보안 / 해킹 영국, 화웨이 장비 분석 후 “도저히 믿을 수 없다” 비판

예전 LGU+ 업체에서 일했었는데 그때 당시 화웨이 장비가 메인장비로 설치가 많이 되던때긴 했죠.(한창 4G 깔릴때)

근데 그게.. 사용자측면에서 직접적으로 피해가 가리라고는 생각안해요 ㅋㅋ

아무리 그래도 그 정보를 화웨이측에서 다 원격으로 들여다본다?? 라고는 생각안하거든요 ㅎㅎ

빅데이터의 본질에 대해서 이해를 제대로 못하신듯 합니다

구체적 데이터를 다 볼 필요는 없습니다

전체적인 흐름과 통계를 가져올 수 있는것만으로 충분히 가치가 있습니다

또한 훔쳐 볼 수 있는 가능성이 있는 시점에서 모든게 잘못된겁니다 (기업/군사 기밀같은걸 맘 먹으면 얼마든지 다 훔칠 수 있다는거랑 동의어)

DarknessAngel의 지적이 정확한 듯 합니다. 향후는 정보전쟁인데 이건 무슨 트로이목마와 같은 것이라고 해야 할 듯 합니다. 제 개인적인 생각입니다. 항상 감사합니다. ^-^

아.. 선댓글 후 기사를 봤네요.. 화웨이가 빼돌린다는 내용이 아니고.. 보안이 취약하다는 내용이었군요. ㅡㅡ

하드웨어만 가져다 쓰고. .소프트웨어는 따로 만들 수 없는거겠죠?

보통 장비에 맞는 임베디드 소프트웨어가 같이 설치되어 나옵니다.

하드웨어에 맞는 소프트웨어를 따로 설치하는건.. 거의 사용하지 않는 방법입니다.

그 하드웨어에 대한 성능을 다 뽑기 위해 장비에 딸려나오는 임베디드 OS를 같이 쓰죠..

일부러 리눅스나 유닉스를 재설치하여 사용한다.. 는 방식은 쓰지 않습니다.

패킷을 일일이 다 분석해서 그 장비를 사용하는 실 사용자단의 데이터를 분석한다.. 거의 불가능하죠.

보통 통신사들같은 경우 화웨이장비를 메인장비로 사용한다고 해도.. 그 윗단에는 수많은 방화벽이 존재할테고..

그 방화벽을 무력화 시키고 외부로 패킷이 누출되는 경우는 없다고 단호하게 말할수 있습니다.

화웨이가 문제되는것은 백도어칩을 심어놓았고 그 백도어를 활용할 수 있다.. 정도?? 일까요??

화웨이 장비 하단에서 그 백도어를 이용하는 것이지 상위단에서 방화벽 너머에서 접근이 가능하진 않을테니까요.

중국 화웨이에서 우리나라 패킷감청 및 패킷분석을 위해 LG U+ 가입자가 되어 화웨이 백도어를 이용해 자사로 데이터를 넘긴다?

뭘 위해서?? 사실상 현실성 없는 이야기죠.

아.. 자료가 그쪽으로 넘어가는게 아니라.. 그쪽에서 들어와 볼 수 있을 수 있다? 가 되는거군요. 잘 알겠습니다. 감사합니다.

현실성 없는 이야기지만..

일일이 수많은 화웨이 장비 아래단에 LG U+ 국내 인터넷가입자가 되어 자료를 넘길수도 있습니다..

현실성 없는 이야기가 많이 일어나기에 단언할수는 없는 문제죠.

그치만(오니짱??).. 화웨이가 뭘 위해.. 그러겠냐는 거죠.

추가적으로 더 말씀드리자면.. LG U+ 에서 사용하는 화웨이 장비는 일부에 한하고..

메인장비라고는 하지만.. 그 위로도 그 아래로도 수많은 장비가 달립니다.

그 장비들을 뚫고뚫고해서 화웨이 장비까지 가야하는데... 그 단계가 쉬운게 아니죠.

