macOS/보안

 


1. 주의사항
2. 개요
2.1. Windows와의 비교
2.1.1. Windows 사용자의 공용 Mac 사용시 주의점
2.2. macOS의 보안 취약점
3. 맬웨어 사례
4. 보안 실패 사례(Pwn2Own)
5. macOS의 보안 장치 및 프로그램
5.1. 상황
5.2. 목록
5.2.1. 시스템 빌트인
5.3. 서드파티 백신
5.4. Objective-See
6. 하트블리드 사태 보안 이슈 → Apple OS에서 문제 없음
7. rootpipe 보안 취약점
8. XARA 취약점
9. APFS 비밀번호를 평문으로 그냥 보여주는 버그
10. 비밀번호 없이 root 계정 로그인이 가능한 버그
11. App Store 관련 권한 요구 비밀번호 입력 우회 버그
12. 멜트다운/스펙터 보안 취약점
13. 암호화


1. 주의사항

2014년 기준 macOS의 악성코드 숫자는 2000개를 넘어섰다. 악성 코드의 숫자가 4자리를 넘어섰으며 정보를 보내는 식으로 고도화되어가고 있다. macOS의 보안 안전 신화는 이미 무너진지 오래며 가뜩이나 느린 Apple의 보안 패치로 인해 앞으로 더욱 위험해질 것이라 판단된다. 이를 막기 위해서는 다음과 같은 사용 습관을 들여야 한다. 참고로 이 내용은 당신이 macOS를 쓰지 않더라도 마찬가지니 Microsoft Windows 등지에서도 같은 습관을 들이길 추천한다.
  • 모르는 DMG, pkg를 설치하지 않는다. 돈이 없다고 크랙 앱을 구해 설치하지 않는다. 절대로. 정품 앱도 홈페이지 다운로드 방식은 어지간하면 하지 마라. Microsoft나 Adobe, Autodesk, 구글, 한글과컴퓨터 등 ESD에 갑질을 할 수 있을 정도 되는 클래스의 개발사도 아니고 딱히 OS의 보안 깊은 곳을 건드리고 있는 것도 아닌 평범한 소프트웨어인데 App Store에 등록이 되어 있지 않고 그렇다고 무료 오픈소스도 아니라면 어딘가 구린 구석이 있는 소프트웨어일 가능성이 높다. 재수가 없으면 MacKeeper 같은 쓰레기 퀄리티의 거머리 같은 놈을 돈 주고 갖다 붙이는 꼴이 될 수도 있다. Fluid, Alfred 같이 App Store가 생기기도 전부터 판매되던 제품들은 개발자의 고집 때문에 예전 방식을 고수하는 경우가 많아 대체로는 믿을 수 있다고 볼 수 있지만 Transmission 같은 인지도 높고 개발 이력도 오래 된 제품 같은 경우도 개발자의 실수로 랜섬웨어가 패키지에 포함되는 초대형 사고가 터지기도 했다.
  • 또 정품을 살때는 웬만하면 Mac App Store를 이용하거나 여의치 않다면 신뢰할 수 있는 마켓을 사용해라. 특히 사전 검사같은 거 없이 누구나 올릴 수 있는 마켓은 기피해라.
  • 마찬가지로 검증되지 않은 사이트에 기웃거리지 않는다. 익히 알려진 플래시, 각종 웹 앱으로 악성코드에 감염되기 좋다.
  • 각종 피싱[1]에 주의한다
  • 검증된 것이라도 루트 비번을 물어보는 물건은 주의할것.
  • 애플리케이션이 권한을 요구할 때 그냥 예 누르지 말고 이 기능이 정말 필요한가 생각해보고 권한을 줘라.
  • 웬만하면 백신이나 보안 프로그램은 권장하지는 않지만 만약 불안하다면 Objective-See 에서 내놓은 여러 보안 프로그램들을 설치하는 것도 도움이 된다.

2. 개요

macOS의 기반은 유닉스이므로 보안성도 유닉스에 준하고 있다. 유닉스의 강점은 철저한 권한 분리인데 이것 역시 macOS도 그대로 물려받고 있다.

