아이콘S 인증서 교체해 자체 서버 연결…외부 무단 제어·피해 사례 미확인
코웨이(Coway) 공기청정기의 인증서 처리 허점을 이용해 제조사 서버를 거치지 않고 기기를 직접 제어한 사례가 공개됐다. 코웨이가 해당 제품에 보안 통신의 신뢰 기준이 되는 인증서를 암호화되지 않은 방식으로 내려받도록 설계한 점을 이용한 것이다.
특정 모델을 대상으로 한 실험이지만 인증서를 내려받는 통신에 개입할 수 있다면 해당 허점이 무단 기기 제어에도 악용될 가능성을 보여준다. 그러나 공개된 자료에서 외부인의 무단 원격 제어나 실제 피해 사례까지 확인되진 않았다.
 |
| ▲ 코웨이 공기청정기의 인증서 허점을 이용해 제조사 서버 없이 자체 제어가 가능한 사례를 보도한 톰스하드웨어 기사 |
16일 미국 IT 전문매체 톰스하드웨어에 따르면 개발자 스콧 J. 골드먼은 코웨이 '에어메가 아이콘S(Coway Airmega IconS)' 공기청정기를 가정 내 서버에 직접 연결해 제어하는 방법을 공개했다. 해당 프로젝트는 단종된 아이콘S AP-1022K 모델을 대상으로 자신의 기기와 네트워크를 통제한 상태에서 실험을 진행한 결과다.
골드먼은 초기 설정 과정에서 공기청정기가 루트 인증서를 암호화되지 않은 HTTP 방식으로 내려받는 점을 확인했다. 루트 인증서는 기기가 접속 상대를 신뢰할 수 있는지 판단하는 기준이다. 그는 해당 인증서를 자신의 인증서로 교체해 통신 내용을 분석하고, 기기의 연결 대상을 자체 서버로 바꿨다.
개발 계기는 기존 스마트홈 연동의 불안정성이었다. 골드먼에 따르면 코웨이 클라우드를 거치는 비공식 연동 프로그램은 앱 개편과 서버 장애 등의 영향을 받았다. 구버전 프로그램 사용으로 계정이 차단돼 수 주간 원격 제어를 하지 못한 일도 있었다.
그가 공개한 'coway-local(코웨이 로컬)'은 스마트홈 플랫폼 '홈어시스턴트'를 통해 공기청정기를 직접 제어하도록 한다. 제조사 클라우드 대신 사용자 서버와 통신하며, 애플 홈과도 연결할 수 있다.
해당 제어 방식은 아직 실험 단계로, 적용하면 코웨이 공식 앱을 통한 제어가 중단되고 일부 공기질 정보와 펌웨어 업데이트 등은 지원되지 않는다.
이번 사례는 인증서 처리 허점이 악의적인 통신 개입에도 이용될 가능성을 보여준다. 미국 비영리 연구기관 마이터(MITRE)의 보안 약점 분류체계인 CWE는 부적절한 인증서 검증이 공격자의 서버 사칭이나 통신 조작으로 이어질 수 있다고 설명했다.
공개된 자료에서 외부인이 타인의 공기청정기를 무단으로 원격 제어하거나 코웨이 서버에 침입한 사례는 확인되지 않았다.
KPI뉴스 / 양지욱 기자 yjw@kpinews.kr
[ⓒ KPI뉴스. 무단전재-재배포 금지]