일반 가정집 및 아파트는 L2 장비로 유비쿼스 장비를 사용하고 그 윗단계인 장비도 L3라고 해서

보통 유비쿼스 장비입니다. 국사/간이국사에도 L3 장비는 유비쿼스 장비가 달려있고..

화웨이 장비까지 도달하려면 이 유비쿼스 장비를 뚫고 화웨이 장비까지 가야한다는건데.. 거의 불가능입니다.

그리고, 제가 봤던 화웨이 장비는 기지국 또는 전용망 장비(기업전용망 장비)로 쓰였는데..

일반 가입자가 피해볼 일은 절대 없다고 단언할 수 있습니다.

웃긴분이내..

어설픈 지식으로 나는 모든것을 다 안다.

고로 절대 가입자는 피해 없다라고 우기는 주장이내요.

원격 명령을 내리기 위해서 직접 접근해야한다고 생각하면 큰 착각입니다

예를 들어 특정 패킷에 반응해서 작동하게 하거나, 하다못해 타이머식으로 작동하게 해서 특정 서버에 접속하게 만드는정도는 식은죽 먹기입니다

이런식으로 서버에 접속하게 하면 리버스 커넥션을 통해 접속 가능하고, 딱히 직접 제어 안 해도 github등의 흔히 접근하는 사이트에 명령이 기록된 파일을 올리고, 정기적으로 거기 가서 파일 받아서 수행하게 만드는정도만 해도 얼마든지 다 됩니다 (제 아무리 패킷 감시해봤자 저런 정도의 소규모에 일반적인 사용자 패킷이랑 구분도 안 가는걸 알아낼 수 있을리 만무)

그리고 데이터 직접 훔칠 필요 전혀~ 없습니다

중간에서 특정 데이터를 갈아치우는것만으로 인터넷을 이용중인 불특정 다수 흑은 특정 대상에게 백도어를 설치 시도하거나 (업데이트 철져하게 하고, 사용자가 방심 안 하고, 실수도 안 한다면 힘들겠지만, 현실적으로 공격 대상 전원이 이걸 다 달성할리 없음), 공격하는것도 얼마든지 가능합니다

추신 : 중간의 네트워크 장비가 아무리 취약점 투성이라도 상관없다면 최상위인 라우터빼고 뭐한다고 보안 업데이트합니까? (특히 가정용처럼 거의 말단 장비)

방화벽 너머로 접근하는 방법 얼마든지 존재합니다

방화벽을 투과해서 공격하거나 감청 가능해진지 벌서 10년 넘었기때문에 이미 의미 없습니다 (심지어는 오프라인 전용 패쇄망을 공격하기 위한 솔루션도 존재하는게 현실) (예를 들어 안에서 포트를 안 열어줘도 바깥에서 서버에 포트 열고, 웹서버 접속하는걸로 위장해서 거기 접속후 리버스 커넥션을 해주면 방화벽 있어도 통신 됩니다) (그걸 막기 위해서 웹포트를 다 막을 수 도 없고, 모든 사용자의 패킷을 전부 분석할 수 도 없습니다)

이런 설계되어서 하드웨어/소프트웨어에 심겨진건 매우 치명적인게 될 수 있습니다 (옛날에 OpenSSL떄문에 그러거나, 이번에 CPU 멜트다운이니 하는것들은 랜덤으로 작동하는 타입이기떔에 이런거에 비하면 새발의 피입니다만, 막을려고 그 난리를 떨었고 지금도 그러고 있습니다)

그게 가능하다그러면.. 방화벽 업체들은 지금껏 뭘 하고 있었던거에요?

방화벽 무쓸모잖아요?? 그리고 그게 가능하다면.. 화웨이만의 문제가 아닌거 아닌가요?

openssl이나 CPU 멜트다운은.. 뭐 이런것과는 별개의 문제구요.

이분은 방화벽이 무엇을 하는건지 ..

이해가 있는 건지 모르는건지 ..잘 모르겠내요..

방화벽 만능이 아닙니다.

방화벽은 그 어떤 규칙을 만들어두고.

그 규칙에 위배되지 않으면 패킷을 통과 시켜줍니다.

