했고, 인증되지 않은(또는 부적절하게 인증된) 입력이 네트워크의 내부 상태를 바꿔버리는 상황인 ‘컨텍스트 무결성 침해(CIV)’에 집중했다.
이는 ‘인증되지 않은 메시지는 내부 시스템 상태를 변경해서는 안 된다’는 기본 보안 원칙을 위반하는 것이다. 3GPP(휴대전화·무선망의 작동 규칙을 만드는 국제 표준 기구)의 표준 초기 버전에서는 이러한 행위를 명시적으로 금지하지 않았다.
즉 3GPP 표준은‘인증에 실패한 메시지는 처리하지 말라’는 규칙은 갖고 있지만, ‘아예 인증 절차 없이 들어온 메시지를 어떻게 다뤄야 하는지’에 대한 규정은 명확히 없다는 점이 문제다.
유일한 선행 연구인 LTEFuzz가 31개의 제한된 테스트 케이스에 그친 것과 달리, 본 연구에서는 CITesting을 통해 2,802개에서 4,626개에 이르는 훨씬 광범위한 테스트 범위를 체계적으로 탐색하였다.
연구팀은 CITesting을 활용해 오픈소스와 상용 LTE 코어 네트워크 4종을 대상으로 평가한 결과, 실제 공격 시연에서도 통신 마비를 확인했다.
이를 통해 모두 CIV 취약점이 존재하는 것으로 확인되었고 테스트 대상 탐지 결과(총 테스트 기반)와 고유 취약점 수는 ▲Open5GS 2,354건 탐지, 29건 ▲srsRAN 2,604건 탐지, 22건 ▲Amarisoft 672건 탐지, 16건 ▲Nokia 2,523건 탐지, 59건으로 확인되었다.
연구팀은 해당 취약점이 (1) 공격자가 피해자 식별자를 도용해 네트워크 정보를 망가뜨려 재접속을 거부시키는 서비스 거부, (2) 단말로 하여금 휴대폰 유심(SIM)에 저장된 이용자 고유 식별번호(IMSI)를 평문으로 재전송하게 해 노출시키는 IMSI 유출, (3) 이미 알고 있는 영구 식별번호를 이용해 재접속 시 발생하는 신호를 수동으로 포착함으로써 특정 사용자의 위치를 추적하는 공격으로 이어질 수 있음을 증명했다.
기존의 가짜 기지국·신호 간섭 공격은 피해자 근처에 물리적으로 있어야 했지만, 이번 공격은 정상 기지국을 통해 코어로 조작된 메시지를 보내는 방식이라 피해자와 같은 MME(LTE 네트워크에서 가입자 인증과 이동·세션 관리를 총괄하는 중앙관제 역할을 하는 기지국) 관할 지역이면 어디서든 원격으로 영향을 줄 수 있어 훨씬 광범위하다.
김용대 KAIST 교수는 “그동안 업링크 보안은 코어 네트워크 테스트의 어려움, 구현 다양성 부족, 규제 제약 등으로 인해 상대적으로 소홀히 다뤄져 왔으며, 컨텍스트 무결성 침해는 심각한 보안 위험을 초래할 수 있다”고 설명했다.
이어 그는 “이번 연구에서 개발한 CITesting 도구와 검증 결과를 바탕으로 5G 및 프라이빗 5G 환경으로 검증 범위를 확대할 계획”이라며, “특히 산업·인프라용 전용망(프라이빗 5G)에서는 탱크 통신 차단이나 IMSI 노출과 같은 치명적 보안 위협을 예방하기 위한 필수 테스트 도구로 발전시켜 나가겠다”고 밝혔다.
연구팀은 취약점을 벤더별로 책임감 있게 공개해 Amarisoft는 패치를 배포하고 Open5GS는 연구팀 패치를 공식 저장소에 통합했으나, Nokia는 3GPP 표준을 준수한다며 취약점으로 보지 않아 패치 계획이 없다(현재 해당 장비를 사용하는 통신사 여부에 대해서도 답변하지 않았다).
이번 연구에는 KAIST 전기및전자공학부 손민철, 김광민 박사과정이 공동 제 1저자로 KAIST 전기및전자공학부 오범석 박사과정, 경희대 박철준 교수, KAIST 김용대 교수가 교신저자로 참여해 세계 최고 보안학회 ACM CCS 2025에서 10월 14일 발표되었다.
