이번 주 라스 베이거스에서 열린 블랙 햇 컨퍼런스는 해커, 보안 전문가 및 주요 기업 대표가 만나 정보 보안과 관련된 모든 것을 논의합니다. 오늘 회의에서 뉴스를보고 있다면, 악의적 인 NFC (근거리 통신) 태그가 멀웨어를 발사 할 수있는 Android (및 NFC 지원 Meego 전화)의 새로운 보안 취약점에 대한보고가있을 수 있습니다. 휴대 전화로 바로 연결됩니다. 끔찍하게 들리나요? 이제 해커는 아무것도하지 않고도 스마트 폰을 인계 할 수 있습니다. 그러나 이러한 종류의 보안 문제는 항상 그렇듯이 간단하지 않습니다. 섹시하고 기술적으로 인상적인 NFC '해킹'은 일반 스마트 폰 사용자에게는 특히 무서운 것이 아닙니다.
이유를 알아 보려면 계속 읽으십시오.
먼저 NFC가 실제로 무엇인지 신속하게 설명해야합니다. 근거리 통신을 의미하며 매우 짧은 거리에서 즉시 소량의 데이터를 전송하도록 설계된 매우 근거리 무선 통신 기술입니다. 스마트 폰에서는이 기능을 사용하여 한 핸드셋에서 다른 핸드셋으로 URL과 같은 것을 전송하거나 NFC "태그"를 스캔 할 수 있습니다.이 태그에는 전화 자체가 작동 할 수있는 소량의 데이터가 포함될 수 있습니다. 또한 Google 월렛과 같은 결제를 용이하게하기 위해 사용할 수도 있습니다. (우리의 안드로이드 AZ에서)
여러 소식통에 따르면 보안 연구원 Charlie Miller는 이번 주 Black Hat에서 Nexus S (Gingerbread), Galaxy Nexus (Ice Cream Sandwich) 및 Meego 기반 Nokia N9를 해킹하는 다양한 기술을 시연했다고합니다. 가장 무서운 공격은 N9에서 발견되었지만 여기서는 Android에 중점을 둘 것입니다. (그리고 그것은 오늘날 많은 헤드 라인이 중점을 두는 것이기도합니다.)
Galaxy Nexus Miller는 최고급부터 Ice Cream Sandwich 이상을 실행하는 NFC 지원 Android 휴대 전화에서 Android Beam을 사용하는 것으로 나타났습니다.이 기능은 일부 (모두는 아니지만) 기본적으로 켜져있는 기능입니다. 무엇보다도 Beam을 사용하면 다른 전화 또는 NFC 태그의 URL을 장치의 웹 브라우저로 직접로드 할 수 있습니다. 즉, 악의적 인 NFC 태그를 사용하여 가정하지 않은 사용자를 악의적 인 웹 페이지로 직접 보낼 수 있습니다. 그래도 작동하려면 태그가 NFC 라디오가 작동 할 수있는 매우 짧은 범위 내에 있어야합니다 (기본적으로 장치 후면을 건드리지 않고 모두). Android Beam은 의도적으로 프롬프트없이 태그가 지정된 URL을 자동으로 엽니 다. 사용자의 웹 브라우저에서 취약성을 발견하기 위해 필요한 모든 것을 수행하기 위해서는 유효한 보안 문제이지만 전통적인 의미에서의 악용은 아닙니다.
Android 4.0.1에서 내장 Android 브라우저를 사용하는 경우 이러한 버그가 발생하여 특수하게 설계된 웹 페이지가 장치에서 코드를 실행할 수 있습니다. 다시 말하지만 완전히 유효한 보안 문제이지만 NFC를 이런 종류의 공격에 대한 전달 방법으로 사용하는 것은 실용적이지 않습니다. Android 4.0.1은 이동 통신사에 따라 Android 4.0.4 또는 4.1.1로 업데이트 된 휴대폰 인 Galaxy Nexus에서만 출시되었습니다.
Miller는 또한 NFC를 지원하는 Gingerbread 장치가 악성 태그를 사용하여 코드를 실행하도록 Android 2.3의 메모리 관리 버그를 어떻게 악용 할 수 있는지 시연했습니다. 이로 인해 공격자는 NFC 태그 만 사용하여 장치를 완전히 제어 할 수 있지만 잠재적으로 덜 심각한 문제로 생각되는 몇 가지 요소를 지적해야합니다. 물론, Android 2.3 Gingerbread는 여전히 가장 많이 사용되는 Android 버전이며 많은 새로운 Android 기기는 NFC 지원 기능을 제공하지만 둘 사이의 교차는 거의 없습니다. Nexus S는 NFC를 지원하는 최초의 Android 핸드셋 이었지만 이후 Jelly Bean으로 업데이트되었습니다. 다른 NFC 지원 장치는 2.3에 탑재되어 있지만 NFC가 장착 된 대부분의 주요 Android 휴대 전화는 버전 4.0.3 이상을 실행하며이 데모에 사용 된 익스플로잇에는 취약하지 않습니다. 실제로 Android 4.0.3 이상으로 아직 업데이트되지 않은 NFC가있는 단일 진저 브레드 폰은 생각할 수 없습니다.
따라서 취약점은 확실히 존재하지만, 현재 유일하게 심각한 취약점은 NFC를 사용하는 Android 인구의 매우 작은 하위 집합 및 매우 구체적인 OS 버전으로 제한됩니다. 또한 휴대 전화의 전원을 켜고 NFC 무선 장치를 활성화해야하며 사용자가 이야기의 NFC 톤이나 진동을 느끼지 못할 정도로주의가 산만해야합니다.
궁극적으로 해킹당하는 장치에 대한 물리적 액세스와 관련된 모든 악용은 실제 악의적 인 사용자에게 제한적으로 사용됩니다. 현실에서 NFC를 통해 스마트 폰을 제어하는 것은 Black Hat에 표시된 방법을 공개 한 후에도 위험하고 비현실적입니다. 악의적 인 의도로 전화기에 오랫동안 액세스하여 전원을 켜면 NFC가 첫 번째 통화 포트가되지는 않습니다. 이번 주 찰리 밀러 (Charlie Miller)가 시연 한 익스플로잇은 독창적이면서도 읽을 수 없을 정도로 시원합니다. 그러나 특히 해킹에 대한 주류보고가 중요한 기술적 세부 사항에 대해 밝을 때 실제 위험을 과장하기 쉽습니다.
결론-때때로 안드로이드 폰에서 NFC를 사용하는 것을 즐긴다면 계속 그렇게하는 것이 안전합니다.
더: Arc Technica
