"인증키 변경 안돼"⋯유심 재설정, 학계서 실효성 지적

[아이뉴스24 서효빈 기자] SK텔레콤이 해킹 사태 이후 '유심 교체와 동일한 보안 효과'라고 안내했던 '유심 재설정'이 실제로는 핵심 인증 정보가 변경되지 않아 보안 효과가 제한적이라는 지적이 나왔다.

지난달 독일 함부르크에서 열린 유럽 최대 보안 콘퍼런스 '39C3'에서 박신조 독일 베를린공대 박사 등 연구진은 SK텔레콤 유심 재설정 전후 인증 토큰을 비교 분석한 결과 IMSI는 변경됐지만 인증키는 동일했다고 발표했다. 연구진은 유심 재설정 이전에 캡처한 인증 토큰을 재사용해 인증을 시도했고 유심 재설정 이후에도 동일한 토큰으로 인증이 가능했다고 설명했다.

연구진에 따르면 통신 가입자 인증은 유심과 네트워크가 공유한 인증키를 기반으로 인증 토큰을 교환하는 구조다. 인증키가 변경되지 않을 경우 IMSI만 확보해도 유심 복제가 가능해 2차 피해가 발생할 수 있다는 지적이다.

SK텔레콤은 지난해 4월 해킹 사태 당시 전화번호와 IMSI, 인증키 2종 등 유심 관련 정보가 유출됐다고 밝힌 바 있다. 유출 규모는 IMSI와 인증키 기준 2696만여건에 달했다. 인증키 유출로 유심 복제 가능성이 제기되자 SK텔레콤은 같은 해 5월 공식 브리핑을 통해 유심 재설정 솔루션을 도입했고 실물 유심 교체와 동등한 보안 효과를 제공한다고 설명했다.

SK텔레콤 관계자는 "유심 재설정 시행 초기 일부 유심에서 인증키 변경이 적용되지 않았던 사례 있었으나, 현재는 IMSI와 인증키를 포함한 주요 보안값이 모두 변경되는 등 관련 문제 해소된 상태"라고 했다.