보안 전문가 찰리 밀러는 iOS 5의 보안결함을 발견한 것을 공개한 후 애플 개발자 프로그램에서 쫓겨났다고 Forbes는 전했다.
오늘 Forbes는 애플 제품들과 서비스들을 타겟으로 하는 잘 알려진 보안 전문가 찰리 밀러의 이야기를 실었다. 밀러는 최신 iOS의 보안결함을 발견했다. 그는 서명이 없는 코드를 다운로드 하고 실행할 수 있음에도 불구하고 애플의 승인절차를 성공적으로 통과한 앱을 만들었다. 주식 시세를 체크하는 InstaStock으로 불리는 앱은 비디오에서 보는 것처럼 사용자의 데이터에 액세스 하거나 하드웨어 기능을 원격으로 활성화 할 수 있게 한다.
애플은 이 결함 발견에 대한 기사가 나간 후 이 앱을 삭제했고, 가이드라인의 명백한 위반으로 밀러를 개발자 프로그램에 더 이상 액세스 할 수 없게 했다.
밀러는 3주 전에 이 탈취에 대해 애플에게 경고했다고 CNET에게 말했다. 그러나 이 결함이 새 iOS 5.0.1 베타에서 해결되었는지는 확실치 않다. 밀러는 다음 주 있을 SysCan에서 더 자세하게 자신의 방식을 설명할 예정이다.
[소스 1] http://news.cnet.com/8301-27076_3-57320190-248/apple-boots-security-guru-who-exposed-iphone-exploit/
[소스 2] http://www.engadget.com/2011/11/07/charlie-millers-latest-ios-hack-gets-into-the-app-store-gets-h/
너무 단단한 강철 같은 회사.
가이드라인에 뭐라 되어있길래??
참 여러모로 대단하네요
가만보면... 이런 사소한것들도 놓치지 않고 일거수 일투족 일일이 다 기사화 되는거 보면...
진짜 애플이라는 기업이 대단하긴 대단한가 봐.
중요한 결점을 발견하여 알렸으면 좋았을텐데 그걸 이용해서 앱등록까지 마치고 ...
다분히 개발자가 해커에 가까운 일을 한듯.
결점을 발견했으면 그걸 이용한 앱을 등록할게 아니라 회사측에 알리는게 우선일것 같은데...
......아 3주전에 통보를 했었군요.
너네집 문열려 있어서 들어가서 돈 좀 가지고 나왔어 어때?! 라고 말한꼴
니가 만든 아파트 문 잘 안 잠긴다. 빨리 고쳐서 거주자들 보호해~ 라고 했는데
돈 많이 드니까 안 고칠래 난 몰라. 이러고 배 째니까.
여러분 애플 아파트는 요렇게 하면 잘 열립니다. 하고 공개적으로 보여줘서 거주자들이
경각심을 느끼게 하는거죠.
문제제기가 되어야지 해결이 되지 속으로 숨기고만 있으면 해결이 되나요.
그게 진정으로 애플이 고객(애플 팬보이)들에게 할 행동인가요.
애플 개발자 프로그램이란 앱스토어에 올리기 위해 가입하는것입니다. 그것을 약관에 어긋나는 앱을 올려서 계정이 짤렸다는것입니다. 애플 개발자 프로그램은 다시 가입하면 됩니다. (돈만 내면, 물론 승인이 나는가의 문제지만)
그랬다면 개발자 네트워크에서 강제 탈퇴시킨 게 큰 잘못은 아닌 것 같습니다만.
결국 보안결함을 이용해서 불법등록 한거잖아요.-_-;;
보안결함 이용해서 나쁜짓하는 해커랑 뭐가다른지 모르겠네요.;;
저 양반이 진짜 나쁜 놈(?)이었다면 애플에 미리 알려주거나 공개적으로 그런 버그가 있다고 말할 필요도 없이 그냥 조용히 악용하면 됐겠죠. 게다가 보안 버그를 정확히 어떤 식으로 공략하는지는 여전히 공개되지 않았습니다. 앱 스토어에 올라왔다는 저 앱은 일종의 시연이죠. (다만 악의를 가진 해커가 다운로드된 앱을 분석하면 알 수도 있습니다.)
