전파방해를 이용한 NFC환경에서의 릴레이 공격 방어

Abstract

최근 ICT(Information and Communications Technologies)업계와 금융업계의 주요 관심사는 핀테크(FinTech)이다. 금융(Financial)과 기술(Technology)의 합성어인 핀테크는 전자금융 산업에 큰 영향을 끼치고 있다. 기존의 PC를 이용한 전자금융에서 모바일을 이용한 전자금융이 빠른 속도로 늘어나면서 모바일 결제시장의 규모가 급속하게 확장되고 있다. 이처럼 송금 및 지급결제의 수단으로 스마트폰의 비중이 늘어남에 따라 관련된 새로운 기술과 서비스들이 줄줄이 출시되고 있다. 그 중 비접촉식 근거리 무선 통신 기술인 NFC(Near Field Communication)를 이용한 모바일 간편 결제 서비스가 큰 주목을 받고 있다. 우리나라는 2010년 이후 출시된 대부분의 스마트폰에 NFC기능이 탑재되면서 NFC 기반 서비스가 주목을 받기 시작하였다. 해외기업인 구글의 구글월렛은 대표적으로 상용화된 NFC기반 간편 결제 서비스이다. 우리나라에서도 2012년 명동 NFC 시범사업, 2013년 여수엑스포 NFC 서비스 등 핀테크 활성화를 위한 많은 시도가 있었고, 2015년 1월 보안성심의제도를 폐지하며 핀테크 스타트업들의 육성에 힘쓰고 있다. 하지만 이러한 편리성에만 주목하여 보안성이 떨어지는 결제서비스들을 제공한다면 사용자에겐 득보다 실이 많은 서비스가 될 것이다. 단편적인 예로 구글의 구글월렛은 출시이후 지속적으로 취약점이 공개되고 있으며, 그 중 주목할 취약점은 릴레이 공격이 있다. 릴레이 공격은 중간자공격(Man In The Middle Attack(MITM))의 한 종류이며 사용자 사이에서 간단한 메시지의 전달만으로 인증을 획득하는 공격이다. 채널의 암호화만으로는 방어할 수 없고, 공격의 구현이 간단하여 매우 위험하다. 현재까지 알려진 방어기법으로는 여러 보안요소들을 복합적으로 이용하는 다중인증방식(Multi-Factor Authentication)과 통신매체간의 지연시간을 이용하여 실제거리를 측정하는 거리제한프로토콜(Distance Bounding Protocol) 그리고 스마트폰의 위성항법시스템(GPS)을 이용한 위치기반탐지기법(Location Based Service)가 있다. 하지만 이러한 방어기법들은 공격의 탐지에 중점을 두고 있다. 이에 본 논문에서는 공격기법의 하나인 전파방해(Network Jamming)를 방어기법으로 이용하여 공격자의 공격 시도 차단에 중점을 두는 시스템을 제안한다. 릴레이 공격에서 공격자는 상호 연결된 통신채널을 통해 메시지를 주고받는다. 이 때 사용되는 통신채널을 사용자가 역으로 공격하여 공격자의 메시지 전달을 차단하는 방식이다. 주변 사용자의 통신환경에 미치는 영향을 최소화하기 위해 방해범위와 방해시간, 방해시점의 설정이 중요하다. 제안하는 시스템의 평가와 분석을 위해서는 전파방해장비가 필요하다. 하지만 우리나라의 법제상 전파방해장비의 사용이 불가능하기에 비슷한 환경구성을 위해 2.4GHz 대역의 방해전파를 방출하는 전자레인지를 사용하여 실험하였다. 또한 사용자의 단말과 리더기 단말은 단말 대 단말모드로 통신을 하며 간단한 문자열을 주고받는다. 사용자의 직접적인 개입이 없기 때문에 기존의 방어기법보다 편리하며 공격자의 공격 시도 자체를 차단하기 때문에 보안성면에서도 매우 안전함을 보였다. 전파방해장비의 설치비용이나 법적제약 측면의 단점이 존재하지만 제도적으로 지원된다면 안전한 결제시스템의 구축이 가능할 것으로 판단된다.