실시간
뉴스

통신*방송

SKT 보안체계, 'LTE→5G' 넘어왔나…IMSI 암호화의 진실 [IT클로즈업]

디지털데일리 발행일 2025-05-08 15:16:56
강소현 기자

표준상 의무 아니지만…“1위 사업자 위상 걸맞는 보안체계 갖춰야”

[ⓒSK텔레콤]
[ⓒSK텔레콤]

[디지털데일리 강소현기자] 최근 SK텔레콤에서 발생한 유심(USIM) 해킹 사고와 관련 가입자식별번호(IMSI)를 암호화하지 않은 사실이 알려져 논란이 일고 있다. SK텔레콤은 “암호화가 안 돼 있도록 하는 것이 3GPP 표준”이라는 입장인 반면, 업계에선 1위 이동통신 사업자가 ‘최소한의 방어선’ 조차 구축해두지 않았다고 지적한다.

앞서 SK텔레콤에선 홈가입자서버(HSS·Home Subscriber Server) 내 음성인증장비가 해킹되는 사고가 발생했다. 특히, 해킹 과정에서 고객의 유심 관련 정보 역시 일부 유출된 정황이 발견돼 가입자들의 우려를 키웠다.

이번 사태로 외부에 유출된 데이터는 9.7기가바이트(GB) 분량으로 파악됐다. 유출이 의심되는 정보는 전화번호·가입자식별번호·인증키 등으로, 불법유심 복제에 필요한 정보들이다.

특히, 이번 사고로 가입자식별번호가 암호화되어 있지 않았던 부분이 지적됐다. 데이터를 암호화·복호화하는 데 사용된 값을 ‘암호키’라고 부르는데, 암호키가 없다면 해커가 탈취한 데이터를 열어볼 수 없기 때문이다. 즉, 서버가 뚫려도 그 안에 저장된 정보가 암호화만 돼 있었다면 해킹 피해를 막을 수 있다는 지적이다.

이러한 부분은 최근 국회에서도 지적됐다. 이준석 의원(개혁신당)은 지난달 30일 국회 과학기술정보방송통신위원회가 진행한 청문회에서 SK텔레콤에 “(유심정보를) 해시값도 아니고 평문으로 저장했다는 건 굉장히 충격적”이라고 지적한 바 있다.

특히, 가입자식별번호에 이어 인증키도 암호화되어 있지 않은 사실이 알려지면서 상황은 더욱 악화됐다. 가입자식별번호와 인증키가 같이 유출되는 경우 유심 복제가 가능하기 때문이다.

엄흥열 순천향대 정보보호학과 교수는 “인증키가 암호화됐다면 가입자식별번호가 그렇지 않더라도 유심 복제는 불가능하다”라며 “기업에 치명적인 영향을 줄 수 있는 데이터 유출에 대비해 기본적인 암호화가 돼 있어야 바람직하다”라고 꼬집었다.

3GPP SA3 워킹그룹이 작성한 문서를 살펴보면 5세대이동통신(5G) 시스템의 보안 아키텍처와 메커니즘 아래 IMSI는 ‘전송 시 암호화(encryption in transit)’는 필수지만, ‘저장 시 암호화(encryption at rest)’ 의무에 대한 조항은 없다.
3GPP SA3 워킹그룹이 작성한 문서를 살펴보면 5세대이동통신(5G) 시스템의 보안 아키텍처와 메커니즘 아래 IMSI는 ‘전송 시 암호화(encryption in transit)’는 필수지만, ‘저장 시 암호화(encryption at rest)’ 의무에 대한 조항은 없다.

하지만, SK텔레콤의 입장은 다르다. 3GPP 표준상 가입자식별번호와 인증키 모두 의무 암호화 대상이 아니라는 것이다. 3GPP는 전세계 7개 표준화단체가 공동으로 설립한 이동통신 표준개발기구다.

류정환 SK텔레콤 네트워크 인프라센터장은 최근 진행된 기자브리핑에서 “HSS은 시간적인 처리에 민감한 장비다. 전화가 오면 암호화를 풀었다가 전화가 끝나면 다시 암호화되는 과정에서 지연(레이턴시)이 발생할 수 밖에 없는데, 이에 (3GPP 표준상) 암호화가 안 돼 있도록 하는 것이 표준”이라며 “그럼에도 불구, HSS 자체에서 암호화가 될 수 있는 부분이 없는 지에 대해 살펴보고자 자문단을 만들어둔 상황”이라고 설명했다.

