지문으로 인식하는 시대, "'철통보안' 생체인증을 뚫어라"

[이데일리 오희나 기자] “스마트 디바이스의 생체인증 ‘지문 인식’의 취약점을 찾아라.”

최근 중국에서는 스마트폰 생체 인증 방식중 하나인 ‘지문인식’의 보안 취약점을 해킹하는 대회가 열렸다. 상금은 50만 위안(9060만원)으로 보안취약점을 발견하면 해당 기술은 매수를 원하는 사람에게 팔 수 있는 이색 대회다.

최근 생체인증이 기존 인증방식을 빠르게 대체하면서 관련 시장이 급성장세를 보이자 이를 뚫기 위한 움직임도 나타나고 있는 것이다.

특히 생체인증 가운데 지문인식은 가장 먼저 상용화된 방식으로 국내에서는 삼성전자(005930)가 ‘삼성페이’를 통해 가장 먼저 첫선을 보였다.

삼성페이는 생체인식 인증솔루션인 FIDO기반 ‘녹스’를 통해 보안을 강화하고 있다. FIDO 기술표준은 생체정보를 외부로 유출하지 않고 스마트 디바이스의 독립공간인 ‘트러스트존’이라는 별도로 암호화된 공간에 데이터를 저장하고 인증결과만 외부 서버로 보내기 때문에 상대적으로 안전한다는 평가를 받는다. 애플의 ‘애플페이’도 이와 유사한 방식으로 운용되고 있는 것으로 알려졌다.

기존 저장 공간에는 아무 애플리케이션이나 접근이 가능해 보안 이슈가 있었지만 트러스트존안에는 권한을 받은 앱들만 이용할 수 있다.

이동통신사들도 발빠르게 움직이고 있다. 모바일에 특화된 유심(USIM)을 FIDO 규격에 맞춰 제공하고 이를 통신사 고유 정보와 결합하는 방안을 마련중이다.

실제로 일본의 NTT 도코모는 현재 FIDO기반 홍채인식 스마트폰 출시해 게임회사 로그인과 결제에 적용하고 있다.

FIDO와 공인인증서를 연계하는 기술 개발도 진행되고 있다. 한국인터넷진흥원(KISA)은 사용자 확인이 미비해 발생하는 분쟁을 막을수 있도록 FIDO에 공인인증서를 함께 탑재할수 있도록 할 예정이다.

LG전자가 내년 차기작으로 출시할 스마트폰에는 FIDO 기반에 지문인증과 공인인증서를 함께 탑재되도록 협의를 끝낸 상황이다. 삼성전자와는 현재 협의를 진행중이다.

KISA 관계자는 “아이폰이나 갤럭시S6 등의 스마트폰은 여러개의 지문을 등록할수 있어 향후 분쟁의 소지가 있다”며 “온라인상에서 확인하기 때문에 지문 인증을 통과했다고 해서 휴대폰 가입자라고 확신할수 없어 사용자 신원 확인 부분이 미비하다”고 지적했다. 예를 들어 지문인증을 하고 결제를 한 사람이 휴대폰 가입자가 아닐 경우도 발생할 수 있다는 것.

때문에 사용자가 공인인증서로 인증을 하고 지문을 등록한다면 이러한 오해의 소지를 막을수 있다는 설명이다.

시장에서는 생체 인증이 조만간 비밀번호를 대체할 것으로 내다보고 있다. 생체인증은 ‘액티브X’를 추가설치할 필요가 없어 이 문제를 해결할수 있는 동시에 사용자에게는 간편하고 안전한 인증 수단을 제공하고 사업자에게는 추가 인증시 들어가는 비용 등을 줄여줄 수 있는 대안이라는 것이다.

다만 생체정보는 대체 불가능한 정보이기 때문에 간편하고 안전하지만 다른 한편으론 정보 유출시 가장 위협적일수 있어 보안에 대한 추가적인 대책 마련이 필요할 것으로 보인다.

실제로 지난 9월 파이어아이는 ‘블랙햇 2015’에서 모바일 디바이스의 지문 인증 시스템과 관련한 해킹 가능성을 발표했다.

보고서에 따르면 공격자가 말웨어를 통해 지문 인증 프로세스를 손쉽게 통과할 수 있는 것으로 나타났다. 특히 루팅(Rooting) 공격을 통해 공격자들이 트러스트존을 우회해 디바이스에 저장돼 있는 지문정보 수집이 가능하며, 공격자들은 지문 센서를 통해 대규모로 지문을 확보할 수 있는 것으로 드러났다.

지문 센서가 스파이 역할을 하게 된다는 얘기다. 뿐만 아니라 제품이 출고 되기 전, 이미 사전에 설치된 지문 백도어가 발견되기도 했다.

파이어아이 관계자는 “이를 통해 공격자들은 지문을 이용한 모바일 결제 시스템을 통해 돈을 가로채거나 사람들이 많이 사용하는 모바일 디바이스에서 지문을 수집하고 있는 실정”이라고 지적했다.

화이트 해커들도 동일한 문제를 지적했다.

업계 화이트 해커는 “아직 초기 단계라 공개된 사례가 없을 뿐이지 생체인증 취약점을 발견하는 해커대회가 생기고 있을 정도로 최근 연구하는 사례가 늘고 있다”며 “별도 공간을 만들어 침투를 못하게 한다고 해도 사용시 외부로 나올때 디바이스에 바이러스가 잠재돼 있는 경우 취약점이 발생할수 있다. 또 가짜앱이 삼성페이앱 인척 하고 정보를 빼가는 경우도 발생할수 있을 것”이라고 지적했다.