MITM

ARP 스푸핑은 MITM 공격을 수행하기 위해 가장 일반적으로 사용되는 기법 중 하나이다. 이 공격은 ARP 프로토콜의 신뢰 기반 구조적 취약점을 악용하여, 공격자가 자신의 MAC 주소를 피해자나 게이트웨이의 IP 주소에 연결된 것처럼 속이는 과정을 포함한다.

공격 과정은 일반적으로 두 단계로 이루어진다. 먼저, 공격자는 네트워크 내에서 정상적인 ARP 요청과 ARP 응답 패킷을 모니터링한다. 그 후, 공격자는 피해자 호스트에게는 게이트웨이의 IP 주소에 해당하는 MAC 주소가 자신의 주소라고 속이는 위조된 ARP 응답 패킷을 지속적으로 전송한다. 동시에 게이트웨이에게는 피해자 호스트의 IP 주소에 해당하는 MAC 주소 역시 자신의 주소라고 알린다. 이로 인해 네트워크 장비의 ARP 캐시 테이블이 악의적으로 갱신되고, 피해자와 게이트웨이 사이의 모든 트래픽이 공격자의 시스템을 통과하게 된다.

이 공격의 성공 여부는 네트워크가 스위치로 구성된 환경에서 특히 중요하다. 허브 기반 네트워크에서는 모든 트래픽이 브로드캐스트되지만, 스위치는 MAC 주소 기반으로 트래픽을 포워딩하기 때문에 ARP 스푸핑 없이는 특정 호스트 간 트래픽을 가로채기 어렵다. 따라서 이 공격은 스위치 환경에서 패시브 스니핑을 가능하게 하는 핵심 메커니즘이 된다.

DNS 스푸핑은 MITM 공격의 한 유형으로, 공격자가 DNS 질의에 대한 응답을 위조하여 사용자를 악의적인 웹사이트로 유도하는 기법이다. 이 공격은 사용자가 정상적인 도메인 이름을 입력했음에도 불구하고, 공격자가 조작한 IP 주소로 연결되게 만든다. 결과적으로 사용자는 자신이 접속하려던 합법적인 사이트 대신, 공격자가 운영하는 가짜 사이트에 접속하게 된다. 이 가짜 사이트는 외관상 원본과 매우 유사하게 제작되어 사용자로부터 로그인 정보, 금융 정보 등 민감한 데이터를 탈취하는 데 사용된다.

공격 원리는 일반적으로 두 가지 방식으로 이루어진다. 첫째는 공격자가 DNS 서버 자체를 해킹하거나 조작하여 해당 서버의 캐시에 위조된 레코드를 주입하는 DNS 캐시 포이즈닝이다. 이 경우 해당 서버를 사용하는 모든 사용자가 영향을 받는다. 둘째는 공격자가 사용자의 컴퓨터와 DNS 서버 사이의 네트워크 트래픽을 감청하고, 사용자가 보낸 DNS 질의 패킷에 가장 먼저 위조된 응답 패킷을 보내는 방식이다. 이 방법은 ARP 스푸핑과 같은 기법을 통해 로컬 네트워크에서의 트래픽을 조작한 상태에서 실행되는 경우가 많다.

이러한 공격을 방어하기 위한 주요 기법으로는 DNSSEC이 있다. DNSSEC은 DNS 응답에 디지털 서명을 추가하여 응답의 진위와 무결성을 검증할 수 있게 한다. 또한, 사용자 측에서는 신뢰할 수 없는 공용 Wi-Fi 네트워크 사용을 자제하고, 중요한 서비스 접속 시 VPN을 활용하여 모든 트래픽을 암호화하는 것이 효과적이다. 웹사이트 운영자 측면에서는 HSTS 정책을 적용하여 브라우저가 항상 HTTPS 연결을 강제하도록 유도함으로써 SSL/TLS 스트립핑과 결합된 DNS 스푸핑 공격의 위험을 줄일 수 있다.

SSL/TLS 스트립핑은 MITM 공격자가 암호화된 HTTPS 연결을 비암호화 HTTP 연결로 다운그레이드하여 사용자와 서버 간 통신을 가로채는 기법이다. 이 공격은 사용자가 암호화된 채널을 통해 안전하게 통신한다고 믿게 만들지만, 실제로는 모든 데이터가 공격자를 통해 평문으로 전송된다.