※논문 제목: CITesting: Systematic Testing of Context Integrity Violations in LTE Core Networks,
논문링크: https://syssec.kaist.ac.kr/pub/2025/CITesting.pdf
오픈소스: https://github.com/SysSec-KAIST/CITesting
동영상: https://sites.google.com/view/citesting/%ED%99%88
한편 이번 연구는 2025년도 정부(과학기술정보통신부)의 재원으로 정보통신기획평가원(IITP)의 지원을 받아 수행되었다(No. RS-2024-00397469, 특화망·기업망 통합보안을 위한 5G 특화망 보안 기술개발).
2025.11.03
조회수 3069
-
해킹 피해도 젠더따라 다르다..SNS분석으로 디지털 격차 경고
수백만 개의 계정이 해킹되어 사이버 범죄를 조장하고 있음에도 불구하고, 기존 해킹 관련 연구는 기술적 측면에만 집중돼 있었다. 이에 우리 연구진은 SNS 빅데이터에 인공지능 분석법을 적용해 해킹 피해에 대한 남녀 간 행동 패턴 차이를 규명했으며, 이를 바탕으로 해킹 피해 완화 정책과 맞춤형 보안 대응 역량 강화 프로그램의 개발이 시급하다는 점을 제시했다.
우리 대학 과학기술정책대학원 최문정 교수 연구팀이 젠더에 따라 디지털 해킹 피해 경험 및 대응 방식이 다르다는 사실을 규명했다고 8일 밝혔다.
이번 연구는 ‘디지털 격차’중에서도 ‘제3레벨 디지털 격차(The Third-Level Digital Divide)’의 관점에서, 젠더에 따른 해킹 피해 경험의 차이를 분석했다. ‘제3레벨 디지털 격차’는 유사한 디지털 접근성과 사용 능력을 갖춘 사용자들 사이에서 나타나는 디지털 활용 결과의 사회적 불균형을 의미한다.
연구팀은 소셜미디어(SNS) 트위터(現 X) 데이터를 기반으로 13,000건 이상의 해킹 관련 게시글을 인공지능으로 분석한 결과, 여성은 디지털 서비스 전반에서, 남성은 특히 게임 관련 서비스에서 해킹 피해 경험을 더 많이 공유하는 경향이 있음을 밝혀냈다.
특히, 해킹 피해 이후의 대응 방식에서도 젠더 차이가 뚜렷하게 나타났다. 남성은 해킹 출처를 추적하거나 계정을 복구하는 등의 방식으로 대응하는 반면, 여성은 문제를 신고하거나 도움을 요청하는 등 사회적 지원을 활용하는 경향을 보였다.
허은진(Ern Chern Khor) 박사과정생은 “디지털 격차를 논의할 때 단순히 인터넷 접근성이나 모바일 기기 사용 능력에만 초점을 맞추는 경향이 있다. 그러나 본 연구는 디지털 접근성과 역량이 유사함에도 불구하고 디지털 경험의 사회적 영향이 다르게 나타나는 ‘제3레벨의 디지털 격차’에 주목했다는 점에서 연구의 의미가 있다”고 밝혔다.
최문정 교수는 “디지털 시대에 100세 인생을 살아가는 누구나 디지털 보안 문제를 겪을 수 있다. 하지만, 해킹 피해가 실제로 발생하기 전까지는 어떻게 대응해야 할지 알기 어렵다. 사고 대응 매뉴얼과 같이 인구 사회학적 특성에 따른 행동 패턴을 반영한 맞춤형 보안 교육 및 지원이 효과적일 것”이라고 강조했다.
이번 연구는 과학기술정책대학원 박사과정 허은진(Ern Chern Khor)이 제1 저자로 참여한 연구로 정보통신정책과 디지털 미디어 분야의 세계적 학술지인 ‘소셜 사이언스 컴퓨터 리뷰(Social Science Computer Review)’에 4월 29일 자 온라인으로 출간됐다.
※논문명: 트위터 데이터를 활용한 해킹 피해 경험의 젠더 격차 연구: 제3레벨 디지털 격차를 중심으로 (Exploring Gender Disparities in Experiences of Being Hacked Using Twitter Data: A Focus on the Third-Level Digital Divide)
※DOI: 10.1177/08944393251334974
이번 연구는 한국연구재단 개인기초연구 과학기술-인문사회융합 중견연구사업 지원을 받아 수행됐다.
