국내 IC카드 취약점 노출...“대책 필요”

침해/비침해 공격과 부채널 공격에 의한 취약점 노출

이성욱 금융보안연구원 선임 연구원은 한국광고문화회관 2층 대회의실에서 개최되고 있는 ‘2008 u-Payment Grand Forum’에서 “IC카드의 취약점이 노출되고 있어 대책이 필요한 상황”이라고 역설했다.

이성욱 금융보안연구원 선임 연구원은 “최근 금융IC카드 및 신용카드(SEED 알고리즘 기반)의 암호키 노출 및 복제가능성에 대한 위험성이 공개되고, 침해공격과 비침해 공격에 대한 위협이 나타나고 있다”면서 “금융 IC칩 관련 표준의 재개정과 DPA 등 부채널 공격에 대한 IC칩 보안이 강화돼야 한다”고 주장했다.

현재 IC카드에 대한 보안위협은 침해공격과 비침해공격 그리고 부채널에 의한 공격이 나타나고 있다. 침해공격은 Microprobing이라고 하는 방법을 통해 스마트카드의 물리적인 패키지를 열어, 칩표면의 반도체에 접근해 IC칩을 물리적으로 변형하거나 데이터통로(BUS)를 조작해 공격하는 방법이다.

비침해공격은 스마트카드의 통신 인터페이스를 통해, 프로토콜, 암호 알고리즘의 취약성을 남용하거나, 전자기적 신호를 분석하거나, 프로토콜의 신호와 시간을 통해 도청하는 방법과 운영환경에서 온도조절, 전압, 충격 등을 통해 오류를 생성하는 공격 등 카드의 동작 중에서 공격하는 방식이다.

특히 주목되고 있는 부채널 공격은 통신 중인 암호작동 중 나타나는 전력 소비, 전자기 방출, 실행시간 등의 부채널을 통해 추가적인 정보가 노출되는 것을 의미한다.

부채널 공격중 DPA(Differential Power Analysis)의 경우 대량 측정치의 평균을 잡고 측정 오차와 노이즈 등의 영향을 작게해, 모든 데이터의 평균치와의 차분을 잡는 것으로, 연산 프로세스에 의한 전력소비의 영향을 빼고, 사용되는 비밀 정보에 의한 소비전력의 변화만 빼내는 방법이다. 이런 방법을 이용하면 암호에 대한 알고리즘과 상관없이 정보를 빼낼 수 있다.

이 연구원은 “금융 IC카드의 경우, 특히 SEED 알고리즘 관련 취약점 점검이 필요하다”면서 “신용카드의 경우, EMV에 의한 승인된 시험기관으로부터 인증받은 제품을 사용해야한다”고 강조했다.

[오병민 기자(boan4@boannews.com)]

SK텔레콤 해킹 사태로 최근 잇슈가 되고 있는 ‘BPF도어’ 관련, 어떤 솔루션을 사용중인가요?
	안랩 V3 Net for Linux
	소만사 Server-i
	파이오링크 점검 도구
	잉카인터넷 전용 백신
	트렌드 마이크로 백신
	기타 국산(솔루션명은 댓글로)
	기타 외산(솔루션명은 댓글로)
	사용하지 않는다