애플이 중간자 공격 방식으로 사용자 정보 탈취가 가능한 SSL 3.0 버전의 푸들 취약점에 대응하기 위해 SSL 3.0을 이용한 푸시 알림 기능 지원을 중단한다고 밝혔다.
애플 개발자 페이지 공지에 따르면, 애플은 SSL 3.0을 이용한 푸시 알람 기능 지원을 위한 서버를 10월 29일까지만 지원하며, 그 이후에는 SSL 3.0을 이용한 푸시 알림 기능이 중단될 수 있다고 전했다.
이에 따라 개발자들에게 데이터 암호화를 위해 TLS 기능을 이용할 것을 권고했으며, TLS와 SSL 3.0을 동시에 지원한다면 이번 조치에 영향을 받지 않을 것이라고 발표했다.
SSL 3.0에서 구글 연구자들이 발견한 이번 POODLE 보안 취약점은, 공격자가 사용자측에 서버가 TLS(Transport Layer Security)를 지원하지 않는다고 속이는 'downgrade dance' 공격을 통해 SSL 3.0을 사용하도록 강제, 이 과정에서 중간 공격자가 보호된 HTTP 쿠기의 암호를 풀 수 있게 된다.
즉, 중간자가 암호화되지 않은 정보를 공격자가 탈취할 수 있게 되는 보안 취약점으로, 구글 연구자들은 서버와 클라이언트의 SSL 3.0을 비활성화하고 보다 강력한 암호화 방식인 TLS를 사용할 것을 권고한 바 있다.
|