그런데 화웨이 같은 메인 장비 업체가 .. 

메인 장비에 빽도어를 심어두면..

방화벽 그 규칙을 우회나 무력화 해서

메인장비의 백도어를 통해서 장비에 접근 할수 있는 가능성이 존재 하기때문에.~~

문제라고 하는것이고 .. 보안위험이 존재한다고들 주장하는겁니다.

??? 잘 알고 있고 현직 IT기사입니다만?? 서버/네트워크 만지고 있고요.

애초에 방화벽이 상위에 물려이어서 하위로 접근 자체를 막는다구요 -_-;;

아무리 백도어 칩이 있다고 한들 그 백도어 칩이 상위에 있는 방화벽을 무력화 시키고 외부로 패킷 유출을 시킨다구요???

대체 기술이 얼마나 좋길래 ;;

그것도 한다리 두다리 건너서 있는 방화벽이 아닐텐데 ;; 설마 방화벽이 1개로 끝일거라 생각하세요???

그래도 우리나라 3대 통신사중 한곳인데???

오히려 모르는건 그쪽입니다만??

직접 접근해야만 공격 가능하고, 직접 제어가 필요하다고 생각한다면 아주 큰 착각입니다

그럼 패쇄망 공격용 스틱스넷같은건 대체 어떻게 공격합니까? (USB에 감염시켜서 그걸 꽃는 순간 퍼지는 구조입니다)

중간에 숨어있다가 통하는 특정 주소의 파일을 하나 몰래 갈아치우는정도만 해도 업데이트 제대로 안 된 불특정 다수를 간단하게 감염시킬 수 있습니다 (오히려 네트워크상 상위에 위치하는 장비일수록 이런짓했을때 대상의 숫자가 늘어나서 더 위험합니다) (심지어는 화웨이제 라우터등도 현역인걸로 알고 있는데, 1대당 몇만개의 클라가 물려있고, 어떤 패킷이 여기를 거쳐갈지 모른다는걸 고려하면 생각도 하기 싫음)

님같이 보안 개념이 어딘가로 가버린분들이 네트워크랑 서버 관리하니까 대한민국이 악성코드 C&C서버 상위권등의 불명예스러운 칭호가 몇년째 안 떨어지는겁니다 (하다못해 DNS 레코드만 하나 조작하는것만으로 특정 대상을 목표로 악성코드 공격을 하거나, 피싱할 수 있고, ddos 못지않게 강력한 서비스 중단 공격을 할 수 있습니다) (스캔해보면 아직까지 2.4대 커널 쓰는 네트워크 장비, 2.6대 커널이나 지원 중단 몇년된 유포판으로 돌아가는 서버, 10년 넘은 라이브러리나 데몬으로 서비스 하는곳, TLS 체크하는데 불합격인 F뜨거나, 최하인 C뜨는곳등등 대한민국의 IT 보안상태 자적하면 끝도 없는데 거기에 위험요소를 +1할 필요성이 있나요?)

추신 : 농협등의 일부 금융사 장비에도 화웨이 들어가 있는데, 일반 장비보다 횔씬 치명적 위험입니다 (이런것들 하위장비(ATM등) 패쇄망이라고 아직까지 케케묵은 지원중단된 NT나 2k같은 NT5계열 커널로 장비 돌리거나하는데, 방화장비 이용해서 악성코드 유포하거나, 좀비 만들려고 맘 먹으면 한방에 다 콩가루입니다)

내부에 외부로 나가는 패킷은 필터링하기 힘듭니다. 물론 빡빡하게 모든 포트를 막고 특정 포트만을 열어두었다면 막힐 수도 있겠지만 일반적으로 사용하는 포트들은 막을 수가 없습니다. 그걸 막아버리면 스마트폰을 사용 할수가 없으니깐요.

주로 사용하는 포트인 80과 443만 사용해도 필요한 정보는 다 빼낼 수 있습니다. 백도어를 통해 특정 포트를 오픈하고 필요한 정보를 암호화해서 특정 서버에 저장하는 패킷을 보안 장비에서 일반적인 패킷과 구분 할수 있다고 생각하십니까?

