USB키보드도 보안 취약

USB키보드를 사용하는 PC에서는 키보드 보안 솔루션이 작동해도 해커가 키 입력 값을 몰래 빼낼 수 있는 것으로 드러나 대책 마련이 시급하다.

　4일 고려대 BK21 유비쿼터스 정보보호사업단(단장 이동훈)은 USB 단자로 연결된 키보드를 사용하는 PC에 해커가 상용 USB모니터링 프로그램을 설치하면 키보드 보안 프로그램이 작동해도 각종 ID와 비밀번호 등 주요 입력 값을 모두 볼 수 있다고 밝혔다.

　기존 PS/2 단자로 연결되는 키보드는 문제가 없지만 최근 확산하고 있는 USB키보드에서만 이 같은 문제가 발생해 키보드 보안 솔루션이 무용지물이 된다.

　고려대 연구팀에 따르면 키보드 보안 프로그램은 커널 레벨에서 입력 값을 암호화해 전송하는 데 USB키보드로 입력되는 값의 경우 USB드라이브를 거치면서 모니터링 프로그램에 의해 입력 값이 유출되는 것이 밝혀졌다. 특히, USB 모니터링 툴은 너무나 쉽게 구할 수 있는 상용 프로그램이며 해킹 툴이 아니다.

　연구팀은 USB모니터링 툴을 PC에 설치하고 국내 시중 은행 사이트에 접속해 암호 모듈과 PC방화벽, 키보드보안 프로그램 등 3종의 보안 프로그램을 모두 내려 받았다. USB모니터링 툴은 해킹툴이 아닌 정상적인 프로그램이기 때문에 PC방화벽에서 제어가 되지 않는다. 이렇게 키보드 보안 솔루션이 정상적으로 작동하는 인터넷 뱅킹 사이트에서 ID와 비밀번호, 공인인증서 비밀번호 등을 입력한 후 모니터링 프로그램을 보니 입력 값이 그대로 저장됐다.

　사업단의 이상진 고려대 교수는 “편리성으로 확산되고 있는 USB키보드에서 이 같은 문제가 나타나 이에 대한 대응이 절실한 상황”이라며 “근본적인 대응책이 나올 때까지 공인인증서는 하드웨어보안모듈(HSM) 등에 보관하고 PC에 저장하지 않는 등 비밀번호가 유출되더라도 피해를 최소화하는 각별한 주의가 필요하다”고 말했다.　

　김인순기자@전자신문, insoon@