2025.06.09
조회수 8118
-
금융 필수 보안 소프트웨어가 해킹 악용 가능성 밝혀
우리나라는 금융 보안 소프트웨어 설치를 의무화한 유일한 국가다. 이것이 오히려 보안 위협에 취약할 수도 있다는 우려가 국내 연구진에 의해 밝혀졌다. KAIST 연구진은 안전한 금융 환경을 위한 현재 복잡하고 위험한 보안 프로그램을 강제로 설치하는 방식 대신, 웹사이트와 인터넷 브라우저에서 원래 설정한 안전한 규칙과 웹 표준을 따르는 ‘근본적 전환’이 필요하다고 설명했다.
우리 대학 전기및전자공학부 김용대·윤인수 교수 공동 연구팀이 고려대 김승주 교수팀, 성균관대 김형식 교수팀, 보안 전문기업 티오리(Theori) 소속 연구진이 공동연구를 통해, 한국 금융보안 소프트웨어의 구조적 취약점을 체계적으로 분석한 연구 결과에 대해 2일 밝혔다.
연구진은 북한의 사이버 공격 사례에서 왜 한국의 보안 소프트웨어가 주요 표적이 되는지에 주목했다. 분석 결과, 해당 소프트웨어들이 설계상의 구조적 결함과 구현상 취약점을 동시에 내포하고 있음이 드러났다. 특히 문제는, 한국에서는 금융 및 공공서비스 이용 시 이러한 보안 프로그램의 설치를 의무화하고 있다는 점이다.
이는 전 세계적으로도 유례가 없는 정책이다. 연구팀은 국내 주요 금융기관과 공공기관에서 사용 중인 7종의 주요 보안 프로그램(Korea Security Applications, 이하 ‘KSA 프로그램’)을 분석해 총 19건의 심각한 보안 취약점을 발견했다. 주요 취약점은 ▲키보드 입력 탈취 ▲중간자 공격(MITM) ▲공인인증서 유출 ▲원격 코드 실행(RCE) ▲사용자 식별 및 추적 이다.
일부 취약점은 연구진의 제보로 패치됐으나, 전체 보안 생태계를 관통하는 근본적 설계 취약점은 여전히 해결되지 않은 상태다. 연구진은 "이러한 보안 소프트웨어는 사용자의 안전을 위한 도구가 되어야 함에도 오히려 공격의 통로로 악용될 수 있다”며, 보안의 근본적 패러다임 전환이 필요하다고 강조했다.
연구팀은 국내 금융보안 소프트웨어들이 웹 브라우저의 보안 구조를 우회해 민감한 시스템 기능을 수행하도록 설계됐다고 지적했다. 브라우저는 원칙적으로 외부 웹사이트가 시스템 내부 파일 등 민감 정보에 접근하지 못하도록 제한하지만, KSA는 키보드 보안, 방화벽, 인증서 저장으로 구성된 이른바 ‘보안 3종 세트’를 유지하기 위해 루프백 통신, 외부 프로그램 호출, 비표준 API 활용 등 브라우저 외부 채널을 통해 이러한 제한을 우회하는 방식을 사용하고 있다.
이러한 방식은 2015년까지는 보안 플러그인 ActiveX를 통해 이뤄졌지만, 보안 취약성과 기술적 한계로 ActiveX 지원이 중단되면서 근본적인 개선이 이뤄질 것으로 기대됐다. 그러나 실제로는 실행파일(.exe)을 활용한 유사한 구조로 대체되면서, 기존의 문제를 반복하는 방식으로 이어졌다. 이로 인해 브라우저 보안 경계를 우회하고, 민감 정보에 직접 접근하는 보안 리스크가 여전히 지속되고 있다.
이러한 설계는 ▲동일 출처 정책(Same-Origin Policy, SOP)* ▲샌드박스** ▲권한 격리*** 등 최신 웹 보안 메커니즘과 정면으로 충돌한다. 연구팀은 실제로 이러한 구조가 새로운 공격 경로로 악용될 수 있음을 실증적으로 확인했다.
