[디지털데일리 이민형기자] 인터넷, 네트워크 업계를 발칵 뒤집어놓은 하트블리드(Heartbleed, CVE-2014-0160) 위협이 모바일 단말업계까지 확산되고 있다.

구글은 12일(현지시각) 온라인 보안 블로그를 통해 자사의 모바일 운영체제 안드로이드 4.1.1 버전이 하트블리드 취약점에 영향을 받을 수 있다고 밝혔다. 4.1.1 제외한 버전에는 해당사항이 없다.

현재 구글은 해당 취약점 정보를 단말 제조사들에게 전달했으며 제조사, 오픈소스 프로젝트(AOSP)팀들과 함께 보안 작업을 진행하고 있다.

하트블리드는 오픈SSL의 확장 규격인 하트비트(Heartbeat)가 클라이언트(웹브라우저)와 웹서버간의 데이터를 전송을 인증하지 않는 점 때문에 발생한 취약점이다. 이 데이터는 복호화된 상태로 메모리에 작성(덤프)되며, 이에 대한 접근도 클라이언트에서 가능해진다.

이를 악용하면 클라이언트에서 웹서버에 접근해 복호화된 데이터를 가로챌 수 있고, 더 나아가 X.509 비밀키까지 취득할 수 있게 된다. 비밀키를 취득하면 이후에 전송, 생성되는 모든 데이터에 대한 복호화도 가능해진다.

하트블리드 취약점에 영향을 받는 모바일 단말의 경우 단말과 서버간의 통신이 불안전하게되며 TLS/SSL 통신 과정에서 전송되는 데이터가 유출될 가능성이 있다. 암호화가 무력화되기 때문에 SSL VPN 통신이 적용된 구간에서도 개인정보 등이 탈취될 수 있다.

따라서 안드로이드 4.1.1 단말을 사용 중인 사람들은 신속히 펌웨어 업데이트가 필요하다.

국내에서 안드로이드 4.1.1로 출고된 단말은 ▲삼성전자 갤럭시S3 ▲삼성전자 갤럭시노트2 ▲삼성전자 갤럭시노트10.1 ▲HTC 버터플라이 등이다.

구입 이후 단 한번도 펌웨어 업데이트를 진행하지 않았다면 하트블리드 취약점에 영향을 받는 버전을 사용 중일 가능성이 높다. 삼성전자, LG전자, 팬택 등은 지난해 4.1.2 펌웨어와 4.2, 4.3 펌웨어를 제공한 바 있으므로 지금 바로 업데이트가 가능하다.

한편 전세계적으로 안드로이드 4.1을 사용 중인 단말은 전체의 30%에 달하며 그 중 30%미만이 4.1.1을 사용 중인 것으로 예상된다.

<이민형 기자>kiku@ddaily.co.kr