[디지털데일리 이민형기자] “많은 사용자들은 애플의 운영체제(OS) 오에스텐(OSX)이 다른 OS에 비해서 안전하다는 인식이 있는데 사실은 그렇지 않다. OSX도 여느 OS와 마찬가지로 보안취약점이 발생할 수 있음을 인지해야 한다.”

이승진 그레이해쉬 대표는 16일 JW메리어트호텔에서 열린 ‘차세대 기업보안 세미나 NES2015’에서 애플 OSX와 아이오에스(iOS)의 보안취약점을 공개했다. 그는 공격자의 관점에서 애플 OS의 보안성에 대해 알아보기 위해 관련 연구를 시작했다.

이 대표는 “애플 OSX도 분명 윈도만큼 보안취약점이 존재할 것이라고 예상했다. OSX에 대한 보안취약점 리포트가 안나오는 이유는 단순히 윈도 사용자가 더 많기 때문”이라며 “보안취약점 탐지와 검증을 위해 OSX에 존재하는 다양한 공격포인트를 먼저 식별하고 이에 대한 연구를 진행했다”고 설명했다.

실제 지난 2월 미국 굴립표준기술연구소(NIST)가 발표한 국가 취약성 데이터베이스(NVD)에 따르면 지난해 보고된 애플 OSX의 취약점은 147개, 윈도7과 윈도8(8.1)의 취약점은 각각 36개로 집계됐다. 윈도의 경우 버전별 합계는 집계되지 않았으나, OS 커널간 공통보안취약성노출(CVE)이 겹치는 것을 감안하면 OSX보다 취약점이 적을 것으로 추정된다.

이날 이 대표는 OSX의 여러 공격포인트를 소개했다. 파일시스템, 커널 레벨, 다이나믹링커(DYLD) 라이브러리, IOKit(XNU커널 프레임워크) 드라이버 등이다. 그는 실제 취약점을 사용해 루트(root) 권한을 획득하는 시연을 하기도 했다.

이 대표는 “특히 이번에 발견된 IOKit 취약점은 OSX와 iOS 모두 악용할 수 있는 가능성이 높다”며 “논리적 버그, 메모리 코럽션(corruption) 취약점 등도 발견할 수 있었다”고 전했다.

이어 “우리나라에서도 애플 제품 사용자가 늘어나고 있으며 일부 특정 기업에서는 애플 제품을 선호하는 것으로 알고 있다. 반면 이에 대한 보안위협 대응체계는 아직까지 미비한 실정이라 대비가 필요하다”고 제언하며 애플 소프트웨어 환경에서의 보안조치가 필요하다고 말했다.

또한 이 대표는 애플 소프트웨어뿐만 아니라 애플 운영체제에서 작동하는 유명 서드파티(3rd party) 소프트웨어인 드롭박스, 패러럴즈 등에서 발견한 제로데이 취약점을 소개했다. 이 대표는 드롭박스 취약점 리포팅으로 한화 365만원의 상금을 받기도 했다.

끝으로 이 대표는 “이번 취약점 발견 사례에서처럼 공격을 알아야 방어를 할 수 있다. 실제 미국이나 중국의 경우 공격분야의 기술에 대해서 정부, 기업에서 많은 투자를 하고 있다”며 “우리나라도 사이버영역에서의 공격 분야에 대한 투자가 활성화돼야 한다”고 강조했다.

한편 이 대표는 국내 화이트햇 해커 출신으로 현재 그레이해쉬 대표, 베스트오브베스트(BoB) 멘토, 블랙햇 아시아 심사위원 등을 맡고 있다.

<이민형 기자>kiku@ddaily.co.kr