529 읽음
카이스트 가짜 기지국 탐지 플랫폼 데빌레이 개발
아주경제
0
카이스트 전기및전자공학부 김용대 교수 연구팀은 국가보안기술연구소, 경희대학교, 미국 플로리다대학교, 케이프와 공동으로 데빌레이를 만들었다고 4일 밝혔다.
가짜 기지국은 정상 기지국인 것처럼 신호를 보내 주변 스마트폰의 연결을 유도하는 장비다. 스마트폰 식별 정보를 모으거나 위치를 추적하고 통신을 방해하는 데 쓰일 수 있다. 최근에는 범죄자들이 차량 등에 가짜 기지국을 싣고 다니며 금융기관이나 배송업체를 사칭한 피싱 문자를 직접 뿌리는 ‘SMS Blaster’ 범죄도 세계 각국에서 발생하고 있다.
탐지 연구는 20여 년간 이어졌지만 다양한 실제 장비를 확보해 시험하기는 어렵다. 상용 제품은 값이 비싸고 구매와 운용에 제약이 있어 대학 연구자는 물론 이동통신사나 정보·수사기관도 모든 장비와 새 변종을 갖추기 힘들다. 공격자는 같은 목적을 이루면서도 메시지와 통신 절차를 바꿀 수 있어, 알려진 몇 가지 공격만으로 시험한 탐지 기술에는 빈틈이 생길 수 있다.
연구팀은 상용 가짜 기지국의 동작과 기존 연구, 국제 이동통신 표준인 3GPP 규격을 함께 분석했다. 가짜 기지국의 동작을 △주변 통신망 탐색 △가짜 신호 송출 △스마트폰 연결 유도 △공격 수행 등 4단계로 나누고, 공격자가 바꿀 수 있는 동작을 7개 핵심 요소로 정리했다.
여기에 실제 통신에서 함께 쓸 수 없는 조합을 걸러내는 21개 규칙을 적용해 2592개의 서로 다른 동작 구성을 구현했다. 이 숫자는 실제 발생한 공격 건수나 탐지기를 피한 횟수가 아니라 플랫폼에서 재현할 수 있는 동작 방식의 수다. 연구팀은 모든 구성을 실제 스마트폰과 연결해 전체 통신 절차가 정상적으로 이뤄지는지 확인했다.
연구팀은 통신 메시지, 기지국 정보, 무선 신호, 통계적 특징, 머신러닝 등 서로 다른 원리를 쓰는 기존 탐지 시스템 7종을 데빌레이로 평가했다. 탐지기가 놓친 이유는 크게 두 가지였다. 특정 메시지를 공격의 단서로 삼는 탐지기는 다른 절차로 이뤄지는 공격을 놓쳤고, 공격 행동이 정상 통신망과 비슷해 구별되지 않는 경우도 있었다.
탐지 기준을 강화하는 것만으로는 해결되지 않았다. 머신러닝 기반 탐지기에 놓쳤던 공격을 추가로 학습시키자 탐지율은 올랐지만 정상 통신을 공격으로 잘못 판단하는 오탐도 함께 늘었다. 공격을 얼마나 잘 찾는지와 정상 통신을 얼마나 정확히 가려내는지를 함께 평가해야 한다는 뜻이다.
연구팀은 전자프런티어재단(EFF)의 탐지 도구 '레이헌터(Rayhunter)'가 놓치는 공격 사례를 EFF에 전달했고, EFF는 이를 잡아낼 새 방법을 연구 중이다. 세계이동통신사업자협회(GSMA) 사기 방지 및 보안 워킹 그룹(FASG) 회의에도 초청받아 각국 표준·산업 관계자를 대상으로 데빌레이를 소개하고 향후 탐지 방안을 논의했다.
김용대 교수는 "가짜 기지국 공격과 탐지는 본래 공격자와 방어자가 서로 발전하는 경쟁 관계여야 하지만 지금까지는 공격자에게 유리한 '기울어진 운동장'이었다"며 "데빌레이의 목적은 기존 탐지기를 무력화하는 것이 아니라 공격자가 선택할 수 있는 다양한 행동을 방어자에게도 제공해 공격과 방어가 함께 발전할 수 있는 연구 기반을 만드는 것"이라고 말했다.