당신 집 공유기에 몰래 뒷문이? Tenda 펌웨어 인증 백도어 사태

우리 집 공유기에 '비밀 문'이 있었다면

집이나 사무실 어딘가에 공유기(라우터) 한 대씩은 꼭 있잖아요. 인터넷 회선 하나를 여러 기기에 나눠주는 그 작은 상자요. 평소엔 존재조차 잊고 지내지만, 사실 이 녀석은 우리 집 네트워크의 '정문'이자 '경비실'이거든요. 바깥 인터넷에서 들어오는 모든 트래픽이 여기를 거쳐가니까요. 그런데 이 경비실에 제조사만 아는 비밀 문이 몰래 나 있었다면 어떨까요?

미국의 침해사고 대응 기관인 CERT/CC가 Tenda라는 네트워크 장비 제조사의 여러 펌웨어 버전에서 '인증 백도어(authentication backdoor)'를 발견해 경고했어요. 인증 백도어가 뭐냐면요, 원래는 아이디랑 비밀번호를 정확히 입력해야만 관리자 페이지에 들어갈 수 있는데, 그 로그인 절차를 통째로 건너뛰고 관리자 권한을 손에 넣을 수 있는 숨겨진 통로를 말해요. 도둑이 현관 비밀번호를 몰라도 뒷마당에 누구나 열 수 있는 개구멍이 뚫려 있는 셈이죠.

백도어는 어떻게 동작하고, 왜 위험할까

이런 백도어는 보통 몇 가지 형태로 숨어 있어요. 펌웨어 안에 하드코딩된(코드에 직접 박아넣은) 계정과 비밀번호가 들어 있거나, 특정한 문자열이나 파라미터를 담은 요청을 보내면 숨겨진 텔넷·디버그 서비스가 스르륵 열리는 식이에요. 공통점은 '사용자가 바꾼 비밀번호랑 상관없이' 작동한다는 거예요. 여러분이 아무리 복잡한 관리자 비밀번호를 걸어놔도 이 뒷문은 그걸 무시하고 열리니까, 방어 자체가 안 되는 거죠.

보안 연구자들이 이런 걸 어떻게 찾아내냐면요, 공유기 펌웨어 파일을 내려받아서 압축을 풀고(펌웨어는 사실 작은 리눅스 운영체제예요), 그 안에 들어 있는 실행 파일을 리버스 엔지니어링, 그러니까 기계어를 사람이 읽을 수 있는 형태로 되짚어 분석해요. 그 과정에서 "어? 여기 로그인 검사를 건너뛰는 조건이 있네?" 하고 발견하는 거죠. Tenda 장비는 예전부터 명령어 주입이나 버퍼 오버플로 같은 취약점이 꾸준히 보고돼 온 단골손님인데, 이번엔 아예 인증을 우회하는 통로라 파급력이 더 커요.

공유기 보안이 유독 무서운 이유

PC나 스마트폰은 백신도 깔고 업데이트 알림도 뜨지만, 공유기는 한 번 설치하면 몇 년씩 방치되는 경우가 대부분이에요. 게다가 공유기가 뚫리면 그 아래 연결된 모든 기기, 노트북·휴대폰·IP카메라·스마트TV가 전부 위험해져요. 공격자는 여러분의 DNS 설정을 몰래 바꿔서 가짜 은행 사이트로 유도할 수도 있고, 오가는 트래픽을 훔쳐보거나, 감염된 공유기를 좀비로 묶어 대규모 공격에 동원하기도 해요. 실제로 Mirai 같은 악성코드가 이런 허술한 IoT 기기 수십만 대를 장악해서 인터넷을 마비시킨 사건이 있었거든요.

특히 인증 백도어는 '원격 관리' 기능이 켜져 있으면 인터넷 어디서든 접근당할 수 있어서 더 치명적이에요. 집 안 네트워크에서만 접근 가능하면 그나마 낫지만, 요즘 공유기들은 밖에서 설정을 바꾸는 편의 기능을 기본으로 켜두는 경우가 많거든요.

한국 개발자·사용자에게 주는 시사점

우선 실용적인 대응부터요. 지금 쓰는 공유기 제조사와 모델명을 확인하고, 제조사 홈페이지에서 최신 펌웨어로 업데이트하세요. 그리고 '원격 관리(Remote Management)' 기능은 꼭 필요한 게 아니면 꺼두는 게 좋아요. 관리자 비밀번호를 기본값에서 바꾸는 건 기본 중의 기본이고요. 다만 이번처럼 백도어가 문제일 땐 비밀번호를 바꿔도 소용없으니, 결국 패치된 펌웨어를 받는 게 유일한 해법이에요.

개발자 입장에서 더 중요한 교훈은 '펌웨어에 절대 비밀 계정을 남기지 말라'는 거예요. 개발·디버깅 편하자고 넣어둔 임시 계정이나 숨겨진 접근 경로가 제품 출시 후에도 그대로 남아 사고로 이어지는 경우가 정말 많거든요. IoT 제품을 만든다면 SBOM(소프트웨어 자재 명세서)으로 어떤 구성요소가 들어갔는지 관리하고, 출시 전 펌웨어를 직접 리버스 엔지니어링해서 뒷문이 없는지 점검하는 습관이 필요해요. 소비자라면 되도록 보안 업데이트를 꾸준히 제공하는 브랜드를 고르는 것도 현명한 선택이고요.

마무리

핵심은 하나예요. 비밀번호를 아무리 잘 걸어도, 장비 안에 뒷문이 있으면 다 무용지물이다. 우리가 믿고 쓰는 기기 속에서 어떤 코드가 돌아가는지 한 번쯤 의심해볼 필요가 있는 거죠. 여러분은 지금 쓰는 공유기 펌웨어를 마지막으로 업데이트한 게 언제인가요? 그리고 IoT 기기를 살 때 '보안 업데이트 지원 기간'을 확인하고 사시나요?