WhatsApp 보안 개선: 암호화된 백업

2021년 9월 21일 | 블로그, 어려운

페이스북 소유의 WhatsApp 은 사용자들이 문자 메시지, 음성 통화, 문서 공유를 할 수 있는 모바일 애플리케이션입니다. 이 앱이 낯익게 들린다면, 아마도 2018년 제프 베조스 해킹 사건 때문일 것입니다. 당시 베조스의 휴대전화가 해킹당해 수 기가바이트(GB)에 달하는 개인 데이터가 유출되었고, 이로 인해 베조스와 그의 불륜녀 사진이 공개되고, 세간의 이목을 끄는 이혼 소송이 진행되었으며, 심지어 크리스 록이 아카데미 시상식에서 베조스를 풍자하는 혹평을 받기도 했습니다. 이 모든 사건은 WhatsApp과 관련된 사이버 공격에서 비롯된 것입니다. WhatsApp은 2018년 베조스 해킹 사건 이후 보안 관련 평판을 개선하기 위해 꾸준히 노력해 왔습니다.

2021년 9월 10일, WhatsApp은 안드로이드 및 iOS 사용자를 위해 클라우드에 종단간 암호화된 채팅 백업 기능을 지원한다고 발표했습니다 . 이로써 채팅 메시지와 사진 등의 정보를 Apple iCloud 또는 Google Drive에 암호화 방식으로 안전하게 저장할 수 있게 되었습니다. 종단간 암호화가 제대로 구현되면 WhatsApp 직원이 사용자의 채팅 내용을 몰래 엿보는 것을 방지할 수 있습니다. 평소에는 문제가 되지 않지만, WhatsApp이 소환장을 받을 경우 가능한 한 응해야 합니다. 종단간 암호화는 WhatsApp 직원조차도 채팅 기록에 접근하여 당국에 제공하는 것을 막아줍니다.

이전 보안 기능

2016년 , WhatsApp은 발신자와 수신자 간의 개인 메시지, 통화, 영상 통화 및 미디어에 대해 종단간 암호화 (E2EE)를 적용했습니다. 하지만 이 E2EE 솔루션의 문제점은 클라우드에 저장된 사용자 백업 데이터에 있었습니다. 사용자 기기에서 대화 내용이나 데이터를 전송할 때 동일한 E2EE 보안 보호가 적용되지 않아 WhatsApp 직원, 소환장을 발부한 정부 기관, 클라우드 제공업체, 심지어 클라우드 제공업체 네트워크 내부의 해커까지 백업 데이터를 읽을 수 있게 되었습니다.

새로운 기능

이 선택 기능은 2021년 9월에 출시될 예정이지만, 사용자 계정에 연결된 기본 기기에서만 작동하며, 휴대폰의 WhatsApp 콘텐츠를 그대로 미러링하는 데스크톱이나 노트북과 같은 보조 기기에서는 작동하지 않습니다. WhatsApp은 백서에서 다음과 같이 밝혔습니다.

WhatsApp은 종단 간 암호화 백업을 도입하면서 HSM(하드웨어 보안 모듈) 기반 백업 키 보관소를 만들어 변조 방지 스토리지에 사용자 백업을 위한 사용자별 암호화 키를 안전하게 저장하여 사용자의 메시지 기록에 대한 보안을 강화했습니다.

종단 간 암호화 백업을 활성화하면, 애플리케이션은 클라우드에 백업을 저장하기 전에 사용자 기기에서 생성된 무작위 키를 사용하여 채팅 메시지와 모든 메시징 데이터(문자, 사진, 동영상 등)를 암호화합니다. 백업을 암호화하는 기기 생성 키는 사용자가 제공한 비밀번호로 보호되며, 이 비밀번호는 기기 도난 시 쉽게 복구할 수 있도록 저장소에 저장됩니다.

또는 사용자는 비밀번호 대신 64자리 암호화 키를 제공할 수 있지만, 이 경우 암호화 키는 더 이상 HSM 백업 키 보관소로 전송되지 않으므로 수동으로 저장해야 합니다. 계정 소유자가 백업에 접근해야 하는 경우, 비밀번호 또는 64자리 키를 사용하여 백업 키 보관소에서 암호화 키를 검색하고 백업을 복호화할 수 있습니다.

해당 금고는 지리적으로 5개의 데이터 센터에 분산되어 있으며, 비밀번호 확인을 강제하고 일정 횟수 이상의 로그인 시도 실패 후에는 키에 접근할 수 없도록 하여 무차별 대입 공격 의 가능성을 줄이는 역할을 합니다.

지금 무엇을 해야 합니까?

WhatsApp 사용자라면 이 새로운 기능이 출시될 때까지 WhatsApp 사용을 자제하시기 바랍니다. CyberHoot에서는 이 기능이 출시되면 데이터 개인정보 침해 가능성을 줄이기 위해 이 선택적 기능을 활성화할 것을 권장합니다.

CyberHoot의 중소기업을 위한 중요한 권장 사항

새로운 What's App E2EE 보안 기능이 출시될 때까지 다음 CyberHoot 권장 사항을 구현하는 것이 중요합니다.

채택 암호 관리자 더 나은 개인/업무용 비밀번호 위생을 위해
요구 이중 인증 모든에 SaaS 솔루션 및 중요한 계정
비밀번호에 14자 이상 필요 거버넌스 정책 및 기술 구성
직원 교육 이메일 기반을 발견하고 피하려면 피싱 공격
직원들이 테스트하는 것 피싱 이메일을 발견하고 방지할 수 있습니다
백업 데이터를 사용하여 3-2-1 방법
통합 최소 권한의 원칙
을 수행 위험 평가 2~3년마다
전문적인 가상 최고 정보 보안 책임자(CISO)를 고용하세요.vCISO) FTE를 고용하는 데 드는 비용의 일부만으로 사이버 보안 프로그램에 대한 조언, 안내 및 구축을 제공합니다.