순천향대학교 정보보호연구실 2010.03.29 김 홍 기 hgkim31@sch.ac.kr 스마트폰 보안 동향 순천향대학교 정보보호연구실 2010.03.29 김 홍 기 hgkim31@sch.ac.kr 1

목 차 1 서론 2 스마트폰 OS동향 3 스마트폰 시장동향 4 스마트폰 보안 위협 5 결론 월요(동향) 세미나

1. 서론 스마트폰 일반휴대폰보다 진보된 능력을 가진 PC와 유사한 기능의 모바일 단말기 범용 운영체제가 탑재한 휴대폰 아이폰(애플사) 안드로이드폰(구글사) 윈도우모바일폰(MS사) (멀티테스킹 지원 안함) (오픈마켓을 통한 콘텐츠 등록이 편리) (PC와 가장 유사한 환경) 월요(동향) 세미나

1. 서론 (계속) 스마트폰 기능 동영상 WiFi Full Browsing 블루투스 터치스크린 스마트 폰 GPS Push Mail PDA 기능 월요(동향) 세미나

1. 서론 (계속) 스마트폰 및 모바일 기기 보안 위협 증가 아이폰, 옴니아폰, 안드로이드 폰 등의 스마트폰 사용자 증가 국내, 외 보안 기업들의 스마트폰 관련 위협 증가 전망 악성코드 제작자들의 집중적인 Target 스마트 폰을 이용한 전자상거래 증가 월요(동향) 세미나

2. 스마트폰 OS동향 Nokia 중심의 Symbian Symbian Ltd.가 휴대폰 용으로 개발한 실시간 처리의 32bit 멀티태스킹 운영체제 2G, 2.5G, 3G 네트워크 지원 모바일 단말 OS중에서 점유율이 가장 큼 Apple, Google의 스마트폰 시장 진입에 따른 점유율 하락으로 인해 2010년까지 오픈 플랫폼으로 전환할 것을 발표(2008.6) 시장점유율이 높은 Nokia제품에 많이 탑제 월요(동향) 세미나

2. 스마트폰 OS동향 (계속) Window Mobile Microsoft Win32 API에 기반하여 모바일 어플리케이션을 지원하는 모바일 OS 임베디드용 OS인 윈도 CE를 기반으로 하고 있음 2009년 5월 Windows Mobile 6.5발표 아웃룩을 통한 이메일 서비스 및 윈도우라이브 제공 코드 인증을 통한 어플리케이션 탑제 월요(동향) 세미나

2. 스마트폰 OS동향 (계속) Google의 Android 2007년 google에서 개발한 모바일 OS 무료 오픈 소스(SDK)를 통해 소프트웨어 양산화 모색 오픈 API를 통한 매쉬업 서비스를 통한 구글 웹서비스를 쉽고 빠르게 제공 리눅스 기반으로 다양한 하드웨어에 이식하거나 새로운 기능을 부여하기 쉬움 Sdk-software Development kit 월요(동향) 세미나

2. 스마트폰 OS동향 (계속) Apple의 Mac OS X Apple사에서 개발한 모바일 OS iPhone, iPod touch에 탑제 멀티터치 인터페이스와 가속기능 탑제 아웃룩 익스프레스 지원으로 이메일 송수신 가능 아이튠즈, 앱스토어와의 연동으로 다양한 멀티미디어 서비스 제공 App Store가 기본적인 적절성 심사를 수행 월요(동향) 세미나

3. 스마트폰 시장동향 국산 휴대폰 시장 규모 및 스마트폰 비중 (단위 : 만대) 출처 : ROA Group Report, 2009.12 월요(동향) 세미나

3. 스마트폰 시장동향 (계속) OS별 시장 점유율 월요(동향) 세미나

3. 스마트폰 시장동향 (계속) 스마트폰 판매비율 iPhone OS와 Android의 판매비율 상승 2009 2010 총 판매 개수 판매비율 Symbian 86,446.80 48.1% 121,327,90 45.5% Android 9,203.90 5.1% 22,747.60 8.5% RIM 34,526.70 19.2% 48,889.60 18.3% iPhone OS 21,692.50 12.1% 35,944.00 13.5% Microsoft 16,092.50 8.9% 21,528.30 8.1% Others 11,866.70 6.6% 16,147.70 6.1% 총 합계 179,829.00 100% 266,585.20 월요(동향) 세미나

