2018년 공개된 와이파이(WiFi) 인증 프로그램 'WPA3'가 안전하지 않다는 분석이 나왔다.
WPA (Wi-Fi Protected Access, 와이파이 보호 접속)는 2003년 처음 고안되었고 2004년에는 이를 개선한 WPA2가 나와서 수많은 네트워크 장치의 와이파이 보안을 보호하는 기능으로 사용되었다.
2017년 10월에 무차별로 키를 대입하여 와이파이 연결 정보를 가로채는 '키 재설치 공격(key reinstallation attack)'이 보안 취약점으로 밝혀지면서 개선이 필요해졌는데 2018년 1월에 'SAE (Simultaneous Authentication of Equals, 동등한 기기 동시 입증)' 기술을 적용한 WPA3가 공개되어서 WPA2를 대체해 기존 와이파이의 보안 취약점을 해결할 수 있을 것으로 전망하였다.
그러나 애석하게도 WPA3 역시 WPA2와 같은 보안 취약점을 가지고 있다는 분석이 나왔다. 안드로이드 폴리스(Android Police)에 의하면 보안 전문가 매시 반호프(Mathy Vanhoef)와 이열 로넨(Eyal Ronen)은 WPA3 전환 모드 사용 시 WPA2도 함께 지원하면서 공격자가 원본과 같은 SSID (SubSystem IDentification, 서브시스템 식별명)를 사용해 가짜 WPA2 네트워크를 만들 수 있으며, 그 다음에 WPA2 보안 취약점을 악용할 수 있다고 설명하였다.
그들은 해당 공격을 여러 가지 장치에서 시험해봤는데 갤럭시S10에도 통해서 최신 기기라도 안전하지 않다는 것을 입증하였고 WPA3는 캐시 및 타이밍 기반 사이드 채널 누출에 취약해서 네트워크 암호 정보를 드러낼 수 있다고 하였다.
와이파이 얼라이언스(Wi-Fi Alliance)는 관련 문제점을 파악하였고 WPA3는 배포 초기 단계이며 영향을 받는 제조사가 문제를 해결하는 패치를 배포 중이라고 하였다.
물론 새로운 공격 방법이 고안될 수 있으므로 당장 와이파이 보안 수준을 높이기 위해서는 특수 문자를 포함하는 13자 이상 암호를 설정하는 것이 좋다. |
