안드로이드 구글 계정 앱의 개인정보 유출 취약점 분석

초록

안드로이드의 각종 앱은 크리덴셜을 스마트기기 내부에 저장한다. 이는 구글에서 안드로이드 스마트폰에 기본으로 탑재하는 시스템 앱인 구글 계정도 마찬가지이다. 구글 계정은 사용자에게 편의성을 보장하기 위하여 최초 실행시 단 한번 아이디와 패스워드를 이용한 사용자 인증을 거치고 그 이후에는 크리덴셜을 이용한 자동로그인 기능을 제공한다. 그런데 이 구글 계정의 크리덴셜은 포렌식 관점에서 매우 중요한 데이터이다. 크리덴셜을 획득할 수 있다면 구글에서 제공하는 다양한 서비스에 해당 크리덴셜의 계정으로 접근이 가능하다. 또 구글 계정 앱 이외에도 다양한 앱들이 개발의 편리성을 추구하고자 구글 API를 이용하여 구글 계정 앱의 크리덴셜을 사용한다는 것을 확인하였다. 다시 말해 수많은 앱들이 구글 계정 앱 크리덴셜을 통해 자동 로그인 된다는 것이다. 따라서, 본 논문에서는 구글 계정 앱의 크리덴셜 생성 및 관리 매커니즘을 분석하고, 해당 크리덴셜을 추출하여 다른 기기에 주입하여 자동로그인이 가능한 지를 통해 개인정보 유출 취약점을 살펴본다. 한편, 포렌식 관점에서 이러한 개인정보는 유의미한 디지털 증거자료가 될 수 있을 것으로 판단된다.

키워드