4. 스마트폰 보안 위협 모바일 악성코드로 인한 스마트폰의 보안 위협은 계속적으로 증가 국내에서의 보안 위협은 미비한 수준이지만 WIPI의 폐지로 인해 개방화의 가속으로 보안 위협에 대응해야 함 모바일 악성코드의 종류 단말 장애 유발형 악성코드 배터리 소모형 악성코드 과금 유발형 악성코드 정보유출형 악성코드 크로스 플랫폼형 악성코드 월요(동향) 세미나

4. 스마트폰 보안 위협 (계속) 단말 장애 유발형 악성코드 단말의 사용을 불가능하게 만들거나 장애를 유발 Skulls 모든 메뉴 아이콘을 해골로 변경 통화이외의 부가기능을 사용 불가로 변경 Locknut 단말의 일부 키 버튼을 고장 월요(동향) 세미나

4. 스마트폰 보안 위협 (계속) 배터리 소모형 악성코드 단말의 전력을 지속적으로 소모시켜 배터리를 고갈시키는 공격유형 Cabir 2004년 발견된 악성코드 지속적으로 인근 단말의 블루투스를 스캐닝하여 이를 통해 악성코드 전파 감염된 단말은 지속적인 스캐닝을 통해 다른 단말기에 감염 월요(동향) 세미나

4. 스마트폰 보안 위협 (계속) 과금 유발형 악성코드 단말의 메시지 서비스, 전화시도를 지속적으로 시도하여 과금을 발생시키는 공격유형 RedBrowser 불특정 다수에게 SMS전송 Kiazha 2008년 중국에서 발견 돈을 요구하는 경고메시지와 함께 저장된 문자메시지 삭제 월요(동향) 세미나

4. 스마트폰 보안 위협 (계속) 정보유출형 악성코드 감염된 단말의 정보나 사용자 정보를 외부로 유출시키는 공격유형 Infojack 단말의 보안설정 변경, 단말의 시리얼번호, 설치된 어플리케이션의 정보등을 외부로 전송 Flexispy 스마트폰의 전화기록, 문자메시지 외부로 전송 월요(동향) 세미나

4. 스마트폰 보안 위협 (계속) 크로스 플랫폼형 악성코드 모바일 단말을 통해 PC를 감염시키는 공격 유형 Cardtrap.A 월요(동향) 세미나

4. 스마트폰 보안 위협 (계속) 스마트폰 보안 이슈 국산 스마트폰 해킹에 모두 뚫린다 동아일보 (2010.2) 스마트폰 해킹 개요도 타인 인증번호 가로채 결제… 숭실대 이정현 교수님 시연 숭실대 컴퓨터학부 이정현 교수님은 스마트폰으로 무선 랜(Wifi)을 통해 웹사이트에 접속해 소액 결제를 할때 문자메시지로 전송되는 인증번호 등을 가로채 다른 사람의 스마트폰 번호로 최대 20만원 까지 결제할 수 있었다고 밝혔다. ………… 이와 관련해 삼성전자는 “이 문제는 옴니아만의 문제가 아니라 마이크로소프트 윈도를 운영체제로 하는 스마트폰에 관한 것”이라며 “안철수연구소와 협력해 스마트폰 사용자에게 백신을 개발해 제공할 예정”이라고 밝혔다. 개인정보 전송 스마트폰 사용자 스마트폰 사용해커 휴대폰 소액 결제 바이러스 다운로드 바이러스 유포 사이트 접속 웹사이트 구매 사이트 월요(동향) 세미나