원문 댓글에도 나오지만, 구석에 숨는 식의 보안(security through obscurity)은 효율적이지 않습니다. 보안 취약점이 널리 공개되고 분석되고 해결책이 나와야 보안이 향상됩니다. 단순 시연을 올렸다고 계약 위반으로 잘라버리는 것은, 회사의 입장이 있으므로 한편으로는 이해가 가지만, 다른 한편으로는 옹졸하다고(또는 게으르다고) 생각될 여지도 있습니다.
오히려 잘한거에요.
앱 개발을 위한 개발자 프로그램 등록이 취소되었다는 말...
올려서 짤린거랑은 다른 사안이라고 봅니다.
경고했다고 그것을 실제로 이행하면 되나요?
게다가 이번 공격 프로그램은 금전적인 이득을 취한 것도 아니고, 공개적으로 공격 프로그램임을 밝혔습니다. 다른 목적이 있었다고 생각할 수 없습니다. 위에서도 썼듯, 버그의 해결을 바라지 않는다면 악용할 방법은 무궁무진합니다.
주지하다시피 애플에게는 3주라는 귀중한 시간이 있었습니다. 이 시간 동안 패치를 배포하지 못했다는 것은 책임감 없는 일이라고 생각합니다. iOS 5.0.1에서 해결이 되었는지 확인해 봐야겠지요.
이 경우 재대로 하지 못한 건 애플입니다.
3주전에 은행 보안 결함 통보했는데 시정이 안되어서 은행털었으면 도둑은 잘한 것이라 말하는 사상이군요.
물론, 당한 기업 입장에서는 다소 기분이 나쁠 수도 있다는 것을 압니다. 하지만 궁극적으로는 보안 전문가들의 말에 귀를 기울이고, 빠른 시일 내에 패치를 배포하는 것이 보안을 높이는 데 도움이 된다고 생각합니다. 그 회사에 고용되어 일하지 않는 한, 대부분의 해커는 보안 버그를 미리 알려주고, 대중에 공개하고, 공격 프로그램을 만드는 세 단계를 거칩니다.
그러면 어쨌든 제로데이어택은 일어나고, 더 치명적인 형태로 상황이 돌아갈 수도 있습니다. 오히려 본격적으로 털지는 않고 이정도로 끝내준 게 착한 사람이지요. 물론 이렇게 해도 이걸 뜯어서 제로데이어택이 일어날 수 있습니다만 이런 경우에는 3주나 미루면서 대책을 일찍 세우지 않은 쪽에 문제가 있다고 할 수 있습니다.
그게 왜 보안에 더 도움이 되는지 이 부분에 있어서는 애플은 아직 많이 부족하죠
사실 애플의 보안은 좀..
애플은 알아채지도 못했을테고, 저 해커는 개발자 프로그램에서 짤릴일도 없었겠죠.
저걸 고치지 않으면 사용자에게 피해가 돌아가는데
기업체는 크게 알려지지 않으면 빨리 고치지 않고
그렇기 때문에 해커들은 저런 방법으로 경고를 해왔습니다
다만 해커의 인격에 따라
야 씹냐? 그럼 너 털어버린다
하고 터는 경우도 있고
저렇게 처벌이 있을 경우 돌변해서 소니처럼 털리는 겅우도 있지요 ＊
뭐 이러지 않나요....MS 다르게 했을텐데 아쉽네요.
남들은 일부러 해커 고용해서 자체 테스트도 하는데.....
3주나 지났는데 안고쳐?
그럼 내가 해보지
하는건 해커들이 경고하는 방식 아닌가요;
(자기네들도 못찾아낸 결함을 찾아주는거니 말입니다..)
저런 마인드니
해킹대회에서 1년전에 뚫린 보안 헛점으로 또 뚫리는 사파리가 탄생하는건가...
적대적이지 않은 해커를(아니 매우 도움되는 유익한 해커죠) 적으로 만드는 아주좋은 방법중 하나죠.