2.1. Windows와의 비교

개인 사용자를 위한 OS로는 크게 Microsoft Windows, Mac, 리눅스가 있지만 가장 높은 점유율을 가진 Windows와 곧잘 비교되곤 한다. 일단 리눅스는 일반적으로 데스크톱 타겟의 OS는 아니라고 간주되기 때문이다.
Apple 공식 홈페이지의 Mac 소개 부분에서도 알 수 있듯, Apple의 Macintosh(컴퓨터) 마케팅에서 빠지지 않고 등장하는 것이 "macOS는 보안이 우수하다.", "바이러스를 걱정하지 않아도 된다."는 부분이다. 이 내용은 직접적으로 Microsoft Windows를 겨냥하고 있다고 보면 된다. 개인 사용자용 데스크탑·랩탑 운영 체제의 점유율은 Windows가 9할로 압도적이기 때문에 신규 사용자를 끌어오려면 Windows 대비 우위를 어필하지 않으면 안 되는 것. Apple은 Windows 보안을 혹독하게 조롱하는 TV 광고 시리즈[2]를 집행하기까지 했다. macOS 보안의 우수성에 대한 광고나 설명은 주로 Windows의 보안이 어떻게 나쁜지를 서술하는 상대적인 방식으로 이루어진다. 관련 트윗
iPhone App Store처럼 지정된 곳에서 앱을 받도록 제한하는 맥Mac App Store는 샌드박싱 정책과 시스템의 접근 제한을 통해 악성코드로부터 사용자를 보호하며 인증받은 개발자의 앱만 실행하는 게이트 키퍼가 있다. 특정 앱을 블랙리스트로 지정해 시스템에서 제거하는 XProtect가 있다.
혹자는 Windows의 폐쇄 정책으로 보안이 약하다는 이야기도 하는데 Mac도 그 논리에서 자유로울 수가 없다.
현실적으로 아래의 사례에서도 나오지만 사실 어느 OS도 보안에 있어서 '''완벽'''이란 없으며 macOS의 보안성에 대한 Apple사의 주장 및 사용자의 경험담은 과대 평가되어 있다. Apple의 보안성은 기술적인 요인보다는 낮은 점유율로 공격할 메리트가 낮은 이유가 큰 공짜 점심 효과가 크다.[3] 물론 사용자 입장에서는 기술적으로는 월등한 거 알 바 없이 당장 위협을 회피 가능한 macOS를 선택하는 것 역시 고려해 볼만한 선택이다. 서버용으로 점유율이 엄청난 리눅스가 보안 패치가 뛰어남에도 불구하고 높은 서버 점유율 때문에 항상 해킹의 위험에 노출되어 있으며 개인용, 사무용으로 높은 점유율을 차지하는 탓에 훨씬 많은 것을 고려해야 하는 Windows 쪽의 취약점이 더 자주 발견되는 것이 사실이니.
Windows의 보안성에 대한 자세한 이야기는 Microsoft Windows의 보안 문단을 참조하자.

