[지디넷코리아]올해 29세인 폴란드 포즈난 수퍼 컴퓨팅 & 네트워킹 센터의 보안관련 연구원 아담 고디악이 썬의 휴대폰용 자바 소프트웨어에서 개인정보를 도용하거나 휴대폰의 기능을 마비시킬 수 있는 두 가지 보안 취약점을 발견했다.

고디악은 지난 22일 버그트랙 보안 취약점 메일링 리스트에 올린 글을 통해 4개월 연구끝에 노키아 6310i 휴대폰의 보안 취약점을 발견했다고 밝혔다. 이어 그는 “그러나 이를 이용하려면 각 휴대폰에 악성 프로그램을 별도로 설치해야 하기 때문에 실제 실행하기는 쉽지 않다”고 말했다. 즉 휴대폰 사용자가 ‘미들렛(midlet)’이라는 악성 자바프로그램을 다운받아 설치해야 하며, 취약점 이용해 자동으로 실행할 수 있는 방법은 없다는 것이다.

고디악은 지난 8월에 이를 썬 측에 알렸고, 썬은 2주 후 ‘자바 바이트코드 버리파이어(Java bytecode verifier)’라는 패치를 자바 라이선스 업체들에게 제공했다고 밝혔다. 썬의 J2ME 소프트웨어 마케팅 담당 에릭 추는 "현재 이 취약점을 이용한 해킹은 발견되지 않았다. 그래도 해킹이 의심되는 휴대폰 사용자는 미심쩍은 사이트에서 다운로드 한 파일을 삭제하면 된다"고 말했다.

그러나 고디악은 지난 10월 말레이지아에서 열린 핵인더박스(Hack in the Box) 컨퍼런스에서 문제가 더 심각하다고 말했다. 그는 연설을 통해 "휴대폰 제조업체들이나 안티바이러스 업계가 이런 종류의 공격에 대비를 하지 않고 있다. 6개월 이내에 휴대폰에 대한 원격공격 취약점이 발견될 것"이라고 말했다. 썬은 이 취약점을 언론에 공개하는 대신 휴대폰 제조사를 통해 고객에게 통지하는 방식을 취했는데, 이에 대해 추는 "썬은 일반 소비자와 직접 연결되어 있지 않기 때문"이라고 해명했다.

자바 프로그램, 전세계 휴대폰의 1/3에 탑재
자바 프로그램은 비디오 게임을 서로 다른 휴대폰에서 실행시키는데 활용되는 등 이용범위가 점차 확대되고 있다. 썬은 2004년 말까지 전세계 휴대폰의 1/3에 해당하는 5억 7000만대에 자바 프로그램 실행 기능이 탑재될 것으로 전망했다. 벨소리와 게임 등 다운로드 판매에 J2ME를 이용하는 휴대폰 서비스 업체들은 수백개에 이른다.

고급기능을 장착한 휴대폰의 비중이 커지는 것도 중요한 변화다. 메타그룹에 따르면 2007년까지 전체 기업이나 조직의 2/3가 휴대폰 데이터 서비스를 기업 활동에 적용할 것으로 예상된다. 가장 널리 활용되는 애플리케이션은 휴대폰용 이메일인데, 3년 이내에 전체 기업의 과반수가, 4년 이후에는 75%가 무선 이메일 시스템을 도입할 것으로 전망됐다.

한편 이번에 발견된 보안 취약점 발표는 샌프란시스코에서 열리는 2004 CTIA 무선 IT & 엔터테인먼트 쇼에서 자바의 새로운 서비스를 공개하는 시점과 맞물려 이루어졌다. 그동안 자바는 윈도우에 비하면 비교적 보안 취약점이 적은 편이었는데, 이는 자바에 보안기능이 내장되어 있어 개별 프로그램이나 원격 프로그램이 무단으로 침투하기 어렵기 때문이다.

고디악은 이번에 발견된 보안상의 취약점을 이용해 노키아 휴대폰에 문자 메시지나 사진을 보내고 메모리에 저장된 정보를 삭제하며 인터넷에 접속해 사용자 몰래 주소록 내용을 도용할 수 있는 프로그램을 만들어 보였다. 또한 핵인더박스 컨퍼런스 연설에서는 이번에 발견된 취약점이 문자 메시지를 비밀리에 기록하거나 다른 애플리케이션을 설치하는 프로그램에 악용될 가능성이 있다고 경고했다.

썬의 자바만큼 널리 사용되지는 않지만 퀄컴도 휴대폰에 소프트웨어를 다운받는 기술을 보유하고 있다. 퀄컴의 무선통신용 바이너리 런타임 환경을 이용한 십여종의 휴대폰이 나와 있으나 이 가운데 보안 취약점이 사례는 아직 없었다. 반면 스마트폰 운영체제와 소형기기용 윈도우 CE, 그리고 휴대 제품용 포켓 PC 소프트웨어를 선보인 MS는 여기서 보안 취약점이 발견되는 등 휴대폰 관련 문제를 경험한 바 있다. @