절대 구분하지 못합니다. 구분 할수 있는 기술력이 있다고 해도 일반 스마트폰을 사용하는 환경에는 적용하지 않을 보안 장비입니다.

그럼 가정이나 기업의 경비 시스템은 뭐한다고 설치합니까?

안에서 내통자가 있어서 문 열어주면 아무리 철져한 시스템이라도 아무짝에도 쓸모 없습니다

문젠 화웨이제는 그 스파이가 처음에 시스템 구축할때부터 구석에 숨어있는거랑 똑같은데, 이게 안전해보인다면 안전이 뭔지 사전부터 찾아보셔야 할듯합니다

예전에 다리미나 커피포트에 wif 보안 취약하거나, 암호 안 걸린 SSID찾아서 공격후 감청하는 칩셋 박혀있는게 발견된적도 있었을정도니까요

이건 국제외교에서 강대국의 조작질이 아닙니다.

이미 이전에 화웨이가 스스로 인정을 했으며 보완/수정을 하겠다는 약속을 영국에 했습니다.

그에 대한 검토를 영국쪽에서 한 결과물이 본문의 뉴스입니다.

물른 경계할 필요 있으니 당연히 모니터링도 하고 해야합니다

다만 완전하게 막을려면 오픈 소스만으로 구성해서 소스를 병적으로 1줄1줄 분석 (모 TLS 라이브러리 fork시 이짓했음)해서 확인하고, 버전업할때마다 다 일일히 보고 전부 다 소스에서 컴파일해야 합니다

또한 소스만이 아니라 컴파일된 바이너리도 리버스해보거나해서 다 확인해야 합니다 (소스일떄 있던 치명적인게 컴파일하면서 없어지거나, 반대로 생기거나 합니다)

통신사에서 설치하니 문제죠.

그냥 일반인이 스마트폰 구입해서 사용하는것은 해당 사용자만의 문제지만.

문제 생기더라도 그 사용자만 해당..

그런데 통신사의 경우는 내 의사와 상관없이 내가 원하지 않은 것으로 인해서.

피해가 발생할수 있다는겁니다.

또한 그 통신사 장비에 문재 생기면. 수많은 사용자가 피해 당할수 있다는거죠.

이념이나 정치적 배제 하고 이야기 하는겁니다.

저도 중국제품 사용하는것도 있으니까요.~~

뭐 중국에서 생산되는 국내 기업 제품도 많구요.

하지만 통신사의 메인 장비는 ..

그냥 중국산 제품 구입하는것과는 차원이 다른 이야기죠.~~~

실제 중국산 제품에 백도어 설치되어 있기도 하고..

그걸 발견하기도 하고.

얼마전에 웹캠 한참 논란일때 백도어 관련 논란일때도 있었죠.

개인 장비에도 그런 문제가 발생하기도 하고 문제 생기는데.

중국의 다양한 형태의 해킹 사례들 존재합니다.

그런데 통신사 메인 장비라면~~~~~..큰 문제죠.

정치적이라느니.. 피해망상이라느니..

님이 한번 당해보고 그런 소리를 하면 늦습니다.

그런 사례가 존재하기 때문에 걱정하고 문제 제기 하고 이야기 하는겁니다.

거기에 백도어 이전에 저런 발코딩은 나중에 문제 생겨도 제대로 보수 불가능합니다

예를 들어 일반적인 방법으로 OpenSSL을 라이브러리로 집어넣는경우 OpenSSL에서 치명적 보안 문제가 발견될 경우 그냥 새 버전 컴파일해서 파일 교체하면 끝입니다

그런데 저작권 회피를 위해서 저런식으로 몇백군데에 여러 버전을 섞어서 집어넣으면 과연 새버전으로 교체 하고, 제대로 고쳐졌는지 제대로 시험 가능할까요? (랄까 애초에 저런 구조인 시점에서 그걸 고려했을까요?)

한마디로 제품을 구매하는 고객의 보안따윈 쥐꼬리만큼도 고려 안 했습니다