2.1.1. Windows 사용자의 공용 Mac 사용시 주의점

한 줄 요약: 공용 Mac에서는 쓰고 난 뒤 '''로그아웃'''을 하거나 시크릿 창, 혹은 Private Window, InPrivate 등의 사생활 보호 창을 사용하자.
최근 카페 등을 중심으로 공공 장소에서 사용할 수 있는 Mac 컴퓨터가 증가하고 있는 추세이며 이를 통해 Windows 사용자도 macOS를 접해볼 수 있는 기회도 늘어나고 있다. 물론 공공 장소용 Mac은 기본적인 어플리케이션 이외에는 설치되어 있는 것이 거의 없고 심지어 설치하려고 해도 유닉스 특유의 관리자 권한 문제로 방문객 사용자가 인스톨러가 필요한 거창한 프로그램은 설치하기가 꽤나 난감한 환경인 경우가 대부분이다. 따라서 공공 장소용 Mac은 대부분 이제 막 포맷을 하고 OS를 클린 설치한 상태에 가깝다고 볼 수 있고 그렇기에 관리자가 일부러 멀웨어 같은 것을 설치하지 않은 이상에는 대부분 안전하다고 보아도 무방하다. 그리고 제대로 사용할 수 있는 프로그램은 사실상 웹 브라우저 정도뿐이다.
하지만 Windows 사용자의 사용 습관은 심각한 보안 사고를 일으킬 수 있는데 이는 Windows와 Mac의 어플리케이션 프로세스 종료에 대한 사용자 인터페이스가 다르다는 것에서 연유한다. Windows에서는 기본적으로 창을 닫으면 해당 소프트웨어의 프로세스는 종료되는 것이 원칙이고 백그라운드 작동을 계속하는 어플리케이션은 예외에 속하지만[4] Mac은 그 반대다. 창을 닫는 것만으로 종료되는 어플리케이션이 예외적인 것이고 일반적으로 창을 닫아도 프로세스가 종료되지 않으며 도크에서 해당 어플리케이션의 아이콘을 우클릭해서 수동으로 종료해주거나 Command+Q로 종료시킬 수도 있다. Command+W는 창 닫기 단축키로 Command+Q를 사용해야 프로세스를 끌 수 있다.
브라우저에서는 Windows에서는 최근엔 Chrome 브라우저가 예외적으로 백그라운드 프로세스를 지원하기 시작했지만 여전히 제한적이고 Internet Explorer, 모질라 파이어폭스는 여전히 창을 닫음과 동시에 프로세스도 종료된다. 하지만 Mac에서는 이 모든 브라우저가 창을 닫아도 프로세스가 종료되지 않는다.
만약에 Windows 사용자가 습관적으로 Mac에 기본적으로 설치된 Safari 브라우저를 사용한 뒤에 창만 닫고 자리에서 일어나 버린다면? 로그아웃이 안 됐다!!! 뒷 사람이 이 자리에 앉아서 브라우저 창을 다시 열고 이전 사용자의 계정으로 구글, 네이버 등의 서비스에 접속해 메일이나 각종 클라우드 서비스에 담긴 데이터들을 그대로 훔쳐보는 것이 가능해진다. Windows OS로 작동하는 PC방 컴퓨터에서 Internet Explorer 창을 열어놓은 채 일어나는 것과 똑같은 상황이 발생한다고 보면 된다.
이렇게 브라우저 완전 종료를 하지 않고 공용 Mac 컴퓨터에서 일어나는 일은 의외로 흔하게 발생하고 있으며 물론 대부분의 사람들은 그렇게 나쁜 사람들은 아니기에 대체로 심각한 일은 발생하지 않지만 마음만 먹는다면 개인 정보를 홀랑 털리고 계정 속 데이터는 몽땅 날아가는 일이 순식간에 벌어질 수 있기 때문에 이 부분은 타인의 Mac 컴퓨터 사용 시에 항상 유의해야 할 것이다.

2.2. macOS의 보안 취약점

사실 보안 취약점이 없는 OS는 없다. 다른 Unix와 마찬가지로 macOS에도 보안 취약점이 자주 발견된다. 아니 오히려 지금 시점에서 보면 더 심각한 점이 많다. 2017년 후반부터 2018년 초반 사이에만 비밀번호와 관련한 심각한 문제만 적어도 3개가 있었는데(아래 항목들 참조) 이렇게 비밀번호 관련 문제들이 여러 번 연달아 터질 정도면 '''macOS의 비밀번호 관련 부분이 어떻게 짜여 있는지 심히 걱정되는 수준'''. 위와 같은 이슈들이 있을 경우 macOS에 내장된 '소프트웨어 업데이트' 기능을 통해 패치가 이루어진다.[5]
과거 AppleInsider에서 macOS의 보안 취약점 패치 목록을 분석한 적이 있다. 그 결과 42%가 Adobe Flash의 취약점인 것으로 밝혀졌다(...).[6] Adobe의 발코딩은 Flash도 예외가 아니어서 Flash는 OS를 불문하고 많은 보안 취약점을 공급하고 있다. 이 때문에 macOS와 우분투는 Flash를 기본 제공에서 제외해버렸다.[7]

