'스마트 OTP' 곧 도입…보안 취약해 어찌할꼬

http://www.hankookilbo.com/v/11099b0353ee490b9fdda26041a04c9d



내가 전에도 여기서 말했는지,

딴데서 말했는지는 모르겠지만,


이건 보안카드보다 훨씬 위험한 기술임.



흔히

보안카드가 위험하다고들 하는데,

그 이유가 뭐겠음?

바로 보안카드를 사진찍기, 스캔해서 디지털 저장하는 병신스런 행태가 문제인거임.

보안카드 털리는건 대개 이런거 때문에 털림.(간혹 지인이나 친구에게 지갑 보여줬다가 찍히는 일도 있다고...)


이렇게 저장한걸 이메일이나 PC,모바일에 저장해뒀다가

그게 바이러스나 악성코드에 털려서 털리는거.


즉, 보안카드는 "찍거나 스캔하지만 않으면" 안전한 수단이 됨.

(물론 서버가 털리면 문제인데, 사실 OTP도 서버 털리면 답없긴 매한가지.)



OTP는 간략하게 설명하면,

"양쪽에서 동시에 비번을 바꾸는 기술"인데,

동시에 바꾸려면 "시간동기화"를 주로 이용하게됨.(그래서 On/One Time Password)

즉, 서버와 개인의 OTP가 동시에 매분마다 정해진 루틴을 따라 비번을 동일한 시간에, 동일하게 교체하게 되고,

그것을 기반으로 비번일치를 확인하게됨.

기존 OTP단말기는 보통 네트워크 독립형에 봉인형 디바이스라서 결코 바이러스나 악성코드 감염을 우려할 필요가 없음.

서버가 털리지만 않으면, 거의 완벽에 가깝게 보안을 유지할 수 있게 되는거.



문제는 이게 배터리도 필요하고, 단말기가 항상 켜져있으면서 시간을 카운트해야하기 때문에,

보통 지갑에 넣어다닐수 없는 두께가 나옴.

휴대하려면 주머니에 넣어야됨.

그리고 공짜로 배포할만큼 간단한 장비는 아니라서 우수고객 아니면 다 돈받고 팜.



이제서야 본론인데,

그래서 나온게 스마트폰에 설치하는 "스마트OTP"임.

더 싸게 배포가능하고, 배터리 걱정이 없음.

NFC 이용한다고는 하는데, 스마트폰을 거치는 이상 큰 보안위협이 발생함.

위에서 OTP는 "시간동기화"를 이용한다고 했는데, 스마트OTP에서도 동일함.

바로 이게 문제가 됨.

이것을 터는 악성코드에 감염된 스마트폰은, 이 시간을 기반으로 미래의 비번을 획득하는게 가능해짐.

시간이 조정가능하니까.


즉, 이로인해 필수적으로 스마트폰을 이용해야하는 스마트OTP는

보안카드보다 더 위험한 보안위협이 생김.


이런 문제를 어디까지 신경썼는지는 모르겠지만,

기사보니 정부당국도 이거 점검 안하고 손놨다는거 같은데,

돈 아낀다고 스마트OTP 함부로 하지말고, 왠만하면 정식OTP써라.

맛폰 털리면 좆되는 수가 생김.