위에 몇몇 사람은 도둑놈 취급을 하는군요~~~
애플은 모르겠는데 구글같은 경우 이런 과정으로 공개적으로 금전적으로 보상합니다,
합법적인 방법으로, 선한 의도로 해킹을 하는것이 White-hat이고
불법적인 방법(침입등)으로, 선한 의도로 해킹을 하는 것이 Grey-hat이죠.
이건 미리 보고를 했다고 하더라도 패치가 되지 않았는데 마켓에 배포하는 순간 이미 불법적인 방법이고, 과시나 회사에 대한 압박의 의도라면 악한 의도, 블랙햇이나 할짓인거같은데요.
공격자 입장에서야 취약점을 3주나 놔두냐고 할수 있겠지만 개발자입장에선 QA등 고민할부분도 많구요.
해커에 대한 판타지나 경외심이랑 같은 맥락인지는 몰라도...해커의 불법적인 행동에 관대한분들이 많으시군요,
그리고 애플은 예전부터 보안관리의 허술함에 대해선 전적이 많습니다. 데스크탑때엔 심지어 2인자라서 해킹이 안 들어오는건데 마치 다른데보다 보안이 잘 되어있는것처럼 뻥도 쳤던 적이 있고..
그저 "개발자로써" 항변을 해본것이지요.
다만 제 관점은 애플 잘못은 애플 잘못이고, 그것으로 찰리 밀러의 행동이 정당화 되진않는다는 것입니다.
개인적으로 저도 애플의 정책 별로 좋아하지 않습니다. 쿨한 구글을 좋아 하지요.
http://biz.heraldm.com/common/Detail.jsp?newsMLId=20101102000095
열쇠회사: (무응답)
...3주 후...
소비자: 이 자물쇠 꼬챙이로 열린다니까요? 보세요 이거
열쇠회사: 당신한테는 우리 자물통 안 팝니다. 나가주세요
적절한 비유는 요거 아닐지요.
이런 해커는 크래커랑 달리 사회에 긍정적인 양반들이죠. [m]
그 논리면 경영승계 불법 알려주고 고치라고 얘기했다가 경영진이 잘못 안 고치고 여전히 방관하고 있으니까
밖에 나와서 이런 잘못이 있다고 책 써낸 김용철 변호사의 경우 김용철 변호사 잘못이네요. 허허...
알려주고 반응이 없으니까 한건 한건데 그에 대한 애플의 대응이 아주 멋지군요!
그 앱으로 나쁜짓을 할려고 한게 아니라 경종을 울리게 하는 것이였죠.
약관을 어겨가며 올려놓고는..
아래로 가면 갈수록 보안패치의 과정을 아는 분들이 달아주셔서 다행이구요~
애플제품 좋아하는 저지만.. 저런 해결과정은 옳지 않지요.
앱은 내리는게 맞지만, 저 해커한테 돈을줘도 시원찮을판에...ㅎㅎ
폭로를 위해 책을 써낸 건 합법이겠지만 (물론 일반적인 관점에서 말입니다. 사실을 이야기해도 명예훼손이 될수있으니) 앱을 등록한건 불법입니다. 동기가 어찌되었건 말입니다. 합법적인 경로가 존재하고, 약관이라는게 존재해서 하지말라고 명시된일이란 말입니다.
사실 애플의 앱스토어에서 취약점은 결국 "앱을 등록한 시점"에 발생하는 것입니다.
원격코드를 삽입하는 취약점이라면, 해당하는 코드를 앱스토어에 올려야겠죠.
애플 승인을 받아야할것이구요.
그쪽도 검토하고 방법을 찾거나 하고 있었겠죠.
3주전에 알렸다고 약관위배 행위가 정당하진 않을텐데요?
언론에 ios5에 이런 보안 결함이 발견되었는데 고쳐지지 않고 있다고 말할 수 있을텐데 말이죠.
결론은 언론에 나왔군요. ⓘ
뜨내기꾼님이 아주 적절한 비유를 하신거죠.
그렇지만, 애플개발자 프로그램을 해지한건 약관대로 한걸테니 정당하다고 보여지는데 이걸 해커가 악의적으로 언론에 흘린 것도 같군요.