공격 과정은 일반적으로 다음과 같다. 공격자는 먼저 ARP 스푸핑이나 DNS 스푸핑과 같은 방법으로 자신을 게이트웨이로 위장하여 트래픽을 중간에 가로챈다. 이후 사용자가 HTTPS를 사용하는 웹사이트(예: https://example.com)에 접속하려고 하면, 공격자는 서버와는 정상적인 SSL/TLS 연결을 수립한 반면, 사용자에게는 같은 사이트의 HTTP 버전(http://example.com)으로 연결을 유도한다. 이 과정에서 브라우저 주소창의 자물쇠 아이콘이 사라지거나 보안 경고가 나타날 수 있으나, 사용자가 이를 무시하고 진행하면 모든 통신이 공격자에게 노출된다.

이 공격을 방어하기 위한 주요 방법은 HSTS를 사용하는 것이다. HSTS는 웹사이트가 브라우저에게 일정 기간 동안 반드시 HTTPS를 통해만 접속해야 함을 알리는 보안 정책이다. 이 정책이 활성화된 사이트에서는 브라우저가 자동으로 모든 HTTP 연결을 HTTPS로 강제 업그레이드하며, 인증서 오류 시에는 접속을 차단하므로 스트립핑 공격을 효과적으로 차단할 수 있다. 또한 사용자는 브라우저의 주소창을 확인하여 항상 자물쇠 아이콘과 https://가 표시되는지 확인해야 한다.

패킷 스니핑 도구는 네트워크를 흐르는 데이터 패킷을 캡처하고 분석하는 소프트웨어 또는 하드웨어 장비를 가리킨다. 이 도구들은 네트워크 관리 및 문제 해결을 위한 합법적인 목적으로 개발되었으나, MITM 공격자가 통신 내용을 엿보거나 민감한 정보를 수집하는 데 악용되기도 한다. 공격자는 이러한 도구를 이용해 암호화되지 않은 평문 데이터에서 사용자 ID와 비밀번호, 쿠키, 세션 토큰 등을 추출할 수 있다.

주요 패킷 스니핑 도구로는 Wireshark, tcpdump, Cain & Abel 등이 널리 알려져 있다. Wireshark는 그래픽 사용자 인터페이스를 제공하는 강력한 오픈 소스 분석 도구이며, tcpdump는 주로 명령줄 환경에서 사용되는 기본적인 캡처 도구이다. 이들 도구는 네트워크 인터페이스를 프로미스큐어스 모드로 설정하여 해당 네트워크 세그먼트의 모든 트래픽을 수신할 수 있다.

이러한 도구의 악용을 방지하기 위해서는 네트워크 트래픽을 전반적으로 암호화하는 것이 필수적이다. HTTP 대신 HTTPS를 사용하고, VPN이나 SSH 터널링을 활용하면 패킷 스니핑을 통한 정보 유출 위험을 크게 낮출 수 있다. 또한, 네트워크 관리자는 정기적인 모니터링을 통해 비정상적인 패킷 캡처 활동을 탐지해야 한다.

세션 하이재킹은 MITM 공격의 한 유형으로, 사용자와 서버 간에 이미 수립된 인증된 세션을 공격자가 탈취하여 자신이 합법적인 사용자인 것처럼 위장하는 공격 기법이다. 이 공격은 주로 TCP 또는 애플리케이션 레벨에서 이루어진다. 공격자는 먼저 패킷 스니핑 등을 통해 네트워크 상의 패킷을 관찰하여, 사용자의 세션 ID나 시퀀스 번호와 같은 세션 식별 정보를 획득한다.

공격 원리는 크게 두 가지로 나뉜다. 첫째는 TCP 세션 하이재킹으로, 공격자가 예측하거나 스니핑을 통해 얻은 TCP 패킷의 시퀀스 및 확인 응답 번호를 위조하여, 합법적인 클라이언트의 연결을 끊고 자신의 연결로 대체하는 방식이다. 둘째는 애플리케이션 레벨 세션 하이재킹으로, 쿠키나 세션 토큰을 탈취하여 웹 애플리케이션에서 사용자의 인증 상태를 가로채는 방식이다. 이는 XSS나 패킷 스니핑을 통해 수행될 수 있다.