3. 맬웨어 사례

macOS의 맬웨어는 유닉스 계열 특성상 웜이나 바이러스를 만들기가 대단히 까다롭기 때문에 주로 트로이 목마(악성코드)이다(2011년 1월 현재 역대 macOS용 트로얀은 총 14건 존재). 트로젠은 웜이나 바이러스와 달리 사용자가 직접 입수해서 직접 실행하고 직접 사용자 계정 비밀번호를 입력해야 감염될 수 있다.
어떤 macOS 트로젠의 경우 포커 게임을 가장한 트로이 목마[8]로 무료 포커 게임 프로그램이라고 스스로를 숨기고 나왔는데 이 트로젠에 걸리려면 프로그램을 직접 사이트에서 다운로드해야 하고 다운받은 프로그램인데 실행하겠냐는 질문에 실행을 선택한 후 사용자 계정 비밀번호를 입력하고 실행 파일이 변경되었는데 그래도 실행하겠냐는 질문에도 '예'를 선택해야지 시스템에 감염될 수 있었다. 그 결과 이 트로젠은 일주일간 단 '''50명'''의 컴퓨터를 감염시키는 것에 성공했다. 거기다가 이 트로젠은 자기 자신과 같은 디렉토리 안에있는 파일들에만 영향을 끼쳤고 시만텍에선 '''이걸 트로젠으로 인정하기를 거부했다'''. 트로젠 제작자는 후에 소스 코드를 공개했는데 그 소스 코드의 주석에는 macOS에서 작동하는 트로젠을 만들기가 얼마나 어려운지에 대한 한탄이 가득 담겨있었다.
그런데 불법 프로그램을 습관적으로 다운로드하는 사용자는 위와 같은 수상한 절차를 그대로 따라가기도 한다. 이를 노려 iWork '09 해적판에 트로젠을 심은 사례[9]와 Adobe CS4 크랙에 트로젠을 심은 사례가 있었다[10]. 어떤 운영 체제를 쓰든지간에 복돌이 짓은 삼가자[11].
한편 macOS용으로도 노턴 안티 바이러스 등이 존재하지만 이는 유닉스 버전과 마찬가지로 주로 Win32 바이러스를 검사한다.[12] 물론 전용 백신이 아예 하나도 없는 것은 아니고 MacScan같은 영세 업체의 제품이 있기는 한데 쓰는 사람이 없는 게 문제다.
사실 Windows에서는 가짜 백신이 흔한 것이지만 Mac의 판매가 급증하면서 MacDefender라는 트로젠 맬웨어가 2011년에 나왔다. MacDefender에 감염되는 유일한 방법은 구글에서 검색해 MacDefender를 직접 다운로드 받은 후엔... 따라서 Apple은 아예 MacDefender를 차단 리스트에 추가해버렸다.[13]
2014년 9월 29일 보안업체 닥터웹은 악성코드에 감염된 1만 7천여 대의 PC를 발견했다.내용 설명과 조치 방법 닥터웹 뉴스 악성코드 세부 분석 이 악성코드는 Windows PC의 좀비봇처럼 작동하며 컴퓨터의 정보를 빼돌리고 마음대로 조작 및 제어가 가능하다. 또한 외부 명령을 수행하거나 추가적인 악성코드 다운로드가 가능하다. 레딧 게시판을 이용해 명령을 전송하며 C&C서버가 있어서 본격적인 사이버 범죄에 쓸수 있다. 감염 방식은 아직 모른다.
2016년에는 Transmission#s-2 신 버전에 맞춰서 KeRanger 라는 랜섬웨어가 돌았고 이런 공격 방식은 그 후로도 잘 쓰이고 있다. 핸드브레이크에다가 몰래 박아넣기라던가...

