단 5분만에 전자여권 해킹...복제

RFID, 보안없이 기능위주로 가다간 큰 코 다쳐...

내년에 도입될 전자여권, 복제가능 여부 확인해야!

<Lukas Grunwald, POC 2006에서 RFID 공격에 대해 발표.> ⓒ보안뉴스

RFID(전파식별, Radio Frequency Identification)는 각종 물품에 소형 칩을 부착해 사물의 정보와 주변 환경정보를 무선 주파수로 전송ㆍ처리하는 비접촉식 인식시스템이다.

RFID의 기본 개념은 판독기능이 있는 판독기와 고유정보를 내장한 RF 태그, 운용 소프트웨어, 네트워크 등으로 구성된 전파식별 시스템을 갖추고 있어야 한다. 사물에 부착된 얇은 평면 형태의 태그를 식별함으로써 정보를 처리한다.

이 기술은 차세대 산업을 이끌 핵심 기술로 인식돼 한국에서도 관련 연구와 기업들의 움직임이 활발하게 전개되고 있다. RFID 기술이 우리 생활에 적용되는 부분은 무한대라고 할 수 있다.

RFID 기술이 상용화 된다면, 대형마트에서 계산하기 위해 계산대 앞에 줄지어서는 일은 사라진다. 그리고 고속도로 요금소의 정체도 완화될 것이고 지하철에서 카드를 주머니에서 꺼내 직접 대는 번거로움들이 사라질 것이다. 이 밖에도 유통과 물류, 통관절차, IT 산업 등등 산업 전분야에 걸쳐 RFID는 영향을 미칠 것으로 전문가들은 보고 있다.

한편, RFID의 본격 도입을 위해서 반드시 필요한 부분은 바로 보안성에 대한 면밀한 검토가 이루어져야 한다는 것이다. 지난 17일 POC 2006 컨퍼런스 마지막 세션에서 루카스 그룬월드(Lukas Grunwald)는 “이제 RFID에 의해 바코드 시대는 지나갈 것이다. 우리가 대형마트에서 카트 안에 사고자 하는 물건을 가득 싣고 계산대를 통과하면 자동으로 계산이 되고 자동으로 신용카드에서 돈이 빠져나간다. 그리고 마트 직원들은 어디에 어떤 물건이 빠져나갔고 위치가 잘못된 물건들을 바로바로 알 수 있게 된다”고 말했다.

반면, 그룬월드는 “하지만 현재 RFID는 암호화가 돼 있지 않다. 그리고 간단한 방법으로 조작이 가능해 상용화 이전에 보안에 대한 취약점들에 대응하지 않으면 큰 혼란을 야기할 수 있다”고 경고했다.

<전자여권 복제가 가능하다는 것을 보여준 공격 장비들> ⓒ보안뉴스

그는 “현재 유럽과 미국에서 사용하고 있는 RFID에는 문제가 많다. 조작 프로그램을 통해 RFID를 조작한다면 자신이 마트에서 구입한 물건들의 가격을 조작할 수 있다. TV 한 대 가격과 샴푸 하나 가격을 바꿀 수 있다”며 “독일은 최근 대형 마트 등에서 RFID를 활용하고 있지만 대부분이 취약하다. 암호화가 안돼있기 때문”이라고 경고했다.

RFID를 공격하는 방법은 여러 가지가 있다. ID 시스템을 조작하는 방법도 있고 RFID 주파수를 교란하는 방법 등 다양하다. 또한, 최근 미국은 테러방지를 위해 바이오인식 전자여권을 도입한 바 있다. 우리나라뿐만 아니라 유럽 등에서도 전자여권은 대세로 여겨지고 있다. 그룬월드는 이 또한 취약하다고 말하고 있다.

그는 미국 전자여권 복제를 시연해 보이며, “단 몇분 만에 전자여권을 복제할 수 있다.”며 “여권뿐만 아니라 각종 출입통제 카드도 무용지물이 될 수 있다”고 경고했다.

또, RFID 시스템 자체를 공격해 여권 시스템을 엉망으로 만들어 놓을 수도 있다. 그렇게 되면 아무도 출입국을 할 수 없게 된다. 대형마트를 마비시킬 수도 있다. 제품의 가격을 엉망으로 만들어 놓고 위치도 바꿔놓을 수 있다는 것이다.

우리나라도 물류분야와 유통 그리고 전자여권 등에 RFID가 우선 적용될 전망이다. 하지만 이에 대한 보안대책은 미비한 실정이다. 그러므로 해외 해커들의 공격에 대비할 수 있는 보안체계를 구축해야할 것이다. 특히, 금융권에 이용될 RFID 기술은 엄격한 보안적용이 우선돼야 한다고 전문가들은 강조했다.

루카스 그룬월드는 POC 2006 컨퍼런스에서 미국 전자여권을 해킹해 여권을 복제하는 장면을 직접 시연해 참가자들의 큰 관심을 끌었다. 또한, 그는 국내 몇 몇 RFID 업체들의 제품에 대해 비공개 형식으로 테스트했다고 POC측이 밝혔다. 아직 국내 RFID 기술이 뛰어난 상황이 아니기 때문에 전자여권 도입이나 물류시장에 도입은 더욱 신중을 기해야 한다고 관계자들은 말하고 있다.

[길민권 기자(reporter21@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)