GrapheneOS와 포렌식 데이터 추출 (2024)

5 days ago 7

GrapheneOS는 높은 보안성과 프라이버시로 주목받으며, iOS와 견주는 수준임
2024년 5월 소셜 미디어 상에서 GrapheneOS가 데이터 추출에 취약하다는 허위 공격이 발생함
Cellebrite 같은 포렌식 도구는 대부분의 Android/iOS 기기에서 비동의 추출이 가능하지만, GrapheneOS는 최신 보안 패치가 적용됐을 때 뚫리지 않음
Consent-based 데이터 추출은 사용자가 자신이 소유한 기기 잠금을 푸는 경우며, 이때만 추출이 가능함
Pixel 6 이상과 GrapheneOS 조합은 비밀번호 브루트포스 공격 및 USB 연결 해킹 등 최신 공격도 차단함

GrapheneOS 개요와 소셜 미디어 공격 배경

Cellebrite는 이스라엘 기반 디지털 포렌식 대표 기업으로, UFED(Universal Forensic Extraction Device)라는 도구가 유명함
정부, 사법기관에 합법적으로 장비를 판매하지만, 권위주의 국가나 인권 탄압국에도 판매되고 있음
이 도구로 세계 다양한 지역에서 스마트폰 데이터 추출 시도가 이루어짐

디지털 포렌식의 첫 단계는 모바일 기기 데이터 추출임
기기가 잠겨 있으면 여러 방식(해킹, 브루트포스)으로 비밀번호/PIN 추측을 시도함
스마트폰의 두 가지 상태:
- BFU (Before First Unlock): 부팅 후 한번도 잠금 해제가 안 된 상태, 내부 데이터가 완전 암호화되어 포렌식 분석에 매우 어려움
- AFU (After First Unlock): 잠금 해제된 이후, 키가 메모리 내 저장되어 데이터 접근이 상대적으로 쉬움

2024년 4월 공개된 자료에 따르면 GrapheneOS를 제외한 모든 Android 브랜드를 AFU, BFU 상태 무관하게 해킹·추출 가능함
최신 iOS 기기에 대해서도 일부 지원, 대부분 iPhone 사용자는 자동으로 최신 패치가 적용되어 위험이 줄어듦
NSO(Pegasus 제작사)는 iOS 최신 버전의 취약점을 매우 빠르게 악용한 사례가 있음
GrapheneOS는 2022년 말 이후 보안 업데이트가 적용된 경우 Cellebrite조차 해킹 불가를 공식 인정
업데이트가 자동 활성화되어 있으므로, 대다수 사용자는 최신 보안성이 유지됨
단, 사용자가 직접 잠금을 해제하면(Consent-based) iOS, Android, GrapheneOS 모두 데이터 추출이 가능함
- GrapheneOS는 개발자 옵션 및 adb 도구를 이용해 전체 데이터 접근 가능
Pixel 6 및 이후 모델 + GrapheneOS는 6자리 PIN 무작위 조합조차도 Brute-force로 뚫지 못함

Pixel 6 이상 기기에는 Titan M2(하드웨어 보안 모듈)가 탑재, 암호화 키 보호
오입력 5회 후 30초 대기, 30회, 140회 초과 시 각각 대기시간 증가, 이후 1일 1회 입력만 허용(secure element throttling)
AVA_VAN.5 등급의 독립 평가를 통과, 초고강도 보안성 입증
iOS, 삼성, Qualcomm의 보안모듈은 기업 공격자들이 이미 우회했지만, GrapheneOS+Pixel 6 이상 조합은 최근 수년간 성공 사례 없음