아파트 단지 해킹에 사용된 경로(사진 속 텍스트). 모 아파트단지의 중앙제어실.
▼ 홈네트워크 아파트 단지의 웹서버는 어떻게 구성되어 있나?
“홈페이지 서버(입주자가 자신의 아이디와 비밀번호로 로그인해 자기 집을 제어할 때 사용하는 서버), 데이터베이스 서버(로그인할 때의 아이디와 비밀번호가 저장된 서버), VoIP 서버(세대 간 인터넷 전화를 위한 서버). 관리 서버(모든 시스템을 총괄 관리할 때 사용되는 서버), 커뮤니티 서버(아파트 주민들 간 내부 인터넷으로 글을 주고받을 때 사용되는 서버). CCTV 서버(아파트 단지 내에 설치된 CCTV의 내용을 저장하는 데 사용되는 서버)가 서로 연결되어 있는 형태다. 각 서버 크기는 일반 PC급이다.”
▼ 해커는 어떤 경로로 이 웹서버에 침투할 수 있나?
“아파트 홈페이지를 통해 들어가야 한다. 반면 아파트 단지 측은 이를 방지하기 위해 고유 아이디와 비밀번호를 입력하도록 하고 있다. 해커는 홈페이지 관리자나 입주민이 고유 아이디와 비밀번호를 입력하는 데로 뚫고 들어간다. 게시판에 입주민이나 관리자의 아이디는 대부분 노출되어 있으므로 비밀번호만 해결하면 된다.”
▼ 웹서버에서 원하는 가구로는 어떻게 접근하나?
“웹서버에 들어간 다음에는 별다른 장애가 없다. 목표대상이 되는 가수의 셋톱박스로 곧장 들어갈 수 있다. 셋톱박스로 그 세대의 가전기기를 조작할 수 있다.”
▼ 웹서버 해킹이 이뤄지는 원리는 무엇인가?
“대개 네 가지 방식이 동원된다. 첫째는 에스큐엘 인젝션이다. 데이터베이스에 사용되는 언어는 에스큐엘 구문으로 되어 있는데 그 구문을 무조건 참값이 되도록 보내는 것이다. 이러면 잘못된 패스워드를 넣어도 아무 인증 없이 로그인된다. 둘째는 파일 업로드다. 커뮤니티 서버 등에 사진 자료 올리기 기능이 있는데 거기에다 해당 서버에 사용되는 웹 애플리케이션(명령을 실행시키는 일명 웹 쉘)을 올려 시스템 전체 권한을 갖는 것이다. 셋째는 관리자페이지 세션(SESSION) 취약점이다. 실제 관리자인지 파악하는데 취약한 점을 이용하는 해킹법이다. 넷째는 쿠키(COOKIE) 취약점이다. 임시파일인 쿠키를 조작해 입주민이나 관리자의 권한을 획득하는 것이다.”
▼ 해커 입장에서 난이도는?
“상당수 홈네트워크 아파트단지는 간단한 방어체계만 사용하고 있기 때문에 웹서버 해킹은 비교적 손쉬운 작업이다. 파일 업로드를 제외하고는 해킹을 가능하게 해주는 프로그램들이 인터넷상에 돌아다닐 정도다.”
▼ 해킹 흔적이 남는가?
“거의 남지 않는다. 설령 해킹으로 의심된다고 하더라도 해커는 자기 신원이 노출되지 않게 할 수 있으므로 누가 해킹했는지 찾아내기 어렵다.”
A씨는 홈네트워크 아파트 단지의 해킹을 시연했다. 자기 회사 간부인 B씨의 동의하에 B씨 집으로 침투해 가전기기를 작동해 본 것이다. B씨 아파트는 2009년 입주한 서울시내 소재 첨단 홈네트워크 아파트다. A씨는 ‘쿠키 취약점’ 해킹 방식(경로 사진)을 동원했는데 B씨 아파트 단지의 웹서버는 무력하게 뚫렸다고 한다.
국정원에 따르면 2004년 1월 이후 국내에서 발생한 사이버 공격은 4만8000여 건이다. 2008년엔 중국 소재 해커가 국내 옥션사이트를 해킹해 회원 1863만명의 개인정보를 빼간 적이 있다. 고려대 정보보호대학원은 2010년 10월29일 원자력, 가스, 철도, 반도체 등 국가 인프라시스템이 사이버공격무기인 스턱스넷(stuxnet)에 감염된 뒤 해커의 명령으로 파괴될 수 있다는 점을 시연으로 입증했다. 인터넷 네트워크에 연결되어 있는 공적, 사적 공간이 공격받는 문제는 영화 ‘다이하드4’ 속의 일만이 아니게 돼가는 셈이다.