아마 애플을 별로 좋아하지 않는 해커이거나 이를 이용해서 더 유명해지고 싶은 해커일지도 모르죠.
암튼 애플로서는 대응이 너무 매뉴얼적이었어요.
소비자로써 요구할 권리는 하늘 나라로.
약관이 부당해도 화내지마세요. 약관은 지켜야 하니까요.
부당약관이라면 정부기관이나 소비자 고발원에서 가만 있지 않으니깐요.
애플이 하는 것은 곧 진리요 법이라는.. ＊
여기 서버 개발자 분도 계실거고 보안개발관련 분도 계실겁니다. 저만 해도 시스템엔지어라 저런류의
보안문제에는 관심이 갑니다.
문제는 저 3주 기간동안 애플이 그냥 놀았을까? 라는 겁니다. 아직 액션이 있지는 않으니 뭐라 말 못하지만
간단히 저 구멍 하나 막자고 모든 QA다 건너뛰고 가는 것도 웃기는 겁니다. 저것을 수정한 후에 발생 하는
모든 부분에 대한 체크가 시간이 걸릴 수도 있는겁니다.
그렇다고 3주뒤에 그냥 올려서 리젝먹고 탈퇴당하는 것도 웃긴행동이죠..그냥 기다리던가..저런식
으로의 행동은 아닌겁니다.
이런 사안은 애플 뿐만 아니라 자국 기업이라도 가루가 되도록 깔만한 일입니다. ⓣ
얼마나 많은 시간을 공들여서 테스트를 해야하는 지에 대해서는 고려하지를 않는 군요...
충분한 테스트없이 내놓았을 때 얼마나 많은 질타를 받았는지는 삼성의 갤럭시S를 보면 알수 있지 않나요?
개발자의 프로그램을 취소하는 것이 별일일수도 별일이 아닐수도 있지만,
애플입장에서는 보안관련 규약을 어겼으니 전체 경고차원에서 취소해버렸다는 생각이 드네요.
그나마 앱스토어는 해킹하지 않으면 별도의 앱을 다운받을 수 없기 때문에
밀러의 방식으로 악용될 염려는 그다지 없어보이지만요...
보안 위협이 일반적인 사용 중에 일어나는 상황이라면 소비자에게 고지하거나...
앱 개발중에 나올 수 있는거라면 등록자에게 전체메일 뿌리거나...
단순히 잠재적인 위협이라 판단되면 뮬러씨에게 연락해서
네 버그를 인정한다
내부 검토중이고 maybe...수주내 픽스될것이다
밖에는 알리지 말아다오
하면서 액세서리 할인쿠폰이라도 동봉한 메일을 보내거나...
하는데 부족한 시간이란 생각은 안 듭니다.
뮬러씨에게 우리 애플사는 당신의 버그를 인지하였소 추후 연락드리리다... 메일만 한통 날려줬어도 저게 앱스토어에 올라가는일은 발생하지 않았겠죠.
어떤 방식의 보안 구멍이건 악용하지 않고 본사에 직접 연락을 취했다는건 기업 입장에서 천사같은 해커로 봐줘야 하는데 이런 식의 대처는 애플에 독이죠. [m]
물론 의도한 바를 애플에 밝히지 않고 어플 등록해서 해킹하는 것 까지.... 개발자 조항을 어긴건 맞는데....
그래도 개발자 등록도 자비로 한... 자비량 보안 테스터나 마찬가진데 애플의 대응이 좀 아쉽네요.....
찰리 밀러씨가 이번에 공개한 버그말고 완전이 다른 새로운 보안 결함를 발견했을때 어떻게 해야 할까요??
다들 자신이 찰리 밀러라고 생각하고 새로운 보안 결함을 발견했을때 어떻게 할지를 생각해 보세요.
저 보안전문가라는 사람의 행위는, 보안전문가라기 보다는 오히려 해커의 그것에 더 가까워 보입니다. ⓑ
아닌가요?
바로 그 '뚫는 코드' 말입니다. 자기가 만든 앱의 소스코드.