주요 공격 도구 및 방법은 다음과 같다.

성공적인 세션 하이재킹은 공격자에게 피해자의 권한을 그대로 부여하게 되어, 개인 정보 유출, 불법 금융 거래, 데이터 변조 등 심각한 결과를 초래한다. 특히 세션이 장시간 유지되거나 중요한 작업을 수행하는 환경에서 위험성이 크다. 방어를 위해서는 모든 통신에 SSL/TLS와 같은 강력한 엔드투엔드 암호화를 적용하여 패킷 스니핑을 통한 정보 유출을 방지하고, 세션 타임아웃을 짧게 설정하며, 중요한 세션에는 추가적인 이중 인증을 도입하는 것이 효과적이다.

네트워크 모니터링은 MITM 공격을 탐지하는 핵심적인 수동적 방어 기법이다. 이 기법은 네트워크 트래픽을 지속적으로 관찰하고 분석하여 비정상적인 패턴이나 알려진 공격 시그니처를 찾아내는 것을 목표로 한다. 일반적으로 네트워크 관리 시스템이나 IDS, IPS와 같은 도구를 활용하여 구현된다. 이러한 시스템은 네트워크 상에서 발생하는 ARP 요청 및 응답의 빈도, 예상치 못한 게이트웨이 주소의 출현, 또는 동일한 MAC 주소가 여러 IP 주소와 연관되는 현상 등을 감시한다.

탐지를 위한 주요 지표는 다음과 같다.

효과적인 모니터링을 위해서는 네트워크의 정상적인 베이스라인 상태를 먼저 파악하는 것이 중요하다. 이를 통해 미세한 이상 징후도 비교적 쉽게 식별할 수 있다. 또한, 트래픽 암호화가 보편화됨에 따라 암호화되지 않은 메타데이터(예: 패킷 헤더, 통신 상대방, 패킷 크기 및 타이밍)를 분석하는 트래픽 분석 기법의 중요성이 커지고 있다. 네트워크 모니터링은 공격을 실시간으로 차단하기보다는 조기에 발견하여 대응 시간을 확보하고, 사후 조사를 위한 증거를 수집하는 데 주로 기여한다.

암호화 통신을 강화하는 것은 MITM 공격을 방어하는 핵심적인 방법이다. 이는 공격자가 중간에서 데이터를 엿보거나 변조하는 것을 근본적으로 차단하기 위함이다. 가장 효과적인 접근법은 엔드투엔드 암호화를 구현하는 것으로, 통신의 시작점과 끝점에서만 데이터를 암호화하고 복호화하여 중간 노드에서는 내용을 확인할 수 없게 만든다.

HTTPS 프로토콜의 사용은 기본적인 강화 수단이다. 이를 위해서는 서버에 신뢰할 수 있는 공인 인증서를 설치하고, 모든 웹 페이지 리소스가 암호화된 채널을 통해 로드되도록 해야 한다. 또한, HSTS 정책을 설정하여 브라우저가 강제적으로 HTTPS 연결을 사용하도록 유도할 수 있다. 애플리케이션 수준에서는 TLS 1.2 이상의 최신 버전을 사용하고, 안전하지 않은 암호화 알고리즘과 프로토콜은 비활성화하는 것이 중요하다.

이러한 조치 외에도, VPN이나 IPsec과 같은 네트워크 계층 암호화 기술을 사용하면 공용 네트워크에서의 통신을 보호할 수 있다. 중요한 것은 암호화의 강도뿐만 아니라, 암호화 키의 안전한 관리와 인증 과정의 신뢰성을 함께 확보하는 것이다.

공인 인증서 사용은 MITM 공격을 방어하는 핵심적인 방법 중 하나이다. 이 기법은 통신 상대방의 신원을 신뢰할 수 있는 제3의 기관이 보증함으로써, 공격자가 중간에서 위조된 인증서를 사용하는 것을 방지한다.

