	報道資料 국회의원 장병완

▶서울 영등포구 여의도동 1번지 국회의원회관 920호               TEL: 02) 784-5270, FAX: 788-0339

▶새정치민주연합(광주 남구), 미래창조과학방송통신위원회            2014년 10월7일(화)

헐리웃 스타 아이클라우드 해킹, 국내 클라우드도 예외 아냐

☞ 국 내 클라우드 서비스 10개중 5개 원시적 해킹에도 무방비

☞ KT ‘uCloud’. LG U+ ‘U+ Box’ 기본보안 설정(패스워드 반복 공격 방어)도 안 돼

☞ 브루투포스 공격에 의한 클라우드 해킹, 사용자 인지 어렵고 단 한번 유출로 대량피해

☞ 장병완 의원, “클라우드 보안 강화 위해  관련 법 개정을 추진”

지난달 3일 일어난 헐리웃 스타들의 ‘아이클라우드’(애플) 정보유출로 사건으로 클라우드 보안에 대한 우려가 높아지고 있는 가운데 국내 대부분의 클라우드 서비스역시 기본적인 해킹공격에도 취약한 것으로 드러났다.

국회 미래창조과학방송통신위원회 장병완 의원(광주 남구)이 인터넷진흥원(이하 KISA)에서 제출받은 자료에 따르면 국내 상위 클라우드 서비스 10개 중 5개인 50%가 지난 달 헐리웃 스타들이 당한 브루투포스 공격에 대한 보안 조치가 미흡한 것으로 나타났다.

※ 브루트 포스 공격(Brute Force ‘Key-Search Attack) : 무차별 키 대입 공격으로 가장 원초적인 해킹 공격

<브루트포스 보안대비 내역 및 임계치에 대한 KISA의 점검결과>

순번	사업자명	이용자수 (추정치)	임계치 점검결과 (횟수)			보안정도 (브루투스포스 대비)	비고
			웹 페이지 (9.24)	PC 에이전트 (9.29)	앱(안드로이드) (9.29)
1	KT	4,700,000	○ (5회)	×	×	보안미흡
2	SKT	7,400,000	○ (5회)	○ (5회)	○ (6회)	보안 확인
3	LGU+	12,500,000	×	×	○ (5회)	보안미흡, 10. 1 보완조치 예정
4	NHN(네이버)	12,000,000	○ (5회)	○ (5회)	○ (5회)	보안확인
5	Daum(다음)	12,000,000	○ (10회)	○ (12회)	○ (10회)	보안확인	PC에이전트 없음
6	더존비즈온	350,000	○ (5회)	해당없음	해당없음	보안확인	PC에이전트 없음, 앱없음
7	위자드웍스	3,000,000	×	해당없음	×	보안미흡	PC에이전트 없음
8	틸론	42,000	○ (5회)	해당없음	○ (5회)	보안확인	PC에이전트 없음
9	싸이이비즈	25,000	×	×	×	보안미흡
10	아이렌소프트	10,000	×	해당없음	×	보안미흡	PC에이전트 없음

※ 출처: KISA, 음영 칸이 보안조치가 미흡한 회사임

※ iCloud의 경우 총 3개의 계정으로 테스트 결과, 각 계정 테스트마다 다른 임계치 횟수 결과를 보여줌 (예:12회, 20회)

장병완 의원실 자료에 따르면 국내의 대표적 통신사인 KT(uCloud)와 LG U+(U+ Box)의 클라우드 서비스마저도 가장 원시적 해킹 공격인 무차별 암호대입 공격 일명 브루트포스에 대한 보안조치(그림자 암호 확인)가 되어 있지 않아 충격을 주고 있다.

이 밖에도 모바일 앱(안드로이드 기준)에서는 Daum(Daum 클라우드)을 비롯한 총 5개 서비스의 보안대비가 부족한 것으로 밝혀졌다.

<그림자 암호 확인 표시>

※ 기본적 보안인 된 사이트의 경우 위의 사진처럼 특정 비번 오류 5회 이상이면 그림자 암호확인 문구가 보임

장병완 의원은 “‘브루투포스’에 의한 클라우드는 해킹은 사용자 인지도 어렵고 개인정보 대량 침해의 위험이 있다며 그럼에도 국내 50% 이상의 업체가 가장 기초적인 보안조치(브루투스 공격방어)조차 하지 않은 것은 심각한 문제”라고 말했다.

특히 장 의원은 “알파벳 6글자만으로 이루어진 패스워드 조합은 일반 듀얼 프로세서 PC의 경우 브루트포스의 공격에 대한 패스워드 복원에 30초내 해킹이 가능하다”며 “브루트포스 공격에 대한 보안설정은 반드시 필요한데 이런 기본적인 보안도 국내 대기업들이 지키고 있지 않아 문제가 심각하다”고 지적했다.
※ 참고 : 붙임 2) 무차별 대입 공격에 대한 패스워드 복원 속도 자료

장병완 의원은 “ISMS 제도 등 클라우드 보안규정이 권고 수준에 그치고 있어 업계의 보안 수준을 강화하기에 무리가 있다”며 “향후 관련 법 개정을 통해 브루투포스 공격 방어를 강제하는 방안을 마련하겠다.”고 밝혔다.

<붙임 1>

□ 패스워드 오류 횟수 임계치 설정 대표적 점검결과 예시

방법	업체	서비스명	증빙화면	점검 (패스워드 임계치)	비고
웹접속	LGU+	U+ Box		없음	통합계정을 사용하며, 공식홈페이지 임계치는 5회이나, U+Box페이지는 임계치 없음
PC 에이전트	KT	uCloud		제한없음
앱	위자드 웍스	솜 클라우드		제한없음

<붙임 2>

□ 공격 컴퓨터 사양 분류

o 무차별 키 대입 공격하는 컴퓨터 사양을 최저 펜티엄에서 최고 슈퍼컴퓨터까지 Class A ~ Class F로 분류

구분	사양
Class A	초당 10,000개 패스워드	(펜티엄 100에서 MS오피스 암호를 복원하는데 사용되는 속도)
Class B	초당 100,000개 패스워드	(펜티엄 100에서 .PWL파일을 공격하는데 사용되는 속도)
Class C	초당 1,000,000개 패스워드	(펜티엄 100에서 ZIP,ARJ파일을 공격하는데 사용되는 속도)
Class D	초당 10,000,000개 패스워드	(빠른 성능의 PC, 듀얼 프로세서)
Class E	초당 100,000,000개 패스워드	(워크 스테이션 또는 여러 대의 PC가 동시 작업)
Class F	초당 1,000,000,000개 패스워드	(중, 대형 규모의 컴퓨터 (슈퍼컴퓨터))

□ 무차별 대입 공격에 대한 패스워드 복원 속도 자료

샘플 패스워드			공격 구분
패스워드	조합조건	조합개수	Class A	Class B	Class C	Class D	Class E	Class F
darren	알파벳로만 이루어진 패스워드(대문자, 소문자 혼합아님)	308,900,000	8시간 30분	51분 30초	5분	30초	3초	즉시
Land3rz	알파벳 대문자, 소문자, 숫자가 혼합된 패스워드(대문자, 소문자 혼합아님)	3.5*1,0004	11년	1년	41일	4일	10시간	58분
B33r&Mug	알파벳 대문자, 소문자, 숫자, 특수문자가 혼합된 패스워드	7.2*1,0005	22,875년	2,287년	229년	23년	2년 3개월	83일 12시간

※class C,D가 가장 일반적 가정 PC환경임.