4. 보안 실패 사례(Pwn2Own)

CanSecWest Vancouver 2008에서 3일간의 일정으로 해킹 대회가 열렸다.
첫째 날에는 원격으로 해킹, 둘째 날에는 OS 기본 번들 소프트웨어만 공격, 셋째 날에는 OS의 응용 프로그램으로 공격하는 방식으로 이루어졌으며 날이 갈수록 난이도가 쉬워진다.
둘째 날에 웹 브라우저 취약점을 이용해 Mac OS X 10.5.2 Leopard가 뚫렸으며 마지막 셋째 날에 Windows Vista 얼티밋 SP 1이 뚫렸다. 우분투 7.10은 끝까지 살아남았다[14]. 이에 관해 macOS의 보안성 문제로 한동안 시끄러웠지만 이는 과장된 감이 어느 정도는 있다. 네트워크를 통한 해킹만을 허용한 첫째 날에 뚫린 운영 체제가 없다는 점도 참고할 만하다[15]. 다만 이것으로 macOS의 보안이 철통이 아니라는 사실은 입증된 것이다. 공격 코드를 심어놓은 사이트로의 링크를 보내고 링크를 클릭하자 '''관리자 권한 없이 macOS의 기본 번들 응용 프로그램인 계산기가 실행'''된 것인데 이는 너무나도 전형적이고 뻔한 보안 취약점의 발현 형태이다. 결론적으로 macOS는 본 대회에서 '''정상적인 룰로 완전히 패배'''했다. 변명의 여지가 없다.
우승자의 인터뷰에서 결국 보안이란 얼마나 많은 사람들이 그 시스템을 이용하고 있는지에 달렸다는 말을 한 바 있다. 또한 보안이란 운영 체제 자체보다 애플리케이션 레벨에서의 보안이 중요하다고 한다. 다들 대안 브라우저를 이용합시다.
Alan: 만일 (보안성을 기준으로) Mac과 PC 혹은 리눅스를 선택해야 한다면 무얼 추천하시겠습니까? 아니면 다들 비슷하게 안전한가요?
Charlie: 리눅스는 제 할머니도 사용하실 수 없었으므로 제외하도록 하겠습니다. Mac과 PC를 비교한다면 Mac은 위에서 말한 이유(온라인 방어 기제의 부족) 때문에 보안성이 낮으나 사용자 수가 적은 관계로 비교적 더 안전합니다. 현재로서는 일반 사용자들에게 Mac을 추천하겠는데 이것은 무언가가 사용자를 노릴 확률이 너무 낮기 때문에 Mac을 몇 년 사용하는 동안 맬웨어를 마주치지도 않을 가능성이 있기 때문입니다. 어떤 공격자가 사용자를 실제로 표적으로 삼는 경우 사용자가 좀 더 위험하게 될 지라도요.
그리고 2010년 6월 21일 Safari 5.0에서 보안 문제가 터졌다[16]. 자동 완성 기능을 악용해서 개인 정보를 빼내는 취약점인데 현재 Safari 4.1.1과 5.0.1에서 문제를 해결했으니 꼭 업데이트하기 바란다.
결국 2011 Pwn2Own 대회에서 보안 업데이트 이후의 Safari가 5초만에 털렸다. 다만 2만 달러의 상금에 크롬북까지 제시한 Chrome은 아직까지 건재하다.
2012년 Pwn2Own에서 Safari가 놀랍게도 제로 데이 공격으로 뚫리지 않았다! 웃기게도 이번 대회에서는 Chrome이 대회 시작 5분 정도에 해킹됐다.[17]. 이번 해엔 프랑스의 보안 전문 회사인 VUPEN에서 "결코 뚫리지 않는 브라우저는 없다."는 모토를 내세우며 Chrome만 주구장창 파고들었다고 한다. 결국 대회 전체에서 Chrome, Internet Explorer, 파이어폭스가 제로 데이 공격과 CVE로 탈탈 털렸고 Safari는 CVE로 두 번 뚫리는 것으로 그쳤다[18][19][20].
좀 더 자세한 내용은 Pwn2Own 항목 참조.