*Same-Origin Policy(SOP, 동일 출처 정책): 웹 보안의 핵심 개념 중 하나로, 서로 다른 출처(origin)의 웹 페이지나 스크립트 간에 데이터에 접근하지 못하도록 제한하는 보안 정책
**샌드박스(Sandbox): 보안과 안정성을 위해 시스템 내에서 실행되는 코드나 프로그램의 활동을 제한된 환경 안에 가두는 기술
***권한 격리(Privilege Separation): 시스템 보안을 강화하기 위해, 프로그램이나 프로세스를 여러 부분으로 나누고 각각에 최소한의 권한만 부여하는 보안 설계 방식
연구팀이 전국 400명을 대상으로 실시한 온라인 설문조사 결과, 97.4%가 금융서비스 이용을 위해 KSA를 설치한 경험이 있었으며, 이 중 59.3%는 ‘무엇을 하는 프로그램인지 모른다’고 응답했다. 실제 사용자 PC 48대를 분석한 결과, 1인당 평균 9개의 KSA가 설치돼 있었고 다수는 2022년 이전 버전이었다. 일부는 2019년 버전까지 사용되고 있었다.
김용대 교수는 “문제는 단순한 버그가 아니라, ‘웹은 위험하므로 보호해야 한다’는 브라우저의 보안 철학과 정면으로 충돌하는 구조”라며 “이처럼 구조적으로 안전하지 않은 시스템은 작은 실수도 치명적인 보안 사고로 이어질 수 있다”고 강조했다.
이어 “이제는 비표준 보안 소프트웨어들을 강제로 설치시키는 방식이 아니라, 웹 표준과 브라우저 보안 모델을 따르는 방향으로 전환해야 한다”며, “그렇지 않으면 KSA는 향후에도 국가 차원의 보안 위협의 중심이 될 것”이라고 덧붙였다.
우리 대학 김용대·윤인수 교수, 고려대 김승주 교수, 성균관대 김형식 교수가 연구를 주도했으며, 제1 저자인 윤태식 연구원<(주)티오리/KAIST>을 비롯해 정수환<(주)엔키화이트햇/KAIST>, 이용화<(주)티오리> 연구원이 참여했다. 세계 최고 권위의 보안 학회 중 하나인 ‘유즈닉스 시큐리티 2025(USENIX Security 2025)’에 채택됐다고 2일 밝혔다.
※ 논문명: Too Much of a Good Thing: (In-)Security of Mandatory Security Software for Financial Services in South Korea
※ 논문원문: https://syssec.kaist.ac.kr/pub/2025/Too_Much_Good.pdf
이번 연구는 정보통신기획평가원(IITP)의 RS-2024-00400302, RS-2024-00438686, RS-2022-II221199 과제의 지원을 받아 수행됐다.
데모 동영상 1) https://drive.google.com/file/d/1MAK-fLQ5VEsNtCu0ARpyWuflf1I2yLbv/view?usp=sharing
설명: 피해자가 해킹 사이트에 접속하게 되면 해킹 사이트는 설치된 키보드 보안 프로그램과 통신하여 피해자가 입력하는 키보드 입력을 가로채어 자신에게 전송하도록 설정할 수 있음. 이로 인해 피해자가 입력하는 키보드 입력들이 비밀번호 입력까지도 해커에게 전송됨. 일반적으로 웹 페이지에서 다른 프로그램이나 다른 사이트에 입력하는 키보드 입력을 가로채는 것이 불가능하지만 KSA를 이용해 키보드 입력을 가로챌 수 있음.
데모 동영상 2) https://drive.google.com/file/d/17xrxXuwejYvxbOSHDNLTr9G_vKWI0Lbm/view?usp=sharing
설명: 피해자가 해킹 사이트에 접속하게 되면 해킹 사이트는 KSA와 통신하여 피해자의 PC에 악성 파일을 다운로드 시킬 수 있고, 해당 파일을 이용해 민감한 저장소에 악성 프로그램을 설치할 수 있음. 설치된 악성 프로그램은 피해자가 PC를 재부팅하면 실행되며 해커가 원하는 코드를 임의로 실행할 수 있음. 데모 동영상에서는 단순히 해커가 원하는 코드를 실행할 수 있음을 보이기 위해 계산기 프로그램을 실행하였지만 실제 상황에서는 백도어 등을 해커가 피해자 PC에 설치할 수 있음. 일반적으로 웹페이지에서 시스템에서 동작하는 코드를 실행하는 것은 불가능하지만 KSA의 취약성을 이용해 시스템에서 동작하는 코드를 실행하여 악성 행위를 할 수 있음.
