MDM
1. 개요
모바일 기기의 보안을 향상시켜 비즈니스 용도로 사용하기 적합하게 하는 앱. BYOD(Bring Your Own Device)라고 하는 개인소유의 단말기를 업무에 활용하는 정책과 맞물려서 사용되곤 한다. 물론 좋은 회사의 정규직으로 일한다면 회사측에서 업무용 단말기를 따로 제공받는 경우가 많다.
2. 기능
다양한 기능이 있지만 크게 애플리케이션 이용 제한, 카메라 마이크 제한, 공유 기능 제한, 분실시 원격 삭제, VPN이 있고 그 외에도 추가적인 보안 향상 기능을 포함하는 경우가 많다. 회사 내의 업무용 메신저 등을 포함하기도 한다.
2.1. 상세
최근의 휴대전화에는 카메라나 USB 파일 전송 기능이 기본으로 들어가는 추세이다. 이것이 보안이 중요한 기업의 경우 보안담당자가 뒷목을 잡게 하는 요인이 되는데 이런 기능을 악용하면 중요 보안정보를 사외로 유출하는것이 너무도 쉬워지기 때문이다[1]. 그래서 모바일 기기의 기능을 통제할 방법을 마련해서 나온 것이 MDM(Mobile Device Management)이다.[2]
이를 위해서는 다음 기능이 필요하게 된다.
- 단말[3] 펌웨어 레벨에서 단말의 기능을 활성화/비활성화 할 수 있는 API를 제공해야 한다.
- 이 API를 사용하여 중앙에서 단말 기능을 제어할 수 있는 애플리케이션과, 제어 서버에서 동작하는 시스템이 개발되어야 한다. 단말 앱과 서버가 연동되는것과 서버가 사업장 출입관리시스템과 연계되는건 기본.
- 단말에 설치되는 단말제어용 앱은 일반적인 상황에서는 삭제가 불가능해야 한다.[4]
- 단말이 공장초기화되어 단말 제어용 앱이 삭제되는 등의 불가피한 경우에 기기 사용이 차단되어 단말 내 데이터 유출이 불가능하도록 조치할 수 있어야 한다.
- 출근을 할 때 사원증을 게이트에 찍어 인식시키고 게이트가 열리면 사내로 들어간다.
- 게이트를 통해서 사내로 들어왔다는 정보가 MDM 서버로 전송된다.
- 서버에서 스마트폰에 설치된 앱에 스마트폰을 바보로 만들라는 명령을 전송한다.
- 퇴근을 할 때 사원증을 게이트에 찍어 인식시키고 게이트가 열리면 사바세계로 복귀한다.
- 게이트를 통해서 사업장 밖으로 나갔다는 정보가 MDM 서버로 전송된다.
- 서버에서 스마트폰에 설치된 앱에 스마트폰을 똑똑하게 만들라는 명령을 전송한다.
3. 문제점
단말이 공장초기화되어 단말 제어용 앱이 삭제되는 등의 불가피한 경우는 단말 내 데이터 유출이 불가능하도록 조치할 수 있어야 하지만 이것이 스마트폰을 중고 판매할때 공장초기화를 하는 경우에도 사용이 차단되어 문제가 생기기도 한다.
MDM이 설치되어 서버에 스마트폰이 정상적으로 등록되면 단말 어딘가에 '나 MDM 사용하는 단말기예요'라는 흔적이 남게 된다. 이 상황에서 공장초기화를 하게 되면? 스마트폰이 부팅할 때 이렇게 된다.
- 'MDM 사용하는 단말기예요' 라는 흔적이 있나 체크한다.
- 흔적이 있어? 이거 불온한 목적으로 공장초기화 됐구나.[5]
- 그렇다면 스마트한 기능은 절대 못 쓰게 막아주마.
사실 보안 담당자 입장에서는 이게 당연한 절차이기는 하다. 하지만 이런 전후사정을 모르고 당한다면 멘붕 확정이다. 아니, 종종 당하는 일이다. 왜냐하면 사용하던 스마트폰을 중고로 판매하면서 정상적으로 MDM을 비활성화 후 삭제하지 않고 그냥 공장초기화해서 판매하는 경우가 종종 있어서...
다시 적지만, 이런 경우는 삼성 KNOX 문서 중 '이 항목을 참조하여 조치하도록 하자.
MDM을 통해 직원의 개인정보가 사측으로 세어나가기도 한다. 스마트폰의 각종 기능을 제어하기 위해 주어진 접근 권한을 악용해서 기기의 데이터를 훔치거나 위치를 추적하는 행위를 할 수 있다. MDM의 경우 마음데로 삭제하거나 권한을 회수하는것도 불가능함으로 업무용 폰과 개인용 폰을 분리하는 방법밖에 없다.
4. 목록
4.1. 삼성 KNOX
4.2. iOS
iOS에는 관련 API가 있다. 다만 서버에서 iOS 단말기로 이런저런 명령을 보내는 부분(Push)을 애플이 제공하는 기능만을 사용해야 하는데 이것은 애초 개발목적상 엔터프라이즈급의 가용성을 보장하지는 않는다고 하지만, 프로파일을 배포함으로써 이를 제어할수 있다.
4.3. 블랙베리 UEM
원래는 블랙베리 엔터프라이즈 서버였다. 지금은 이 명칭으로 개명한 상태.
5. 삼성전자 MDM
이 문서를 찾아왔다면 십중팔구 삼성전자 스마트폰 단말기에 설치된(것으로 보이는[6]) MDM을 삭제할 수 없어서일 것이다.
[image]
바로 이 아이콘이 단말 상태바에 뜨고 스마트폰의 스마트한 기능은 진짜로 '''아무 것도''' 안 된다. 아이콘의 바탕색이 주황색인데, 삼성그룹 계열사별로 각각 적용된 MDM 앱 버전에 따라 바탕색이 달라지는 경우가 있을 수 있다. 삼성 KNOX 항목을 참조하여 조치하도록 하자.
[1] 사진을 찍거나, 중요자료를 스마트폰으로 옮겨서 들고나가면 끝...[2] 사실 방문하는 사람 스마트폰 카메라에 보안 스티커(뗄 때 스티커에 특정 문양이 생기게 해서 다시 붙여서 넘어가지 못하게 함)를 적용하기도 하지만, 이건 USB를 못 막으니 반쪽짜리다. [3] 업계에서는 스마트폰이 네트워크에 접속하는 단말기이기 때문에 스마트폰을 단말이라고 부르는 경우가 아주 많다.[4] MDM 앱이 디바이스 관리자에 등록되는데, 디바이스 관리자에 등록되는 앱은 등록 해제를 하기 전에는 삭제가 불가능하다. 다만 삼성 단말기의 경우 MDM 앱이 디바이스 관리자에서 등록 해제가 안되도록 펌웨어 레벨에서 막기 때문에 일반적인 방법으로는 삭제 자체가 불가능하다. 물론 공장초기화 하면 어쨌거나 지워지기는 한다. 하지만 이게 전부가 아니다.[5] 아예 공장초기화를 못하게 막힌 단말기도 존재한다.[6] 삼성 KNOX항목에도 언급한것처럼 MDM이 활성화된 상태에서 공장초기화를 할 경우 MDM 앱이 삭제되기는 하나 단말 재부팅시 알아서 MDM 활성화에 준하는 보안 설정(USB, 카메라 사용 불가 등)을 해 버리기 때문에 정상적인 단말 사용이 불가능하다.