[2주차] [한국정보보호학회 칼럼] 메타버스와 보안

https://www.boannews.com/media/view.asp?idx=106299 

[한국정보보호학회 칼럼] 메타버스와 보안

---

[요약] IEEE에 따르면메타버스는 인터넷의 확장인 온라인 3-D 가상환경으로 정의되고 있다. 이러한 메타버스 서비스와 생태계가 확산됨에 따라, 메타버스 보안 이슈에 대한 관심도 증가하고 있으며, 대표적으로 프라이버시와 휴먼해킹이 있다. 프라이버시 위험의 경우에는 이용자의 프라이버시 침해가 매우 쉽다는 것이고, 휴먼해킹은 다양한 매체를 통해 메타버스를 이용하는 사람에 대한 신체적, 심리적 공격이 가능하다는 것이다. 즉, 사람 그 자체에 대한 해킹을 휴먼해킹이라고 부른다. 메타버스에서는 이용자가 어떤 환경에서 어떤 페이지에 얼마나 머물고 있는지, 페이지의 어느 부분을 주의 깊게 보고 있는지 등을 메타버스와 연결되는 다양한 장비를 통해 쉽게 알 수 있다. 또한 AR 장비를 통한 카메라, 마이크 등을 해킹하여 도촬이나 도청을 통한 피해도 발생할 수 있으며, 뇌에 명령을 읽거나 인식할 수 있는 BCI를 통해 환각을 주입하는 위험도 예상된다.

 

메타버스의 중요한 보안 이슈 중 하나는 사용자 인증이다. 메타버스와 연결된 장비(AR, VR)를 착용한 상태에서 어떻게 사용자의 패스워드나 PIN을 편리하고 안전하게 입력할 것인가 또한 중요한 문제이다. 패스워드를 입력하는 사용자를 공격자가 몰래 훔쳐보는 것 또한 생각해볼만한 이슈이며, 한 번 인증된 사용자가 지금도 지속적으로 사용하고 있는지 혹은 다른 사람이 대신 이용하고 있는지를 판단하는 지속인증도 매우 중요한 이슈가 된다.  하지만 이는 다행히도 기존의 기술들을 메타버스에 맞게 변경하여 적용하면 해결 가능한 범위라고 예상된다. 

 

또한 메타버스에서는 오프서비스 인증 이슈도 있는데, 이는 메타버스 아바타와 실제 이용자 간의 인증이다. 메타버스 서비스 제공자는 이용자들의 모든 것을 모니터링할 수 있지만, 용량이나 필요성의 문제로 기록하지는 않는다. 이러한 상황에서 이용자간의 욕설, 성희롱 등의 어뷰징 행위에 대한 처벌은 어떻게 이루어져야 할까? 이는 도로상의 CCTV와 무관하게 차에 설치하는 블랙박스처럼 이용자들이 단말 화면을 녹화하는 것으로 해결될 수 있다. 이때 녹화된 화면의 아바타가 특정 이용자의 것임을 증명하는 것은 서비스 범주를 벗어난 오프서비스 인증이다. 

 

한편 이용자 측에서 특정 아바타에 대한 소유를 주장하는 상황도 발생할 수 있는데, 아바타에 대한 초상권, 콘텐츠 소유권이 이슈가 되는 상황이다. NFT를 사용해 콘텐츠의 유통이 용이해지면서 아바타도 NFT 민팅의 대상이 될 수 있다. 만약, 아바타에 대한 소유증명이 필요한 상황이 오면 어떻게 해야할까? 이는 오프서비스 상황에서 아바타의 소유증명을 하는 방법이 필요하게 된다. 

 

오프서비스에서 이용자-아바타 간 인증 방식은 크게 2가지인데, 어떤 id나 핑거프린트 정보를 워터마크 형태로 아바타에 삽입하는 것이다. (이것을 히든워터마킹 기술로 부를 수도 있고, 스테가노그래피라고 부를 수도 있다.) 이 때, 렌더링이 된 아바타 이미지를 다양한 각도에서 캡처했을 때 워터마크가 정확히 인식되는 것이 기술적 도전 요소이다. 이 방식의 단점은 별도의 워터마크 삽입 및 인식 체계가 필요하다는 것이다. 

