아이폰, 아이패드, 맥, 맥북 등의 기기에서 위험한 취약점이 발견되었다. 문제의 근원은 클래스라기보다는 스크립팅 언어에 가까운 NSPredicate라는 클래스다. 이것이 바로 문제가 되는 이유다.
애플의 iOS, iPadOS, macOS에서 새로운 종류의 취약점이 발견되었다. 공격자가 익스플로잇에 성공하면 권한을 상승시키고 피해자의 디바이스에 있는 모든 디지털 자산을 탈취할 수 있다. 보안 업체 트렐릭스의 연구원 오스틴 에밋은 2월 21일 블로그 게시물에서 “코드 서명 우회 취약점으로, 여러 플랫폼의 애플리케이션 컨텍스트에서 임의의 코드 실행으로 이어질 수 있다.”라고 설명했다.
새로운 취약점을 통해 공격자는 피해자의 아이폰, 아이패드 또는 Mac에 저장된 사진, 메시지, 통화 기록 및 위치 정보등을 마음껏 열람하고 가져갈 수 있게 된다고 하며, 기기의 마이크와 카메라를 제어할 수 있다. 또한 기기를 완전히 지울 수도 있다. 중간 위험과 고위험 취약점이 혼합되어 있으며, 애플은 이 취약점을 두 가지 CVE 번호로 분류했다. 하나는 CVE-2023-23530이고 다른 하나는 CVE-2023-23531이다. 아직 실제 해킹 공격에 대한 보고는 없다.
새로운 사이버 공격 기법
이번에 발견된 취약점은 NSPredicate라는 클래스와 관련이 깊다. NSPredicate는 앱 개발자가 디바이스의 개체 목록을 필터링하는 데 사용하는 클래스다. 에멧은 “NSPredicate는 매우 단순해 보이지만, 실제로는 스크립팅 언어로 간주될 만큼 심층적이기 때문에 NSPredicate를 통해 코드를 생성하고 실행하는 것이 항상 가능했습니다.”라고 설명합니다.
개념 증명을 위해 트렐릭스는 아이폰의 NSPredicate를 활용하여 루트 레벨 프로세스에서 코드를 실행시키는 데 성공했다. 이를 통해 디바이스의 캘린더, 주소록, 사진 등에 액세스할 수 있었다. 아이패드에서는 UIKitCore라는 프레임워크에서 NSPredicate 관련 취약점을 찾아서 익스플로잇할 수 있었다. “아이패드의 홈 화면을 관리하는 앱인 SpringBoard 내에서 코드를 실행할 수 있었습니다. 스프링보드에 침투할 수 있다면 사용자가 저장하는 모든 데이터에 액세스할 수 있고 심지어 디바이스의 모든 데이터를 지울 수도 있습니다.”
하지만 이 취약점 공략이 최초 침투를 가능하게 하는 것은 아니다. 즉 위의 취약점들을 익스플로잇 해서 트렐릭스가 선보인 공격을 성공시키려면 공격자가 미리 아이폰, 아이패드, 맥북이나 아이맥의 침투 기법을 별도로 알아내 선행해야 한다. “하지만 요즘에는 피싱 공격이나 소셜 엔지니어링을 통해 비교적 쉽게 침투할 수 있고 다크 웹에 이를 수행할 수 있는 전문가도 있기 때문에 초기 침투는 공격자에게 그리 어렵지 않습니다.”
패치로 끝나는 건 아니다.
애플은 사용자에게 “시스템 소프트웨어를 업데이트”하라고 권고하고 있다. 최신 iOS, iPadOS 및 macOS에는 위의 취약점이 포함되어 있지 않다. 하지만 업데이트만으로 문제가 다 해결되는 것은 아니다. “NSPredicate는 2019년부터 보안 전문가들 사이에서 알려져 있던 위험 요소이다. 2021년에는 NSO 그룹이 사우디아라비아의 활동가들을 감시하기 위해 실제 익스플로잇을 사용하기도 했습니다. 애플은 NSPredicate의 허점을 막기 위해 노력해왔지만, 이런 일이 또 발생하면서 완전히 막지 못한 것 같습니다.”
“모든 종류의 버그를코드만 변경해야 할 것이 아니라 개발자들을 대상으로 한 지속적인 교육까지도 병행해야 하거든요. 이번에 발견된 NSPredicate 취약점들도 단 기간 내에 없어지지는 않을 것으로 예상됩니다. 비슷한 취약점들이 앞으로더 계속해서 나올 가능성이 높다는 뜻입니다.”
애플의 뛰어난 보안성?
이번 취약점의 발견은 “애플 장비들은 PC나 안드로이드 장비들보다 보안성이 높다”는 일반적인 선입견을 반박하는 사례가 될 수 있다. “애플은 최초의 아이폰부터 소프트웨어의 사용에 있어 많은 제한을 뒀습니다. 이 때문에 사이버 공격을 실시하는 데 있어 제약이 있을 수밖에 없었습니다. 물론 사용자들 역시 자유롭지 못하게 장비를 사용하고 있긴 하지만요.” 에밋의 설명이다.
이 ‘제한’에는 소프트웨어 설치도 포함된다. 아무 소프트웨어나 애플 장비에 설치될 수 없다. 애플은 이러한 제한을 유지하기 위해 코드 서명이라는 기술을 많이 활용합니다. 코드 서명은 일종의 게이트키퍼 역할을 하여 서명이 있는 것만 장치에 설치할 수 있도록 한다. 애플은 신뢰할 수 있는 개발자에게만 이러한 서명을 제공한다. 전체 생태계는 매우 엄격하게 통제된다. 그 결과 애플은 보안에 많은 노력을 기울이는 회사라는 이미지가 시장에 서서히 자리 잡았다.
보안 회사인 시큐리티저니(Security Journey)의 수석 애플리케이션 책임자인 마이크 머크(Mike Burch)는 “애플의 디바이스가 튼튼하다는 것은 일종의 오해입니다.”라고 말한다. “애플이 보안을 간과하지 않는 기업이라는 건 맞습니다. 어떤 면에서는 다른 OS 기반 장비들보다 애플 장비들이 나은 점이 있기도 합니다. 하지만 ‘애플은 보안이 철저하다’라는 인식을 일반 대중들이 글자 그대로 받아들인다는 것은 우려스러운 일입니다. 왜냐하면 애플 장비들도 얼마든지 공격이 가능한데 사용자들이 안심하게 되거든요. 안심하면 보안 조치를 취하지 않게 되고, 각종 실천 사항도 어기게 됩니다. 그러면서 균열이 가기 시작하죠.”