웹사이트나 서버가 공인 인증 기관으로부터 발급받은 SSL/TLS 인증서를 사용하면, 사용자의 브라우저나 클라이언트 소프트웨어는 해당 인증서의 유효성을 자동으로 검증한다. 검증 과정에는 인증서의 서명 체인이 신뢰할 수 있는 루트 인증 기관까지 연결되는지, 인증서의 도메인 이름이 접속하려는 사이트와 일치하는지, 그리고 인증서가 유효 기간 내에 있는지 확인하는 것이 포함된다. 만약 검증에 실패하면 브라우저는 사용자에게 보안 경고를 표시한다.

따라서 모든 공개 서비스, 특히 로그인이나 결제가 이루어지는 웹사이트는 반드시 공인 인증서를 사용해야 한다. 또한, HSTS 같은 보안 정책을 적용하면 브라우저가 암호화되지 않은 연결을 강제로 차단하거나 공인 인증서 검증을 우회할 수 없도록 만들어, SSL/TLS 스트립핑 공격을 추가로 방어할 수 있다.

패시브 스니핑은 네트워크 트래픽을 도청하는 행위이지만, 데이터 흐름에 직접적인 간섭이나 변조를 가하지 않는 수동적인 방식의 스니핑을 가리킨다. 공격자는 네트워크 상에서 전송되는 패킷을 단순히 관찰하고 복사하기만 하며, 자신의 존재를 최대한 숨기려고 한다. 이는 능동적으로 트래픽을 가로채거나 조작하는 MITM 공격과는 구분되는 개념이다.

패시브 스니핑은 일반적으로 두 가지 주요 환경에서 수행된다. 첫째는 공유 미디어 환경(예: 오래된 허브 기반 네트워크)으로, 모든 패킷이 네트워크 세그먼트의 모든 호스트에 브로드캐스트되기 때문에 특별한 조치 없이도 트래픽을 수신할 수 있다. 둘째는 스위치 기반 네트워크로, 이 경우에는 ARP 스푸핑이나 포트 미러링 설정과 같은 추가적인 기술을 사용하여 트래픽을 공격자의 시스템으로 유도해야 한다.

이 방식으로 수집된 정보에는 평문으로 전송되는 아이디어와 비밀번호, 쿠키 정보, 이메일 내용 등이 포함될 수 있다. 따라서 패시브 스니핑으로부터 보호하기 위한 가장 효과적인 방법은 엔드투엔드 암호화를 사용하는 것이다. HTTPS, SSH, VPN과 같은 프로토콜은 통신 내용을 암호화하여, 공격자가 패킷을 획득하더라도 내용을 해독할 수 없게 만든다.

엔드투엔드 암호화는 통신의 보안을 보장하기 위한 핵심적인 암호화 방식이다. 이 방식에서는 메시지가 발신자 측에서 암호화되어 수신자 측에서만 복호화된다. 중간에 위치한 서버, 라우터, 게이트웨이와 같은 통신 경로상의 어떤 제3자도 암호화된 메시지의 내용을 읽거나 변조할 수 없다[5]. 이는 MITM 공격을 포함한 다양한 중간자 공격에 대한 강력한 방어 수단으로 작용한다.

엔드투엔드 암호화의 대표적인 구현 예는 시그널 프로토콜을 사용하는 메신저 애플리케이션들이다. 이 프로토콜을 채택한 서비스에서는 메시지가 발신자의 기기에서 암호화되어 수신자의 기기에 도착할 때까지 암호화된 상태를 유지한다. 메시징 서비스 제공업체조차도 통신 내용에 접근할 수 없다. 또한, HTTPS는 웹 브라우저와 웹 서버 간의 통신을 암호화하여, 사용자가 웹사이트와 주고받는 데이터가 중간에서 탈취되거나 조작되는 것을 방지한다.

이 방식은 전통적인 트랜스포트 레이어 보안만을 사용하는 방식과 구별된다. TLS는 일반적으로 클라이언트와 서버 간의 구간만을 암호화하므로, 서버 운영자는 평문 데이터에 접근할 수 있다. 반면 엔드투엔드 암호화는 서버를 포함한 모든 중간 구간을 보호 범위에 포함시킨다. 따라서 서비스 제공자의 데이터 유출이나 내부자 위협으로부터도 사용자 데이터를 보호하는 데 효과적이다.