최근 ZENGGE사의 와이파이(WIFI) LED 전등에서 다양한 보안취약점이 발견 되었다. ZENGGE는 LED 제어기 제품을 개발, 제조, 판매 및 디자인, 설치 등 통합서비스를 진행하며, WIFI LED 전등은 무선 WIFI로 연결한다. 또한 LED 전등은 공유기, HTTP서버, HTTP 프록시 서버 등 각종 장비로 사용된다.
 
이런 형식의 LED 전등은 안드로이드 어플리케이션으로 제어되며, 인터넷에 연결 후 로컬 또는 원격에서 제어가 가능하다. 또한 기본설정 상황에서는 인터넷 연결이 차단되어 있으며, TCP 80포트, TCP 5577포트, UDP 48899포트 등 3개의 포트를 사용한다. 그 중 80포트는 웹페이지에 사용, 5577포트는 전등제어, 48899포트는 공유기 제어에 사용된다.
 
LED 전등을 인터넷에 연결할 때 암호화 알고리즘을 사용하지 않았지만 사용자에게 광선제어 권한만 부여했기 때문에 큰 문제가 발생하지 않는다.
 
◇취약점 설명
-로컬 네트워크 공격
공격자가 48899포트를 통하여 UDP데이터패킷을 전송하면 하드코딩 된 패스워드 HF-A11ASSISTHREAD로 AT명령을 사용할 수 있다.
 
AT+UPURL명령을 사용하여 펌웨어 새로고침 가능:
AT+UPURL=url,filename
아래의 AT명령을 사용하여 WIFI패스워드 리딩：
AT+WSSSID
AT+WSKEY
 
AT+HTTPDT명령 및 관련 HTTP명령을 사용하여 공격자의 의도대로 LED전동을 통하여 방화벽과 NAT에 요청을 전송하며 HTTP프록시와 유사한 작용을 한다.
 
공격자는 동일한 네트워크의 전등을 이용하여 원격제어 기능의 사용권한을 획득할 수 있다. 이 취약점은 “인터넷 원격제어” 취약점과 다르다. 공격자가 전등의 MAC주소를 파악하면 액세스 권한을 취소할 수 없다.
 
-와이파이(WIFI) 공격
LED전등이 STA패턴에서 액세스 부분을 성공적으로 연결하지 못했다면 AT+MDCH기능은 무선 AP패턴으로 리턴한다. AT+MDCH기능은 아래의 할당옵션을 가지고 있다.
 
1, off
2, on – 1 minute
3, auto – 10 minutes
4, 3-120 – minutes to reset
 
대부분 상황에서 프로그램이 디폴트로 AP패턴을 오픈하기 때문에 공격자는 임의의 로컬공격이 가능하다.
 
LED 전등의 네트워크에 대한 스캔을 통해 적어도 2개의 인터넷에 유출된 관리포트를 발견할 수있었다. 만약 LED 전등이 네트워크에 연결되면 공격자가 임의의 상황에서 프록시 공격으로 사용자 네트워크 액세스 권한을 획득할 수 있다. 또한 공유기 MAC주소를 이용하여 사용자에 대한 물리적인 위치지정이 가능하며, Wigle 데이터베이스에서 검색을 통하여 이미 알려진 무선 계정과 패스워드를 사용하여 LED전동과 동일한 액세스 지점을 연결한다.
 
-인터넷 원격제어 공격
LED 전등은 신분인증 체제를 사용하지 않았기 때문에 공격자가 MAC주소를 알고 인터넷에서 발송되는 명령을 접수할 수 있다면 공격자는 이 LED전등을 제어할 수 있다.
 
이 전등의 MAC주소 prefix는 ACCF23이며, 뒷부분 3개 바이트는 한대의 장비를 결정한다. MAC주소가 순서대로 분배되기 때문에 공격자가 MAC주소를 확정하면 스캔범위를 선정할 수 있다. 때문에 공격자는 “원격제어”기능이 오픈 된 전등을 제어할 수 있다.
 
그러나 Hue전등은 소스IP주소를 통하여 자동으로 장비를 검색할 수 있어 이런 유형의 공격을 차단할 수 있다.
 
-간접연결공격
LED 전등을 이미 연결한 스마트폰으로 원격설정을 검색할 때 이 전등의 권한 설정 리스트를 발견할 수 있다. 그 중에 예전에 사용했던 모든 권한부여 장비를 포함하며, API로 GetAuthUserDevice을 호출한다. 이렇게 되면 공격자는 관련 권한부여 리스트를 통하여 장비ID를 획득 후 기타 LED전등에 대한 제어가 가능하다.
 
현재 zengge회사에서 관련 취약점 패치를 발표하지 않았지만 최신 버전을 제공해 장비의 회원가입 절차에 서버 인증과정을 추가하였다. 그러나 지금까지 여전히 서버인증 옵션을 오픈하지 않았다. (정보제공. 씨엔시큐리티)
 
★정보보안 대표 미디어 데일리시큐!★
 
<데일리시큐 길민권 기자> mkgil@dailysecu.com