5. macOS의 보안 장치 및 프로그램


5.1. 상황

아무래도 macOS 사용자가 최근 Apple의 모바일 제품군(iPod, iPhone 등)의 성공에 힘입어 증가하는 추세이니 날로 보안 위협도 커지고 있는 것은 사실이다. 이 때문에 Apple에서도 Gatekeeper 등 macOS의 보안에 신경을 쓰고 있지만 문제는 급변하는 시대에 제로 데이 공격 또는 신종 악성코드의 대응에는 한계가 있을 수밖에 없다. 특히 현재의 내장 보안 체계는 알려진 보안 이슈나 악성코드에 대응하는 수준이고 예방 체계 또한 샌드박싱 정책 및 의심되는 애플리케이션의 동작에 대해 실행 여부를 사용자에게 묻는[21] 수준에 그치는 데다 설상가상으로 표적 공격에 대응하기 위해서 필요한 감염 여부나 실시간으로 탐지할 수 있는 체계가 없다는 것이다. 감염 여부야 XProtect가 뒷단에서 처리한다고는 해도 신·변종에 대응하려면 행동 기반 또는 클라우드 체계가 갖춰진 실시간 감시가 이루어져야 하는데 이를 시스템단에서 지원하면 도·감청 논란이 발생할 수 있으므로 써드파티가 보안 제품의 몫이 중요하나 오히려 이들이 Mac의 자원을 심각하게 낭비하는 등 정상적인 컴퓨팅을 방해하기 때문이다.[22] 따라서 결국 현재의 macOS는 UNIX 기반이라는 이점과 이를 사용하는 사용자가 적어서 그렇지 오히려 잘 대비된 보안 체계는 아니므로 표적 공격이 발생한다면 속수무책이 될 수 있어 주의가 필요하다.

5.2. 목록


5.2.1. 시스템 빌트인

  • XProtect
  • App Sandboxing
  • Gatekeeper
  • FileVault 2
  • 내장 방화벽 및 Privacy Settings 등. 참조
  • 시스템 무결성 보호[23](OS X 10.11 El Capitan에서 추가)

5.3. 서드파티 백신

macOS는 UNIX계열 운영 체제 특유의 엄격한 권한 체계를 가지고 있으므로 Windows에 비해서는 백신의 필요도가 낮은 편이다. 하지만 그럼에도 불구하고 보안 취약점이 없는 것은 아니기에 다음과 같은 백신들을 사용하는 것도 고려할 수 있다[24]. 다만 쓸만한 무료백신이 많은 Windows PC에 비해 Mac용 안티바이러스는 유료로 사용해야 하는 경우가 대부분이며 최적화나 퍼포먼스 역시 Windows용에 비해 확연히 떨어지는 경우가 많으니 주의.

5.4. Objective-See

전 NSA 직원이 만든 사이트로 여러 가지 보안 프로그램을 기부 혹은 공짜로 제공한다. # 여기서 제공하는 보안 프로그램 두어 개만 써도 어느 정도 회피가 가능하다
  • 프로그램의 암호화를 감지하여 사용자에게 통지하고 종료해버릴 수 있는 RansomWhere
  • 이상한 커널 확장이 깔리는걸 감지하는 Block Block
  • Mac에 장치된 카메라가 동작하는가, 그리고 그 카메라의 주인 프로세스를 알려주는 OverSight