실제, 3GPP SA3 워킹그룹이 작성한 문서를 살펴보면 5세대이동통신(5G) 시스템의 보안 아키텍처와 메커니즘 아래 IMSI는 ‘전송 시 암호화(encryption in transit)’는 필수지만, ‘저장 시 암호화(encryption at rest)’ 의무에 대한 조항은 없다. 표준상의 의무는 아니며 기술적 구현은 선택에 뒀다.

그럼에도, SK텔레콤이 실제 3GPP의 보안 표준을 준수하고 있냐에 대해선 의견이 엇갈린다. 해석에 따라 가입자식별번호 저장 시 암호화를 권고하고 있다 볼 수 있다는 것이다.

문서에는 ‘UDM(HSS) 가입자의 프라이버시를 보호하기 위해 IMSI의 보안과 무결성을 확보하고 최소한의 노출이 보장되도록 설계돼야 한다’고 적혔다.
문서에는 ‘UDM(HSS) 가입자의 프라이버시를 보호하기 위해 IMSI의 보안과 무결성을 확보하고 최소한의 노출이 보장되도록 설계돼야 한다’고 적혔다.

이와 관련해 가입자 프라이버시 요구사항과 관련한 조항이 언급된다. 위와 같은 문서에는 ‘UDM(HSS) 가입자의 프라이버시를 보호하기 위해 IMSI의 보안과 무결성을 확보하고 최소한의 노출이 보장되도록 설계돼야 한다’고 적혔다.

5G SA와 LTE의 코어에서 사용자 정보를 담당하는 망요소는 서로 다른데, LTE에서는 HSS, 5G는 UDM(Unified Data Management)/UDR(Unified Data Repository)이라 한다.

이러한 맥락에서 일각에선 “암호화가 안 돼 있도록 하는 것이 3GPP 표준”라는 주장은 오히려 SK텔레콤이 5G 시대에 요구되는 보안 체계를 갖추지 못하고 있음을 반증한다는 의견도 나온다.

이동통신업계 전문가는 “LTE와 5G의 망 요소 규격이 다르기에, 구체적인 암호화 요구사항에는 차이가 있다”라면서도 “하지만, 저장 데이터에 대한 암호화에 대해서는 (규격과 상관없이) 강력히 권고하고 있지만 명령(mandate)은 아니다”고 밝혔다.

이어 “새로운 규격에서 보안이 강화된다고 해서 이전 규격의 보안이 취약하다고 볼 수는 없다”라면서도 “항상 새로운 규격에서는 이전 보다 ‘나은’ 기능들이 요구되므로 좀 더 나은 보안을 제공한다고 보면 좋겠다”고 덧붙였다.

전문가들은 3GPP 표준과 별개로, 1위 이동통신 사업자에 걸맞는 보안 체계를 갖춰야 할 것이라고 목소리를 높인다. 글로벌에서 가입자 식별정보의 평문 저장이 일반적이라 해도, 국내 다른 통신사인 KT와 LG유플러스의 경우 이미 암호화 해 저장하고 있는 실정이다.

업계에 정통한 한 전문가는 “(3GPP의 경우 보안에 필요한) 일부분만을 나열하고 있어 표준을 지켰다고 보안이 완성될 수 없다”라며 “또 레이턴시를 문제 삼았는데 SK텔레콤이 보유한 장비의 성능을 업그레이드하거나, 장비의 갯수를 늘리면 해결되는 일”이라고 말했다.

또 다른 전문가는 “3GPP 규격에는 다양한 보안 선택이 있다”라며 “이에 대한 적용은 규제기관과 사업자의 협의에 의해 선택될 수 있지만 보안을 강화하려면 무엇보다 네트워크 강화를 위한 추가 자원 투자가 필요하다”고 강조했다.

Copyright ⓒ 디지털데일리. 무단전재 및 재배포 금지

이 기사와 관련된 기사

디지털데일리 네이버 메인추가

당신이 좋아할 만한 뉴스

DD 마이크로 사이트

오피니언

x