VPN 프로토콜은 설계상 결함으로 사용자들의 실제 IP 주소를 스누핑 해 공격할 수 있다. 해당 취약점을 발견한 VPN 제공사 ‘Private Privacy’는 이에 ‘Port Fail’라는 명칭을 붙였다.
 
이 취약점은 IPSec(IP 보안 프로토콜) 또는 PPTP(점 대 점 터널링 프로토콜)에 기반을 두거나, OpenVPN 클라이언트 소프트웨어를 사용하는 VPN에 영향을 미친다. Private Privacy는 포트 포워딩 서비스를 제공하는 대부분의 회사가 영향을 받는다고 말했다.
 
공격자는 타깃으로 하는 사용자와 같은 서버를 사용해야 하고, 타깃이 그들이 제어하고 있는 웹 사이트에 방문하도록 해야 한다.
 
Private Privacy 연구원들은 “만약 공격자가 서버에서 계정을 활성화해 포트 포워딩을 하면, 같은 VPN 서버의 사용자가 포트에 트래픽을 리다이렉트하는 웹 사이트에 방문하도록 해 실제 IP 주소를 획득할 수 있다”고 말한다.
 
BitTorrent 사용자들은 만약 그들이 기본값으로 설정된 클라이언트 포트로 포트 포워딩을 사용한다면, 공격자의 웹 사이트에 방문할 필요 없이 취약점에 노출되기 때문에 위험하다. Private Privacy 연구원들은 VPN 제공사들에게 서버 단 방화벽 룰을 두어 고객의 실제 IP 주소로부터 전달된 포트로의 접근을 막는 방법을 제안하고 있다.
 
★정보보안 대표 미디어 데일리시큐!★
 
[데일리시큐 HSK 기자 / mkgil@dailysecu.com]