그렇게 하면 개발자들은 보안취약점을 확인할 수 있고, 그 취약점은 개발자 커뮤니티 내부에서 제어될 것이고, 그 정도면 충분히 공론화 될 것입니다.
하지만 저 사람은 궂이 보안 취약점을 가진 앱을 앱스토어에 올리는 과정을 시연해 보이는 것으로 애플의 앱 검수과정 자체에 대한 신뢰를 무너뜨리고자 시도했습니다. 제 생각엔, 저사람의 개발자프로그램 퇴출 원인은 보안 취약점 공개보다는 앱스토어 등록이 더 큰 원인으로 보입니다.
김리사님/
보안전문가와 해커는 지향점이 다르다고 생각합니다. 보안 강화를 목적으로 하느냐, 자신의 이름을 날리고 싶어 하느냐. 제가 보기엔 저 사람의 행동은 후자에 가까운 것 같습니다.
간단히 보아 넘길 일은 아니네요. ⓑ
과연 이 똑같은 상황을 MS나 구글... 혹은 삼성이 그랬다면 똑같은 반응이었을까..
궁금해집니다..ㅎㅎ
기업의 테스트/적용 상황은 상황인거고... 그걸 빠른시간안에 적용하든지, 대처하는것도 능력일것같습니다. 최선을 다했는데 결과가 없는것하고, 아무것도 안했으니 결과가 없는것하고는 달라보여요~
설마 실존하는 해커들의 행위 모두가 나쁘다고 보는분들이 있는건 아니겠죠..?
제로데이를 발견하는 행위마저..??ㅎ
1. 밀러는 버그를 발견해서 애플에 리포트
2. 애플은 쌩깜
3. 밀러는 3주를 기다려도 안 고치는 걸 보고 해당 취약점을 실제로 시연해보였음
4. 애플은 밀러를 약관위반으로 개발자 권한 박탈
■ 평가
1. 옳음. 보안 결함을 제작자에게 알려줬으니까.
2. 그릇됨. 지적받았으면 고쳐야지.. 적어도 밀러에게 리스폰스를 통해 해결책을 모색했어야.
3. 논란의 여지가 있을 수는 있으나 이 바닥에서는 옳음. 애플을 압박하는 가장 현실적이고 합리적이고 즉각적이고 실효성있는 행위였음. 더 나은 해결책이 있다고 생각하시는 분?
4. 옳은 무리수. 어찌됐건 밀러가 한 행위는 개발자 약관 위반인 것은 맞으니까. 다만 그냥 법적으로 옳다는 거고 현명한 판단이라는 이야기는 아님.
■ 결론
1. 밀러 잘했음. 깔 게 없음. 이 바닥이 원래 그렇다는걸 모르는 사람은 오해할 수 있겠음.
2. 애플 수정 안한건 명백 잘못. 권한 박탈한건... 합법적이라 옳긴 옳으나 자충수임.
새소식겟 논쟁 끗~ 우왕ㅋ
꿈길님 말씀처럼 보안결함을 애플이 그냥 쌩까고 있을정도로 멍청이들만 모인 집단이라곤 생각이 안드는데요;;
이게 확실하지 않습니다. 앱등록후 통보 -> 3주 웨이팅 인지, 버그 통보 -> 3주 기다렸다 앱등록 인지. 일단 원문자체가 명확하지 않습니다. 3주라는 시간만 나와있고 무엇의 3주인지는 나와있지 않습니다.
참 편협한 사고 방식이네요
ms랑 비교.. 애플이 os하나만 팔아서 먹는 회사가 아니니...
그런 부분에는 문제가 있긴하죠.
근데.. 저 개발자도 문제가 있죠..
애플 하나만 피해를 입으면 되는데
그걸 사용하는 사용자들은 하나도 신경을 안쓴 행위니까요.
애플 내부에서 어떤식으로 일처리를 하던 일단 심각한 문제라면 제대로 테스트하고 패치를 하겠죠
문제의 정도가 심각해서 3주안에 해결이 안돼는 사항일지도 모르는건데 저 해커만을 옹호하는것도 너무 웃긴데요
from ClienPad
본문 제대로 보시죠.