6. 하트블리드 사태 보안 이슈 → Apple OS에서 문제 없음

2014년 4월 7일에 핀란드의 한 보안 회사에서 OpenSSL에 심각한 보안 결함이 있음을 발견했고 이 발표에 따라 온 IT 업계가 그야말로 난리가 났다. 소위 Heartbleed라 불리는 이슈로 가볍게 넘길 게 아니라 '''정말 심각한 건이다'''. 그럼에도 불구하고 한국에선 관련 기사를 보고 기자들이 호들갑을 떤다고 반응하는 사람들이 많다. 미국의 저명한 컴퓨터 보안 관련 전문가인 브루스 슈나이어는 자신의 블로그에 이 이슈를 대재앙이라 부르고 만약 이 사태의 보안 위협도에 1부터 10까지 점수를 매기라면 11을 줘야 한다고까지 글을 올렸다. 웃긴 건 본인도 밝혔듯이 이 사람 블로그도 취약 웹사이트다.
Apple은 4월 10일에 iOS, macOS, 주요 웹 기반 서비스(iCloud 등의 서비스 포함)는 하트블리드 결함에서 안전하다고 밝혔다. 사실 Apple은 이미 2012년에 OpenSSL은 불안정하다는 이유로 개발자 웹사이트에서 그 사용을 권장하지 않으며 대체제를 사용해야 한다고 명시한 바 있다. 원래부터 OpenSSL은 iOS에선 아예 포함이 안 되고 macOS에선 지원만 하고 마는 정도였다고. 당시엔 OpenSSL이 거의 표준처럼 여겨지고 광범위하게 사용되고 있었을 때여서 개발자와 사용자들이 입을 모아 Apple은 폐쇄적이라고 대차게 깠었는데 이렇게 될 줄이야(...).


7. rootpipe 보안 취약점

2014년 11월 초 '''sudo 없이 루트 권한을 획득할 수 있는''' 어이가 안드로메다로 날아가는 취약점이 발견되었다. 대중적으로 붙여진 이름은 rootpipe.
사실 위와 같은 권한 상승 취약점은 많은 편이고 리눅스나 Windows도 꾸준히 발견되고 있으니 놀랄 일은 아니다.
특히 최근 Google의 Project Zero 팀에서는 다수의 macOS 커널 익스플로잇을 공개한 바 있다.

8. XARA 취약점

2015년 6월 17일 Apple의 iOS와 macOS에서 App Store의 보안 기능을 모두 우회할 수 있는 취약점인 XARA(Cross-App Resource Access)가 발견되었다. 발표 문서 원본 취약점 시연 영상

9. APFS 비밀번호를 평문으로 그냥 보여주는 버그

2017년 9월 APFS(Apple File System)의 암호화 비밀번호를 그냥 평문으로 보여주는 문제가 발견됐었다. #
이후 소프트웨어 업데이트를 통해 해결되었다.

10. 비밀번호 없이 root 계정 로그인이 가능한 버그

ID를 root로 입력할 경우 '''비밀번호 없이 root 계정으로 로그인이 가능한 버그'''가 2017년 11월 28일 이슈화되었다. # ##재연 영상 게다가 이미 이 버그가 이슈화되기 2주도 전에 이 버그에 대한 내용이 Mac 포럼에 올라왔었다는 점이 드러났다. #
#Apple의 패치가 나오기 전 임시 조치 방법
긴급 패치하긴 했지만 macOS 10.13.0 상태에서 긴급 패치를 한 후 10.13.1을 깔았을 때 이 버그가 부활하는 버그가 발생하여 물의를 빚은 바 있다. 해당 문제는 macOS 10.13.2가 출시되어 해결됐다.
http://appleinsider.com/articles/17/12/01/updating-to-latest-macos-10131-disables-apples-root-bug-patch

11. App Store 관련 권한 요구 비밀번호 입력 우회 버그

2018년 들어 아니나 다를까 또 터진 비밀번호 문제. #

12. 멜트다운/스펙터 보안 취약점

macOS 자체의 취약점이 아닌 macOS가 사용하는 인텔 CPU의 취약점[25]이지만 서술한다. 이것이 문제가 되는 이유는 macOS는 Advanced Micro Devices의 CPU[26]를 사용한 적이 전혀 없으며 Apple이 판매한 하드웨어 외에는 macOS를 설치하는 것을 공식적으로 허가하지 않기 때문에 이런 문제가 생기는 것. 해당 취약점의 소프트웨어적 패치를 했다고는 하지만 하드웨어 취약점이기에 근본적인 해결책은 되지 못한다.

