파로알토 네트워크스의 위협 연구 부문 ‘Unit 42’가 구글 비밀번호 관리자의 동기화된 패스키(Passkey)에 대한 구현상의 약점을 악용하는 3가지 유형의 공격 기법을 보고했습니다. 피해자의 윈도우(Windows) PC가 악성코드에 감염된 경우, 본인의 조작 없이 패스키 인증을 무력화시키거나, 저장된 패스키의 비밀 키를 모아서 훔쳐낼 수 있습니다.
패스키는 지문 인증이나 얼굴 인증, 기기 PIN 등을 사용하여 웹 서비스에 로그인하는 방식입니다. 기억하기 어려운 비밀번호를 입력할 필요가 없으며, 위조 사이트에 비밀번호를 입력하게 하는 피싱(Phishing) 공격에도 강하다는 평가를 받고 있습니다. 구글 크롬(Google Chrome)에 내장된 구글 비밀번호 관리자를 사용하면, 동일한 구글 계정으로 로그인한 여러 기기에서 패스키를 사용할 수 있습니다. PC에서 생성한 패스키를 스마트폰에서도 이용할 수 있어 편리성이 높지만, 여러 기기에 공유하기 위한 인증 절차가 새로운 공격 대상이 됩니다.
Unit 42가 보고한 공격들은 모두 피해자의 윈도우 PC가 사전에 악성코드에 감염되어 있다는 전제하에 진행됩니다. 공격자들은 패스키에 사용되는 암호(Cipher)를 해독하는 대신, 정규한 구글 크롬이 수행하는 인증 처리를 모방하여 인증 절차를 진행하는 기법입니다. 이 일련의 공격은 “Pass-ta-key”라고 명명되었습니다. 기본적인 Pass-ta-key 공격에서는, 악성코드에 감염된 PC에 인증 처리를 대행시킵니다. 웹 서비스 측의 본인 확인이 불충분한 경우, 지문 인증이나 PIN 입력 없이 다른 기기에서 로그인할 수 있는 가능성이 있습니다.
Unit 42의 검증 결과, GitHub는 부정한 로그인 시도를 거부했지만, eBay에서는 로그인에 성공했습니다. 웹 서비스마다 패스키의 확인 방법이 다르기 때문에, 동일한 공격으로도 성공 여부가 달랐다는 것입니다. eBay는 보고를 받고 문제를 수정하고 있습니다. 더욱 강력한 “Silver Pass-ta-key”에서는, 패스키를 사용하는 기기의 재등록 절차가 악용됩니다. 공격자는 피해자의 PC가 본인 확인 완료된 것으로 간주되도록 부정한 인증 정보를 등록하고, 피해자의 PC를 사용하지 않고 반복적으로 로그인할 수 있는 상태를 만듭니다. 일반적으로 안전성을 유지하기 위해 마련된 기기 추가나 복구 절차가 공격자에게 장기간의 접근을 허용하는 통로가 되어버리는 것입니다.
“Golden Pass-ta-key”는 저장된 여러 패스키를 모아서 훔쳐내는 공격입니다. 구글 비밀번호 관리자는 패스키를 암호화하여 저장하지만, 암호화를 해제하기 위한 중요한 정보가 구글 크롬의 기록이나 메모리에서 읽혀질 수 있다는 점이 확인되었습니다.
구글은 Unit 42의 보고를 받아 중요한 정보를 로그에 기록하는 문제를 수정했습니다. 하지만 Unit 42에 따르면, 장치를 재등록할 때에는 동일한 정보가 일시적으로 메모리에 남아 있어 악성코드로부터 읽혀질 위험성은 여전히 남아있다고 합니다. Unit 42는 “사용자가 패스카를 사용하지 않도록 하는 필요는 없다”고도 언급했습니다. 보고된 공격에는 악성코드 감염이 필요하기 때문에, 운영체제나 브라우저를 업데이트하고, 의심스러운 소프트웨어나 파일을 열지 않으며, 보안対策 기능을 무効 것이 방어 수단이 됩니다.
한편, 웹 서비스를 운영하는 기업에는 패스카를 이용한 로그인 시에 지문 인증이나 PIN으로 확인이 제대로 이루어졌는지를 검사하는 대책이 필요하며, 패스카를 관리하는 사업자에게는 새로운 터미널의 등록이나 계정 복구를 악용되지 않도록 하는 메커니즘이 필요하다고 Unit 42는 지적했습니다.
Unit 42는 패스카가 비밀번호보다 안전한 인증 방법이라는 점은 변하지 않으며, 패스카의 보급이 진행된다면 공격자들은 패스카 자체보다는 “패스카를 사용해도 된다고 판단하는 절차”를 노리게 될 것이라고 설명했습니다.
원문 보기 | 출처: Gigazine