전문가가 Lenovo 보호 USB 메모리의 취약점을 발견
사이버 보안 연구원 Xusheng Li는 여러 제조사 USB 저장장치의 보안에서 심각한 결함을 발견했다. 특히 주목받은 제품은 AES 방식의 256비트 하드웨어 암호화와 지문 인식기를 갖춘 것으로 판매되는 Lenovo ThinkPlus FU100이다.
확인 결과 이 제품의 내부는 일반적인 SD 카드 리더였다. 지문 인식기는 장치를 컴퓨터에 연결할 수 있게 허용할 뿐이며, 데이터 자체는 암호화되지 않았다. HackingPassion의 보도에 따르면 Li는 이 제품을 멋진 케이스에 담긴 평범한 SD 카드라고 평가했으며, 물리적으로 접근할 수 있는 사람이라면 누구나 내용을 어렵지 않게 읽을 수 있다고 지적했다.
Lenovo의 다른 제품에서도 문제가 확인되었다. 외장 SSD TSD303은 데이터를 암호화했지만 비밀번호를 확인할 때 올바른 조합을 USB를 통해 평문 그대로 컴퓨터로 전송했고, 이를 가로채는 것은 어렵지 않았다. 첫 번째 업데이트는 이러한 전송을 수정했으나 소프트웨어에서 복원할 수 있는 키를 사용했다. 이후 펌웨어 버전에서야 작동 방식이 바뀌어, 현재는 드라이브가 입력된 비밀번호를 직접 확인하고 컴퓨터로 보내지 않는다.
조사는 Lenovo 드라이브와 동일한 개발 도구 세트를 사용하는 다른 제조사 제품까지 확대되었다. 점검한 기기는 모두 아홉 종류다. 대부분의 경우 숙련된 연구원이 비밀번호를 확보할 수 있었고, 두 개의 저장장치는 microSD 카드에 데이터를 암호화 없이 보관하고 있었다.
리버스 엔지니어링에는 OpenAI의 Codex와 Li가 속한 회사의 도구가 사용되었다. 예를 들어 Netac 드라이브의 보호는 약 7분 만에 뚫렸다. AI가 프로그램에 내장된 고정 키와 진단 로그에 기록되던 사용자 비밀번호를 찾아냈기 때문이다. 복사 방지 프로그램을 점검한 결과에서도 비슷한 문제가 드러났다. KakaSoft USB Copy Protection은 프로그램이 직접 생성한 내부 비밀번호를 사용했고, Codex는 알고리즘을 복원하여 사용자 비밀번호 없이 약 26분 만에 테스트 파일을 복호화했다. Nexcopy Copy Secure의 보호는 약 10분 만에 우회되었는데, 파일 열람용 애플리케이션에 내장된 인증서를 통해 키에 접근할 수 있었기 때문이다.
SecZure YutianDun 프로그램에서는 단순한 비밀번호를 가진 숨겨진 계정 두 개가 발견되었다. 이를 위해 타임라인을 되감을 수 있는 디버깅이 사용되었고, 프로그램의 동작을 추적할 수 있었다. Li는 이러한 취약점만으로 제조사의 악의적 의도가 입증되는 것은 아니라고 강조했다. 그는 KakaSoft, Nexcopy, SecZure에는 알리지 않았는데, 이미 공격자의 손에 들어간 저장장치는 사실상 회수하거나 업데이트할 수 없기 때문이라고 설명했다.
더 신뢰할 수 있는 방식의 예로 연구원은 오픈소스 프로젝트 Phantomdrive를 들었다. 이 프로젝트도 microSD 카드를 사용하지만 사용자 비밀번호를 바탕으로 생성한 키로 데이터를 암호화한다. 따라서 카드를 단순히 빼내는 것만으로는 내용을 읽을 수 없다.