국내외 유명 해커들의 최신 해킹기술 시연과 더불어 제로데이 취약점 공개 및 다양한 이벤트들이 진행될 예정이다. 바로 제8회 국제 해킹?보안 컨퍼런스 POC2013이 오는 11월 7~8일 서울 양재동 교육문화회관(K호텔)에서 개최된다.

 
POC(www.powerofcommunity.net)는 국내?외 해커들과 보안 전문가들의 참여에 의해 새로운 해킹 및 보안 기술과 0-day 취약점들이 공개되는 자리로 이미 국내외 보안담당자와 해커들에게는 유명한 행사로 자리잡고 있다. 또한 정부기관이나 기업의 자본에 종속되지 않고 국내 보안 발전을 위해 개최되는 순수 비영리 독립 컨퍼런스로 그 의미가 큰 행사다.
 
주최측 관계자는 현재 9명의 발표자가 확정되었으며, 다양한 이벤트들도 준비되고 있다고 한다.
 
◇POC2013 발표자 및 흥미로운 발표주제
POC2013의 키노트 발표자는 카이스트(KAIST) 김용대 교수다. 김교수는 “Hacking Sensors with EMI”라는 주제로 센서가 입력받는 값에 따라 작동하는 다수의 물리적 시스템(스마트 그리드, 의료 디바이스, 블루투스 헤드셋 등)들을 전자파를 이용해 해킹하는 기술을 발표한다. 전자파를 이용해 의료시스템인 심장박동조절장치의 정상적인 작동을 방해하고, 블루투스 헤드셋에 공격자는 임의의 다른 소리를 인젝트하는 등의 과정을 보여줄 예정이다.
 
POC2012에서 항공 시스템을 해킹하는 기술을 보여주었던 Andrei Costin은 CCTV, DVR/NVR(Digital/Network Video Recorder)의 감시 기술을 소개하고, 구성요소들을 분석하여 이 시스템들에 대한 공격 방법을 소개한다. 뿐만 아니라 비디오 감시 시스템들을 분석, 개발하며, 에 대한 테스트를 자동화하는 방법을 소개하고, 비디오 감시 시스템을 분석하는데 도움이 되는 프로그램의 소스코드도 공개할 예정이다. 그리고 비디오 감시 시스템들의 제로데이 취약점을 이용해 공격하는 것도 시연할 것이다.
 
Eurecom 박사과정에 있는 Jonas Zaddach는 ARM 디바이스에 적용될 수 있는 새로운 리버스 엔지니어링 기술과 공격 방법들을 소개할 예정인데, 물리적 레벨에서 소프트웨어 레벨까지 리버싱을 통해 펌웨어 백도어를 개발하는 전체 과정을 스텝 바이 스텝식으로 보여줄 예정이다. 그리고 하드웨어 백도어 기술을 소개하면서 유명한 하드 드라이버 제품에 대한 공격도 시연을 통해 보여줄 예정이다.
 
이번 POC2013에서는 Windows 시스템에 대한 공격 기술과 보안 취약점을 찾는 기술에 대한 연구가 세 가지 발표된다. 이는 곧 정식 출시된 Windows 8 시스템에 대한 연구를 위해 POC가 기획했다.
 
먼저, 중국 최대 보안회사 360의 취약점 탐지 및 분석팀의 연구원이자 많은 Windows 시스템의 제로데이 취약점들을 찾아냈던 중국 해커 중 한 명인 MJ0011은 Windows 7과 8의 보안 기능들을 우회하는 새로운 기술을 공개할 예정이다. 이 기술은 POC에서 최초 공개되는 내용이다.
 
두 번째, Windows 시스템의 많은 제로데이를 역시 찾아낸 이스라엘 출신의 Moti Joseph과 2013년 세계 여성 리버스 엔지니어링 대회에서 우승한 오스트리아 출신의 Marion Marschalek이 공동으로 Windows 시스템에서 잠재적 취약점을 찾기 위해 필요한 라이브러리 및 허점들에 대한 분석과 함께 보안 취약점들을 찾아내는 작업을 쉽게 하는 툴을 공개할 예정이다.
 
세 번째, 보안 취약점 분석에 세계 최고라고 할 수 있는 프랑스 보안회사 VUPEN의 연구자였던 러시아의 유명한 해커 Nikita Tarakanov는 일반적인 상황이 아니라 공격자가 공격하기 어려운 상황에서 Windows 커널에 존재하는 취약점들을 공격하는 기술을 발표할 예정이다.
 
최근 안드로이드 시스템에 대한 악성코드가 날로 증가하고 있는 추세이지만 악성코드를 간단히 수정해 다시 패킹하면 시그네이처 기반의 전통적인 탐지 방법으로는 탐지가 쉽지 않게 되었다. 이 문제를 해결하기 위해 중국 해커 Xu Hao와 pLL은 새로운 탐지 방법을 고안했으며, 제로데이 기반의 악성코드도 탐지할 수 있게 되었다. 안드로이드 시스템에 대한 악성코드 사용이 증가하고 있는 상황에서 흥미로운 주제이다.
 