4. 스마트폰 보안 위협 (계속) 스마트폰 보안 이슈 한국MS, 숭실대 스마트폰 해킹 반박 전자신문 (2010.2) 전자신문 (2010.2) 한국MS, 숭실대 스마트폰 해킹 반박 윈도 모바일 OS 스마트폰 해킹위협 ‘뚝’ 16일 한국마이크로소프트(한국MS)는 스마트폰 취약성을 이용해 해킹에 성공했다고 지난 1일 발표한 숭실대학교 IT대학 컴퓨터학부 이정현 교수보안연구팀의 해킹 테스트에 대해 “해킹이 가능하도록 스마트폰 환경을 구성한 후 테스트한 것으로 일반 사용자 환경에서 이같은 해킹 환경에 노출되는 것은 사실상 불가능하다”고 밝혔다. ………… 국내 출시 앞둔 심비안3 스마트또, 악성코드가 설치되는 포트를 인위적으로 열어놓은 상태에서 테스트를 시행한 것으로 실제 이용자 환경에서는 사용자가 일부러 설치하는 경우를 제외하고 감염될 수 없다고 덧붙였다. 한국전자통신연구원(ETRI)은 윈도 모바일 OS 기반의 스마트폰에서 트로이목마·바이러스 등에 의해 해킹이 시도되거나 주요 데이터의 불법 외부 유출이 시도되는 순간 이를 자동 탐지·차단하는 3가지 보안 관리기술을 개발했다고 22일 밝혔다. ………… 국내 출시 앞둔 심비안3 스마트ETRI 김기영 박사는 “현재 출시한 모바일 백신은 악성코드 변종이 발생할때마다 업데이트를 진행해야 하는 불편함이 있지만 이번에 개발한 모바일 보안 관리 기술을 적용하면 수시로 업데이트하지 않아도 변종 악성코드·해킹기법의 출현에 효과적으로 대응할 수 있다”고 설명했다. 그는 “이 기술은 모바일 백신이 안고 있는 한계를 보완해줄 것”이라며 “기업 스마트폰 보안 관리를 위한 적당한 국내 솔루션이 없어 외산 기술에 잠식당하고 있는 상황에서 국산 업체들이 이를 대체하도록 사업화를 지원할 것”이라고 강조했다. 월요(동향) 세미나

4. 스마트폰 보안 위협 (계속) 스마트폰 이용자 10대 안전수칙 의심스러운 애플리케이션 다운로드하지 않기 신뢰할 수 없는 사이트 방문하지 않기 발신인이 불명확하거나 의심스러운 메시지 및 메일 삭제하기 비밀번호 설정 기능을 이용하고 정기적으로 비밀번호 변경하기 블루투스 기능 등 무선 인터페이스는 사용시에만 켜놓기 이상 증상이 지속될 경우 악성코드 감염여부 확인하기 다운로드한 파일은 바이러스 유무를 검사한 후 사용하기 PC에도 백신프로그램을 설치하고 정기적으로 바이러스 검사하기 스마트폰 플랫폼의 구조를 임의로 변경하지 않기 운영체제 및 백신프로그램을 항상 최신 버전으로 업데이트 하기 월요(동향) 세미나

5. 결론 스마트폰의 개방성으로 인해 누구나 다양한 컨텐츠 생성이 가능한 환경이 구성 일부 악의적인 개발자가 이를 이용해 악의적인 프로그램을 제작 및 유포할 가능성이 높아짐 보안 위협에 따른 철저한 대비가 필요 월요(동향) 세미나

순천향대학교 정보보호연구실 2010.03.29 김 홍 기 hgkim31@sch.ac.kr 스마트폰 보안 동향 THANK YOU ! Q & A 순천향대학교 정보보호연구실 2010.03.29 김 홍 기 hgkim31@sch.ac.kr 23

참고문헌(References) 김기영, 강동호, “개방형 모바일 환경에서 스마트폰 보안기술”, 2009.10 공영일, “스마트폰의 합의와 시사점”, 2010.3 한국과학기술정보연구원, “스마트폰”, 2009.1 허영일, “아이폰 OS 취약성 소개 및 Privacy 노출 위험”, 2010.3 전자부품연구원, “스마트폰 동향 및 전망”, 2010.3 월요(동향) 세미나