ETRI-케이사인, 스마트폰 기반 액티브피싱 방지 기술 개발

- 안전한 전자정부·금융 서비스 실현 위한 ‘스마트채널2’ 기술 개발
- 스마트폰 위치-웹브라우저 IP간 상호인증 통해 액티브피싱 차단
- 액티브피싱 선제적 대응기술로 “금융서비스분야 도입 기대“

이제 전자정부서비스, 금융서비스를 대상으로 하는 악성코드나 피싱(Phishing) 공격을 걱정할 필요 없이 스마트폰으로 안전하게 서비스받을 수 있는 기술이 개발됐다.

ETRI(한국전자통신연구원, 원장 김흥남)는 케이사인과 공동연구를 통해 스마트폰 기반의 안전한 사용자 인증 및 피싱 방지 기능을 제공하는 ‘스마트채널2’ 기술을 개발했다고 23일 밝혔다.

‘스마트채널2’ 기술은 올해 초에 개발한 스마트채널 기술을 보다 고도화한 것으로, 인증 및 피싱 방지 기능에 초점을 맞췄다. 서비스 사용자가 자신의 스마트폰을 이용하여 웹브라우저 상의 로그인 QR코드를 인식하면, 스마트폰 내 기 설정된 보안정보를 이용하여 서버와 스마트폰 간의 상호인증을 수행하는 방식을 적용했다. 특히 이 기술은 패스워드를 직접 전송하지 않고 상호인증을 수행하기 때문에 안전하게 피싱 및 파밍(Pharming) 공격을 차단할 수 있다. 또한 지능화된 액티브(Active)피싱 공격을 대비해서도, 스마트폰의 GPS 위치 및 로그인 이력과 웹브라우저의 IP 주소를 비교하여 피싱 여부를 쉽게 탐지할 수 있는 장점을 확보했다.

현재의 대부분 피싱 및 파밍 사이트의 경우 과도한 개인정보를 요구하거나 기존과 다른 화면을 보여줘서 사용자가 약간의 보안지식만 있다면 이를 쉽게 인지할 수 있다. 하지만 최근 해외에서 이슈가 되고 있는 액티브피싱의 경우 피싱사이트가 서버와 사용자 사이에 위치하여 단순히 이용자 입력을 서버에 전달하여 대신 로그인하는 공격이기 때문에 원본(Original) 사이트와의 구분이 매우 어렵다는 문제가 있다.

이러한 액티브피싱 방지를 위해 OTP(One-Time Password), 공인인증서, SSL(Secure Socket Layer), 피싱방지 솔루션 등이 활발히 도입되고 있지만, 피싱사이트는 해커가 임의로 변조할 수 있기 때문에 이러한 보안솔루션을 쉽게 무력화시킬 수 있다.

미국 보안 솔루션업체인 RSA시큐리티에 따르면 OTP만으로는 액티브피싱과 같은 고도화된 공격에 취약하다고 발표한 바 있다. 또 ETRI연구팀에서도 현재 서비스 중인 한 대형은행의 인터넷뱅킹의 경우 OTP, SSL, 가상키보드, 바이러스백신, 피싱방지 솔루션 등을 모두 적용했지만 액티브피싱을 통해 쉽게 우회할 수 있음을 확인할 수 있었다.

진승헌 ETRI 인증기술연구팀장은 사용자는 피싱방지 이미지의 위·변조의 경우 4%, SSL의 존재 여부는 아무도 인식못한다는 MIT/하버드 연구결과를 인용하면서 “피싱 사이트를 막기 위해 사용자에게 확인을 요구하는 것은 현실적으로 불가능하며, 액티브피싱과 같은 고도화된 피싱 기술에 매번 대응하기도 어렵다”면서 “이번에 개발한 스마트채널 기술은 단순히 QR코드를 인식하여 서비스에 로그인한다는 개념만 인식하면 되기 때문에 매우 현실적이고 효과적인 피싱 방지 솔루션이다”고 기대감을 내비쳤다.

조현숙 ETRI 사이버융합보안연구단장도 “해외에서 이슈가 된 고도화 피싱 공격이 국내에도 조만간 등장할 전망이다”면서 “현재 금융권에서 인증 방식의 고도화와 피싱방지 솔루션에 비용을 투자하고 있지만, 이 역시 액티브피싱 공격에는 취약점을 보인다. 선제적인 대응기술로 스마트채널 기술이 금융서비스 분야에서 특히 고려돼야 된다.”고 말했다.

한편, 이번 기술은 지식경제부 산업융합원천기술개발사업의 연구결과물로, 현재 이지서티, SGA시큐리티 등 관련 정보보안 산업체로의 기술이전이 추진되고 있다. 또한 금융기관과 공공기관의 웹사이트 피싱 방지 및 사용자 인증 강화를 위한 시험서비스 도입을 관련기관과 협의 중에 있다.

[배포번호 : 2012-75호]