웹 해킹 분야에서는 취약한 웹 어플리케이션의 소스코드를 분석하여 보안 취약점 여부를 확인하기 위해 exploit을 자동으로 생성하는 방법을 러시아 해커 Sergey Gordeychik이 발표할 예정이다. 특히 이 발표를 위해 여러 어플리케이션에서 찾을 수 있는 취약점들을 공개할 예정이다.
 
러시아 보안 전문가 Maxim Goncharov는 러시아, 중국 등 각국의 언더그라운드에서 정보 교환과 언더그라운드 시장의 제품 및 서비스들에 대해 발표한다. 암호화 서비스, DDoS 공격, 트래픽 재판매, 스팸, 신용카드 하이재킹, SMS 사기 등 지난 3년간의 가격 비교와 함께 일반적인 구매 과정 및 가격 결정 과정을 보여줄 예정이다.
 
◇POC2013 다양한 이벤트 진행
POC2013에서는 컨퍼런스 기간에 맞춰 다양한 이벤트가 열린다. 이벤트는 컨퍼런스 홀 옆에 따로 마련된 이벤트 홀에서 진행되는데, 참가자들은 이곳에서 개인 또는 단체가 준비한 여러 행사에 참가할 수 있다.
 
올 해 확정된 이벤트는 총 12개로, 이벤트 운영팀은 고등학교/대학교 정보보호동아리, 보안 업체 소모임, 해킹 연구그룹 및 비영리 단체, 국외 컨퍼런스 운영진, 개인 등 다양하게 구성되어 있다.
 
이번에 특히 더 주목할만한 이벤트로는 러시아 해커들이 운영하는 'Choo Choo Pwn'이 있다. 러시아에서 직접 한국을 찾아와 준비하는 본 이벤트는 스카다(SCADA) 시스템의 취약점을 공격하는 대회로, 평소 쉽게 접하지 못하는 SCADA 시스템을 해킹해 볼 수 있는 흔치 않은 기회이다. S7, Profinet, OPC, Modbus, DNP3 등의 프로토콜을 구현하여 사용 중인 실제 SCADA 시스템이 이벤트에 동원될 것이며, 이를 위해 미니어처로 제작된 발전소, 교통, 건설 시스템 등을 실제 공격할 수 있는 기회를 가질 수 있을 것이다.
 
또한 올해로 3회를 맞이하는 전 세계 유일의 여성 해킹 대회 'Power of XX'는 본선 1등 팀에게 내년 러시아에서 개최되는 PHDays2014 CTF 본선 자동진출 권한과 함께 항공 및 숙박권까지 제공된다. 본 대회는 예선과 본선으로 나눠지고, 본선은 POC2013 컨퍼런스 기간에 진행된다. 'Power of XX'는 국내 해킹 보안 커뮤니티인 해커스쿨 연구진과 숙명여자대학교 정보보호동아리 SISS가 함께 운영한다. 또한 이들은 초등학생과 중학생들을 대상으로 하는 '키즈해킹대회'를 운영하는데, POC2013 이전인 10월 5일 공간POC에서 진행된다.
 
이외에도 안랩 소속 직원들의 패킷 분석 대회 'Hack the Packet', 순천향대 정보보호동아리 SecurityFirst의 '펌프? 펌프!' '코드네임, POC', '심플 코딩 컨테스트', 연세대학교 정보보호동아리 Kroot의 롤 게임 대회 'LoL 컴까기', 선린인터넷고등학교 해킹 팀 Layer7의 '2진수 369', gilgil의 'SSLStrip for POC', You & M3 팀의 퀴즈 컨테스트 'Hack My Mind', 아시아-태평양 인터넷 네트워크 비영리 단체 APNG 한국 지부의 '보안의 마블' 등이 준비되어 더욱 풍성한 POC2013을 만들어 줄 것으로 예상된다.
 
모든 이벤트들은 POC2013 등록 없이도 무료로 참가가 가능하며 자세한 이벤트 관련 소개는 홈페이지(www.powerofcommunity.net/kr/events.html)에서 확인 가능하다.
 
◇차별화된 POC2013 트레이닝 코스
POC2013의 트레이닝 코스는 저렴한 가격으로 국내 해커들과 보안 인력들에게 해킹 및 보안 기술을 전파하기 위해 기획되었으며 현재 6개의 코스가 준비되어 있으며 내용은 다음과 같다.
 
-pr0neer, “Anti-anti Digital Forensics”
-Passket, “Writing Toolkits for Finding 0-day Flaws with Pintool”
-WTFuzz, “Web Brower Hacking”
-Adam Laurie, “RFID Hacking”
-Nikita, “Windows Kernel Vulnerability Exploit Dvelopment”
 
트레이닝 코스는 유료로 진행되며 해외 컨퍼런스의 트레이닝 코스보다 질적으로 더 우수하지만 비용은 더 저렴하다. 자세한 커리큘럼과 등록은 POC 홈페이지를 통해 확인할 수 있다.
 
POC2013은 현재 조기등록이 진행 중이며 등록 관련 정보는 다음과 같다.
-등록 페이지: www.powerofcommunity.net/kr/register.html
 
데일리시큐 길민권 기자 mkgil@dailysecu.com