IoT 기기 수백만 대 내장 ESP32 칩에 개인정보 악용 기능이?

보안 기업 탈로직시큐리티(Tarlogic Security)가 IoT 기기 수백만 대에 탑재된 와이파이 연결·블루투스 연결용 ESP32 칩에 개인정보를 훔칠 목적으로 악용 가능한 숨겨진 기능이 있다고 보고했다.

이 발견은 스페인 마드리드에서 개최된 보안 콘퍼런스 루티드콘(RootedCON)에서 발표됐다. 탈로직시큐리티에 따르면 블루투스 규격에 관한 연구를 진행하는 중에 발견한 것이라고 한다.

문제의 숨겨진 기능을 악용하면 적대적 공격자는 사칭 공격으로 스마트폰이나 PC, 스마트홈 기기, 의료기기 등 기기를 영구적으로 감염시키는 게 가능하다. 해당 ESP32 칩은 2유로 정도로 저렴하게 구매할 수 있어 많은 IoT 기기에 채택됐으며 제조사 에스프레시프(Espressif)는 2023년 지금까지 10억 개가 출하됐다고 발표했다.

한편 해당 기능에 대해 탈로직시큐리티 측은 백도어라고 보고했지만 보안 연구자 제노 코바는 문제시되고 있는 컨트롤러 메모리를 읽고 쓰는 벤더 고유 HCI 명령은 브로드컴이나 사이프레스 등 다른 벤더 블루투스 칩에서도 볼 수 있는 일반적인 설계라고 지적했다. 벤더 고유 명령은 사실상 프라이빗 API를 구성한다며 프라이빗 API를 공식 문서화하지 않는 선택은 백도어가 아니라고 반박했다.

그의 의견을 수용하는 형태로 탈로직시큐리티는 표현을 백도어에서 숨겨진 기능으로 수정했다. 관련 내용은 이곳에서 확인할 수 있다.