두 번째 인식 방식은 아바타를 만들 때 부터 원래 소유자의 특징을 반영해 닮게 만들어서 그 자체로 안면 인증이 가능하도록 하는 것이다. 이렇게 하면 별도의 인식 시스템 없이 인증을 할 수 있게 된다. 

 

[느낀 점] 메타버스에서 가장 중요한 보안 이슈는 특정 아바타로 활동하고 있는 이용자가 한 번 인증된 이용자가 맞는지를 확인하는 것이라는 생각이 들었다. 메타버스 속의 세계가 현실 세계의 연장선이 되어버린만큼 가상 세계안의 캐릭터는 현실 세계의 사람을 완전히 대체할 수 있어야 한다. 즉, 아바타로써 행동하는 모든 행위들은 아바타의 주인이 알고있어야 메타버스라는 가상세계가 안전하다고 할 수 있다고 말할 수 있을 것이다. 따라서, 만약 실습을 하게 된다면 현재 로그인된 이용자이 처음 인증된 이용자라는 것을 어떤 식으로 인증할 수 있을지 팀원들과 함께 고민해보고 싶다.

---

https://www.akamai.com/ko/blog/trends/security-trends-to-address-now-on-our-way-to-the-metaverse

 

 

이 글에서는 계임업계에서 메타버스에 대해 우려하고 있는 주요 보안 이슈들이 1) 계정 탈취 2) 지적 재산권 도난(데이터 유출) 3) 치팅 4)업타임 위험(DDos 등) 이라고 언급하며, 이 중 계정 탈취에 대해 집중적으로 다룬다. 

메타버스의 보안은 게임 계정보안과 관련하게 매우 큰 연관이 있다. 

<공격자들은 돈을 노리고 게임에 접속하며, 그 가치는 종종 PII가 아니라 계정자체 있다.>

=> 이것은 메타버스에서도 매우 중요한 이슈인데,  신용카드의 정보를 빼내기 위해 게임 계정을 공격했던 과거의 공격과는 달리 현대에서 게임 계정을 노리는 사람들은 플레이어의 시간 및 게임 아이템 즉, 계정 그 자체를 노리고 있다. 이를 통해, 공격자들은 노력없이 높은 수준의 게임을 즐기거나 게임 아이템을 실제 현금으로 판매하기도 한다. 이러한 형태의 가상 가치는 NFT를 구매하는 사람들과 함께 투자 커뮤니티에 이미 반영되고 있다. 따라서, 계정과 접속 보안을 유지하는 것은 매우 중요한 과제가 될 것이다. 

 

<범죄자들은 사용자 커뮤니티가 가처분 소득을 가지고 트랜잭션을 자쥬 유발하는 게임 등이 산업에 집중한다.>

=> 게임은 끊임없이 공격받고 있습니다. 지난해 웹 공격 건수는 340%, 인증 정보 공격은 224% 증가했습니다. 이러한 크리덴셜 스터핑 시도는 종종 성공합니다. 하드코어 게이머 1,253명(이들 중 81%가 매일 게임을 함)을 대상으로 한 DreamHack/ESL 설문 조사에서 52%가 1개 이상의 계정을 해킹당한 경험이 있으며, 70%는 온라인으로 판매되는 해킹된 계정을 우연히 찾아낸 적이 있는 것으로 나타났습니다. 게임 계정의 상태를 다양한 산업 및 서비스에서 미래의 메타버스 계정을 다루기 위한 지표라고 생각해 보세요.

//이 부분은 이해가 잘 안돼서 복붙했음..

 

<고객은 도움을 원한다.> 

=> 계정보안은 회사가 책임져야 한다. 

 

메타버스로 전환함에 따라 메타버스는 많은 공격의 대상이 될 것이다. 그러한 ‘다른 세계’의 운영을 유지하려면 산업 전반에 걸쳐 보안 전략을 보다 잘 조율해야 하며, 경쟁업체와 보안 공급업체는 모두 사용자의 계정 정보를 안전하게 보호하기 위해 협력해야 할 것이다. 

한편, 계정 보안 관행의 현재 상태를 깊이 있게 검토하고 사용자와 협력하고 사용자에게 교육을 제공하는 새로운 방법을 고려하는 보안 리더들은 앞으로 발생할 다른 복잡한 문제들을 관리할 수 있는 준비를 가장 잘 갖추게 될 것입니다.