13. 암호화

Apple T2는 최신 macOS 디바이스에 탑재되는 2세대 자체 칩셋이다. Apple T2는 시스템 관리 컨트롤러, 이미지 시그널 프로세서, 오디오 컨트롤러, SSD 컨트롤러 등을 포함하고 있다. 이 중 암호화를 담당하고 있는 부분은 256비트 하드웨어 암호화를 담당하는 AES 엔진이다. Apple T2가 탑재된 Mac은 기본적으로 내장 스토리지가 암호화되도록 설정되어 있다. 하지만 일반적인 디스크 암호화 기능은 CPU를 이용하기에 필연적으로 30% 가량의 성능 저하를 일으킨다. 최신 Mac의 경우 Apple T2가 CPU 대신 디스크 암호화를 담당하기에 성능저하가 발생하지 않는다. FileVault를 이용하여 추가적인 보안 설정을 할 수 있지만 이는 스토리지에 접근하기 위해 비밀번호 옵션을 추가하는 것일 뿐이다.

[1] 그림으로 위장한 앱, 각종 사이트.[2] 그 유명한 Get a Mac 시리즈. 한국어 자막이 있다.[3] 거의 모든 악성코드들이 Windows에서 구동되도록 짜여 있기 때문이다.[4] 이 경우에도 오른쪽 하단 시계 옆의 알림 영역(tray)에 아이콘으로 표시가 되어 어플리케이션이 완전히 종료되지 않았다는 것을 알려주는 경우가 대다수다.[5] 그리고 OS X Mountain Lion에서는 아예 Mac App Store와 소프트웨어 업데이트가 통합되었다.[6] Adobe Flash contributes largest number of security patches in Apple's Mac OS X 10.6.5[7] 사용자가 최신 버전을 내려받도록 강제하는 것.[8] OSX.Trojan.PokerStealer Trojan Horse[9] iWork '09 trojan infects at least 20,000 machines?[10] Mac Trojan horse found in pirated Adobe Photoshop CS4[11] 또 iWork는 가격도 Microsoft Office보다 저렴하고 Photoshop 역시 픽셀메이터같은 저렴한 대안이 많다.[12] 자료 축적이 매우 중요한 백신에게 Mac용 바이러스보다는 Windows용 바이러스가 압도적으로 많기 때문.[13] 본격적으로 저 프로그램을 차단하는 건 아니고 단지 Safari를 통해 다운로드하는 경우만 확인할 뿐인데 이는 macOS의 보안 취약점을 노리고 스스로 침투하는 것이 아닌 사용자가 스스로 다운로드하는 경우이기 때문에 차단만으로도 충분히 효과가 있다.[14] 관련 기사[15] 이 대회가 '''Microsoft에서 후원한''' 대회라는 점에서 다소 Windows가 안습하게 느껴지지만…….[16] 관련 기사[17] 트위터 중계[18] Pwn2Own 2012 결과 페이지[19] 그런데 사실 이 CVE라는 게 Common Vulnerabilities and Exposures라는 일종의 데이터베이스로 지금까지 발견되고 그 방법이 널리 알려진 취약점들만 모아놓은 것이다. 사실 이 놈이 더 위험하다고 봐야……하지 않을까 싶다.[20] 그런데 구글이 이번 대회 직전 P2O에 대한 상금 등을 일방적으로 취소시키고 저 취약점을 인정하지 않겠다고 했다. VUPEN도 이에 대해 "이 취약점은 우리가 잘 팔아먹을 것이다."는 입장을 밝혔다. 결국 두 놈이 쌤쌤.[21] 무조건 창이 뜨면 '예'를 누르는 바보가 되지 않도록 하자.[22] 물론 앞으로 쓸만한 제품이 나올 가능성이 높다.[23] 예전엔 확실한 이름도 없어서 루트리스로 불렸다. [24] 단 macOS는 백그라운드 프로세스를 돌리기에 그다지 적합하지 않으므로 이 또한 참고할 것[25] 즉 Windows, 리눅스까지 포괄하는 취약점이다.[26] 스펙터 취약점이 있지만 멜트다운 취약점은 없다. 거기다 해당 취약점 발견 이후 Intel에만 존재하는 취약점이 현재진행형으로 우후죽순 쏟아지는 중이다.

분류