2025.06.02
조회수 14030
-
해킹 공격 막는 암호 반도체 최초 개발
사물인터넷(IoT), 자율 주행 등 5G/6G 시대 소자 또는 기기 간의 상호 정보 교환이 급증함에 따라 해킹 공격이 고도화되고 있다. 이에 따라, 기기에서 데이터를 안전하게 전송하기 위해서는 보안 기능 강화가 필수적이다.
우리 대학 전기및전자공학부 최양규 교수와 류승탁 교수 공동연구팀이 ‘해킹 막는 세계 최초 보안용 암호 반도체’를 개발하는 데 성공했다고 29일 밝혔다.
연구팀은 100% 실리콘 호환 공정으로 제작된 핀펫(FinFET) 기반 보안용 암호반도체 크립토그래픽 트랜지스터(cryptographic transistor, 이하 크립토리스터(cryptoristor))를 세계 최초로 개발했다. 이는 트랜지스터 하나로 이루어진 독창적 구조를 갖고 있을 뿐만 아니라, 동작 방식 또한 독특해 유일무이한 특성을 구비한 난수발생기다.
인공지능 등의 모든 보안 환경에서 가장 중요한 요소는 난수발생기이다. 가장 널리 사용되는 보안 칩인 ‘고급 암호화 표준(advanced encryption standard, AES)’에서 난수발생기는 핵심 요소로, AES 보안 칩 전체 면적의 약 75%, 에너지 소모의 85% 이상을 차지한다. 따라서, 모바일 혹은 사물인터넷(IoT)에 탑재가 가능한 저전력/초소형 난수발생기 개발이 시급하다.
기존의 난수발생기는 전력 소모가 매우 크고 실리콘 CMOS 공정과의 호환성이 떨어진다는 단점이 있고, 회로 기반의 난수발생기들은 점유 면적이 매우 크다는 단점이 있다.
연구팀은 기존 세계 최고 수준 연구 대비 전력 소모와 점유 면적 모두 수천 배 이상 작은 암호 반도체인 단일 소자 기반의 크립토리스터(cryptoristor)를 개발했다. 절연층이 실리콘 하부에 형성되어 있는 실리콘 온 인슐레이터(Silicon-on-Insulator, SOI) 기판 위에 제작된 핀펫(FinFET)이 가지는 내재적인 전위 불안정성을 이용해 무작위적으로 0과 1을 예측 불가능하게 내보내는 난수발생기를 개발했다.
다시 설명하면, 보통 모바일 기기 등에서 정보를 교환할 때 데이터를 암호화하는 알고리즘에는 해커가 암호화한 알고리즘을 예측할 수 없도록 하는 것이 중요하다. 이에 무작위의 0과 1이 난수이며 0과 1의 배열이 매번 다른 결과가 나오게 하여 예측 불가능성을 가지도록 함으로써 공격자가 예측하지 못하도록 차단하는 방식이다.
특히, 크립토리스터 기반 난수발생기 연구는 국제적으로도 구현한 사례가 없는 세계 최초의 연구이면서, 기존 논리 연산용 또는 메모리용 소자와 동일한 구조의 트랜지스터이기 때문에, 현재 반도체 설비를 이용한 양산 공정으로 100% 제작이 가능하며 저비용으로 빠르게 대량생산이 가능하다는 점에서 의미가 크다.
연구를 주도한 김승일 박사과정은 개발된 “암호 반도체로서 초소형/저전력 난수발생기는 특유의 예측 불가능성으로 인해 보안 기능을 강화해 칩 또는 칩 간의 통신 보안으로 안전한 초연결성을 지원할 수 있고, 특히 기존 연구 대비 에너지, 집적도, 비용 측면에서 탁월한 장점을 갖고 있어 사물인터넷(IoT) 기기 환경에 적합하다”고 연구의 의의를 설명했다.
전기및전자공학부 김승일 박사과정이 제1 저자, 유형진 석사가 공저자로 참여한 이번 연구는 국제학술지 ‘사이언스(Science)’의 자매지인 ‘사이언스 어드밴시스(Science Advances)’ 2024년 2월 온라인판에 정식 출판됐다. (논문명 : Cryptographic transistor for true random number generator with low power consumption)
한편 이번 연구는 한국연구재단 차세대지능형반도체기술개발사업, 국가반도체연구실지원핵심기술개발사업의 지원을 받아 수행됐다.
2024.02.29
조회수 14286